Application Security Engineer (m/w/d)

Wir suchen einen praktischen Security Engineer, der für die Sicherheit einer großen, geschäftskritischen Webanwendung verantwortlich ist, die auf C# / .NET-Backends basiert. Dies ist nicht nur eine Politik- oder Prüfungsrolle. Sie werden Code lesen und schreiben, Schwachstellen finden, diese beheben und sicherstellen, dass sie behoben bleiben. Sie werden die Ansprechperson für Authentifizierung, Autorisierung, Kryptografie und sicheres API-Design sein und eng mit unseren Entwicklern und DevOps-Ingenieuren zusammenarbeiten, um Sicherheit in jede Phase von der Übertragung bis zur Produktion zu integrieren.

Verantwortlichkeiten:

• Application Security Ownership: Verantwortlich für die Sicherheitslage einer großen .NET-Anwendung, von Architekturentscheidungen bis hin zu einzelnen Endpunkten.
• Authentication & Identity: Entwurf, Implementierung und Härtung von Authentifizierungs- und Autorisierungsflüssen, einschließlich OAuth 2.0, OpenID Connect, JWT-Ausstellung und -Validierung, Sitzungsmanagement, MFA und rollen- sowie richtlinienbasierte Zugriffskontrolle in ASP.NET Core.
• Kryptografie in der Praxis: Auswahl und korrekte Anwendung kryptografischer Primitiven (Hashing, symmetrische und asymmetrische Verschlüsselung, Signierung, Schlüsselableitung), Verwaltung von Schlüsseln, Geheimnissen und Zertifikaten sowie Beseitigung schwacher oder missbrauchter Kryptografie im Code.
• Find & Fix: Durchführung von Code-Reviews, Bedrohungsmodellierung und praktischen Schwachstellentests; Reproduktion von Problemen, Schreiben der Lösung in C# und Hinzufügen von Tests, die Regressionen verhindern.
• DevSecOps-Zusammenarbeit: Zusammenarbeit mit dem DevOps-Team, um Sicherheit in CI/CD-Pipelines einzubetten: SAST, DAST, Abhängigkeits- und Container-Scanning, Geheimniserkennung und sichere Build- und Release-Gates.
• Vulnerability Management: Triage von Ergebnissen aus Scannern, Penetrationstests und Fehlerberichten; Priorisierung nach echtem Risiko und Veranlassung zur Schließung mit den verantwortlichen Teams.
• Sichere API-Entwicklung: Definition und Durchsetzung von Standards für Eingangsvalidierung, Ausgabe-Codierung, Ratenbegrenzung, CORS, Sicherheitsheader und sichere Fehlerbehandlung über unsere Dienste hinweg.
• Incident Response: Untersuchung von Sicherheitsvorfällen, Analyse von Protokollen und Spuren, Eindämmung von Problemen und Leitung von Nachbesprechungen mit konkreten Folgeaktionen.
• Enablement: Erstellung von Richtlinien für sicheres Programmieren, wiederverwendbaren Bibliotheken und Beispielen; Schulung von Entwicklern, damit der sichere Weg auch der einfache Weg ist.

Qualifikationen & Anforderungen:

• Bildung: Mindestens ein Bachelor-Abschluss in Informatik, IT-Sicherheit oder einem verwandten Bereich.
• Backend-Expertise: Nachweisbare praktische Erfahrung im Aufbau und in der Wartung von C# / .NET (ASP.NET Core) Backends in der Produktion.
• Angewandte Kryptografie: Solides Verständnis von TLS, Hashing (einschließlich Passwort-Hashing wie bcrypt, scrypt, Argon2, PBKDF2), symmetrischer und asymmetrischer Verschlüsselung, digitalen Signaturen, Zertifikaten und sicherer Schlüsselverwaltung.
• Web-Sicherheit: Starke Kenntnisse der OWASP Top 10 und OWASP API Security Top 10 sowie Erfahrung im Ausnutzen und Beheben von Problemen wie Injection, XSS, CSRF, SSRF, IDOR und fehlerhafte Zugriffskontrolle.
• Sicherheitswerkzeuge: Praktische Erfahrung mit SAST/DAST und Abhängigkeits-Scanning-Tools (z.B. SonarQube, Snyk, OWASP ZAP, Burp Suite, GitHub Advanced Security oder ähnliche).
• CI/CD & Container: Grundkenntnisse in CI/CD-Pipelines und Docker, um effektiv mit DevOps an sicheren Pipelines und Bildern zusammenzuarbeiten.
• Scripting: Sicher im Automatisieren von Aufgaben mit PowerShell, Python oder Bash.
• Soft Skills: Verantwortungsbewusstsein, pragmatische Risikobewertung und die Fähigkeit, Sicherheitsprobleme klar an Entwickler und Stakeholder zu kommunizieren, ohne die Lieferung unnötig zu verlangsamen.

Zertifizierungen (optional, sehr willkommen): Zertifizierungen sind nicht erforderlich, aber grundlegende Sicherheits- und Azure-Zertifikate sind ein großer Vorteil.

• CompTIA Security+
• ISC2 Certified in Cybersecurity (CC)
• Microsoft Certified: Security, Compliance, and Identity Fundamentals (SC-900)
• Weitere praktische Zertifikate (z.B. eJPT, CompTIA PenTest+) sind ein Bonus
• Microsoft Certified: Azure Security Engineer Associate (AZ-500) (ein großer Vorteil)

Optionale, aber willkommene Fähigkeiten:

• Microsoft Azure: Erfahrung mit Entra ID (Azure AD), Key Vault, Managed Identities, App Service, Defender for Cloud und Netzwerksicherheit in Azure.
• React / Frontend-Sicherheit: Verständnis dafür, wie React-Anwendungen funktionieren, einschließlich clientseitiger Token-Speicherung, CSP, XSS-Risiken in SPAs und sichere Kommunikation zwischen Frontend und API.
• Observability für Sicherheit: Erfahrung mit Logging- und Monitoring-Tools wie Application Insights, Microsoft Sentinel, Grafana oder ELK zur Erkennung und Untersuchung verdächtiger Aktivitäten.
• Infrastructure as Code: Vertrautheit mit Terraform oder Bicep und Überprüfung von IaC auf Fehlkonfigurationen.
• Compliance-Bewusstsein: Grundkenntnisse der DSGVO und Standards wie ISO 27001.
• Agile Denkweise: Komfortables Arbeiten in einem Agile/Scrum-Umfeld.

Kontakt:

Was wir bieten:

Über Jenoptik: Mit seiner Strategischen Geschäftseinheit (SBU) Smart Mobility Solutions bietet Jenoptik photonikbasierte, innovative und nachhaltige Lösungen, einschließlich Technologie und Dienstleistungen für Straßenverkehrssicherheit und -schutz. Als Anbieter von End-to-End-Lösungen unterstützen wir unsere Kunden bei der Bereitstellung von Straßeninfrastruktur und Software, einschließlich Integration, Installation, Wartung und Finanzierungsmodellen bis hin zum Full-Service-Betrieb unserer Lösungen. Unsere starke globale Präsenz und Installationsbasis wird durch ein langjähriges Partnernetzwerk unterstützt, in dem weltweit zehntausende Systeme installiert sind. Mit 90 Jahren Erfahrung und 40 Jahren in ANPR ist Jenoptik ein weltweit führender Anbieter für Straßenverkehrssicherheit und zivile Sicherheit, mit intelligenten Lösungen und Dienstleistungen, die ständig weiterentwickelt werden, um Straßen, Reisen, Gemeinschaften und unsere Umwelt weltweit sicherer zu machen.

Haben wir Ihr Interesse an dieser Position geweckt? Wenn ja, freuen wir uns auf Ihre Online-Bewerbung. Sollten Sie weitere Informationen benötigen, zögern Sie bitte nicht, uns zu kontaktieren.