Security Consultant CICD

Project overview

Für unseren Kunden suchen wir einen erfahrenen Security Consultant CI/CD (m/w/d) auf Freelance-Basis, der sichere CI/CD-Ketten für voneinander getrennte Netzwerkzonen aufbaut und im Rahmen eines Pilotprojekts eigenständig umsetzt.

Die Rahmenbedingungen

Projektzeitraum: 26.10.2026 bis 31.12.2027

Project details

100 % Remote

Vertragsart: Freelance

Deine Aufgaben

Aufbau und Umsetzung sicherer CI/CD-Ketten in einer eigenbetriebenen Umgebung

Einrichtung gespiegelter Paket- und Image-Quellen für Container, Betriebssystem- und Sprachpakete

Gestaltung kontrollierter Artefaktübergaben über Zonen- und Netzgrenzen hinweg – inklusive Prüfung, Quarantäne und Freigabe

Umsetzung von Signatur- und Herkunftsprüfungen ohne Online-Dienste mit eigenen Vertrauensankern und eigener Signierung

Integration von Secrets Management inklusive Rotation und Ablösung hinterlegter Zugangsdaten

Absicherung der Software-Lieferkette durch Abhängigkeitsanalysen, SBOMs und automatisierte Sicherheitsprüfungen

Umsetzung von Policy as Code sowie Bewertung und Priorisierung von Prüfbefunden anhand definierter Schwellenwerte

Dein Profil

Mehrjährige praktische Erfahrung mit CI/CD-Ketten in eigenbetriebenen Installationen

Erfahrung im Aufbau und Betrieb gespiegelter Paket- und Image-Quellen

Kenntnisse in der sicheren Artefaktübergabe, etwa über Datendioden und Übergabegateways

Erfahrung mit Signatur- und Herkunftsprüfung sowie Secrets Management

Fundierte Kenntnisse in Software-Supply-Chain-Security und SBOM-Standards wie CycloneDX oder SPDX

Erfahrung mit SAST, Dependency-, Image- und IaC-Scanning sowie der Bewertung und Priorisierung von Befunden

Praxis in Policy as Code und im Umgang mit den folgenden Technologien bzw. Werkzeugen

Das technische Umfeld

CI/CD: GitLab CI, Jenkins, Tekton

Registry & Artefaktverwaltung: Harbor, Nexus, Artifactory, Zot, Pulp

Secrets Management: Vault, OpenBao, External Secrets Operator, SOPS

SBOM, Signierung & Provenance: Syft, Trivy, Dependency-Track, Cosign, Notation, in-toto

Sicherheitsprüfungen: Semgrep, SonarQube, Grype, Checkov, KICS

Policy Enforcement: OPA/Gatekeeper, Kyverno, Conftest

GitOps: Argo CD, Flux

Interesse?

Dann freuen wir uns auf dein aktuelles Profil sowie Angaben zu deiner Verfügbarkeit und deinem Stundensatz.