Auf einen Blick
- Aufgaben: Sichere große .NET-Anwendungen durch Code-Reviews und Schwachstellentests.
- Unternehmen: Internationale Photonik-Gruppe mit innovativer Technologie und globalem Team.
- Vorteile: Attraktives Gehalt, Gesundheitsleistungen und flexible Arbeitsmöglichkeiten.
- Weitere Informationen: Dynamisches Umfeld mit hervorragenden Entwicklungsmöglichkeiten.
- Warum dieser Job: Gestalte die Sicherheit von Anwendungen und arbeite an spannenden Projekten.
- Qualifikationen: Erfahrung in C#/.NET und tiefes Wissen über Sicherheitsprotokolle.
Das prognostizierte Gehalt liegt zwischen 64350 - 78650 € pro Jahr.
Jenoptik ist eine internationale Photonik-Gruppe mit Vertretungen in über 80 Ländern. Optische Technologien sind die Grundlage unseres Geschäfts. Wir beschäftigen weltweit rund 4.000 Mitarbeiter.
Wir suchen einen praktischen Security Engineer, der für die Sicherheit einer großen, geschäftskritischen Webanwendung verantwortlich ist, die auf C# / .NET-Backends basiert. Dies ist nicht nur eine Politik- oder Prüfungsrolle. Sie werden Code lesen und schreiben, Schwachstellen finden, diese beheben und sicherstellen, dass sie behoben bleiben. Sie werden die Ansprechperson für Authentifizierung, Autorisierung, Kryptografie und sicheres API-Design sein und eng mit unseren Entwicklern und DevOps-Ingenieuren zusammenarbeiten, um Sicherheit in jede Phase von der Übertragung bis zur Produktion zu integrieren.
Verantwortlichkeiten:
- Anwendungs-Sicherheitsverantwortung: Seien Sie der verantwortliche Eigentümer für die Sicherheitslage einer großen .NET-Anwendung, von Architekturentscheidungen bis hin zu einzelnen Endpunkten.
- Authentifizierung & Identität: Entwerfen, implementieren und absichern von Authentifizierungs- und Autorisierungsflüssen, einschließlich OAuth 2.0, OpenID Connect, JWT-Ausstellung und -Validierung, Sitzungsmanagement, MFA und rollen- sowie richtlinienbasierte Zugriffskontrolle in ASP.NET Core.
- Kryptografie in der Praxis: Auswahl und korrekte Anwendung kryptografischer Primitiven (Hashing, symmetrische und asymmetrische Verschlüsselung, Signierung, Schlüsselableitung), Verwaltung von Schlüsseln, Geheimnissen und Zertifikaten sowie Eliminierung schwacher oder missbrauchter Kryptografie im Code.
- Finden & Beheben: Durchführung von Code-Reviews, Bedrohungsmodellierung und praktischen Schwachstellentests; Reproduktion von Problemen, Schreiben der Lösung in C# und Hinzufügen von Tests, die Regressionen verhindern.
- DevSecOps-Zusammenarbeit: Zusammenarbeit mit dem DevOps-Team, um Sicherheit in CI/CD-Pipelines einzubetten: SAST, DAST, Abhängigkeits- und Container-Scanning, Geheimnisdetektion und sichere Build- und Release-Gates.
- Schwachstellenmanagement: Triage von Ergebnissen aus Scannern, Penetrationstests und Fehlerberichten; Priorisierung nach echtem Risiko und Veranlassung zur Schließung mit den verantwortlichen Teams.
- Sicheres API-Design: Definition und Durchsetzung von Standards für Eingangsvalidierung, Ausgabe-Codierung, Ratenbegrenzung, CORS, Sicherheitsheader und sichere Fehlerbehandlung über unsere Dienste hinweg.
- Vorfallreaktion: Untersuchung von Sicherheitsvorfällen, Analyse von Protokollen und Spuren, Eindämmung von Problemen und Leitung von Nachbesprechungen mit konkreten Folgeaktionen.
- Ermöglichung: Schreiben von sicheren Programmierleitlinien, wiederverwendbaren Bibliotheken und Beispielen; Coaching von Entwicklern, damit der sichere Weg auch der einfache Weg ist.
Qualifikationen & Anforderungen:
- Bildung: Mindestens ein Bachelor-Abschluss in Informatik, IT-Sicherheit oder einem verwandten Bereich.
- Backend-Expertise: Nachweisbare praktische Erfahrung im Aufbau und in der Wartung von C# / .NET (ASP.NET Core) Backends in der Produktion.
- Identität & Zugriff: Tiefgehendes praktisches Wissen über OAuth 2.0, OpenID Connect, JWT (Ansprüche, Signaturalgorithmen, Validierungsfallen), Cookies vs. Tokens und Autorisierungsmodelle (RBAC, ABAC, richtlinienbasiert).
- Angewandte Kryptografie: Solides Verständnis von TLS, Hashing (einschließlich Passwort-Hashing wie bcrypt, scrypt, Argon2, PBKDF2), symmetrischer und asymmetrischer Verschlüsselung, digitalen Signaturen, Zertifikaten und sicherer Schlüsselverwaltung.
- Web-Sicherheit: Starke Kenntnisse der OWASP Top 10 und OWASP API Security Top 10 sowie Erfahrung im Ausnutzen und Beheben von Problemen wie Injection, XSS, CSRF, SSRF, IDOR und fehlerhafte Zugriffskontrolle.
- Sicherheitstools: Praktische Erfahrung mit SAST/DAST und Abhängigkeitsscanning-Tools (z.B. SonarQube, Snyk, OWASP ZAP, Burp Suite, GitHub Advanced Security oder ähnliche).
- CI/CD & Container: Grundkenntnisse über CI/CD-Pipelines und Docker, um effektiv mit DevOps an sicheren Pipelines und Bildern zusammenzuarbeiten.
- Scripting: Sicher im Automatisieren von Aufgaben mit PowerShell, Python oder Bash.
- Soft Skills: Verantwortungsbewusstsein, pragmatische Risikobewertung und die Fähigkeit, Sicherheitsprobleme klar an Entwickler und Stakeholder zu kommunizieren, ohne die Lieferung unnötig zu verlangsamen.
Zertifizierungen (Optional, Sehr Willkommen): Zertifizierungen sind nicht erforderlich, aber Einstiegssicherheits- und Azure-Zertifikate sind ein großer Vorteil.
- CompTIA Security+
- ISC2 Certified in Cybersecurity (CC)
- Microsoft Certified: Security, Compliance, and Identity Fundamentals (SC-900)
- Weitere praktische Zertifikate (z.B. eJPT, CompTIA PenTest+) sind ein Bonus
Microsoft Azure: Erfahrung mit Entra ID (Azure AD), Key Vault, Managed Identities, App Service, Defender for Cloud und Netzwerksicherheit in Azure.
React / Frontend-Sicherheit: Verständnis dafür, wie React-Anwendungen funktionieren, einschließlich clientseitiger Token-Speicherung, CSP, XSS-Risiken in SPAs und sichere Frontend-zu-API-Kommunikation.
Beobachtbarkeit für Sicherheit: Erfahrung mit Protokollierungs- und Überwachungstools wie Application Insights, Microsoft Sentinel, Grafana oder ELK zur Erkennung und Untersuchung verdächtiger Aktivitäten.
Infrastructure as Code: Vertrautheit mit Terraform oder Bicep und Überprüfung von IaC auf Fehlkonfigurationen.
Compliance-Bewusstsein: Grundkenntnisse der DSGVO und Standards wie ISO 27001.
Agile Denkweise: Komfortables Arbeiten in einem Agile/Scrum-Umfeld.
Berufserfahrung: 7+ Jahre Erfahrung in Cloud-Architektur, Cybersicherheit und/oder DevSecOps-Rollen.
Ausführung & Antrieb: Selbstmotivierter, praktischer Praktiker mit einer „Macher“-Mentalität, der starkes persönliches Engagement und Stolz auf die Qualität, Sicherheit und Eleganz technischer Ergebnisse zeigt.
Technische Führung: Nachgewiesene Fähigkeit, Ingenieurteams zu führen, zu betreuen und zu inspirieren, um kontinuierlich die Messlatte höher zu legen und nach Exzellenz zu streben.
Öffentliche Internet-Exposition: Praktische Erfahrung im Schutz öffentlich zugänglicher, internetexponierter Anwendungen vor Bedrohungen (z.B. volumetrische DDoS, Credential Stuffing, API-Missbrauch, SQLi).
Azure-Technologiestack: Starke praktische Kenntnisse der Microsoft Azure-Dienste und Sicherheitstools (Defender for Cloud, Microsoft Entra ID, Azure Key Vault, Azure Policy, Network Security Groups, Private Endpoints).
DevOps-Architektur & Infrastructure as Code (IaC): Erfahrung in der automatisierten Bereitstellung von Infrastruktur, kontinuierlicher Bereitstellung und Telemetrie über hybride Azure-, On-Premises- und Kubernetes-Umgebungen hinweg, um Null-Downtime-Bereitstellungen, hohe Verfügbarkeit und betriebliche Resilienz sicherzustellen.
Software- & Verteilte Architektur-Expertise: Starker Hintergrund in der Softwarearchitektur mit nachgewiesener Erfahrung im Entwurf und der Sicherung von Microservices-Architekturen. Solides Verständnis verteilter Systeme, ereignisgesteuerter Messaging-Systeme (z.B. RabbitMQ, Kafka, Azure Service Bus), Datenpersistenzmuster und API-Gateway-Integrationen.
Zertifizierungen (Associate & Expert-Level willkommen): Microsoft Azure Associate-Zertifizierungen (bevorzugt/angestrebt): Azure Security Engineer Associate (AZ-500), Azure Administrator Associate (AZ-104), Azure Developer Associate (AZ-204), Azure Network Engineer Associate (AZ-700). Experten-/Branchenspezifische Zertifizierungen (ein Plus): Microsoft Certified: Cybersecurity Architect Expert (SC-100), Microsoft Certified: Azure Solutions Architect Expert (AZ-305), Certified Kubernetes Security Specialist (CKS) oder CISSP.
Application Security Engineer (m/w/d) in Monheim am Rhein Arbeitgeber: Jenoptik AG
Jenoptik bietet als global agierender Photonik-Konzern nicht nur spannende Herausforderungen im Bereich der LiDAR-Technologie, sondern auch ein inspirierendes Arbeitsumfeld, das von Teamgeist und Innovationsfreude geprägt ist. Unsere Mitarbeiter profitieren von umfangreichen Weiterbildungsmöglichkeiten und einer offenen Unternehmenskultur, die Kreativität und Eigenverantwortung fördert. Zudem ermöglicht die internationale Ausrichtung des Unternehmens, in einem dynamischen und zukunftsorientierten Sektor zu arbeiten, der bedeutende Beiträge zur Smart Mobility Solutions leistet.
StudySmarter Expertenrat🤫
Wir sind der Meinung, dass du so Application Security Engineer (m/w/d) in Monheim am Rhein erhalten könntest
✨Werde sichtbar in der IT-Sicherheits-Community
In der IT-Sicherheit gibt’s eine Menge Fachkreise und Konferenzen, die super für Networking sind. Schau dir Events wie die "IT-Security Convention" oder regionale Meetups an, um Gleichgesinnte und potenzielle Arbeitgeber wie Jenoptik AG kennenzulernen!
✨Kollaboriere an Open-Source-Projekten
Zeig dein Können und engagiere dich in Open-Source-Projekten, die auf IT-Sicherheit abzielen. Das ist nicht nur eine tolle Möglichkeit, praktische Erfahrungen zu sammeln, sondern auch, um dein Portfolio zu erweitern und Sichtbarkeit in der Branche zu gewinnen.
✨Nutze spezielle Jobportale für IT-Sicherheit
Schau auf spezialisierten Jobportalen wie "heise jobs" oder "StepStone" nach offenen Stellen in der IT-Sicherheit. Hier findest du viele Angebote, die nicht immer auf den großen Plattformen gelistet sind. Vergiss nicht, dich direkt auf der Website von Jenoptik AG zu bewerben!
✨Halte deine Skills up-to-date
In der IT-Sicherheit bleibt nichts stehen, also bleib am Ball! Investiere Zeit in Weiterbildung und besuche Online-Kurse oder Webinare zu aktuellen Sicherheitsthemen. Das zeigt nicht nur dein Engagement, sondern stärkt auch dein Profil bei Jenoptik AG.
Wir glauben, dass du diese Fähigkeiten brauchst, um Application Security Engineer (m/w/d) in Monheim am Rhein mit Bravour zu bestehen
Einige Tipps für deine Bewerbung 🫡
Zeig deine technischen Skills!:Im Bereich IT-Sicherheit ist es wichtig, dass du deine technischen Fähigkeiten klar kommunizierst. Stelle sicher, dass dein Lebenslauf relevante Zertifikate (wie CEH oder CISSP) sowie praktische Erfahrungen bei Sicherheitsprojekten oder Penetrationstests zeigt. Dies wird uns helfen, einen besseren Eindruck von deinem Fachwissen zu bekommen.
Präsentiere dein Wissen über aktuelle Trends:Wir möchten sehen, dass du über die neuesten Entwicklungen im Bereich IT-Sicherheit informiert bist. In deinem Anschreiben kannst du beispielsweise auf ein aktuelles Sicherheitsproblem oder einen neuen Standard eingehen, den du für relevant hältst. Dadurch zeigst du uns, dass du dich aktiv mit dem Thema auseinandersetzt und für die Position brennst.
Mach deine Leidenschaft deutlich:Da es sich um eine Vollzeitposition handelt, ist es wichtig, dass du uns in deinem Anschreiben zeigst, warum du in der IT-Sicherheit arbeiten möchtest. Erzähl uns von deinen Erfahrungen, wie du zur Cyber-Security gekommen bist und was dich motiviert, in dieser Branche zu arbeiten. Deine Motivation spielt eine große Rolle bei der Auswahl!
Referenzen oder Projekte anfügen:Wenn du bereits an interessanten Projekten gearbeitet hast oder relevante Referenzen hast, die deine Fähigkeiten unterstreichen, füge diese in deine Bewerbung hinzu. Das gibt uns einen Einblick in deine praktische Erfahrung und zeigt, was du wirklich drauf hast. Ein Link zu einem GitHub-Profil oder Sicherheitsanalysen, die du durchgeführt hast, wäre hier super hilfreich!
Wie man sich auf ein Vorstellungsgespräch bei Jenoptik AG vorbereitet
✨Sicherheitsprotokolle dominiert!
Mach dich mit den neuesten Sicherheitsprotokollen und -standards vertraut. Bei Jenoptik AG könnte es sein, dass du in technisch anspruchsvollen Fragen zu Netzwerksicherheit und Schwachstellenmanagement gefordert wirst – zeig, dass du die Grundlagen und die aktuellen Trends im Bereich IT-Sicherheit beherrschst!
✨Praktische Erfahrung zählt!
Bereite dich darauf vor, über frühere Projekte oder Erfahrungen im Bereich IT-Sicherheit zu sprechen. Es ist wichtig, Beispiele zu haben, wie du Sicherheitslücken identifiziert und behoben hast oder welche Tools du verwendet hast, um Systeme abzusichern. Jenoptik AG sucht nach jemandem, der die Theorie auch anwenden kann!
✨Teamarbeit nicht vergessen!
IT-Sicherheit ist oft Teamarbeit. Sei bereit, Fragen zu beantworten, wie du in einem Team umgehst, um Sicherheitsprobleme zu lösen. Denk auch an Beispiel-Situationen, in denen du optimal mit anderen zusammengearbeitet hast – das könnte einen großen Unterschied machen!
✨Motivation und Lernbereitschaft zeigen!
Da es sich um eine Vollzeitstelle handelt, wird Jenoptik AG auch wissen wollen, wie motiviert du bist und welche Schritte du unternimmst, um dein Wissen in der sich ständig weiterentwickelnden Welt der IT-Sicherheit auf dem neuesten Stand zu halten. Das könnte in einem Gespräch über deine Weiterbildung oder zertifikatsbezogenen Pläne relevant sein!
