Die Deutsche Pfandbriefbank AG (pbb) ist eine international tätige Spezialbank mit über 800 Mitarbeitenden aus 37 Nationen. Unseren Kunden bieten wir eine breite Palette von Finanzierungs- und Investitionslösungen für die gesamte Immobilien-Wertschöpfungskette. Und das mit dem Ziel, zu einer nachhaltigeren Welt der Immobilie beizutragen.

Security Engineer - Sicherheit von Drittsoftware - Specialist IT Security Management (m/w/d)

Dies ist eine praxisorientierte Engineering-Position im Bereich Security Governance, in der Sie von erfahrenen Kolleginnen und Kollegen begleitet werden und Ihre Fähigkeiten weiterentwickeln können. Sie helfen dabei, die Sicherheit von Drittsoftware, Open-Source-Komponenten und Paketen zu bewerten, die in der Softwareentwicklung und Infrastruktur eingesetzt werden und wirken an praxisnahen Kontrollen und technischen Empfehlungen mit. Im Mittelpunkt steht die Sicherheit von Software und Komponenten - nicht Lieferantenfragebögen, kaufmännische Lieferantenbewertungen oder die Verantwortung für das Drittparteienrisikomanagement (TPRM).

• Sie helfen dabei, Drittsoftware, kommerzielle Produkte, Open-Source-Bibliotheken, Pakete und Container-Images vor ihrer Einführung und während ihrer gesamten Nutzung zu bewerten. Anhand etablierter Bewertungsschritte prüfen Sie technische Dokumentation, Abhängigkeiten und sicherheitsrelevante Befunde und führen unter Anleitung erfahrener Kolleginnen und Kollegen gezielte Prüfungen durch
• Sie unterstützen den technischen Schwachstellenmanagementprozess für Drittkomponenten in der Softwareentwicklung und im Infrastruktur-Engineering. Nach etablierten Verfahren helfen Sie dabei, Befunde zu identifizieren und zu validieren, die Behebung nachzuverfolgen und Korrekturen zu überprüfen
• Sie prüfen die Herkunft von Komponenten, die Softwarezusammensetzung und Abhängigkeitsketten - einschließlich Software-Stücklisten (Software Bills of Materials, SBOMs), sofern verfügbar
• Sie untersuchen bekannte Schwachstellen und Komponenten ohne Hersteller- oder Community-Support und besprechen geeignete Versionen oder Alternativen im Team
• Sie wenden etablierte Kriterien zur Sicherheitsbewertung, technische Mindestanforderungen und Prüfungen bei der Softwareeinführung an. Sie dokumentieren Befunde als Grundlage für Freigabeentscheidungen der verantwortlichen Stellen und helfen dabei, Ausnahmen und kompensierende Maßnahmen zu dokumentieren und aktuell zu halten
• Sie nutzen Sicherheitswerkzeuge wie Tenable, Aikido Security, Microsoft Defender und Nexus Repository Firewall und helfen bei deren Konfiguration. Sie unterstützen die Integration von Komponentenprüfungen in Entwicklungspipelines und Paket-Repositories
• Sie helfen dabei, Befunde zu validieren und die Priorität ihrer Behebung anhand von Ausnutzbarkeit, Exposition, Kritikalität der betroffenen Systeme und Einsatzkontext einzuschätzen. Dabei erhalten Sie Anleitung zur Nutzung von CVSS, EPSS und CISA KEV. Sie arbeiten mit Softwareentwicklungs- und Infrastrukturteams an vereinbarten Korrekturen und eskalieren komplexe Befunde an erfahrene Kolleginnen und Kollegen. 
  Sie unterstützen Prüfungen zur sicheren Bereitstellung und Härtung von Drittsoftware in relevanten Windows-, Linux-, Netzwerk-, VMware-, Kubernetes-, AWS- oder Microsoft-Azure-Umgebungen. Mithilfe von Checklisten prüfen Sie Berechtigungen, Konfigurationen und Integrationsgrenzen und erhalten bei Bedarf Unterstützung
• Sie wirken an der Prüfung KI-bezogener Drittsoftware, Pakete und Integrationen mit, einschließlich Datenverarbeitung, Berechtigungen und externer Dienste. Sie überprüfen KI-gestützte Analysen gemeinsam mit erfahrenen Kolleginnen und Kollegen und weisen auf unsichere Ergebnisse hin
• Sie helfen dabei, wiederkehrende Bewertungsaufgaben zu automatisieren, Nachweise zu sammeln und die Behebung von Schwachstellen nachzuverfolgen. Sie pflegen eine nachvollziehbare technische Dokumentation und wirken an Berichten über Befunde, Ausnahmen und den Behebungsfortschritt für Security Governance und die zuständigen Prüfungsstellen mit
• Sie arbeiten mit den Teams für Softwareentwicklung, Infrastruktur und Architektur sowie mit Anwendungsverantwortlichen zusammen, um vereinbarte Sicherheitsanforderungen während der Softwareentwicklung umzusetzen. Bei Bedarf helfen Sie dabei, technische Befunde für die Kolleginnen und Kollegen aus TPRM und Compliance aufzubereiten, ohne deren Prozesse zum Lieferantenrisikomanagement zu verantworten

• Erste praktische Erfahrung in IT-Sicherheit, Softwareentwicklung oder IT-Infrastruktur - erworben im Beruf, durch ein Praktikum, eine Ausbildung, im Studium oder in eigenen Projekten. Ein bestimmter Studienabschluss oder eine formale Qualifikation ist nicht erforderlich; entscheidend sind Neugier, praktische Grundlagen und Lernbereitschaft
• Grundlegendes Verständnis von Softwareschwachstellen und Abhängigkeiten sowie Interesse daran, die Untersuchung von Befunden und die Unterstützung ihrer Behebung zu erlernen. Sie müssen weder einen Schwachstellenmanagementprozess verantwortet haben, noch eine Mindestanzahl an Berufsjahren mitbringen
• Grundkenntnisse in der Softwareentwicklung oder IT-Infrastruktur sowie Interesse daran, Ihre Fähigkeiten in beiden Bereichen auszubauen. Vertrautheit mit Themen wie dem Softwareentwicklungslebenszyklus (SDLC), den OWASP Top 10, Abhängigkeitsmanagement, Paket-Repositories oder CI/CD ist hilfreich. Erste Einblicke in Windows/Linux, Netzwerktechnik, Active Directory, VMware, Kubernetes oder Cloud-Plattformen sind willkommen; Sie müssen nicht in allen Bereichen Erfahrung mitbringen. Interesse an KI-gestützter Software und ihren Sicherheitsrisiken ist ein Plus
• Erste Berührungspunkte mit Schwachstellenscannern, Software Composition Analysis oder Repository-Kontrollen sind hilfreich. Sie haben die Möglichkeit, Werkzeuge wie Tenable, Microsoft Defender, Aikido Security und Nexus Repository Firewall kennenzulernen. Erfahrung mit diesen konkreten Werkzeugen oder ServiceNow ist nicht erforderlich
• Grundlegende Skripting-Kenntnisse und Interesse daran, APIs zu nutzen und wiederkehrende Aufgaben zu automatisieren. Sie können erklären, was Ihre Skripte tun, und möchten lernen, klare, reproduzierbare Ergebnisse zu erzielen
• Bereitschaft zu lernen, wie Sicherheitsanforderungen in technische Prüfungen übersetzt und Befunde, Nachweise und Ausnahmen dokumentiert werden. Vorerfahrung in Regulatorik oder IT-Compliance sowie Zertifizierungen sind willkommen, aber nicht erforderlich
• Eine sorgfältige, analytische Herangehensweise, die Bereitschaft, Fragen zu stellen, und die Offenheit, bei Bedarf Unterstützung zu suchen. Sie arbeiten gern mit Kolleginnen und Kollegen aus Softwareentwicklung und Infrastruktur zusammen, erledigen vereinbarte Aufgaben zuverlässig und können Ihre Befunde verständlich erläutern
• Gute Englischkenntnisse in Wort und Schrift; Deutschkenntnisse sind ein Plus
• Grundlegendes Verständnis von Softwareberechtigungen, sicheren Einstellungen und Systemhärtung sowie die Bereitschaft zu lernen, wie Benchmarks wie CIS angewendet werden. Vorerfahrung mit Penetrationstests oder Red Teaming ist nicht erforderlich

Wir leben unsere Werte und wünschen uns diese Haltung auch von unseren Mitarbeitenden. Zusammen sind wir zukunftsorientiert, verlässlich und partnerschaftlich. 

Das erwartet Sie

Bei uns treffen Sie auf eine nachhaltige Unternehmenskultur, auf vielfältige und herausfordernde Projekte sowie viel Gestaltungsspielraum und Flexibilität. Und was bieten wir noch?

Attraktives Gehalt & starke Benefits

• Bike Leasing & ,,Wellpass"
• ,,guudcard" Sachbezugskarte
• Kita- und Essenszuschuss
• Betriebliche Altersvorsorge
  ... und vieles mehr

• Flexible Arbeitszeiten und min. zwei Tage Homeoffice
• 30 Tage Urlaub + 5 Gleittage
• Familienservice für persönliche Unterstützung

• U-Bahn-Anschluss und Autobahnnähe
• Kantine & Barista-Bar

Klingt spannend?