Penetration Tester – Anwendungen & Cloud (m/w/d)

Du prüfst Anwendungen und Cloud-Umgebungen auf praktisch relevante Schwachstellen. Der Schwerpunkt liegt auf SaaS, APIs, Legacy-Software sowie PaaS- und IaaS-Umgebungen. Du arbeitest innerhalb schriftlich vereinbarter Prüfgrenzen und lieferst Befunde, mit denen Entwicklung und Betrieb konkrete Verbesserungen umsetzen können.

Bei SaaS und APIs untersuchst du Objektzugriffe, Rollenwechsel, Tokens und Geschäftslogik. In Cloud-Umgebungen kommen IAM, exponierte Dienste und Eskalationspfade hinzu. Werkzeugmeldungen werden manuell auf ihre Auswirkung geprüft. Ein Proof of Concept bleibt innerhalb des freigegebenen Scope. Der Bericht beschreibt Voraussetzungen, Folgen und Behebung so, dass Entwickler den Befund reproduzieren und ein Retest seine Korrektur prüfen kann.

• Prüfumfang, Zugänge, Testfenster und erlaubte Methoden mit Kunden und Projektteam abstimmen.
• Manuelle und werkzeuggestützte Tests zu Authentifizierung, Berechtigungen, Eingaben und relevanten Cloud-Konfigurationen durchführen.
• Befunde kontrolliert reproduzieren, Auswirkungen bewerten und aussagekräftige Nachweise ohne unnötige Offenlegung sensibler Daten erstellen.
• Technische Berichte, verständliche Management-Einordnungen und umsetzbare Gegenmaßnahmen liefern sowie Nachtests begleiten.
• BOLA-/IDOR-, Authentifizierungs- und Geschäftslogiktests manuell verifizieren und dokumentieren.
• Cloud-IAM-Befunde auf reale Angriffspfade prüfen und sichere Retest-Kriterien festlegen.

Entscheidend ist nachvollziehbare, für die Rolle relevante Erfahrung. Sie kann aus einer passenden Ausbildung, einem Studium, beruflicher Praxis oder einem fundierten Quereinstieg stammen. Die konkrete Verantwortung stimmen wir mit deinem Kenntnisstand ab.

• Praktische Erfahrung mit Web- oder API-Pentests und nachvollziehbaren technischen Befunden.
• Verständnis von HTTP, Authentifizierung, Berechtigungsmodellen und typischen Anwendungsschwachstellen.
• Verlässlicher Umgang mit Prüfgrenzen, vertraulichen Daten und der Kommunikation sicherheitsrelevanter Ergebnisse.

Diese Kenntnisse sind hilfreich, aber nicht alle gleichzeitig erforderlich. Beschreibe in deiner Bewerbung, wo du bereits praktisch gearbeitet hast und in welche Themen du dich vertiefen möchtest.

• Erfahrung mit Cloud-Pentests, Code-Reviews oder Legacy-Anwendungen.
• Kenntnisse in KI-Anwendungssicherheit oder einschlägige praktische Sicherheitszertifizierungen.

Deine Arbeit ist erfolgreich, wenn ein Befund reproduzierbar, seine Auswirkung verständlich und die Behebung überprüfbar ist. Ergebnisbezogene Kundenvereinbarungen werden projektspezifisch geklärt und begründen keine unkontrollierten Tests oder unbelegten Sicherheitszusagen.

Für diese Rolle kommen Köln und Remote infrage. Die konkrete Zusammenarbeit, Projektanforderungen und gegebenenfalls notwendige Kundentermine stimmen wir vor Beginn miteinander ab.

Für diese Rolle ist eine Festanstellung in Vollzeit oder Teilzeit vorgesehen. Aufgaben, Stundenumfang, Starttermin und Vergütung stimmen wir passend zur Rolle und deinem Kenntnisstand ab.

Zeige uns in deiner Bewerbung, welche Erfahrungen oder Interessen du für diese Rolle mitbringst. Ein Lebenslauf sowie relevante Projektbeispiele, Zeugnisse oder Arbeitsproben helfen uns bei der fachlichen Einordnung. Vertrauliche Kundendaten, Zugangsdaten und geschützten Quellcode bitte nicht mitsenden.

Nenne uns dein gewünschtes Arbeitsmodell, deinen möglichen Beginn und ob du Vollzeit oder Teilzeit arbeiten möchtest.

Bei Fragen zur Rolle erreichst du unser Recruiting unter hr@otoko.com. Die Aufnahme in den Bewerberpool ist freiwillig und erfolgt nur mit gesonderter Zustimmung; sie ist keine Voraussetzung für die Prüfung deiner Bewerbung.