Security Engineering Lead (m/w/d)

Shopware ist ein führendes E-Commerce-System, das es Unternehmen weltweit ermöglicht, im digitalen Handel schnell und effizient zu skalieren. Als zukunftsweisende Open-Source-Lösung wird Shopware bereits von einigen der größten europäischen Marken, Einzelhändlern und Herstellern im B2C- und B2B-Bereich eingesetzt.

Baue eine dauerhafte Product-Security-Engineering-Funktion für die Shopware-Produkte auf. Das Team verhindert wiederkehrende Schwachstellenklassen, schafft klare Zuständigkeiten und Reaktionszeiten für Sicherheitsaufgaben und unterstützt die Produktteams dabei, Risiken zu beheben, bevor daraus Sicherheitsvorfälle mit Auswirkungen auf Kundinnen und Kunden entstehen.

Product Security Engineering ist von der bestehenden SecOps- bzw. Information-Security-Funktion abgegrenzt. Die Funktion verantwortet die Ergebnisse im Bereich Product Security Engineering und das Betriebsmodell für diese Arbeit. Sie ersetzt weder die Governance durch InfoSec noch die Verantwortung der Engineering-Domänen, die Freigabe durch Quality oder Product Operations.

Requirements

• Entwickle und leite eine risikobasierte Product-Security-Roadmap für Commerce Core, Services und weitere Produktbereiche. Sorge für eine ausgewogene Gewichtung von Prävention, Erkennung, Incident-Bereitschaft und Behebung.

• Verantworte das Modell für Eingang und Triage von Product-Security-Findings aus externen Meldungen, Bug-Bounty-Programmen, Penetrationstests, Dependency-Sicherheitshinweisen, internen Entdeckungen und Nacharbeiten zu Sicherheitsvorfällen. Vereinbare Schweregrade und Reaktionsziele mit den Domänenverantwortlichen und InfoSec, leite jeden Vorgang an den zuständigen Code Owner weiter und mache die laufenden Reaktionsfristen sichtbar.

• Arbeite selbst aktiv mit: Erstelle Threat Models für sicherheitskritische Änderungen, prüfe risikoreiche Designs, untersuche Schwachstellen und implementiere besonders wirksame Sicherheitskontrollen in gemeinsam genutzten Produktkomponenten oder entwickle sie gemeinsam mit anderen.

• Etabliere wiederholbare Vorgehensweisen für sicheres Design, Sicherheitsreviews, Tests von Missbrauchsszenarien, Dependency- und Code-Scanning, die Offenlegung von Schwachstellen und Incident-Bereitschaft.

• Koordiniere produktübergreifende Sicherheitsarbeit über eine vereinbarte Dokumentation: GHSA für Angaben zur Offenlegung, ein privates GitHub-Issue oder Epic für Fixes und Backports sowie eine Confluence-Seite zum Sicherheitsvorfall oder Release für Rollen, Entscheidungen, QA-Status und Kommunikationsbereitschaft. Nutze Slack für die operative Abstimmung und verlinke getroffene Entscheidungen zurück in die Dokumentation.

• Weise gemeinsam mit den Engineering Leads jedem bestätigten Problem eine technisch verantwortliche Person und einen Fälligkeitstermin zu. Eskaliere blockierte Behebungen und verbleibende Risiken über die etablierten Entscheidungswege von Product, InfoSec und der Führungsebene.

• Verbessere die Sicherheitsabdeckung für unterstützte Versionen und zugehörige Produkte, darunter das Security Plugin, Commercial-Komponenten, Services sowie relevante App- und Extension-Schnittstellen.

• Leite die technische Aufarbeitung nach Sicherheitsvorfällen und Releases. Überführe Ursachen in konkrete Präventionsmaßnahmen mit klarer Verantwortung, Tests, Tools oder Designänderungen und verfolge, ob diese Änderungen Wiederholungen reduzieren.

• Fördere und entwickle die beiden Engineers weiter, stelle die Abdeckung von Commerce Core und Services sicher und mache die Arbeit des Teams in der Produktplanung sichtbar.

• Arbeite mit InfoSec, Product Operations, Quality Operations, DevRel, Legal, Customer Support und der Product-Leitung an Entscheidungen zu Sicherheitsrichtlinien, Reaktionen, Releases und Kommunikation.

Das bringst du mit:

• Fundierte praktische Erfahrung in der Softwareentwicklung und nachweisbare Erfolge bei der Verbesserung der Sicherheit produktiv eingesetzter Produkte.

• Praktische Kenntnisse in der Anwendungssicherheit, insbesondere zu Authentifizierung, Autorisierung, Zugriffskontrolle, Datentrennung, API-Sicherheit, Umgang mit Zugangsdaten, sicheren Integrationen und gängigen Schwachstellenklassen.

• Erfahrung darin, Schwachstellenmeldungen zu untersuchen und daraus einen getesteten und priorisierten Behebungsplan für mehrere Teams oder unterstützte Versionen zu entwickeln.

• Die Fähigkeit, direkt mit Code und Tests zu arbeiten und Sicherheitstools wie SAST, Dependency Scanning, Fuzzing oder Tests für Missbrauchsszenarien einzusetzen und zu verbessern.

• Gutes Urteilsvermögen bei der Einschätzung von Ausnutzbarkeit, Auswirkungen auf Kundinnen und Kunden, Schweregrad, koordinierter Offenlegung und Incident Response.

• Klare technische Dokumentation und souveräne, ruhige Zusammenarbeit mit verschiedenen Teams bei dringenden und unklaren Aufgaben.

• Erfahrung darin, Engineers zu fördern oder ein kleines technisches Team zu leiten. Formale Personalverantwortung ist hilfreich; technische Führung und Coaching sind wesentlich.

• Kenntnisse von Open-Source-Produkten, Extension-Ökosystemen, Cloud-Services und Release-Modellen mit mehreren unterstützten Versionen sind von Vorteil.

Woran du deinen Erfolg erkennst:

• Für Product-Security-Findings gibt es einen einheitlichen Eingang, eine namentlich benannte technische Verantwortung, einen Schweregrad, ein Reaktionsziel und einen sichtbaren Abschlussnachweis.

• Teams können nachvollziehen, wer betroffen ist, was behoben wird und was getestet wurde, ohne den Status aus Slack rekonstruieren zu müssen.

• Sicherheitskritische Änderungen erhalten rechtzeitig fachliche Unterstützung. Wiederkehrende Schwachstellenklassen führen zu konkreten Kontrollen und Regressionstests.

• Sicherheits-Releases haben einen vereinbarten Umfang, eine zentrale Koordinationsdokumentation, klar benannte technische und QA-Verantwortliche sowie verifizierte Release-Artefakte.

• Sicherheitsarbeit ist mit klaren Abwägungen und Eskalationswegen in der Planung vertreten, wenn sie mit bereits zugesagter Produktarbeit konkurriert.

• Entwicklerinnen und Entwickler, Product Operations, Quality, InfoSec und DevRel wissen, wo Product Security Engineering die Führung übernimmt und wofür die jeweiligen Partner verantwortlich bleiben.

Das bieten wir dir:

• Unternehmenskultur: Offene Kultur, flache Hierarchien, Eigeninitiative wird gefördert.

• Arbeitsverträge: Unbefristete Anstellungen bieten langfristige Sicherheit.

• Flexibilität: Flexible Arbeitszeiten und Optionen für mobiles Arbeiten und Full-Remote-Verträge.

• Ausstattung: Freie Wahl der Arbeits-Hardware.

• Onboarding: Gut strukturiertes Onboarding mit Unterstützung durch einen persönlichen "Buddy".

• Arbeitsumfeld: Inspirierendes Umfeld mit engagierten Kollegen und einer dynamischen Gemeinschaft.

• Entwicklungsmöglichkeiten: Vielfältige Chancen für persönliches Wachstum und Entwicklung.

• Zusatzleistungen: Attraktive Benefits wie betriebliche Altersvorsorge, Gesundheitsprogramme und regelmäßige Teamevents.

... und vieles mehr!

Einen detaillierten Einblick bekommst du auf unserer Karriereseite.

Deine Ansprechperson für diese Stelle ist Josephine Scheffler und steht dir bei Fragen gerne zur Verfügung!

Der Schutz deiner persönlichen Daten hat für uns oberste Priorität. Unsere Bewerberinformationen findest du hier.