[Hiring] IT Security Officer @Relaxdays

Role Description

Wir betreiben unsere IT komplett in-house: 3 eigene Rechenzentren, 700+ Server, eigene Kubernetes-Plattformen und moderne Softwareentwicklung. Informationssicherheit ist bei uns keine Stabsstelle, sondern gelebte Praxis. Du arbeitest direkt mit unseren Tech-Teams, gestaltest die Sicherheitsarchitektur aktiv mit und entwickelst Pionier-Lösungen für sicheren KI-Code. Gesucht: Technisches Verständnis gepaart mit regulatorischem Weitblick.

• Informationssicherheitsmanagement:
  • Du baust unser ISMS auf und entwickelst es weiter — mit Blick auf ISO/IEC 27001 und BSI IT-Grundschutz.
  • Du erstellst Richtlinien, führst Risikoanalysen durch und hältst das Regelwerk aktuell und praxistauglich.
• Regulatorik:
  • Du übersetzt Anforderungen aus NIS2, DSGVO und EU AI Act in konkrete technische und organisatorische Maßnahmen und begleitest interne wie externe Audits.
• Security Operations:
  • Du steuerst unseren externen SOC-/MDR-Dienstleister, definierst Detection Use Cases, entwickelst Incident-Response-Prozesse und Playbooks und führst Sicherheitsvorfälle technisch und organisatorisch zum Abschluss.
• Schwachstellen- und Patch-Management:
  • Du verantwortest den Prozess über die gesamte Server- und Client-Landschaft hinweg, priorisierst risikobasiert und stimmst Remediation-Fenster mit den Betriebsteams ab.
• Identity & Access:
  • Du entwickelst Berechtigungskonzepte, Rezertifizierungen und Härtungsmaßnahmen rund um Active Directory, Entra ID und Keycloak.
• Security by Design:
  • Du verankerst Sicherheit in unseren Entwicklungs- und Deployment-Prozessen — von GitLab-CI-Pipelines über Secrets Management bis zur Härtung von Containern und Kubernetes-Clustern.
• Präsenz in den Entwicklungsteams:
  • Du bist regelmäßig direkt bei unseren Entwicklerinnen und Entwicklern — in Refinements, Architekturrunden und Code Reviews.
  • Du gibst konkrete, umsetzbare Hinweise statt abstrakter Vorgaben, führst Threat Modeling für neue Anwendungen durch und baust ein Netzwerk aus Security Champions in den Teams auf, das auch ohne dich trägt.
• Sichere KI-gestützte Entwicklung:
  • Du definierst, unter welchen Bedingungen KI-generierter Code produktiv gehen darf — Review-Pflichten, automatisierte Prüfungen in der Pipeline (SAST, SCA, Secret Scanning, Prüfung von Abhängigkeiten auf halluzinierte oder untergeschobene Pakete) und Nachvollziehbarkeit der Herkunft.
  • Du überwachst laufend, ob diese Maßnahmen tatsächlich greifen, und passt sie an, wenn sich Werkzeuge und Angriffsmuster ändern.
• Absicherung unserer KI-Anwendungen:
  • Du bewertest und härtest die Anwendungen, die wir selbst mit KI-Komponenten bauen — Prompt Injection, ungewollter Datenabfluss, Berechtigungen von Agenten und Werkzeugzugriffen, Protokollierung.
  • Du arbeitest eng mit unserem KI-Beauftragten und den Anforderungen des EU AI Acts zusammen.
• Dienstleister- und Lieferantensicherheit:
  • Du prüfst technische und organisatorische Maßnahmen von Partnern, beantwortest Sicherheitsanforderungen unserer Geschäftskunden und bringst Sicherheitsklauseln in Verträge ein.
• Notfall- und Kontinuitätsmanagement:
  • Du entwickelst Wiederanlaufpläne für unsere Rechenzentren und testest sie regelmäßig.
• Awareness:
  • Du machst Sicherheit im Unternehmen erlebbar — durch Schulungen, Phishing-Simulationen und verständliche Kommunikation statt Angstrhetorik.

Qualifications

• Abgeschlossenes Studium der Informatik, IT-Sicherheit oder eine vergleichbare Qualifikation — alternativ eine entsprechende Berufserfahrung, die für sich spricht.
• Mindestens drei Jahre praktische Erfahrung in der Informationssicherheit, idealerweise in einem Umfeld mit eigenem Rechenzentrumsbetrieb.
• Fundiertes Verständnis von Betriebssystemen (Linux und Windows), Netzwerktechnik, Virtualisierung und Container-Plattformen.
• Kenntnisse gängiger Standards und Regularien: ISO/IEC 27001, BSI IT-Grundschutz, NIS2, DSGVO.
• Praxiserfahrung in der Anwendungssicherheit: OWASP Top 10, Threat Modeling, Bewertung von Findings aus SAST-, DAST- und SCA-Werkzeugen.
• Eigene Erfahrung mit Softwareentwicklung oder Skripting — genug, um Code zu lesen, Pull Requests zu verstehen und im Gespräch mit Entwicklern ernst genommen zu werden.
• Die Fähigkeit, technische Sachverhalte adressatengerecht zu erklären — vom Systemadministrator bis zur Geschäftsführung.
• Sehr gute Deutschkenntnisse (mindestens C1) und gutes Englisch.

Requirements

• Zertifizierungen wie CISSP, CISM, CISA, ISO 27001 Lead Implementer/Auditor oder GIAC.
• Auseinandersetzung mit den Risiken KI-gestützter Entwicklung und mit der Absicherung von KI-Anwendungen, etwa entlang der OWASP Top 10 für LLM-Anwendungen.
• Erfahrung mit SIEM- und Log-Management-Lösungen, idealerweise Elastic Stack.
• Erfahrung im Umgang mit MDR- oder SOC-Dienstleistern.
• Skripting- und Automatisierungserfahrung (Python, PowerShell, Bash) sowie Erfahrung mit Infrastructure as Code.
• Erfahrung im E-Commerce- oder Logistikumfeld.

Benefits

• Gestaltungsspielraum statt Verwaltung: Du triffst auf eine gewachsene, technisch anspruchsvolle Eigenbetriebsumgebung und eine Sicherheitsfunktion, die du maßgeblich prägst.
• Automatisierung als Kultur: Unser Leitsatz lautet „Alles, was wir zweimal machen, ist einmal zu viel." Wiederkehrende Sicherheitsprozesse automatisieren wir, statt sie manuell abzuarbeiten.
• Ein Thema mit Vorlauf: Sicherheit KI-gestützter Entwicklung ist eine offene Frage in der gesamten Branche. Bei uns kannst du daran arbeiten, statt auf Best Practices zu warten, die es noch nicht gibt.
• Kurze Wege: Du berichtest direkt an den Bereichsleiter, Entscheidungen fallen ohne lange Gremienschleifen.
• Entwicklung: Budget für Weiterbildungen, Zertifizierungen und Fachkonferenzen — Sicherheitswissen veraltet schnell, das kalkulieren wir ein.
• Rahmenbedingungen: 30 Tage Urlaub, flexible Arbeitszeiten, anteiliges mobiles Arbeiten, moderne Arbeitsausstattung nach deiner Wahl, Mitarbeiterrabatt auf unser gesamtes Sortiment.
• Team: Rund elf Kolleginnen und Kollegen aus IT-Betrieb, Support und Instandhaltung, die pragmatisch arbeiten und sich gegenseitig fachlich fordern.