Staff Application Security Engineer in Sachseln

Diese Position wird im Auftrag eines Partnerunternehmens ausgeschrieben, das alle Anwendungen und nächsten Schritte verwaltet. Unser Partner sucht einen Staff Application Security Engineer mit Sitz in der Schweiz. Helfen Sie dabei, eine dedizierte Anwendungssicherheitsfunktion innerhalb eines schnell wachsenden Technologieumfelds zu etablieren und auszubauen, in dem der Schutz der Kunden vor Betrug und Missbrauch eine zentrale Priorität hat.

Als erfahrener individueller Beitragender kombinieren Sie tiefgehende Sicherheitsexpertise mit praktischer Softwareentwicklung, um Schwachstellen zu identifizieren, Entwicklungsabläufe zu stärken und praktische Sicherheitstools zu erstellen. Sie entwerfen sichere Softwareentwicklungspraktiken, leiten Bedrohungsmodellierung und Sicherheitsüberprüfungen und treiben die Behebung von Schwachstellen über komplexe APIs, SDKs und cloudbasierte Systeme voran. In enger Zusammenarbeit mit Engineering-Teams und Sicherheitsleitern integrieren Sie KI-gestützte Tools in Sicherheitstests und -behebungen, während Sie strenge Qualitätsstandards aufrechterhalten.

Diese Rolle bietet erhebliche technische Autonomie, Möglichkeiten zur Beeinflussung der Engineering-Praktiken in der gesamten Organisation und die Chance, herausfordernde Sicherheitsprobleme im großen Maßstab zu lösen. Sie helfen dabei, Sicherheit zu einem integralen Bestandteil der Produktentwicklung zu machen, anstatt nur eine separate Compliance-Anforderung zu sein.

Verantwortlichkeiten

• Entwurf und Implementierung eines sicheren Softwareentwicklungszyklus (SDLC), der Sicherheitsanforderungen, Bedrohungsmodellierung, sichere Codeüberprüfungen und Tests vor der Veröffentlichung in bestehende Engineering-Abläufe integriert.
• Eigentum und Verbesserung von Anwendungssicherheitstools, einschließlich statischer und dynamischer Anwendungssicherheitstests (SAST/DAST), Softwarezusammensetzungsanalyse (SCA), Abhängigkeitsprüfung, Geheimniserkennung sowie Container- und Infrastruktur-als-Code-Scans.
• Integration von Sicherheitstools in CI/CD-Pipelines, Reduzierung von Fehlalarmen, Festlegung klarer Verantwortlichkeiten für Schwachstellen und Behebungs-Service-Level-Agreements (SLAs) sowie Sicherstellung, dass Ergebnisse zu sinnvollen Maßnahmen führen.
• Entwicklung eines KI-ersten Sicherheitsansatzes unter Verwendung von KI-unterstützter Schwachstelleneinstufung, automatisierter Behebung, Sicherheitsüberprüfungsagenten und KI-unterstütztem Testen.
• Erstellung wiederverwendbarer Sicherheitsmuster, gehärteter Bibliotheken und sicherer Voreinstellungen für Authentifizierung, Autorisierung, Eingangsvalidierung, Geheimnisverwaltung und kryptografische Operationen.
• Direkte Mitwirkung an Produktionscodebasen durch Implementierung von Sicherheitsfixes, Entwicklung von Sicherheitsbibliotheken und Aufbau von Automatisierung und CI-Integrationen.
• Leitung von Bedrohungsmodellierungen und Architektur-Sicherheitsüberprüfungen für neue Produkte, Funktionen und bedeutende technische Änderungen.
• Verwaltung der Identifizierung von Schwachstellen, Risikobewertung, Priorisierung und Behebung von Ergebnissen aus Sicherheitsscannern, Penetrationstests, Bug-Bounty-Berichten und Kundenausschüttungen.
• Durchführung praktischer Sicherheitstests, einschließlich manueller Codeüberprüfungen und Ausnutzungstests für Authentifizierungs- und Autorisierungsanfälligkeiten, API-Schwachstellen, Injektionsangriffe und geschäftslogische Fehler.
• Besondere Aufmerksamkeit auf gegnerische Bedrohungen, die Betrugserkennung und Bot-Minderung betreffen, und Identifizierung von Schwächen, die es Angreifern ermöglichen könnten, Plattformschutzmaßnahmen zu umgehen oder zu untergraben.
• Zusammenarbeit mit Penetrationstest- und Compliance-Spezialisten zur Festlegung von Bewertungen, Validierung von Fixes, erneuter Prüfung von Ergebnissen und Übersetzung technischer Entdeckungen in umsetzbare Ingenieurarbeiten.
• Leitung technischer Untersuchungen von Sicherheitsvorfällen auf Anwendungsebene, Koordination von Eindämmung, Ursachenanalyse, Behebung und Zusammenarbeit mit Cloud-Infrastrukturteams, wenn nötig.
• Definition von Anforderungen an die Protokollierung und Alarmierung der Anwendungssicherheit und Partnerschaft mit Engineering- und Cloud-Plattformteams zur Implementierung effektiver Erkennungsfähigkeiten.
• Unterstützung von Engineering-Teams durch Sicherheitsberatungen, Sprechstunden, sichere Codierungsrichtlinien und ein Security Champions-Programm, das die Sicherheitsexpertise in der gesamten Organisation erweitert.
• Entwicklung praktischer Schulungen zur sicheren Codierung basierend auf echtem Anwendungs-Code, Schwachstellen und Lektionen aus Sicherheitsvorfällen.
• Mentoring von Ingenieuren durch Codeüberprüfungen und Architekturfeedback, um das Sicherheitsbewusstsein und die Ingenieurqualität zu verbessern, ohne sich ausschließlich auf Vorgaben zu verlassen.
• Partnerschaft mit der Leitung der Anwendungssicherheit zur Gestaltung technischer Prioritäten, Kommunikation von Erkenntnissen und Risikobewertungen sowie Durchführung von Initiativen, die den breiteren Sicherheitsfahrplan vorantreiben.
• Bereitstellung technischer Nachweise für Sicherheitskontrollen, Mitwirkung an Sicherheitsbewertungen von Anbietern und Unterstützung bei der Due Diligence von Unternehmenskunden, Sicherheitsfragebögen, Architekturgesprächen und Zusammenfassungen von Penetrationstests.

Anforderungen

Der ideale Kandidat ist ein erfahrener Sicherheitstechniker, der starke Softwareentwicklungsfähigkeiten mit umfangreicher praktischer Erfahrung in der Anwendungssicherheit kombiniert. Sie sollten in der Lage sein, komplexe Initiativen unabhängig voranzutreiben, direkt innerhalb von Engineering-Repositories zu arbeiten und technische Entscheidungen über Teams hinweg zu beeinflussen.

• Mindestens 8 Jahre Erfahrung in der Softwareentwicklung und/oder Sicherheitstechnik, davon 5 oder mehr Jahre mit Schwerpunkt auf Anwendungssicherheit.
• Erfahrung im Aufbau oder in der Verbesserung von Anwendungssicherheitsprogrammen innerhalb einer Produktentwicklungsorganisation, mit starkem Fokus auf praktische Implementierung statt nur Beratung oder Prüfung.
• Starke Grundlagen in der Softwareentwicklung und die Fähigkeit, produktionsreife Codes in TypeScript, JavaScript, Go, Python oder einer vergleichbaren Sprache zu schreiben.
• Vertrautheit mit modernen Webanwendungen, APIs, Softwarearchitekturen, Quellcode-Repositories und CI/CD-Pipelines.
• Tiefe praktische Expertise in der Anwendungssicherheit, einschließlich OWASP Top 10 und verwandten Schwachstellen, Design von Authentifizierung und Autorisierung, API-Sicherheit, Injektionsangriffe, SSRF, kryptografischem Missbrauch, geschäftslogischen Fehlern und Missbrauchsszenarien.
• Fähigkeit, Schwachstellen durch manuelle Tests zu identifizieren, deren Auswirkungen in der realen Welt zu erklären und praktische Lösungen vorzuschlagen, die von Engineering-Teams umgesetzt werden können.
• Nachgewiesene Erfahrung in der Leitung von Bedrohungsmodellierungen und Architektur-Sicherheitsüberprüfungen für komplexe Systeme und der Erstellung von Bedrohungsmodellen, die Ingenieurentscheidungen informieren.
• Erfahrung in der Bereitstellung, Konfiguration und Feinabstimmung von SAST, DAST, SCA, Geheimniserkennung und verwandten Sicherheitstools innerhalb von CI/CD-Workflows.
• Praktische Erfahrung mit KI-unterstützten Sicherheitstools zur Codeanalyse, Schwachstelleneinstufung oder automatisierten Behebung in realen Umgebungen.
• Regelmäßige Nutzung von KI-Agenten in der Sicherheitsarbeit, mit klarem Verständnis ihrer Einschränkungen, Zuverlässigkeit, Risiken von Fehlalarmen und angemessenem Maß an Autonomie.
• Erfahrung in der Verwaltung von Schwachstellenmanagementprozessen, einschließlich Einstufung, Schweregradklassifizierung, Verfolgung von Behebungen, Nachverfolgung von Penetrationstests und Durchsetzung von Behebungs-SLAs.
• Nachgewiesene Fähigkeit, Engineering-Teams durch technische Glaubwürdigkeit, effektive Zusammenarbeit, gut gestaltete Tools und umsetzbare Anleitungen zu beeinflussen, anstatt nur formale Autorität zu nutzen.
• Ausgezeichnete schriftliche und mündliche Kommunikationsfähigkeiten, einschließlich der Fähigkeit, präzise Sicherheitsbefunde zu erstellen und technische Risiken gegenüber Ingenieuren, Führungskräften und Sicherheitsteams von Kunden zu erklären.
• Starke analytische Fähigkeiten, fundiertes technisches Urteilsvermögen und die Fähigkeit, unabhängig an mehrdeutigen, mehrmonatigen Initiativen zu arbeiten.

Wünschenswerte Qualifikationen

• Erfahrung in Betrugserkennung, Bot-Minderung, Identitätssicherheit oder Geräteintelligenz.
• Starkes Wissen über Cloud-Sicherheit, insbesondere AWS IAM, Netzwerkgrenzen, Geheimnisverwaltung und Arbeitslastidentität.
• Vertrautheit mit Tools zur Verwaltung der Cloud-Sicherheitslage wie Wiz oder gleichwertige Lösungen.
• Erfahrung in der Sicherung von clientseitigen Anwendungen und mobilen SDKs, einschließlich Browsersicherheit, Anti-Manipulationstechniken, Obfuskationskompromissen und Härtung von iOS- oder Android-SDKs.
• Erfahrung mit Multi-Tenant-SaaS-Plattformen und hochvolumigen, latenzsensitiven APIs.
• Erfahrung in der Durchführung eines Bug-Bounty-Programms über Plattformen wie HackerOne, Bugcrowd oder gleichwertige Dienste.
• Bewusstsein für Sicherheitsrisiken im Zusammenhang mit KI und maschinellem Lernen, einschließlich Eingabeinjektion, LLM-integrierten Funktionen, Agentenberechtigungen und Modell- oder Datenpipeline-Schwachstellen.
• Erfahrung mit autonomen oder KI-unterstützten Penetrationstests und Angriffssimulationen, einschließlich des Verständnisses, wie diese Ansätze menschlich geführte Tests ergänzen.
• Relevante Sicherheitszertifikate wie OSCP, OSWE, GWAPT oder CSSLP oder Nachweise über Sicherheitsforschung, veröffentlichte CVEs oder Beiträge zu Open-Source-Sicherheitsprojekten.
• Erfahrung in der Implementierung oder Unterstützung von SOC 2 oder ISO 27001-Kontrollen als verantwortlicher Ingenieur, der für deren Betrieb verantwortlich ist.

Vorteile

• Jahresgrundgehalt zwischen 177.000 und 240.000 USD, abhängig von Standort, Erfahrung und Fachwissen.
• Standortabhängige Gehaltsbeispiele umfassen 209.000–240.000 USD für New York City und 177.000–204.000 USD für Chicago.
• Vollständig remote Arbeitsumgebung, vorbehaltlich geografischer und regulatorischer Einschränkungen.
• Erhebliche technische Autonomie und die Möglichkeit, die Anwendungssicherheitsfunktion von ihren frühen Phasen an zu gestalten.
• Unterstützung auf Führungsebene für Initiativen zur Anwendungssicherheit und Zusammenarbeit mit engagierten Sicherheitsleitern.
• Gelegenheit, sich auf praktische Ingenieurarbeit, Sicherheitstools, Schwachstellenerkennung und -behebung zu konzentrieren, anstatt hauptsächlich administrative Compliance-Arbeit zu leisten.
• Zugang zu einer etablierten Sicherheitsumgebung, die Tools wie Snyk, Wiz, Cloudflare und Okta umfasst.
• Zusammenarbeit mit Cloud-Plattform-, Engineering- und Compliance-Spezialisten, die Sicherheit als gemeinsame Verantwortung betrachten.
• Möglichkeiten, Unternehmenssicherheitspraktiken zu beeinflussen und hochvolumige Systeme gegen anspruchsvolle Betrugs- und Missbrauchsbedrohungen zu schützen.
• Ein inklusives, global verteiltes Arbeitsumfeld, das unterschiedliche Perspektiven und berufliche Beiträge schätzt.