Offen für strategische Mandate & CISO-Support

Paul Scheinast. Security Strategy
& Engineering.

Ich verbinde IT, Produktion und Business. Als Full-Stack Security Consultant sichere ich nicht nur Ihre Compliance (NIS-2, DORA), sondern die Wertschöpfungskette Ihres gesamten Unternehmens. Ich transformiere Sicherheitsanforderungen in lebbare Maßnahmen – technisch präzise, operativ machbar und wirtschaftlich fundiert.

Expertise ansehen Zertifikate (CISSP, CCSP...)
Full Stack Security Approach
Governance & GRC
Risk Management
Sec. Architecture
DevSecOps & SSDLC
Infra Hardening
OT & Produktion
Paul Scheinast

Fokus

CISO Strategic Advisory & Security Architecture @ Specific-Group

Profil

Verständnis für IT, Produktion
und Business.

Wirkungsvolle Sicherheit lässt sich nicht isoliert betrachten – man muss die operativen Risiken der Produktion verstehen, um sie zu schützen. Als interdisziplinär ausgebildeter Master of Science (M.Sc.) in IT-Security & Risiko Management, Wirtschaftsingenieur (B.Eng.) und Technischer Informatiker (Ing.) schlage ich die Brücke zwischen Security und operativem Betrieb. Ich verbinde zwei Welten, die oft getrennt agieren, aber nur gemeinsam sicher sind.

"Um Produktion oder Betrieb zu sichern, muss man ihn und seine Einzelteile verstehen – technisch wie wirtschaftlich."

Mit über 10 Jahren Erfahrung begleite ich den gesamten Lebenszyklus von Daten: von der Qualitätssicherung (QA) über DevSecOps-Pipelines bis zur strategischen CISO-Beratung. Ich kenne die Anforderungen an stabile Software-Releases ebenso wie die Notwendigkeit robuster Governance (ISO 27001, NIS-2). Dieses Full-Stack-Verständnis garantiert Sicherheitsarchitekturen, die nicht nur auf dem Papier existieren, sondern in agilen wie klassischen Umgebungen bestehen.

"Sicherheit entsteht dort, wo Code, Infrastruktur und Business-Prozesse nahtlos ineinandergreifen."

Meine Wurzeln liegen in der direkten Arbeit am System: Server-Hardening, Container-Virtualisierung und Netzwerk-Forensik sind für mich gelebtes Handwerk. Dieses tiefe technische Verständnis ist das Fundament, auf dem meine strategischen Entscheidungen als Berater stehen.

"Meine Leidenschaft ist technischer Tiefgang. Ich gehe die Extra-Meile, um Lösungen zu bauen, die dem Audit standhalten und im Betrieb funktionieren."

12+ Jahre Exp.
M.Sc. IT-Sec & Risk (2025)
GRC NIS-2 / DORA / ISO
Drei Domänen — Ein Profil

Full Stack Security Kompetenz

Sicherheit ist kein Silo, sondern ein Querschnittsthema. Mein Profil verbindet strategische Compliance mit operativer Härtung und ingenieurmäßiger Qualitätssicherung in der Entwicklung – gestützt auf 12+ Jahre Erfahrung und internationale Zertifizierungen.

Strategic Security & GRC

Governance · Risk · Compliance

Verbindung von Business-Zielen mit regulatorischer Sicherheit. Aufbau von Managementsystemen und Compliance-Programmen im Finanz- & Industriesektor. Übersetzer zwischen IT, Produktion und Geschäftsführung.

  • ISMS & Governance: Aufbau und Weiterentwicklung von Managementsystemen (anl. ISO 27001) inkl. Asset-Inventar und Maßnahmentracking.
  • Regulatorik & Compliance: Umsetzung komplexer Anforderungen (NIS-2, DORA, EBA, EIOPA, AI Act) als kontinuierlicher Prozess.
  • Risk Management & TPRM: Third-Party Risk Management und Risikobewertung von Lieferketten. Risk Register, Control Mapping und Audit Evidence.
  • Business Alignment & Advisory: Strategische Ausrichtung des Security-Programms an Geschäftszielen. Entscheidungsvorlagen für Senior Management (CapEx/OpEx).
  • Pre-Sales & Bid-Mgmt: High-Level Solution Engineering, ROI-Kalkulationen und PoC-Design für GRC-Projekte.

Nachweise

CISSP M.Sc. IT-Sec & Risk B.Eng. W-Ing Eramba GRC

Technical Security & Ops

Runtime · Hardening · Detection

Schutz der laufenden Infrastruktur (Runtime). Herstellerneutrale Sicherheitsarchitekturen, Härtung von Systemen, Überwachung und aktive Abwehr von Angriffen – validiert im eigenen Enterprise-Lab.

  • Cloud Security Architecture: Herstellerneutrale Architekturen (CCSP). Shared Responsibility, Multi-Cloud-Umgebungen.
  • Threat Detection & SIEM: Wazuh XDR für Log-Aggregation, Echtzeit-Alarmierung und Event-Korrelation. Suricata + Zeek IDS.
  • Infrastructure Hardening: CIS Benchmarks, Defense-in-Depth (WAF/ModSecurity, Fail2Ban, Geo-Blocking, VLAN-Segmentierung).
  • Vulnerability Management: Greenbone (OpenVAS) für kontinuierliche Schwachstellen-Scans mit Anbindung an GRC Risk Register.
  • Immutable Infrastructure: Container-Daily-Rebuilds, Auto-Patching (unattended-upgrades, debsecan), Zero-Trust-Netzwerkdesign.

Nachweise

CCSP SSCP Security+ Ing. (Techn. Informatik) Enterprise Home Lab

Quality Eng. & DevSecOps

Buildtime · SSDLC · Offensive

Sicherheit im Bauplan (Buildtime). Integration von Security-Quality-Gates in den Software-Lebenszyklus und aktive Überprüfung durch Offensive Security – inklusive eigener PenTest-Toolchain.

  • SSDLC & Secure Code Review: Shift-Left Security durch SAST (Semgrep), Container-Scanning (Trivy) und Secret Detection (Gitleaks).
  • DevSecOps Pipelines: Automatisierte Sicherheitstests in CI/CD. Test-Driven Reliability und Regressionstests.
  • Offensive Security & PenTest: Eigenständige Durchführung von Penetrationstests mit Custom-Toolchain (Nmap, Nuclei, Sqlmap, Hydra, ZAP).
  • Quality Assurance: Requirements Engineering, Defect Management, deterministische Testmethodik (ISTQB) als Sicherheitsfaktor.
  • AI-Assisted Analysis: Lokale LLM-Instanz (Qwen 3) für KI-gestütztes Code Review und PenTest-Auswertung – volle Datensouveränität.

Nachweise

CTFL (ISTQB) SSDLC Custom PenTest Suite HTL (Informatik)

Der geschlossene Kreislauf: Governance → Technik → Quality → Governance

Jede Maßnahme beginnt als Compliance-Anforderung, wird in eine technische Architektur übersetzt und durch automatisiertes Testing validiert. Die Ergebnisse fließen zurück ins GRC Risk Register – ein Kreislauf, den ich nicht nur predige, sondern in meinem Enterprise-Lab täglich lebe und betreibe.

Kompetenzbeweise

5 Internationale Zert.

Verifiziert auf Credly
CISSP CCSP SSCP Sec+ CTFL

3 Abschlüsse

Interdisziplinäre Basis
  • M.Sc. IT-Security & Risk Management
  • B.Eng. Wirtschaftsingenieurwesen
  • Ing. Technische Informatik (HTL)

Enterprise Home Lab

Live-Beweis ↓
  • Eramba GRC + ISO 27001
  • Wazuh SIEM + Greenbone
  • Defense-in-Depth Stack
  • PenTest Suite + AI Review

12+ Jahre Praxis

Von Ops bis CISO-Advisory
  • ● Security Consultant (Specific-Group)
  • ● IT Consultant QA (Expleo)
  • ● Back-End Dev (ÖBV, 7 Jahre)
  • ● DevOps & Linux Admin
Technologien & Frameworks
ISO 27001 / NIS-2 / DORA AI Act Eramba GRC TPRM & Supply Chain KPI / KRI Reporting Wazuh XDR / SIEM Greenbone (OpenVAS) Suricata / Zeek IDS ModSecurity WAF Docker / Immutable Infra CIS Benchmarks SAST (Semgrep / Trivy) PenTest (Nuclei / ZAP / Nmap) SSDLC & DevSecOps AI Code Review (Qwen 3)

Beruflicher Werdegang

Vom High-Availability Engineering zur strategischen Security Governance. Eine Evolution von Tech zu Management.

Heute Seit April 2023
Active Role

Security Consultant

Specific-Group Austria Wien, AT
CISO-Advisory Pre-Sales Full-Stack

Strategic Advisory & CISO-Office: Entwicklung von Entscheidungsvorlagen zur Optimierung des Security-Budgets (CapEx/OpEx Shift). Technical Pre-Sales & Bid-Management: Durchführung von High-Level Solution Engineering und ROI-Kalkulationen für GRC-Projekte (Fokus: Eramba). Konzeption skalierbarer Sicherheitsarchitekturen, die technische Härtung mit regulatorischer Compliance (NIS-2, DORA) in Einklang bringen.

Governance & Business

  • Business Alignment & Advisory: Strategische Ausrichtung des Security-Programms an den Geschäftszielen sowie Erstellung von Entscheidungsvorlagen für das Senior Management.
  • Pre-Sales & Solution Lifecycle: Bid-Management, Aufwandsschätzung und PoC-Design im Pre-Sales Prozess. Identifikation von Upselling-Potenzialen durch Architecture-Reviews.
  • GRC & Supply Chain: Implementierung von ISMS (ISO 27001) und Steuerung von Lieferkettenrisiken via Third-Party Risk Mgmt (TPRM).

Architecture & Ops

  • Security Architecture: Übersetzung komplexer Compliance-Vorgaben (NIS-2, DORA) in praktikable technische Sicherheitsarchitekturen.
  • DevSecOps & SSDLC: Etablierung von Standards für sichere Softwareentwicklung und Integration von Security-by-Design in Infrastrukturprojekte.
  • Hands-On Offensive Security: Eigenständige Durchführung von Penetrationstests, Vulnerability-Scans, Code Reviews und Härtungsprüfungen (Container/Web).
GRC & Compliance (Eramba) Pre-Sales ISO 27001 / NIS-2 / DORA / AI Act KPI/KRI Reporting Eramba GRC Engineering TPRM & Supply Chain SSDLC & DevSecOps Vuln-Scan (Greenbone) & PenTest Mgmt SIEM (Wazuh)
2022 - 2023 Quality Eng.

IT Consultant (QA)

Expleo Group Wien, AT
Quality Assurance Test Automation

Verantwortung für Quality Assurance in einem agilen Entwicklungsteam. Qualitätssicherung als Vorstufe zur Sicherheit: Sicherstellung der Software-Integrität durch strenge Prozess-Standards und Automatisierung. Analyse komplexer Anforderungen auf Vollständigkeit und Konsistenz, um logische Fehler bereits vor der Implementierung zu eliminieren ("Shift Left").

QA Methodology

  • Requirements Engineering: Analyse von Anforderungen auf Konsistenz zur Vermeidung von Design-Flaws.
  • Defect Management: Dokumentation und Erstellung detaillierter Fehleranalysen sowie Reporting der Testergebnisse.
  • Agile Process: Effiziente Zusammenarbeit im Team und flexible Abstimmung mit Kundenanforderungen.

Automation & Ops

  • Test Design: Ableitung deterministischer Test Cases aus den Anforderungsspezifikationen.
  • Automation Engineering: Mitarbeit bei der Automatisierung von Testabläufen für CI/CD-Pipelines (Regressionstests).
  • Execution: Durchführung systematischer Tests zur Validierung der Systemstabilität.
ISTQB CTFL Agile (Scrum / Kanban) Test Automation Defect Analysis Req. Analysis
2015 - 2022 Full-Stack Dev

Back-End Developer

Österreichischer Bibliothekenverbund Wien, AT
End-to-End Ownership Perl / Node

Full-Lifecycle Engineering: Eigenverantwortliche Architektur und Implementierung komplexer Backend-Systeme. Von der Schnittstellendefinition mittels Swagger/OpenAPI über die Entwicklung der Business-Logik (Perl/Bash/NodeJS) bis hin zur Containerisierung ( Docker).

Erfolgreiche Steuerung von Projekten in hybriden Umgebungen: Rigide Einhaltung von Spezifikationen im Wasserfall-Modell sowie adaptive Weiterentwicklung in agilen (Kanban) Settings.

Algorithms & Data Ops

  • Stochastische Datenbereinigung (Upgrade 086u): Implementierung von Fuzzy-Matching-Algorithmen basierend auf der Levenshtein-Distanz zur Wahrscheinlichkeitsberechnung von Dubletten und Tippfehlern.
  • Verbund-Migration: Entwicklung komplexer Heuristiken für den ISBN-Abgleich (Titel, Autor, Metadaten) zur Sicherstellung der Datenkonsistenz bei der Systemfusion.

Architecture & Process

  • Hybrid Project Management: Orchestrierung von Großprojekten nach Wasserfall (Meilenstein-Treue) und Maintenance-Tasks via Agile/Kanban (Rapid Response).
  • Workflow-Engine (MemoWorkflow): Design einer zustandsbasierten State-Machine mit bidirektionaler Synchronisation (SQL/Oracle) und strenger Äquivalenzklassen-Validierung.
  • Test-Driven Reliability: Einsatz von Test::More und Test::Mock::Simple für Stress-Tests und Mocking externer Abhängigkeiten in CI-Pipelines.
Docker Swagger / OpenAPI Wasserfall & Agile Levenshtein Algo Perl (Test::More) Bash Automation
2015 - 2015 Full-Stack Dev

Full-Stack Developer

Swiss Life Select Wien, AT
SSDLC Perl Sencha JS

Entwicklung von Full-Stack-Anwendungen mit Fokus auf nahtlose Front-End und Back-End-Integration. Implementierung komplexer Business-Logik und ansprechender Benutzeroberflächen unter Verwendung von Perl und Sencha JS.

Frontend & UX

  • Implementierung intuitiver User-Experiences (UX) und Benutzeroberflächen.
  • Enge Zusammenarbeit mit Designern zur pixelgenauen Umsetzung von Anforderungen.

Backend & API

  • Integration von Drittanbieter-APIs zur funktionalen Erweiterung der Plattform.
  • Sicherstellung der Datakonsistenz zwischen Client und Server.
Sencha JS Perl Backend API Integration
2013 - 2015 Ops Roots

DevOps & Linux Admin

Konzeptra Wien, AT
Linux Hardening Data Eng.

Hands-on "from Scratch". Operativer Fokus auf Low-Level Server-Management und massiver Datenverarbeitung. Aufbau von High-Performance Web-Scraping Architekturen und rigorose Härtung von GNU/Linux-Systemen.

Infra & Hardening

  • Server Ops: Instandhaltung von Linux-Servern und Monitoring via MRTG.
  • Privacy Engineering: Einsatz von Tor und Polipo zur Anonymisierung und Performance-Steigerung.

Data & Algo

  • Scraping: Entwicklung von Bots mit Selenium, PhantomJS und Perl.
  • Optimization: Nutzung von Inline-C sowie Soundex/Levenshtein Algorithmen für Datenqualität.
Linux Kernel Tor / Privacy Algorithm Design C / Perl

Akademischer Werdegang

M.Sc.

IT Security & Risk Management

FH Burgenland 2025

Strategischer Fokus

Brückenschlag zwischen technischer Sicherheit und Unternehmensführung. Fokus auf GRC (Governance, Risk, Compliance), um Sicherheit messbar und zum Business-Enabler zu machen.

Thesis: "Strategische Vorteile von herstellerneutralen IT-Security-Personenzertifizierungen in Österreich."

ISO 27001 ISMS Risk Frameworks Scientific Research
B.Eng.

Wirtschaftsingenieurwesen

HFH (Schwerpunkt Wirtschaftsinformatik) 2023

Interdisziplinäre Kompetenz

Verständnis für ökonomische Zusammenhänge und Prozessoptimierung. Sicherheit muss sich rechnen – hier bringe ich ROI-Betrachtung und Business-Logic in technische Projekte ein.

Thesis: "Buy and Hold vs. antizyklisches Investieren mit Indexfonds – ein Performancevergleich für Privatanleger bei einem langem Anlagehorizont"

Financial Math Process Engineering Statistics
Ing.

Technische Informatik

HTL Mödling 2012

Technisches Fundament

Tiefes technisches Verständnis "from scratch". Hardware-nahe Programmierung, Netzwerke und Elektrotechnik bilden das unverzichtbare Fundament, um OT/IoT-Systeme wirklich zu verstehen.

Low-Level Code Network Engineering Electronics

Zertifizierungen

Strategic Governance & Risk

CISSP

Elite-Level Information Security

Der globale Goldstandard. Nachweis interdisziplinärer Meisterschaft über alle 8 Sicherheitsdomänen (CBK) – von der physischen Sicherheit bis zur Softwareentwicklung.

Cloud & Tech Stack

CCSP

Cloud Security Arch.

Sicherheit für Cloud-Native Architekturen. Beherrschung des "Shared Responsibility Models" und komplexer Multi-Cloud-Umgebungen.

SSCP

Sec. Operations

Technische Implementierung und Härtung. Die operative "Hands-on"-Kompetenz zur Absicherung kritischer Infrastrukturen.

Security+

Vendor-Neutral Core

Herstellerneutrale Validierung operativer Kompetenz. Das essentielle, DoD-konforme Fundament für robuste Verteidigungslinien.

AI Assurance & Quality

CTFL

QA Foundations

Methodisches Fundament für strukturierte Software-Tests. Industriestandard für effizientes Testmanagement und Defect-Tracking.

Third-Party Verification

Zertifikate auf Credly prüfen Offizieller Nachweis digitaler Badges
● LIVE ENVIRONMENT

Enterprise Security Lab & Integrated GRC

Compliance auf dem Papier kann jeder fordern – ich baue und betreibe sie. Mein Home Lab ist eine produktive, hochverfügbare Service-Orientierte Architektur (SOA), in der ich Regulierungen wie ISO 27001 und NIS-2 nicht als Checkliste abarbeite, sondern ihre technische Implementierbarkeit unter Realbedingungen validiere. Jede Maßnahme muss lebbar sein, echten Mehrwert liefern und im Betrieb bestehen – nicht nur im Audit-Report.

GRC Hardening Immutable Zero Trust Offensive QA

Layer 1 — Governance, Risk & Compliance

Centralized GRC Platform

ISO 27001 · NIS-2 · Risk Management
ISMS auf Eramba Governance

Einsatz von Eramba als zentrale GRC-Plattform zur Abbildung von Risiken, Controls und Compliance-Vorgaben. Mein Server wird aktiv gegen die ISO 27001 getestet – nicht als theoretische Übung, sondern als realer Implementierungsnachweis. Die Ergebnisse zeigen bewusst Gaps auf, da der Fokus auf sinnvoller Umsetzbarkeit liegt, nicht auf 100%-Papier-Compliance.

Compliance Mapping Frameworks

Verknüpfung technischer Audits mit Business-Risiken und regulatorischen Anforderungen. Abbildung von Third-Party Risk Management, Asset-Inventar und Maßnahmentracking. Compliance wird als kontinuierlicher Prozess gelebt, nicht als jährliche Checkliste.

Integrated GRC
Eramba → Risk Register → Control Mapping → Audit Evidence → CISO Dashboard

Continuous Compliance

CIS Benchmarks · SIEM · Vulnerability Mgmt
CIS Benchmark Auditing Hardening

Automatisierte Prüfung der gesamten Infrastruktur gegen CIS Benchmarks via Wazuh. Abweichungen werden dokumentiert, bewertet und priorisiert – inklusive bewusster Akzeptanz bestimmter Gaps mit Begründung (Risk Acceptance statt blindem Abhaken).

SIEM & Log-Korrelation Detection

Wazuh XDR als zentrales SIEM zur Log-Aggregation, Echtzeit-Alarmierung und Korrelation sicherheitsrelevanter Events über Host, Netzwerk und Applikationsebene hinweg.

Vulnerability Management Operations

Greenbone (OpenVAS) für kontinuierliche, automatisierte Schwachstellen-Scans. Findings werden in Eramba als Risiken abgebildet und mit Controls verknüpft – die Brücke zwischen operativem Scan und strategischem Risikomanagement.

Geschlossener Kreislauf
Wazuh + Greenbone → Findings → Eramba Risk Register → Maßnahmen → Nachweis

Layer 2 — Technische Infrastruktur & Härtung

Multi-Tier Storage

Tiered RAID · BTRFS · Data Classification
Tiered RAID Architecture Performance

Drei dedizierte Storage-Tiers auf einem IBM ServeRAID M5110 Controller mit BBU-geschütztem Cache: RAID 5 (SSD) für das Betriebssystem, RAID 1 (2×3 TB) als Work-Tier für Container, Konfigurationen und Arbeitsdaten, sowie RAID 10 (6×4 TB) als Archiv-Tier für Backups und Medien. Der Controller-Cache ist exklusiv für OS- und Work-Tier reserviert, wo die Performance kritisch ist.

Self-Healing & Integrity Integrity

Nutzung von BTRFS Checksummen zur Erkennung von Bit-Rot (Silent Data Corruption). Automatisierte Reparatur beschädigter Blöcke aus dem RAID-Spiegel (Self-Healing). Regelmäßige Scrub-Jobs via Cron zur proaktiven Integritätsprüfung.

Smart Backup & Classification Logic

Intelligente Datenklassifizierung mittels setfattr / getfattr (Extended Attributes) stellt sicher, dass Daten je nach Klassifizierung gesichert werden. Client-seitige AES-256 Verschlüsselung erfolgt strikt vor dem Upload in die Cloud. Sicheres Löschen durch Crypto Shredding.

Forward Error Correction Resilience

Einsatz von par2 zur Erzeugung von 10% Redundanzdaten. Dies ermöglicht die mathematische Rekonstruktion defekter Archive auch nach partiellem Datenverlust.

Multi-Tier Backup
Snapshots (30min) → Local Archive → Offsite → Cloud (AES-256)

Defense-in-Depth

Network · Application · Host Layer
Layer 7 (WAF) Application

Gehärteter Apache Reverse Proxy mit ModSecurity und dem vollen OWASP Core Rule Set (CRS). Schützt proaktiv vor SQLi, XSS und Code Injection. Alle exponierten Services laufen hinter diesem Proxy – kein direkter Zugriff.

Intrusion Detection Network

Dualer Ansatz: Suricata (Signaturbasiert) für bekannte Bedrohungen + Zeek (Verhaltensbasiert) zur Erkennung von Anomalien im Traffic-Flow.

Aggressive Blocking Active Defense

Fail2Ban agiert als zentraler Aggregator für alle Sicherheitslogs. Egal ob PortSentry (Recon), Apache ModSec (Web) oder Suricata (IDS) einen Alarm auslöst – die IP wird sofort global auf allen Containern via iptables gesperrt.

Threat Intelligence Prevention

Automatisierter Download von Feodo Tracker und Emerging Threats IP-Listen fängt bekannte Botnetze und C2-Server am Gateway ab.

Active Defense
Fail2Ban + Geo-Blocking + Threat Intel Feeds + VLANs

DevSecOps & Immutable Infra

Container Security · IaC · Daily Rebuilds
Immutable Infrastructure Resilience

Strategie der "Daily Rebuilds": Container werden täglich automatisiert zerstört und frisch aus gepatchten Images neu gebaut. Verhindert Configuration Drift und persistente Malware.

Isolation & Segmentation Zero Trust

Strikte Trennung von IoT-Geräten (VLANs) und Nutzung von dedizierten Docker Bridge Networks ("Intern"), um Container-Kommunikation intern und vom Host zu isolieren. Kein Container hat direkten Internet-Zugang ohne Reverse Proxy.

Auto-Patching & Hardening Remediation

unattended-upgrades für automatisierte OS-Patches, debsecan zur laufenden CVE-Analyse. Kritische Schwachstellen werden via Cron-Jobs direkt in den Containern und auf dem Host gefixt – minimale "Time-to-Remediate".

Full Automation
IaC + Cron Orchestration: Patching, Rebuilds, CVE-Scan → RUNNING

Services & Cron Automation

Nextcloud · TLS · Backup · Maintenance
Nextcloud (Reverse Proxy) Services

Vollständige Nextcloud-Instanz hinter dem gehärteten Apache Reverse Proxy als zentrale Plattform für Kalender, Finanzverwaltung, Aufgaben, Notizen, Musik und Datenspeicher. Eine echte Cloud-Alternative im Eigenbetrieb – Datensouveränität inklusive.

TLS Certificate Automation Crypto

HTTPS-Zertifikate werden vollautomatisiert via Let's Encrypt / Certbot regelmäßig erneuert. Kein manueller Eingriff, kein abgelaufenes Zertifikat – Kryptografie als automatisierter Standard.

Automated Maintenance Operations

Umfassende Cron-Orchestrierung: Logrotate für Log-Management, BTRFS Scrub für Datenintegrität, automatisierte Snapshots und Backups aller Konfigurationen und Daten auf das Archiv-Tier – Disaster Recovery für den Fall eines SSD-Ausfalls.

Cron-Orchestrated Lifecycle
TLS Renewal · Snapshots · Backup · Scrub · Logrotate · Patching → AUTOMATED

Layer 3 — Quality Assurance & Offensive Security

Offensive Ops & PenTest

Automated Attack Chains · Exploitation
Automated PenTest Suite Offensive

Eigenentwicklung zur Orchestrierung komplexer Angriffsszenarien. Skriptbasierte Integration von Recon- und Exploitation-Tools: Nmap, Masscan, Gobuster, Feroxbuster (Discovery), WhatWeb, Wafw00f (Fingerprinting) sowie Nikto, Zap-Baseline und Nuclei (Scanning).

Exploitation & Validation Deep Dive

Gezielte Schwachstellenverifikation mittels spezialisierter Vektoren: Sqlmap & NoSQLMap (Injection), Xsstrike (XSS), Commix (Command Injection) und Hydra (Brute Force). Umfassende TLS/Crypto-Analyse via Testssl, Sslyze und SSH-Audit.

Custom Toolchain
Scripted Orchestration: Recon → Fingerprint → Scan → Exploit → Report

Code Analysis & AI QA

SAST · Supply Chain · Local LLM Review
Static Analysis (SAST) Whitebox

Shift-Left Security durch statische Analyse und Secret Scanning. Einsatz von Semgrep (Polyglot SAST), Trivy (Container- und Filesystem-Scanning) und Gitleaks zur Erkennung versehentlich committeter Secrets.

AI-Assisted Review (Qwen 3) Local LLM

Lokale Qwen 3 Instanz für KI-gestütztes Code Review, automatisierte PenTest-Auswertung und Security-Analyse. Keine Daten verlassen den Server – volle Datensouveränität bei der Nutzung von AI für Sicherheitsaufgaben.

Continuous Monitoring Observability

Laufende Überwachung aller Services und Infrastruktur-Komponenten. Sicherheitsrelevante Events aus Wazuh, Suricata und Fail2Ban werden korreliert und ausgewertet – der QA-Layer schließt den Feedback-Loop zur Governance.

Closed Feedback Loop
SAST + PenTest + AI Review + Monitoring → Findings → GRC Risk Register
DENKWEISE & FORSCHUNG

Evolutionäre Strategien für
komplexe Ökosysteme.

Meine Arbeit verbindet Finanzmathematik, Cybersicherheit und biologische Evolutionstheorie. Das Ziel: Statische Modelle durch dynamische, adaptive Systeme zu ersetzen, die in einer volatilen Welt nicht nur funktionieren, sondern überleben.

In der Finanzwelt hat die Moderne Portfoliotheorie (MPT) lange dominiert, scheitert aber regelmäßig an "Schwarzen Schwänen". In der IT-Sicherheit sehen wir dasselbe: Compliance-Checklisten versagen gegen adaptive Angreifer.

Warum "Evolutionäre Sicherheit"?
  • Adaptivität vor Optimierung: Lieber überlebensfähig als effizient.
  • Trust Anchors: Zertifikate als Währung des Vertrauens.
  • Short-Lived Assets: Verteidigungswert verfällt durch Mutation.

Evolutionäre Finanz

// Aus der Bachelorarbeit
"Die passive Strategie (Buy and Hold) gleicht einem Organismus mit hoher Überlebensfähigkeit, während aktive Strategien auf schnelle Reproduktion zielen."

Märkte sind keine perfekten Maschinen, sondern biologische Ökosysteme. Anlagestrategien konkurrieren wie Spezies um Kapital.

Kompetenz als Asset

// Aus der Masterarbeit
"Zertifizierungen transformieren die abstrakte Ressource 'Sicherheitskompetenz' in ein messbares, kommunizierbares und marktfähiges Asset."

Sicherheit darf kein Cost-Center sein. Durch Zertifizierung wird abstraktes Wissen in handelbare "Trust Anchors" transformiert.

Cyber-Ökologie

// Aus der Forschung
"Das Problem ist nicht, dass Cyber-Risiko teuer ist, sondern dass es akzeleriert. Statische Modelle versagen, weil sie keine Evolution abbilden."

Das "Co-evolutionäre Wettrüsten" zwischen Angreifern und Verteidigern erfordert den Abschied von statischen Sicherheitsmodellen.