Lead Security Engineer (m/w/d) in Berlin

Über Recare

Als eines der führenden deutschen HealthTech-Unternehmen gestalten wir das Entlassmanagement neu – technologiegetrieben, patientenorientiert und bürokratiefrei. Neben unserer marktführenden SaaS-Plattform entwickeln wir KI-Lösungen, die Prozesse in Krankenhäusern und für Nachsorgeanbieter radikal vereinfachen, Gesundheitsfachkräfte entlasten und die Aufmerksamkeit wieder auf die Patienten lenken. Heute verbinden wir bereits zwei Drittel aller deutschen Krankenhäuser mit über 650 Rehabilitationskliniken und 25.000 Pflege- und Betreuungsanbietern. Mit derzeit rund 120 Mitarbeitern aus einer breiten Palette von Nationen wachsen wir weiter – und gehen jetzt weit über unser Kerngeschäft hinaus, mit dem Ziel, Bürokratie und Verwaltung in Krankenhäusern mit einem gesamten Portfolio von KI-Produkten zu beseitigen.

Was Sie als unser Lead Security Engineer (m/w/d) erwartet

• Sinnvolle Arbeit – Ihre Rolle wird einen positiven Einfluss auf Patienten, deren Familien und Gesundheitsfachkräfte haben.
• Unternehmenskultur – wir glauben an flache Hierarchien, die hohe Leistung und starke Teamdynamik fördern. Wir schaffen ein Umfeld, das von gegenseitigem Respekt, Loyalität und Anerkennung geprägt ist.
• Flexibilität – möchten Sie Ihr Kind von der Kita abholen? Möchten Sie während der Mittagspause Sport treiben? Wir unterstützen Sie. Wir sind ein remote-freundliches Unternehmen mit flexiblen Arbeitszeiten.
• Edenred-Karte – die Sie nach Ihren Bedürfnissen nutzen können.
• Zusätzlicher Urlaubstag – damit Sie Ihren Geburtstag mit Ihren Lieben feiern können, haben Sie an diesem Tag frei.

In dieser Rolle können Sie einen Einfluss ausüben und mit uns als Lead Security Engineer (m/w/d) wachsen.

Sie werden unser erster dedizierter Sicherheitsingenieur sein: ein Senior IC ohne Team zu Beginn. Sie treten als stellvertretender CISO bei, berichten an unseren Director of Technology (derzeit amtierender CISO) und bauen die Sicherheitsingenieurarbeit von Grund auf auf. Die Basis ist bereits vorhanden – ISO 27001, C5 Typ II, regelmäßige Penetrationstests und Verschlüsselung im Produkt. KI fügt neue Oberflächen hinzu: Sprachdokumentation, Dokumentenerstellung und agentische Workflows. Sie bauen und besitzen das Sicherheitsprogramm, die Werkzeuge und die Sicherheitsgeschichte, die wir den Kunden erzählen.

Vulnerability Management – Scanner und Abhängigkeitsupdates über Repos sowie der Prozess, der dazu führt, dass Ergebnisse geschlossen werden.

Partner zur Plattform – Überprüfung sicherheitsrelevanter Infrastrukturentscheidungen und Erkundung von Optionen wie kundenverwalteten Schlüsseln oder HSMs. Die Plattform besitzt weiterhin die Architektur.

Zertifizierungen, technische Seite – Kontrollgestaltung und Bewertungen für unser ISO 27001 und C5 Setup, den Sicherheitsfall für ein potenziell bevorstehendes Klasse IIa Medizinprodukt (MDR) und Pentest-Scoping und Nachverfolgung, mit Vorschriften wie dem EU Cyber Resilience Act am Horizont. Dies macht ungefähr ein Viertel bis ein Drittel der Rolle aus, und wir sagen es offen: Für die richtige Person im Bereich Gesundheitssicherheit ist es eine Herausforderung, kein Aufwand.

Kundensicherheit – wiederverwendbare Dokumente, Nachweise und KI-unterstützte Fragebögen, sodass der zehnte Unternehmensdeal nur einen Bruchteil des ersten kostet. Sie nehmen an dem Gespräch teil, wenn ein Krankenhaus-CISO etwas Neues zu unserer KI-Architektur fragt.

Incident Response – Prozess, Runbooks und Eskalation, und Sie führen, wenn es ernst wird. Wir sind zu klein für ein SOC, also entwerfen Sie den Bereitschaftsdienst, der zu einem Unternehmen unserer Größe passt. Produktvorfälle und Plattformfehler haben ihre eigenen Verantwortlichen in der Technik.

Unternehmensweite Sicherheit – Beobachtung der Bedrohungslandschaft, Umsetzung dieser Woche’s Lieferkettenproblematik in konkrete Maßnahmen und Festlegung der Baselines, die IT auf Geräte und Konten anwendet.

Wie wir arbeiten

• AI-native – unsere Ingenieure nutzen täglich Codierungsagenten. Sicherheit sollte das auch: Scannen, Nachweise, Fragebögen.
• AI ist auch unsere Angriffsfläche – Agentensandboxing, Prompt-Injection, Sprachdaten, Computer-Nutzungsautomatisierung in Krankenhäusern. Wir beschäftigen uns mit Sicherheitsfragen, mit denen die meisten Unternehmen erst in einigen Jahren konfrontiert werden.
• Human-in-the-loop standardmäßig – dies ist das Gesundheitswesen: KI schlägt vor, Menschen bleiben in Kontrolle.
• Versenden und beobachten – wir versenden kontinuierlich und debuggen anhand von Telemetrie, auch öffentlich, wenn das der schnellste Weg ist.

Hier ist, wie wir Sie als unseren Lead Security Engineer (m/w/d) sehen

• Sie sind ein praktischer Sicherheitsingenieur mit über 6 Jahren Erfahrung in Software- und Sicherheitsengineering und können auf ein Sicherheitsprogramm (oder einen großen Teil davon) verweisen, das Sie geleitet haben.
• Sie waren der technische Ansprechpartner durch mindestens einen ISO 27001, C5 oder SOC 2 Zertifizierungszyklus: Sie haben Kontrollen entworfen, sich einem Auditor gestellt und die technische Seite einer Erklärung zur Anwendbarkeit geschrieben. Dies ist eine harte Anforderung.
• Sie haben das Vulnerability Management irgendwo real durchgeführt: Scanner, Abhängigkeitsbots, Triage und die Nachverfolgung, die Dinge behebt.
• Sie verfolgen die Sicherheitslandschaft genau (Podcasts, Hinweise, Vorfallberichte) und haben normalerweise eine Meinung zu diesem Wochenvorfall, bevor er in den Nachrichten erscheint.
• Sie sind wirklich neugierig auf die Sicherheit von KI – sowohl auf die Sicherung von KI-Systemen (Agenten, Sandboxing, Datenflüsse) als auch auf die Nutzung von KI-Tools, um effizient zu arbeiten.
• Sie können mit Ingenieuren, Auditoren und Sicherheitsteams von Krankenhäusern auf Englisch kommunizieren, ohne dass eine Präsentation für Sie übersetzt.

Schön zu haben

• Deutschkenntnisse, da unsere Kunden und die C5-Welt deutschsprachig sind.
• Erfahrung im Gesundheitswesen oder einem anderen regulierten Bereich.
• Offensive Sicherheitskenntnisse.
• Sicherheitszertifikate wie OSCP, CISSP oder ähnliche.