Senior Security Engineer Sicherheit von Drittanbietersoftware - Senior Specialist IT Security Management (m/w/d)
- Deutsche Pfandbriefbank AG
- Garching bei München
Die Deutsche Pfandbriefbank AG (pbb) ist eine international tätige Spezialbank mit über 800 Mitarbeitenden aus 37 Nationen. Unseren Kunden bieten wir eine breite Palette von Finanzierungs- und Investitionslösungen für die gesamte Immobilien-Wertschöpfungskette. Und das mit dem Ziel, zu einer nachhaltigeren Welt der Immobilie beizutragen.
Senior Security Engineer Sicherheit von Drittanbietersoftware - Senior Specialist IT Security Management (m/w/d)
Dies ist eine praxisorientierte Engineering-Position ohne Personalverantwortung im Bereich Security Governance. Sie bewerten die Sicherheit von Drittanbietersoftware, Open-Source-Komponenten und Paketen, die in der Softwareentwicklung und Infrastruktur eingesetzt werden, und leiten daraus praxistaugliche Sicherheitsmaßnahmen und klare technische Empfehlungen ab. Im Mittelpunkt steht die Sicherheit von Software und Komponenten – nicht Lieferantenfragebögen, kaufmännische Lieferantenbewertungen oder die Verantwortung für das Third-Party Risk Management (TPRM).
Das sind Ihre Aufgaben
- Sie bewerten Drittanbietersoftware, kommerzielle Produkte, Open-Source-Bibliotheken, Pakete und Container-Images vor ihrer Einführung und während der gesamten Nutzungsdauer. Sie prüfen technische Dokumentation, Abhängigkeiten, Sicherheitsbefunde und Bereitstellungsanforderungen und führen gezielte praktische Validierungen durch
- Sie verantworten und verbessern den technischen Schwachstellenmanagement-Prozess für Drittanbieterkomponenten in der Softwareentwicklung und im Infrastruktur-Engineering – von der Identifizierung und Validierung über die Priorisierung und Behebung bis hin zur Überprüfung der Wirksamkeit
- Sie bewerten die Herkunft von Komponenten, die Softwarezusammensetzung und Abhängigkeitsketten, einschließlich Software-Stücklisten (Software Bills of Materials, SBOMs), sofern verfügbar. Sie untersuchen Schwachstellen sowie verdächtige oder nicht mehr unterstützte Komponenten und empfehlen sicherere Versionen oder Alternativen
- Sie definieren praxistaugliche Kriterien für die Sicherheitsbewertung, technische Mindestanforderungen und Prüfungen zur Softwarefreigabe. Sie dokumentieren evidenzbasierte Empfehlungen zur Freigabe, Einschränkung oder Ablehnung von Software als Entscheidungsgrundlage für die zuständigen Verantwortlichen und verfolgen Ausnahmen sowie kompensierende Maßnahmen nach
- Sie konfigurieren und verbessern Sicherheitswerkzeuge wie Tenable, Aikido Security, Microsoft Defender und Nexus Repository Firewall und integrieren Komponentenprüfungen sowie Sicherheitskontrollen in Entwicklungspipelines und Paket-Repositories
- Sie validieren Befunde und priorisieren die Behebung anhand von Ausnutzbarkeit, Exposition, Kritikalität der betroffenen IT-Assets und Einsatzkontext, unterstützt durch CVSS, EPSS und CISA KEV. Gemeinsam mit Entwicklern und Infrastruktur-Engineers aktualisieren, ersetzen, härten oder isolieren Sie betroffene Komponenten
- Sie prüfen die sichere Bereitstellung und Härtung von Drittanbietersoftware unter Windows und Linux sowie in Netzwerken, VMware, Kubernetes, AWS und Microsoft Azure – einschließlich Berechtigungen, Konfiguration und Integrationsgrenzen
- Sie bewerten KI-bezogene Drittanbietersoftware, Pakete und Integrationen, insbesondere deren Umgang mit Daten, Berechtigungen und externen Diensten. Bei KI-gestützten Analysen setzen Sie Ihr technisches Urteilsvermögen ein und validieren die Ergebnisse unabhängig
- Sie automatisieren wiederkehrende Bewertungen, die Erfassung von Nachweisen und die Nachverfolgung von Maßnahmen zur Schwachstellenbehebung. Sie pflegen eine nachvollziehbare technische Dokumentation und erstellen aussagekräftige Berichte zu Befunden, Ausnahmen und Behebungsfortschritten für Security Governance und Audit-Verantwortliche
- Sie arbeiten mit Softwareentwicklung, Infrastruktur, Architektur und Anwendungsverantwortlichen zusammen, um Sicherheitsanforderungen im Softwareentwicklungslebenszyklus zu verankern. Bei Bedarf stellen Sie den Kollegen aus TPRM und Compliance technische Befunde zur Verfügung, ohne deren Prozesse zum Lieferantenrisikomanagement zu verantworten
Damit überzeugen Sie uns
- Nachweisbare praktische Erfahrung im Security Engineering, in der Softwareentwicklung oder im Infrastruktur-Engineering mit konkreten Beispielen für die Bewertung und Verbesserung der Softwaresicherheit. Ein bestimmter Studienabschluss oder eine formale Qualifikation ist nicht erforderlich; entscheidend ist Ihr praktisches Können
- Sie können Befunde untersuchen, technische Auswirkungen verstehen und praktikable Maßnahmen zur Behebung von Schwachstellen in Drittanbietersoftware und Abhängigkeiten vorantreiben. Wir bewerten die Tiefe Ihrer Erfahrung und Ihr technisches Urteilsvermögen statt einer Mindestanzahl an Berufsjahren
- Fundiertes Verständnis von Softwareentwicklungspraktiken, SDLC, OWASP Top 10, Abhängigkeitsmanagement, Paket-Repositories und CI/CD-Pipelines. Praktische Kenntnisse von Windows/Linux, Netzwerken, Active Directory, VMware, Kubernetes, AWS und Azure/M365 sowie die Fähigkeit, KI-gestützte Software und Integrationen zu bewerten
- Praktische Erfahrung mit Schwachstellenscannern, Software Composition Analysis und Repository-Kontrollen. Zu den relevanten Werkzeugen gehören Tenable, Microsoft Defender, Aikido Security und Nexus Repository Firewall; Erfahrung mit vergleichbaren Werkzeugen ist ebenfalls willkommen. Erfahrung mit ServiceNow ist ein Plus
- Sie können Skripte schreiben und pflegen, mit APIs arbeiten und Sicherheitsprüfungen in Engineering-Workflows integrieren – mit klaren, reproduzierbaren Ergebnissen
- Sie können Sicherheitsanforderungen in überprüfbare technische Kontrollen übersetzen, Bewertungsnachweise dokumentieren sowie Restrisiken und Ausnahmen erläutern. Vertrautheit mit regulatorischen Anforderungen oder IT-Compliance-Standards ist von Vorteil; Zertifizierungen sind willkommen, ersetzen jedoch keine praktische Erfahrung
- Sie arbeiten analytisch, strukturiert und eigenverantwortlich, hinterfragen technische Entscheidungen konstruktiv und arbeiten mit Entwicklern, Infrastrukturteams und Softwareanbietern zusammen. Sie können Befunde und Zielkonflikte gegenüber technischen und nichttechnischen Zielgruppen klar erläutern
- Ausgezeichnete Englischkenntnisse in Wort und Schrift; Deutschkenntnisse sind ein Plus
- Praktische Kenntnisse von Konzepten und Benchmarks zur Systemhärtung, etwa CIS, sowie die Fähigkeit, Softwareberechtigungen und Bereitstellungskonfigurationen zu prüfen. Erfahrung in der Koordination von Penetrationstests oder Red-Team-Übungen ist ein Plus, aber keine Voraussetzung
Unsere Werte
Wir leben unsere Werte und wünschen uns diese Haltung auch von unseren Mitarbeitenden. Zusammen sind wir zukunftsorientiert, verlässlich und partnerschaftlich.
Das erwartet Sie
Bei uns treffen Sie auf eine nachhaltige Unternehmenskultur, auf vielfältige und herausfordernde Projekte sowie viel Gestaltungsspielraum und Flexibilität. Und was bieten wir noch?
Attraktives Gehalt & starke Benefits
- Bike Leasing & „Wellpass“
- „guudcard“ Sachbezugskarte
- Kita- und Essenszuschuss
- Betriebliche Altersvorsorge
... und vieles mehr
- Flexible Arbeitszeiten und min. zwei Tage Homeoffice
- 30 Tage Urlaub + 5 Gleittage
- Familienservice für persönliche Unterstützung
- U-Bahn-Anschluss und Autobahnnähe
- Kantine & Barista-Bar
Klingt spannend?
- Hubert Lohr
- HR Business Partner
- +49 89 2880-10126
