AppSec: Markt

Stelle

eine offene Stelle, die das Qualitäts-Gate passiert hat und mindestens zwei Technologien nennt

Beobachteter Kandidat

ein Kandidat, dessen Stack diese Technologie enthält; ein Aggregat — kein einziger Datensatz verlässt den Perimeter

Matchbarer Kandidat

noch nicht gezählt

Fenster

Stellen, die zum Zeitpunkt der Erstellung des Snapshots offen waren

Junior — typischer Einstieg: 1) Backend Senior + Interesse an Sicherheit (Programmiertiefe ist bereits vorhanden, Security-Techniken fehlen), 2) Security Engineer Middle + Interesse an codenaher Arbeit, 3) Bug-Bounty-Hunter mit Erfolgsbilanz (Reputation bei HackerOne / Erfahrung mit privaten Programmen) → In-house-AppSec. Der Sprung Junior → Middle — nach der ersten End-to-End-Integration eines sicheren SDLC (SAST + SCA + Threat Model für ein Produkt erstellt) + der ersten Triage eines Befunds hoher Schwere. Middle → Senior — Verantwortung für AppSec mehrerer Produkte + Management des Bug-Bounty-Programms + Verantwortung für AppSec-Kennzahlen (typisches Mandat: die mittlere Zeit bis zur Behebung kritischer Befunde auf <7d senken). Senior → Staff / Principal / AppSec Architect — organisationsweite Secure-Design-Muster + Security-Referenzarchitekturen + Entwicklung von Product-Security-Schulungen. Karriereweg: Backend Senior (3-5 Jahre) + Interesse → AppSec Junior (1-2 Jahre) → Middle (2-3 Jahre) → Senior → entweder AppSec Architect, Bug Bounty / Security Researcher, API-Security-Spezialist, CISO-Pfad Product Security oder externe Security-Beratung.

Top 5: cloud, ci/cd, python, aws, kubernetes. Souveränes SAST: souveräne Beherrschung von Semgrep (auf dem Vormarsch 2026 — schnell + eigene Regeln in YAML + Community-Regelpakete — führend für neue Projekte), SonarQube / SonarCloud (ausgereift — Hybrid aus Codequalität + Sicherheit), CodeQL (GitHub Advanced Security — am besten für GitHub-native Unternehmen, semantische Abfragesprache), Checkmarx + Veracode + Synopsys Coverity (Enterprise). Russisch: Positive Technologies PT Application Inspector. Souveränes DAST: OWASP ZAP (kostenloser Standard — automatisierungsfreundlich über ZAP API / Docker), Burp Suite Professional (PortSwigger — Branchenstandard für manuelles Pentesting + Burp Collaborator für Blind-Schwachstellen + Burp Extensions), Acunetix, StackHawk (modernes DAST in CI), Detectify, Bright Security. Souveränes SCA: Snyk dominiert 2026 (beste UX + IDE-Plugins + automatische PR-Fixes), Dependabot (kostenlose Basis von GitHub), Renovate (fortgeschritten — besser für Monorepos), Sonatype Nexus IQ, FOSSA (Lizenz-Compliance), JFrog Xray. IAST: Contrast Security (führend — Laufzeit-Instrumentierung, agentenbasiert), HCL AppScan, Veracode IAST. API Security (auf dem Vormarsch 2024+): Salt Security (führend bei API Discovery + Posture), Noname Security, 42Crunch (OpenAPI-first — am besten für den Design-first-Ansatz), Traceable, Wallarm (russischen Ursprungs + global), Cequence. Kenntnis des Frameworks OWASP API Security Top 10. Threat-Modelling-Tools: Microsoft Threat Modeling Tool (kostenlos, Desktop), OWASP Threat Dragon (Open Source), IriusRisk (Enterprise-Automatisierung), Tutamen. Methodik STRIDE (Microsoft — Spoofing / Tampering / Repudiation / Information Disclosure / Denial of Service / Elevation of Privilege) + PASTA (prozessgetrieben, 7 Phasen) + LINDDUN (datenschutzorientiert) + Attack Trees. Bug-Bounty-Plattformen: HackerOne (größte), Bugcrowd, Intigriti (europäischer Marktführer), YesWeHack (französisch), Synack (geprüft, Premium). Russisch: Standoff Bug Bounty (PT — größte in Russland), Bug Bounty Russia. RASP: Contrast Protect, Imperva RASP, Signal Sciences. WAF: Cloudflare WAF (dominiert 2026), AWS WAF, Imperva, Fortinet FortiWeb, F5 Advanced WAF, Akamai App & API Protector. Russisch: Wallarm + Kaspersky DDoS + Qrator. Tools für Krypto-Review: testssl.sh + Qualys SSL Labs + cryptosense. Auth / Authz: OAuth 2.1 + OIDC + SAML in der Tiefe, JWT-Fallstricke in der Tiefe (alg=none + Key Confusion + Signature Stripping + abgelaufene Token), Session-Management, OWASP ASVS. Sprachspezifisches Schwachstellenwissen: Java (Log4Shell + JNDI + Deserialisierung), .NET (BinaryFormatter + ViewState), Python (pickle + YAML + Subprocess-Injection), JavaScript / TypeScript (Prototype Pollution + kontextabhängiges Encoding gegen XSS + npm-Supply-Chain), Go (Path Traversal + SSRF + TOCTOU), Rust (Audit von unsafe-Blöcken), C / C++ (Schwachstellen der Speichersicherheit). Sprachen für Tooling: Python primär, JS / TS, dazu Lesekenntnisse aller Zielsprachen.

Security Engineer (allgemein) — breite Abdeckung aller Sicherheitsdomänen. Fokus: SIEM-Betrieb + Schwachstellenmanagement + Identität + Netzwerk + Compliance. Siehe Security Engineer (allgemein). DevSecOps Engineer — Fokus auf Sicherheit in CI/CD-Pipelines + IaC-Sicherheit + Container-Laufzeit + Integrität der Lieferkette. Auf der Infrastrukturseite. Programmierlastig für Automatisierung. Siehe DevSecOps. AppSec Engineer (diese Seite) — Fokus auf Sicherheit des Produktcodes: Triage von SAST-Befunden, Threat Modelling für Features, Security Code Review, sichere Entwurfsmuster, Triage von Bug-Bounty-Meldungen, Sicherheitsschulungen für Entwickler, API-Sicherheit. Auf der Codeseite (statt Infrastrukturseite). Tiefere Programmierung, da mehrere Sprachen gefordert sind. Pentester / Ethical Hacker — Fokus auf Offensive — Dinge brechen, Schwachstellen durch aktive Ausnutzung finden. Siehe Penetration Tester / Red Team. Oft in Beratungen oder im Bug Bounty. Realität 2026 (Überschneidungs-Heatmap): AppSec ↔ DevSecOps: 50% (beide nutzen SAST/SCA, aber der Fokus unterscheidet sich). AppSec ↔ Pentester: 40% (beide denken offensiv, aber Pentester aktive Ausnutzung + AppSec präventiv). AppSec ↔ Security Engineer: 30% (AppSec tief in einer Domäne, Security Engineer in der Breite). Karrierewechsel: Backend Senior → AppSec Junior — 4-8 Monate (Programmiertiefe bereits vorhanden). Pentester / Bug Hunter → AppSec — 2-4 Monate (offensive Intuition ist übertragbar). DevSecOps Senior → AppSec — 2-4 Monate (Überschneidung im Sicherheitswissen). AppSec Senior → Product Security Architect — 2-4 Jahre. Welche Unternehmensgrößen welche Rolle nutzen: Kleine Startups — eine Person = alles (Hybrid aus Security Engineer / DevSecOps / AppSec). Mittelgroße (50-500 Ingenieure) — getrennte Rollen. Big Tech (Ingenieure) — das Product-Security-Team (Synonyme: AppSec / Product Security) ist eine von der Corporate Security getrennte Organisation.

Referenz-Pipeline für einen sicheren SDLC 2026 (Sicherheit in jede Phase des Softwareentwicklungszyklus integriert): 1) Sicherheitsschulungen (fortlaufend) — Entwickler durchlaufen OWASP Top 10 + Workshops zu sicherem Programmieren + sprachspezifische Schulungen zu Schwachstellen. Tools: SecureFlag, Codebashing (Checkmarx), Avatao (interaktive Schulungen). Pflicht: jährliche Auffrischung + Onboarding mit einem Sicherheitsmodul von 4+ Stunden. 2) Bedrohungsmodellierung (pro neuem Feature / größerer Änderung) — Sitzung nach der STRIDE-Methodik mit Produkt / Engineering / AppSec. Angriffsfläche + Gegenmaßnahmen dokumentieren. Tools: Microsoft Threat Modeling Tool / OWASP Threat Dragon / IriusRisk (Enterprise-Automatisierung). Ergebnis: Dokument zur Bedrohungsmodellierung, angehängt an das Designdokument. 3) Sicheres Design-Review — ein AppSec-Reviewer gibt Architekturentscheidungen frei, die die Sicherheit betreffen (Auth-Flows, Datenverarbeitung, Integrationen von Drittanbietern, Wahl der Kryptografie). 4) Pre-Commit-Hooks — lokale Git-Hooks mit Secrets-Scanning (GitLeaks / TruffleHog) + IDE-Plugins (Erweiterungen von Semgrep / SonarLint / Snyk markieren Schwachstellen live). Commits mit geleakten Secrets ablehnen. 5) Erstellen von PR / MR — automatisierte Prüfungen: SAST (Semgrep + CodeQL + SonarQube), SCA (Snyk + Dependabot — Schwachstellen in Abhängigkeiten markieren + automatische PRs mit Versionsanhebungen), IaC-Sicherheit (Checkov), Secrets-Scanning. Der PR wird bei kritischen Befunden blockiert. 6) Code-Review — sicherheitsrelevant markierte PRs ziehen automatisch das AppSec-Team hinzu. Manuelles Sicherheits-Code-Review für Features, die Auth / Kryptografie / Datenverarbeitung berühren. 7) Merge in main — vollständige Sicherheits-Scan-Suite in der CI: tieferes SAST (länger laufend), DAST-Scans der Staging-Umgebung (OWASP ZAP / StackHawk gegen Staging-API + UI), IAST (Contrast Security zur Laufzeit, falls installiert), Lizenz-Compliance-Scan (FOSSA / Snyk License Compliance). 8) Pentest vor dem Release (für große Features) — internes AppSec-Team oder externer Pentest-Einsatz. Standard-Pentest = Einsatz von 5-15 Tagen. 9) Bug-Bounty-Programm — öffentliches oder privates Programm auf HackerOne / Bugcrowd / Intigriti / Standoff (russisch). Triage eingehender Meldungen — typisches SLA: Erstreaktion 24 h, Validierung 5 T, Behebung 30-90 T je nach Schweregrad. 10) Kontinuierlich nach dem Release — Laufzeitüberwachung (RASP — Contrast Protect), Überwachung der API-Sicherheit (Salt / Noname / 42Crunch), Analyse der WAF-Logs (Cloudflare / AWS WAF), Dashboard mit Sicherheitskennzahlen (mittlere Behebungszeit pro Schweregrad, AppSec-Posture-Score, Anteil der Features mit sicherem Design-Review). Übergreifend: Verfolgte AppSec-Kennzahlen: MTTR (mittlere Behebungszeit) für Schwachstellen, Anteil der innerhalb des SLA geschlossenen Befunde hohen Schweregrads, Sicherheitsschulden im Zeitverlauf, Reifegrad nach OWASP SAMM / BSIMM, Schwachstellendichte pro KLOC. Compliance-Reporting: automatisierte Sammlung von Nachweisen für Audits nach SOC 2 / ISO 27001 / PCI-DSS (Drata / Vanta / Secureframe). Ein Senior AppSec verantwortet diese gesamte Pipeline + die Abstimmung der Fehlalarmquote + die Balance zwischen Sicherheit und Entwicklungsgeschwindigkeit.

Ja, 45% der Stellen als AppSec Engineer sind vollständig remote oder hybrid. AppSec-Arbeit besteht vor allem aus Code-Review + SaaS-Security-Tools + Remote-Zusammenarbeit mit Engineering-Teams. Outsourcing-Firmen — fast immer remote bei US-AppSec-Projekten. Russische Banken + Produktunternehmen — hybrid oder remote nach der Probezeit + Sicherheitsüberprüfung. Russische Security-Anbieter — hybrid oder remote nach Sicherheitsüberprüfung. Staatsunternehmen — hybrid/Büro wegen Sicherheitsfreigaben. Big Tech Product Security — Hybrid als Standard. Relokations-Hubs: Polen (Security-freundliche EU) / Deutschland / Kanada / Serbien. Englisch für internationale AppSec-Remote-Arbeit — Pflicht (Security-Community / OWASP / Defcon / Black Hat / Anbieterdokumentation von Snyk / Veracode — englischsprachig).

AppSec Engineer und Product Security Engineer sind nahezu synonyme Begriffe. Historischer Unterschied: AppSec Engineer ist der breitere Begriff (jedes Unternehmen), fokussiert auf Sicherheit in der Anwendungsschicht. Gleiche Aufgaben (Code Review + Threat Modelling + Secure Design + Bug-Bounty-Triage), aber typischerweise im Produktteam eingebettet (statt zentralem AppSec-Team). Bei Meta werden Product-Security-Engineer-Rollen dank der Größenordnung (Milliarden Nutzer sind von einer einzigen Sicherheitsentscheidung betroffen) im Premium-Gehaltsband + RSU vergütet. Karrierewahl: AppSec Engineer (allgemein), wenn Sie mittelgroße Unternehmen + breiteren Umfang wollen, Product Security Engineer (Big-Tech-spezifisch), wenn Sie Big-Tech-Gehälter + Wirkung auf eine Massennutzerbasis + einen langen Einstellungsprozess wollen. Bug Bounty Triager / Security Researcher (intern) — eine Unterspezialisierung von Product Security mit Fokus auf die Bearbeitung eingehender Bug-Bounty-Meldungen (Triage von Schweregrad + Reproduzierbarkeit + Behebung + Auszahlung der Prämien). Oft eine eigenständige Rolle in Unternehmen mit aktivem Bug-Bounty-Programm (HackerOne-Reputation Top-100).

Roadmap: 1) Programmieren auf Backend-Senior-Niveau — ohne Tiefe im Programmieren gibt es kein AppSec. Mindestens eine Sprache in der Tiefe (Python / Java / Go / .NET / JavaScript) + Lesekenntnisse in 2-3 weiteren. Das ist das Fundament. 2) OWASP Top 10 beherrschen — die offizielle OWASP Top 10 lesen (kostenloses PDF) + Schwachstellen in einem lokalen Labor nachstellen (DVWA + WebGoat + Juice Shop — alle kostenlos). „The Web Application Hacker's Handbook“ von Stuttard / Pinto (das kanonische AppSec-Buch — Pflichtlektüre). 3) OWASP ASVS (Application Security Verification Standard) — umfassende Checkliste, als Nachschlagewerk lesen. 4) Burp Suite beherrschen — PortSwigger Web Security Academy (kostenlos — das beste praktische AppSec-Training 2026, alle Labs sind Pflicht). Erwerben Sie den PortSwigger BSCP (Burp Suite Certified Practitioner) — ein Premium-Zertifikat für AppSec. 5) SAST in der Praxis — Semgrep beherrschen (eigene Regeln in YAML für die Muster Ihrer Codebasis schreiben + auf Open-Source-Projekten ausführen). CodeQL lernen (GitHub Advanced Security — kostenlos für Open-Source-Repos). 6) SCA in der Praxis — kostenloses Snyk-Kontingent + Dependabot für Ihr eigenes GitHub-Projekt einrichten. Priorisierung nach CVE / CVSS / EPSS verstehen. 7) Praxis der Bedrohungsmodellierung — STRIDE-Methodik + Microsoft Threat Modeling Tool. Auf ein Pet-Projekt anwenden. Buch: „Threat Modeling: Designing for Security“ von Adam Shostack (Pflichtlektüre für ernsthaftes AppSec). 8) Bug Bounty in der Praxis — ein Konto bei HackerOne / Bugcrowd / Intigriti / Standoff (russisch) anlegen. Mit öffentlichen Programmen + leicht erreichbaren Zielen beginnen (CSRF + XSS + SSRF + IDOR bei Startup-Zielen). Schon kleine Prämien stärken den Lebenslauf. 9) API-Sicherheit (im Aufwind 2024+) — OWASP API Security Top 10 + Labs von 42Crunch (kostenlos). API-Angriffe mit Burp + Postman üben. 10) Kryptografie für Entwickler — typische Fallstricke (JWT mit alg=none + ECB-Modus + unsicherer Zufall + Wiederverwendung von Schlüsseln + Length-Extension-Angriffe). Buch: „Practical Cryptography for Developers“ von Nakov (kostenlos online). 11) Sprachspezifische Schwachstellen in der Tiefe — nehmen Sie Ihre gewählte Sprache + studieren Sie ihre spezifischen Schwachstellen (Java-Deserialisierung / Python pickle / Prototype Pollution in Node.js / Path Traversal in Go). 12) Offensive Zertifikate (für die Glaubwürdigkeit im AppSec dringend empfohlen): OSCP (Offensive Security Certified Professional — breit offensiv) → OSWE (Offensive Security Web Expert — auf AppSec ausgerichtet — Premium für AppSec-Rollen) → OSCE (fortgeschrittene Ausnutzung). 13) Portfolio aus Pet-Projekten: a) vollständige Pipeline für einen sicheren SDLC (12 Phasen) für Ihr eigenes Projekt — als Portfolio dokumentieren; b) ein Paket eigener Semgrep-Regeln für eine bestimmte Schwachstellenklasse; c) Dokument zur Bedrohungsmodellierung für eine realistische Webanwendung; d) Reputation im Bug Bounty (HackerOne ≥50 Reputationspunkte durch gültige Befunde). International (EN): PortSwigger Web Security Academy (kostenlos — die beste Ressource 2026, Pflicht), SANS SEC542 Web App Penetration Testing (Premium), „Real-World Bug Hunting“ von Peter Yaworski (das kanonische Buch zu Bug Bounty), „Web Application Security“ von Andrew Hoffman (O'Reilly 2020). Pflichtlektüre: „The Web Application Hacker's Handbook“ von Stuttard / Pinto (kanonisch trotz seines Alters 2011), „Threat Modeling“ von Adam Shostack, „Real-World Cryptography“ von David Wong. Backend Senior + 6 Monate gezieltes AppSec-Training + Befunde im Bug Bounty → AppSec Junior. Backend Senior + 2-3 Jahre AppSec → Middle. Insgesamt 3-5 Jahre bis Senior AppSec.

793 active open AppSec Engineer positions. Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (Snyk / Veracode / Checkmarx / Synopsys / GitHub Advanced Security / HackerOne / Bugcrowd / Contrast Security — full-remote-friendly) + Big Tech Product Security. Time to close a Senior AppSec — 6-12 weeks (longer than general Security Engineer due to rare-skill combination — programming depth + multiple languages + security mindset + threat modelling experience).

Ein Senior AppSec Engineer verantwortet den gesamten Zyklus der Anwendungssicherheit + technische Führung. Programmierung auf Backend-Senior-Niveau: eine Sprache in der Tiefe (Python / Java / Go / .NET / TypeScript) + Lesekenntnisse der anderen. Muss sprachspezifische Schwachstellenklassen tief verstehen. Beherrschung von SAST: Erstellen eigener Semgrep-Regeln (in der Tiefe — geschäftslogikspezifische Sicherheitsregeln in YAML schreiben), CodeQL-Abfragen (semantische Analyse — Aufschlag in GitHub-nativen Unternehmen), eigene SonarQube-Regeln. Falsch-Positiv-Raten feinjustieren (typischer Auftrag: <10% Falsch-Positiv-Anteil). Beherrschung von DAST: Burp Suite Professional fortgeschritten (Erstellen von Burp Extensions + Burp Collaborator für blinde Schwachstellen + Burp Intruder fortgeschritten + Makros für authentifiziertes Scannen), Automatisierung von OWASP ZAP in der CI. Beherrschung von SCA: Feinjustierung der Snyk-Integration, Priorisierung von Schwachstellen in Abhängigkeiten (CVSS + EPSS + Exploitability Score + Analyse der tatsächlichen Nutzung), Umgang mit Lizenz-Compliance. Beherrschung von Threat Modelling: STRIDE-Methodik — Sessions für große Features leiten, PASTA (prozessgetrieben) für kritische Systeme, Erstellen von Attack Trees, Analyse der Angriffsfläche. Beherrschung von Secure Design: Review sicherheitsrelevanter Architekturentscheidungen (Auth-Flows + Wahl der Kryptografie + Datenhandling + Integrationen von Drittanbietern), Design-Review-Checkliste auf Basis von OWASP ASVS. Auth / Authz in der Tiefe: OAuth 2.1 + OIDC + SAML fortgeschritten (PKCE + Token-Rotation + Audience-Validierung + RP-Initiated Logout), Fallstricke von JWT in der Tiefe (alg=none + Key Confusion + Unterschiede JWS / JWE + Signature Stripping), Muster für Session-Management (HTTPOnly + SameSite + CSRF-Tokens + Token Binding). Review von Kryptografie: Review der TLS-Konfiguration (Auswahl der Cipher Suites + Perfect Forward Secrecy + Zertifikatsverwaltung), angewandte Kryptografie (korrekter Zufall + Einsatz symmetrisch vs. asymmetrisch + Schlüsselverwaltung + HSM-Integration). Beherrschung von API-Sicherheit: OWASP API Security Top 10 — Broken Object Level Authorization (BOLA), Broken Authentication, Excessive Data Exposure, fehlendes Rate Limiting usw. Integrationsmuster für Salt / Noname / 42Crunch. Management von Bug-Bounty-Programmen: Triage-Methodik (Schweregrad + Reproduzierbarkeit + Bewertung der Auswirkung), Pflege der Beziehungen zu Researchern, öffentliche Kommunikation, Entscheidungen über Auszahlungen, CVE-Koordination. Offenlegung von Schwachstellen: CVD-Programme entwerfen, Prozess der CVE-Vergabe (CNA-Rolle, falls zutreffend), Verfassen von Advisories für Kunden. Verantwortung für AppSec-Kennzahlen: Automatisierung der MTTR je Schweregrad, Bewertung der AppSec-Lage, Reifegrad-Benchmarking nach OWASP SAMM / BSIMM, Berichte an den CISO. Compliance-Frameworks: Audit-Unterstützung für SOC 2 + ISO 27001 + PCI-DSS, automatisierte Beweissammlung. Erfahrung mit Offensive Security: Zertifizierungen OSCP / OSWE / OSCE dringend empfohlen — das Verständnis der Angreiferperspektive macht einen besseren Verteidiger. Programmierung für Tooling: Python in der Tiefe für eigene Sicherheitsautomatisierung + Entwicklung von Lintern / Scannern. Systementwurf für Sicherheit: sichere Architekturen am Whiteboard entwerfen, Threat Modelling in Design Reviews von Features, Zero-Trust-Anwendungsarchitektur entwerfen. Soft Skills: Verfassen von ADRs für Sicherheitsentscheidungen, Entwicklung von Sicherheitsschulungen für Ingenieure (Workshops + Onboarding + AppSec-Buchclub), Code Review für Sicherheitsbefunde, Kommunikation mit der Führungsebene (Schwachstellenberichte an das Management), Mentoring von Middle AppSec Engineers. Englisch ab Senior+ PFLICHT — AppSec-Community / OWASP / Defcon / Black Hat / Anbieterdokumentation sind komplett englischsprachig. Optionaler Bonus: veröffentlichte CVEs (CVE-Inhaber — Aufschlag bei Einstellungen im Frontier-AppSec-Bereich), Bug-Bounty-Reputation (Top-100-Reputation auf HackerOne), Konferenzvorträge (DEF CON AppSec Village / OWASP AppSec / Black Hat), Open-Source-Beiträge zu Sicherheitstools (Semgrep-Regeln / OWASP ZAP / Snyk-Plugins) — steigern den Marktwert bei Einstellungen in Big-Tech-Product-Security + bei Premium-Sicherheitsanbietern deutlich.