90% Remote: Lead Security Consultant CI/CD (m/w/d) – GitLab CI, Vault, SBOM
nemensis AG
Ansprechpartner: Winita Hamdard
Bonn, Deutschland
Hochschulen und Behörden und VerbändeSoftware Configuration ManagementVaultVersionierungGitLabGitlab-CiHashicorpJenkinsCi Server
Beschreibung
Projektbeschreibung
Rahmendaten
Aufgaben
Must-haves
Nice-to-haves
Bei unserem Kunden verändern sich derzeit die Plattform- und Sicherheitsdienste grundlegend – insbesondere im Hinblick auf die Bezugswege für Entwicklungsabteilungen und Betriebsbereiche. Das Projekt bewegt sich in einem sensiblen Security-Umfeld der öffentlichen Verwaltung. Ziel ist es, die vorhandene CI/CD-Landschaft abzusichern, die Build-Umgebung zu härten und eine kontrollierte, nachvollziehbare Software-Lieferkette aufzubauen. Die Rolle ist entscheidend, um Build- und Auslieferungsrechte sauber zu trennen, eine Artefaktschleuse mit gespiegelten Bezugsquellen zu etablieren und automatisierte Prüfprozesse mit klar definierten Freigabeverfahren einzuführen.
Start: 16. November 2026
Laufzeit: bis 31. Dezember 2026, Verlängerung möglich: 1. Januar 2027 bis 30. Juni 2027
Auslastung: 90 %
Standort/Remoteanteil: 10 % Bonn / 90 % Remote (Remote nur innerhalb Deutschlands)
Stundensatz: 100 € vor Ort / 90 € Remote
Projektsprache: Deutsch
Voraussetzung: Deutsche Staatsbürgerschaft, SÜ2-fähig nach § 9 SÜG (Geheim/Sabotageschutz)
- Aufnahme und Bewertung der vorhandenen Bau- und Bezugswege gemeinsam mit den Entwicklungs- und Betriebsbereichen
- Härtung der Build-Umgebung und Trennung von Build- und Auslieferungsrechten
- Secrets-Management in automatisierten Abläufen
- Entwurf und Aufbau der Artefaktschleuse mit gespiegelten Bezugsquellen
- Prüfung, Quarantäne, Freigabe, Versionierung und Herkunftsnachweis
- Festlegung des Importtakts in Abstimmung mit dem Fristenmodell des Schwachstellenmanagements
- Absicherung der Software-Lieferkette einschließlich Stückliste (SBOM)
- Einbau automatisierter Prüfungen mit definierten Schwellen und funktionierendem Ausnahmeverfahren
- Umsetzung im Pilotbereich
- Fahrplan für die Ausweitung mit Aufwand je Team-Anbindung und je Zonentyp
- Mind. 6 Jahre Erfahrung mit CI/CD-Ketten in eigenbetriebener Installation (rein herstellerbetriebene Dienste decken das Anforderungsprofil nicht ab)
- Mind. 6 Jahre Erfahrung mit Aufnahme & Bewertung vorhandener Bauverfahren sowie deren gezielter Ertüchtigung statt Neuaufbau
- Mind. 6 Jahre Erfahrung mit Aufbau & Betrieb gespiegelter Bezugsquellen für Container-Abbilder sowie Betriebssystem- und Sprachpakete
- Mind. 6 Jahre Erfahrung mit kontrollierten Artefaktübergaben über Zonen- bzw. Netzgrenzen (Prüf-, Quarantäne- und Freigabeschritt)
- Mind. 6 Jahre Erfahrung mit Signatur- und Herkunftsprüfung ohne Abhängigkeit von Online-Diensten
- Mind. 6 Jahre Erfahrung mit Secrets-Management, inkl. Rotation und Ablösung im Repository hinterlegter Zugangsdaten
- Mind. 6 Jahre Erfahrung mit Software-Lieferkette, Abhängigkeitsanalyse und Stückliste nach CycloneDX oder SPDX
- Mind. 6 Jahre Erfahrung mit Einführung automatisierter Prüfwerkzeuge (statische Analyse, Abhängigkeits- und Abbildprüfung)
- Mind. 6 Jahre Erfahrung mit GitLab CI, Jenkins, Tekton
- Mind. 6 Jahre Erfahrung mit Harbor, Nexus, Artifactory, Zot, Pulp
- Mind. 6 Jahre Erfahrung mit HashiCorp Vault, OpenBao, External Secrets Operator, SOPS
- Syft, Trivy, Dependency-Track, Cosign, Notation, in-toto
- Semgrep, SonarQube, Grype, Checkov, KICS
- OPA/Gatekeeper, Kyverno, Conftest
- Argo CD, Flux
- GitOps-Betriebsmodelle und deklarative Deployments in mehreren Zonen
- Container-Laufzeit- und Cluster-Sicherheit im Eigenbetrieb
- Nachweisführung für Änderungs- und Konfigurationssicherheit aus der Kette heraus