• Kenntnis bzw. Verständnis der Zusammenhänge zwischen BSI-KritisV, EU-NIS, IT-Sicherheitsgesetz und den sich daraus resultierenden Herausforderungen für Unternehmen mit kritischen Dienstleistungen
• Kenntnis bzw. Verständnis von Common Vulnerabilities and Exposures, Google Hacking DB, der Schwachstellenanalyse mit OpenVAS sowie deren Ausnutzung mit bekannten Tools/Frameworks wie Metasploit bzw. andere Methoden im Bereich Ethical Hacking.
• Kenntnis bzw. Verständnis von AWS Cloud Architekturen, Hardware-Virtualisierung (Hyper-V), Software-Virtualisierung (Docker) sowie im Bereich Netzwerktechnologien (Routing, Switching, OSI-Referenzmodell)
• Hohe Teamfähigkeit, Kommunikationsfähigkeit, Belastbarkeit und Flexibilität (Bisheriges Feedback und eigene Einschätzung)

Kryptographie (20 Jahre Berufserfahrung)

• Digitale Verschlüsselung: Implementierung standardisierter Algorithmen wie AES (z.B. AES-256-GCM), RSA und ECC (ECIES) gemäß NIST Special Publication und BSI Technische Richtlinien für hochsichere Verschlüsselung und Schlüsselvereinbarungen, unter Verwendung von Tools, Bibliotheken und Cloud-Systemen wie OpenSSL, pycryptography, AWS CloudHSM und AWS KMS. Implementierung von Key-Derivation-Mechanismen gemäß den Richtlinien von NIST SP 800-56A und NIST SP 800-108 zur sicheren Ableitung kryptographischer Schlüssel.
• Digitale Signaturen: Integration sicherer digitaler Signaturen basierend auf RSA/DSA und ECDSA für Integritätsschutz und Content Commitment, implementiert mit gängigen Bibliotheken wie pycryptography und OpenSSL
• Sichere Protokolle: Implementierung von End2End-Verschlüsselungssystemen, z.B. TLS gemäß RFC 8446 und Anwendung von JOSE-Standards (RFC 7515, RFC7516) zur Absicherung von Webanwendungen und Datenaustausch auf Applikationsebene
• Umfassende Sicherheitsprüfungen: Durchführung von Tests und Validierungen zur Gewährleistung der Sicherheit und Integrität kryptographischer Implementierungen, einschließlich der Überprüfung auf schwache Zufallsgeneratoren.

PKI ( 20 Jahre Berufserfahrung)

• Verwaltung und Bereitstellung digitaler Zertifikate: Verwaltung und Bereitstellung von X.509-Zertifikaten zur Sicherstellung der Authentizität von Benutzern und Geräten.
• Schlüsselmanagement: Einrichtung und Verwaltung sicherer Schlüsselgenerierung, -speicherung und -verteilung, um den Schutz von privaten und öffentlichen Schlüsseln zu gewährleisten (PKCS#7, PKCS#10, PKCS#11, PKCS#12).
• Betrieb von Zertifizierungsstellen (CAs): Aufbau und Betrieb von Zertifizierungsstellen zur Ausstellung, Verwaltung und Widerrufung digitaler Zertifikate.
• Design von Vertrauenshierarchien: Erstellung von Vertrauenshierarchien zur Sicherstellung der Vertrauenswürdigkeit und Integrität der PKI-Umgebung, z.B. Cross-Zertifizierungen
• Sicherheitsrichtlinien und Compliance: Entwicklung und Durchsetzung von Sicherheitsrichtlinien (Certificate Policies) und Prozeduren zur Einhaltung von Industriestandards und regulatorischen Anforderungen.
• Sicherheitsaudits und Risikobewertungen: Durchführung regelmäßiger Sicherheitsaudits und Risikobewertungen zur Identifizierung und Behebung von Schwachstellen.
• Integration von PKI-Diensten: Integration von PKI-Diensten in bestehende IT-Infrastrukturen, einschließlich VPNs, SSL/TLS-Verbindungen und S/MIME-basierter E-Mail-Verschlüsselung.
• Sicherstellung der Interoperabilität: Gewährleistung der Interoperabilität zwischen verschiedenen PKI-Systemen und Anwendungen durch den Einsatz standardisierter Protokolle und APIs.
• Schulung von IT-Personal und Endbenutzern in Best Practices der PKI-Nutzung und Sicherheitsmaßnahmen.
• Bereitstellung von technischem Support und Beratung bei der Implementierung und Wartung von PKI-Lösungen.

AWS Cloud Security (AWS Cloud Solution Architect Associate)

• AWS VPC: Erstellung und Verwaltung von AWS VPCs zur Isolierung von Cloud-Ressourcen in einer privaten Netzwerkumgebung. Konfiguration von Subnetzen, Routing-Tabellen und Internet Gateways
• IAM (Identity and Access Management): Implementierung von IAM-Richtlinien und -Rollen zur Verwaltung des Zugriffs auf AWS-Ressourcen. Anwendung des Least Privilege Principle
• RBAC (Role-Based Access Control): Einrichtung von rollenbasierten Zugriffskontrollen zur Verwaltung des Benutzerzugriffs basierend auf spezifischen Rollen innerhalb der Organisation
• Least Privilege Principle: Anwendung des Least Privilege Principle bei der Verwaltung von Zugriffskontrollen und Berechtigungen
• Security Groups: Konfiguration und Verwaltung von Security Groups zur Steuerung des ein- und ausgehenden Datenverkehrs auf Instanz-Ebene.
• Network ACLs (Access Control Lists): Einrichtung und Verwaltung von Netzwerk-ACLs zur zusätzlichen Sicherheitsschicht auf Subnetzebene
• Hochverfügbarkeit und Ausfallsicherheit: Design und Implementierung hochverfügbarer Architekturen unter Nutzung von Availability Zones zur Sicherstellung von Redundanz und Ausfallsicherheit
• Routing: Konfiguration von Routing-Tabellen zur Steuerung des Datenverkehrs innerhalb der VPC. Einrichtung von NAT-Gateways und Bastion Hosts
• NAT (Network Address Translation): Implementierung von NAT-Gateways zur Verwaltung des ausgehenden Datenverkehrs von privaten Subnetzen

BSI IT-Grundschutz (BSI IT-Grundschutzpraktiker)

• Gefährdungsanalyse: Durchführung detaillierter Gefährdungsanalysen basierend auf den BSI IT-Grundschutz-Katalogen zur Identifizierung und Bewertung von Risiken und Schwachstellen in der IT-Infrastruktur.
• Sicherheitsmaßnahmen: Implementierung von standardisierten Sicherheitsmaßnahmen gemäß den IT-Grundschutz-Bausteinen
• ISMS (Informationssicherheitsmanagementsystem): Div. Tätigkeiten innerhalb eines ISMS nach den Vorgaben der BSI Standards 200-1, 200-2, 200-3
• Audit und Zertifizierung: Vorbereitung und Begleitung von Audits und Zertifizierungen nach ISO/IEC 27001 auf Basis von IT-Grundschutz, um die Einhaltung der Sicherheitsstandards und -richtlinien zu überprüfen.
• Schulung und Sensibilisierung: Durchführung von Schulungen und Sensibilisierungsmaßnahmen für Mitarbeiter
• Kontinuierliche Verbesserung: Etablierung eines Prozesses zur kontinuierlichen Überwachung und Verbesserung der Sicherheitsmaßnahmen

Ethical Hacking

• Penetrationstests: Durchführung Intermediate Penetrationstests (White Box) auf Netzwerke, Anwendungen und Systeme
• Vulnerability Assessment: Durchführung von Schwachstellenbewertungen unter Verwendung führender Tools wie Nmap, OpenVAS und Burp Suite
• Sicherheitsbewertung: Analyse und Bewertung der Sicherheitsarchitektur von IT-Systemen
• Berichterstellung: Erstellung detaillierter Berichte über die Ergebnisse der Sicherheitsüberprüfungen, einschließlich einer Bewertung der Risiken und Empfehlungen zur Behebung identifizierter Schwachstellen.
• Compliance: Sicherstellung der Einhaltung von Sicherheitsstandards und regulatorischen Anforderungen durch gezielte Sicherheitsüberprüfungen und Empfehlungen zur Verbesserung der Sicherheitslage.