Senior Security Engineer (all genders)

Capmo ist der digitale Partner auf Baustellen, mit über 100k Projekten, die schneller und erfolgreicher mit Hilfe unserer Plattform umgesetzt wurden. Wir ermöglichen Architekten, Ingenieuren, Projektmanagern und Auftragnehmern eine effiziente Zusammenarbeit und die Durchführung schlanker und optimierter Projekte. Wir sind eines der am schnellsten wachsenden B2B SaaS-Unternehmen in Europa und bleiben unserer Mission treu, schwierige Dinge im Bauwesen einfach zu gestalten. Tausende von Projektmanagern leiten täglich ihre Baustellen mit Capmo – das bedeutet, dass unsere Kunden uns mit Daten betrauen, die für ihr Geschäft entscheidend sind. Das Vertrauen zu bewahren, ist die Aufgabe, die Sie übernehmen würden. Helfen Sie uns, die Branche weiterhin zu revolutionieren! Erfahren Sie mehr über uns und kommen Sie in unsere Engineering-Hubs in Berlin und München.

Als Senior Security Engineer bei Capmo werden Sie:

• Produkt- und Cloud-Sicherheit end-to-end verantworten - Bedrohungsmodellierung, Sicherheitsüberprüfungen, sichere Standardmuster und die Werkzeuge in unseren CI/CD-Pipelines (SAST, Abhängigkeits- und Container-Scanning, Geheimnis-Erkennung), die verhindern, dass Ergebnisse sich anhäufen.
• Unsere AWS-Infrastruktur absichern: IAM-Architektur, Netzwerksegmentierung, Verschlüsselung, Protokollierung, Workload-Sicherheit - und die Baselines als Policy-as-Code kodieren, anstatt als Wiki-Seite, die niemand liest.
• Unsere Erkennungs- und Reaktionsfähigkeit von Grund auf aufbauen und der technische Leiter sein, wenn etwas tatsächlich passiert - von der Erkennung über die Eindämmung bis zur Nachbesprechung nach dem Vorfall.
• Unser Programm zur Offenlegung von Schwachstellen und Penetrationstests leiten und die Behebung mit den Produktteams vorantreiben, anstatt Tickets zu erstellen und zu hoffen.
• Unsere Compliance-Arbeit (ISO 27001, SOC 2, GDPR) mit echten technischen Kontrollen und Nachweisen unterstützen und Kunden-Sicherheitsüberprüfungen gemeinsam mit dem Vertrieb durchführen.
• Die Richtung der Sicherheit bei Capmo als praktischer Senior IC gestalten - Schutzmaßnahmen entwickeln, die Ingenieure übernehmen, weil sie gut sind, nicht weil sie vorgeschrieben sind.

Was wir bieten:

• Werden Sie Aktionär: Nehmen Sie mit unserem Mitarbeiter-Aktienoptionsprogramm (VSOP) an unserem Erfolg teil.
• Schnelles Wachstum: Profitieren Sie von einem jährlichen Entwicklungsbudget von 1.000 € und zwei Entwicklungstagen, um in Ihr persönliches und berufliches Wachstum zu investieren.
• Fitness-, Essens- oder Mobilitätsbudget? Mit EGYM Wellpass erhalten Sie unbegrenzten Zugang zu über 90 Fitnessstudios und Schwimmbädern in Deutschland - oder wählen Sie einen Mittagszuschuss oder ein Mobilitätsbudget als Ihr bevorzugtes Benefit.
• Vorausschauendes Denken: Wir tragen 20% zu Ihrer betrieblichen Altersvorsorge bei. (nur in Deutschland anwendbar)
• Hybrides Arbeitsmodell: Wir arbeiten in einem hybriden Setup - 3 Tage gemeinsam im Büro und 2 Tage, wo auch immer Sie am besten arbeiten.
• Außergewöhnliches Team: Treten Sie einem talentierten und vielfältigen Team mit unbegrenzten Wachstumschancen bei.
• Kultur-Tag frei: Nehmen Sie sich einen Tag frei für wichtige Anlässe.

Was Sie mitbringen:

• 7+ Jahre praktische Erfahrung in der Sicherheitsengineering, einschließlich mehrerer Jahre Verantwortung für Anwendungs- und Cloud-Sicherheit für eine Produktions-SaaS-Plattform end-to-end.
• Eine Erfolgsbilanz beim Aufbau von Sicherheitsprogrammen - SDLC, Schwachstellenmanagement, Erkennung und Reaktion - nicht nur beim Betrieb von Tools, die jemand anderes eingerichtet hat.
• Expertenverständnis von Schwachstellenklassen und Angriffstechniken weit über die OWASP Top 10 hinaus: Sie können ein neues Feature bedrohungsmodellieren, den subtilen Authz-Fehler in der Überprüfung erkennen und den Exploit-Pfad dem Ingenieur erklären, der es geschrieben hat.
• Tiefe Erfahrung in der Absicherung von Cloud-Infrastrukturen in großem Maßstab (idealerweise AWS, GCP oder Azure sind ebenfalls in Ordnung): IAM, Netzwerksegmentierung, Container-Sicherheit, Sicherheit-as-Code - von Ihnen entworfen, nicht geerbt.
• Starke Software-Engineering-Fähigkeiten - Sie schreiben produktionsrelevanten Code, bauen Automatisierung von Grund auf und halten in Architekturgesprächen mit Senior Engineers stand.
• Nachgewiesene Führung in der Incident-Response: Sie waren der technische Leiter, als etwas schiefging.
• Das Urteilsvermögen, risikobasierte Entscheidungen unter Unsicherheit zu treffen, und der Einfluss, Teams dazu zu bringen, ohne formale Autorität zu handeln.
• Exzellente Englischkenntnisse; Deutsch ist von Vorteil.
• Bereitschaft, 3 Tage pro Woche vor Ort in München oder Berlin zu sein.

Nice to have:

• Aufbau einer Sicherheitsfunktion in einem Scale-up, Erkennungstechnik, ISO 27001 / SOC 2-Zertifizierungserfahrung, Zertifikate wie OSCP oder CISSP (geschätzt, aber praktische Fähigkeiten sind wichtiger).