Security Engineer (m/w/d)
shopware AG
WorldwideremotePosted 10 days ago
Skill Required
Security-EngineerProduct-Security-EngineerApplication-Security-EngineerCybersecurity-EngineerInformation-Security-EngineerIT-Security-EngineerSecurity EngineersecurityEngineeringJiraCybersecuritydesignGitAPIsOWASPPHPFulltime
Key highlights
- Unbefristete Anstellungen
- Full-Remote-Verträge möglich
- Freie Wahl der Arbeits-Hardware
- Erfahrung in Softwareentwicklung erforderlich
Role overview
Shopware ist ein führendes E-Commerce-System, das es Unternehmen weltweit ermöglicht, im digitalen Handel schnell und effizient zu skalieren. Als zukunftsweisende Open-Source-Lösung wird Shopware bereits von einigen der größten europäischen Marken, Einzelhändlern und Herstellern im B2C- und B2B-Bereich eingesetzt. Hilf dabei, Shopware-Produkte sicherer zu machen, indem du während der gesamten Produktentwicklung Sicherheitsrisiken aufdeckst und reduzierst. Product Security Engineering ist eine Engineering-Funktion, die gezielte Sicherheitsexpertise, eine gemeinsame Roadmap zur Prävention und eine klare Koordination für produktübergreifende Sicherheitsarbeit einbringt, während Produktteams dafür verantwortlich bleiben, ihren eigenen Code zu korrigieren und zu testen.
Responsibilities
- Untersuche Schwachstellenmeldungen, Sicherheitswarnungen, interne Findings und Nacharbeiten zu Sicherheitsvorfällen. Bewerte die technischen Auswirkungen und unterstütze dabei, bestätigte Aufgaben an die zuständigen Product Owner weiterzuleiten.
- Arbeite direkt mit Entwicklerinnen und Entwicklern an sicherem Design, Threat Models, Code Reviews, Ursachenanalysen, Fixes und Regressionstests für besonders risikoreiche Produktbereiche.
- Entwickle und verbessere wiederverwendbare Sicherheitskontrollen, Leitfäden für Entwicklerinnen und Entwickler, Tests für Missbrauchsszenarien und praxisnahe Automatisierung zur Erkennung und Behebung von Schwachstellen.
- Unterstütze dabei, für Product-Security-Findings klare Verantwortlichkeiten, Schweregrade, Reaktionsziele, betroffene Versionen und Nachweise zum Abschluss festzuhalten.
- Arbeite mit den Engineering-Teams von Commerce Core und Services an Sicherheitsaufgaben über verschiedene Repositories, unterstützte Versionen, APIs, Integrationen und das Extension-Ökosystem hinweg.
- Unterstütze koordinierte Sicherheits-Releases: Ermittle betroffene Bereiche, prüfe technische Behebungen und stimme dich mit Engineering, Product Operations, Quality, InfoSec und DevRel ab.
- Überführe Erkenntnisse aus Sicherheitsvorfällen und Releases in konkrete Änderungen am Engineering, Tests oder Tools. Verfolge anschließend nach, ob diese Maßnahmen übernommen werden.
- Kommuniziere bei zeitkritischen Aufgaben klar und dokumentiere Entscheidungen in den vereinbarten GitHub- und Confluence-Einträgen, damit Teams den Status nicht aus Slack-Verläufen rekonstruieren müssen.
- Wirke an gemeinsamen Teampraktiken mit und vertrete bei Bedarf den anderen Produktbereich.
- Findings werden einheitlich bewertet, schnell an die zuständigen Verantwortlichen weitergeleitet und mit einem sichtbaren Reaktionsziel und Abschlussnachweis versehen.
- Produktteams erhalten zeitnah praxisnahe Unterstützung bei Sicherheitsthemen und behalten zugleich die Verantwortung für die Umsetzung.
- Sicherheitsprüfungen und Tests erkennen relevante Risiken vor dem Release. Wo sinnvoll, enthalten Fixes passende Regressionstests.
- Aus Nacharbeiten zu Sicherheitsvorfällen und Releases entstehen konkrete, verantwortete Präventionsmaßnahmen statt ausschließlich einmaliger Patches.
- Umfang von Sicherheits-Releases, betroffene Versionen, technische Verantwortliche und Validierungsbedarf sind für Engineering, Product Operations, Quality, InfoSec und DevRel klar dokumentiert.
- Im primären Produktbereich des Engineers wächst die Sicherheitsexpertise. Gleichzeitig teilt das Team Standards und unterstützt sich bei Bedarf über Produktgrenzen hinweg.
Requirements
- Fundierte Erfahrung in der Softwareentwicklung und Interesse an Produkt- oder Anwendungssicherheit.
- Praktische Kenntnisse typischer Risiken in der Anwendungssicherheit, etwa Schwachstellen bei Authentifizierung und Autorisierung, Zugriffskontrolle, Datentrennung, API-Sicherheit, Umgang mit Zugangsdaten, Injection und Abhängigkeiten.
- Die Fähigkeit, produktiven Code und Tests zu lesen und zu ändern, Risiken für Entwicklerinnen und Entwickler verständlich zu erklären und wartbare Fixes mit umzusetzen.
- Erfahrung mit Threat Modeling, Sicherheitstests, Schwachstellenanalysen oder Secure Code Reviews; in einigen Bereichen bringst du fundiertes Wissen mit, in anderen möchtest du dich weiterentwickeln.
- Gutes Urteilsvermögen bei der Einschätzung von Schweregrad, Auswirkungen auf Kundinnen und Kunden und Ausnutzbarkeit sowie bei der Frage, wann ein Problem sofort eskaliert werden muss.
- Klare schriftliche Kommunikation und die Fähigkeit, bei unklaren oder dringenden Aufgaben teamübergreifend zusammenzuarbeiten.
Nice to have
- Kenntnisse von PHP sowie mit Shopwares Produkten, Services oder dem Extension-Ökosystem sind hilfreich.
- Erfahrung mit Sicherheitsautomatisierung, etwa Dependency Scanning, SAST, Fuzzing oder Tests für Missbrauchsszenarien, ist ein Plus.
Benefits
- Unternehmenskultur: Offene Kultur, flache Hierarchien, Eigeninitiative wird gefördert.
- Arbeitsverträge: Unbefristete Anstellungen bieten langfristige Sicherheit.
- Flexibilität: Flexible Arbeitszeiten und Optionen für mobiles Arbeiten und Full-Remote-Verträge.
- Ausstattung: Freie Wahl der Arbeits-Hardware.
- Onboarding: Gut strukturiertes Onboarding mit Unterstützung durch einen persönlichen "Buddy".
- Arbeitsumfeld: Inspirierendes Umfeld mit engagierten Kollegen und einer dynamischen Gemeinschaft.
- Entwicklungsmöglichkeiten: Vielfältige Chancen für persönliches Wachstum und Entwicklung.
- Zusatzleistungen: Attraktive Benefits wie betriebliche Altersvorsorge, Gesundheitsprogramme und regelmäßige Teamevents.
Additional details
- Einen detaillierten Einblick bekommst du auf unserer Karriereseite.
- Deine Ansprechperson für diese Stelle ist Josephine Scheffler und steht dir bei Fragen gerne zur Verfügung!
- Der Schutz deiner persönlichen Daten hat für uns oberste Priorität. Unsere Bewerberinformationen findest du hier.
- Originally posted on Himalayas