Team Lead Web Entry Solutions 80 - 100% (f/m/d)

Übernehmen Sie die strategische und operative Verantwortung für den Betrieb und die kontinuierliche Weiterentwicklung unserer zentralen Web-Eintragssicherheitsinfrastrukturen.

Betrieb & Webanwendungssicherheit Architektur

• Eigentum an der stabilen Operation und strategischen Entwicklung der Kern-IT-Sicherheitsinfrastrukturen im Web Entry-Bereich.
• Entwerfen, implementieren und kontinuierlich optimieren von Web Application Firewalls und API-Sicherheitsarchitekturen basierend auf der Nevis Identity Suite – einschließlich Regelsets, Filterrichtlinien und WAF-Konfigurationen.
• Betreiben, konfigurieren und weiterentwickeln von Sicherheitsfunktionen wie ModSecurity und Core Rule Sets (CRS).
• Entwerfen, implementieren und betreiben von Global Single Sign-On (GSSO) Lösungen basierend auf SAML 2.0 und OpenID Connect (OIDC).
• Sicherstellen eines umfassenden Schutzes gegen alle OWASP Top 10 Schwachstellenkategorien (Injection, Broken Access Control, XSS, SSRF usw.) sowohl auf Infrastruktur- als auch auf Anwendungsebene.
• Betreiben und Weiterentwickeln von Lastenausgleichslösungen und mehrschichtigen DDoS-Schutzmechanismen (Ratenbegrenzung, IP-Reputationsmanagement, Bot-Management).
• Überwachen und Analysieren von HTTP/S-Verkehr auf Anomalien, Angriffsmuster und Richtlinienverletzungen unter Verwendung zentralisierter Protokollierung und SIEM-Plattformen.

Sicherheitsgovernance, Bewertungen & Projekte

• Eigenverantwortung für Sicherheitsbewertungen, Schwachstellenmanagement und Baseline-Compliance über die Web Entry-Plattformen.
• Bewerten und Priorisieren von Ergebnissen aus Penetrationstests, DAST-Scans und Bug-Bounty-Programmen; Koordinierung der Behebung mit Entwicklungs- und Betriebsteams.
• Leiten und Liefern komplexer Sicherheitsprojekte mit einem strategischen Blick auf die gesamte IT-Sicherheitslage.
• Analysieren und Verwalten von Sicherheitsvorfällen (Webangriffe, WAF-Umgehungen, Credential Stuffing, Bot-Verkehr) und Koordinierung der Incident Response.
• Erstellen und Pflegen von Sicherheitskonzepten, WAF-Richtlinien, technischen Dokumentationen und Betriebsverfahren.
• Kontinuierliche Optimierung von WAF-Regelsets, Proxy-Konfigurationen und Sicherheitsbaselines; Identifizieren und Implementieren von Verbesserungschancen.

Führung & Beratung

• Disziplinarische und funktionale Führung eines global verteilten Teams in der Schweiz und Singapur.
• Beratung und Unterstützung von Geschäftseinheiten zu Sicherheitsthemen; aktive Begleitung neuer Sicherheitsinitiativen vom Konzept bis zur Produktionsbereitstellung.
• Enge Zusammenarbeit mit IT-Service-Ownern, Architekten, Engineering-Teams und externen Partnern in einem regulierten Unternehmensumfeld.

Ihr Profil

• Universitätsabschluss (BSc / MSc / ETH) oder höhere technische Qualifikation (HF/FH) in Informatik, Informationssicherheit oder einer vergleichbaren technischen Disziplin.
• Tiefgehende, nachgewiesene Kenntnisse der OWASP Top 10 – praktische Erfahrung in der Identifizierung, Bewertung und Minderung aller aktuellen Schwachstellenkategorien ist zwingend erforderlich.
• Starke praktische Expertise in der Konfiguration, dem Betrieb und der Feinabstimmung von ModSecurity einschließlich des OWASP CRS – Erfahrung im Umgang mit Fehlalarmen und der Entwicklung benutzerdefinierter Regeln ist zwingend erforderlich.
• Solides Verständnis von Webanwendungsarchitekturen: HTTP/S-Protokoll, REST-APIs, Reverse-Proxy-Konzepte, TLS/mTLS, Content Security Policy (CSP), CORS, HTTP-Sicherheitsheader (HSTS, X-Frame-Options usw.).
• Nachgewiesene praktische Erfahrung mit der Nevis Identity Suite oder vergleichbaren Enterprise WAF / Reverse-Proxy-Lösungen (z.B. F5 ASM, Barracuda WAF, AWS WAF, Azure Application Gateway WAF).
• Kenntnisse im sicherheitsfokussierten API-Schutz: API-Gateways, OAuth2.0-Tokenvalidierung, Ratenbegrenzung, Eingangsvalidierung.
• Erfahrung im Umgang mit Ergebnissen aus Penetrationstests und sicherheitsfokussierten Code-Reviews im Kontext von Webanwendungen.
• Fundierte, nachgewiesene Expertise in Netzwerk- und Anwendungssicherheit – diese Rolle ist nicht für Berufseinsteiger geeignet.
• Solides Wissen über moderne Authentifizierungs- und Autorisierungsprotokolle (SAML2.0, OpenID Connect, OAuth2.0, PKCE).
• Versiert in Azure-Sicherheitskonzepten: Azure Policy, Identity Governance in Microsoft EntraID, AKS Security Posture Management, Microsoft Defender for Cloud.
• Nachgewiesene Erfahrung in hybriden Umgebungen (Cloud und On-Premises) und im sicheren Betrieb von containerisierten Workloads (Kubernetes, Docker).
• Nachweisliche Erfolge in der disziplinarischen und funktionalen Leitung international verteilter Teams, idealerweise in einem komplexen, globalen Umfeld.
• Starke Kommunikations- und Stakeholder-Management-Fähigkeiten auf allen Organisationsebenen.
• Fließendes Englisch – schriftlich und mündlich (Arbeitssprache).
• Wünschenswert: Erfahrung im Finanzsektor, in regulierten Umgebungen oder auditintensiven Kontexten (z.B. FINMA, MAS, DORA).
• Anerkannte Sicherheitszertifikate: CISM, CISSP, CCSP, AZ-500, SC-100 oder GWAPT (GIAC Web Application Penetration Tester).
• Kenntnisse des Secure Software Development Lifecycle (SSDLC) und von DevSecOps-Praktiken, z.B. SAST/DAST-Integration in CI/CD-Pipelines.
• Vertrautheit mit dem OWASP Application Security Verification Standard (ASVS) als Bewertungsrahmen für Webanwendungen.
• Erfahrung mit Bedrohungsmodellierung (z.B. STRIDE) und strukturierter Risikoanalyse von Webarchitekturen.
• Verständnis von cloud-nativen DevOps-Praktiken oder Betriebsmodellen von Cloud-Plattformen (z.B. AKS, Azure Landing Zones, Infrastructure as Code).
• Deutschkenntnisse.