Application Security Engineer (m/w/d)

Du hilfst Entwicklungsteams, Sicherheitsprobleme früher zu erkennen und sinnvoll zu beheben. Dazu gehören moderne SaaS- und KI-Anwendungen ebenso wie gewachsene Software. Du kombinierst die Analyse von Architektur und Code mit pragmatischen Verbesserungen im Entwicklungsprozess.

Ein Scanner-Befund muss mit dem erreichbaren Codepfad und dem Schutzbedarf abgeglichen werden. Du prüfst Datenflüsse und serverseitige Autorisierung und unterstützt konkrete Korrekturen. Dependency- und Container-Befunde werden nach Einsatzkontext priorisiert. Bei KI-Anwendungen kommen Prompt Injection, Tool-Rechte und Datenweitergabe hinzu. Geeignete Regressionstests verhindern, dass behobene Fehler bei späteren Releases wieder auftauchen.

• Threat Models für Anwendungen, APIs und KI-Workflows erstellen und relevante Angriffsflächen priorisieren.
• Code- und Architekturprüfungen durchführen und technische Sicherheitsmaßnahmen mit Entwicklungsteams umsetzen.
• SAST, DAST und Dependency-Prüfungen sinnvoll in CI/CD integrieren und Befunde nach ihrer tatsächlichen Relevanz bewerten.
• Entwickler bei sicherer Authentifizierung, Berechtigungsprüfung, Secrets-Verwaltung und der Behebung von Schwachstellen unterstützen.
• Codepfade mit Tests für Autorisierung, Eingaben und Datenzugriffe überprüfen.
• Findings nach Erreichbarkeit und Auswirkung priorisieren und Behebung mit Entwicklern begleiten.

Entscheidend ist nachvollziehbare, für die Rolle relevante Erfahrung. Sie kann aus einer passenden Ausbildung, einem Studium, beruflicher Praxis oder einem fundierten Quereinstieg stammen. Die konkrete Verantwortung stimmen wir mit deinem Kenntnisstand ab.

• Solide Softwareentwicklungserfahrung und Verständnis typischer Anwendungsschwachstellen.
• Fähigkeit, Sicherheitsbefunde im Code nachzuvollziehen und umsetzbare Verbesserungen vorzuschlagen.
• Verständnis für Entwicklungsprozesse, APIs und Tests sicherheitsrelevanten Verhaltens.

Diese Kenntnisse sind hilfreich, aber nicht alle gleichzeitig erforderlich. Beschreibe in deiner Bewerbung, wo du bereits praktisch gearbeitet hast und in welche Themen du dich vertiefen möchtest.

• Erfahrung mit Secure SDLC, Security Champions oder der Absicherung von KI-Anwendungen.
• Kenntnisse in Supply-Chain-Sicherheit, Container Security oder Cloud-Identity.

Du machst sichere Entwicklung im Alltag praktikabel. Der Erfolg liegt in nachvollziehbar reduzierten Risiken und brauchbaren Standards, nicht in einer wachsenden Zahl unbearbeiteter Scanner-Meldungen.

Für diese Rolle kommen Köln und Remote infrage. Die konkrete Zusammenarbeit, Projektanforderungen und gegebenenfalls notwendige Kundentermine stimmen wir vor Beginn miteinander ab.

Für diese Rolle ist eine Festanstellung in Vollzeit oder Teilzeit vorgesehen. Aufgaben, Stundenumfang, Starttermin und Vergütung stimmen wir passend zur Rolle und deinem Kenntnisstand ab.

Zeige uns in deiner Bewerbung, welche Erfahrungen oder Interessen du für diese Rolle mitbringst. Ein Lebenslauf sowie relevante Projektbeispiele, Zeugnisse oder Arbeitsproben helfen uns bei der fachlichen Einordnung. Vertrauliche Kundendaten, Zugangsdaten und geschützten Quellcode bitte nicht mitsenden.

Nenne uns dein gewünschtes Arbeitsmodell, deinen möglichen Beginn und ob du Vollzeit oder Teilzeit arbeiten möchtest.

Bei Fragen zur Rolle erreichst du unser Recruiting unter hr@otoko.com. Die Aufnahme in den Bewerberpool ist freiwillig und erfolgt nur mit gesonderter Zustimmung; sie ist keine Voraussetzung für die Prüfung deiner Bewerbung.