Security Engineering Lead (m/w/d)

Shopware ist ein führendes E-Commerce-System, das es Unternehmen weltweit ermöglicht, im digitalen Handel schnell und effizient zu skalieren. Als zukunftsweisende Open-Source-Lösung wird Shopware bereits von einigen der größten europäischen Marken, Einzelhändlern und Herstellern im B2C- und B2B-Bereich eingesetzt. Baue eine dauerhafte Product-Security-Engineering-Funktion für die Shopware-Produkte auf. Das Team verhindert wiederkehrende Schwachstellenklassen, schafft klare Zuständigkeiten und Reaktionszeiten für Sicherheitsaufgaben und unterstützt die Produktteams dabei, Risiken zu beheben, bevor daraus Sicherheitsvorfälle mit Auswirkungen auf Kundinnen und Kunden entstehen. Product Security Engineering ist von der bestehenden SecOps- bzw. Information-Security-Funktion abgegrenzt. Die Funktion verantwortet die Ergebnisse im Bereich Product Security Engineering und das Betriebsmodell für diese Arbeit. Sie ersetzt weder die Governance durch InfoSec noch die Verantwortung der Engineering-Domänen, die Freigabe durch Quality oder Product Operations. Entwickle und leite eine risikobasierte Product-Security-Roadmap für Commerce Core, Services und weitere Produktbereiche. Sorge für eine ausgewogene Gewichtung von Prävention, Erkennung, Incident-Bereitschaft und Behebung. Verantworte das Modell für Eingang und Triage von Product-Security-Findings aus externen Meldungen, Bug-Bounty-Programmen, Penetrationstests, Dependency-Sicherheitshinweisen, internen Entdeckungen und Nacharbeiten zu Sicherheitsvorfällen. Vereinbare Schweregrade und Reaktionsziele mit den Domänenverantwortlichen und InfoSec, leite jeden Vorgang an den zuständigen Code Owner weiter und mache die laufenden Reaktionsfristen sichtbar. Arbeite selbst aktiv mit: Erstelle Threat Models für sicherheitskritische Änderungen, prüfe risikoreiche Designs, untersuche Schwachstellen und implementiere besonders wirksame Sicherheitskontrollen in gemeinsam genutzten Produktkomponenten oder entwickle sie gemeinsam mit anderen. Etabliere wiederholbare Vorgehensweisen für sicheres Design, Sicherheitsreviews, Tests von Missbrauchsszenarien, Dependency- und Code-Scanning, die Offenlegung von Schwachstellen und Incident-Bereitschaft. Koordiniere produktübergreifende Sicherheitsarbeit über eine vereinbarte Dokumentation: GHSA für Angaben zur Offenlegung, ein privates GitHub-Issue oder Epic für Fixes und Backports sowie eine Confluence-Seite zum Sicherheitsvorfall oder Release für Rollen, Entscheidungen, QA-Status und Kommunikationsbereitschaft. Nutze Slack für die operative Abstimmung und verlinke getroffene Entscheidungen zurück in die Dokumentation. Weise gemeinsam mit den Engineering Leads jedem bestätigten Problem eine technisch verantwortliche Person und einen Fälligkeitstermin zu. Eskaliere blockierte Behebungen und verbleibende Risiken über die etablierten Entscheidungswege von Product, InfoSec und der Führungsebene. Verbessere die Sicherheitsabdeckung für unterstützte Versionen und zugehörige Produkte, darunter das Security Plugin, Commercial-Komponenten, Services sowie relevante App- und Extension-Schnittstellen. Leite die technische Aufarbeitung nach Sicherheitsvorfällen und Releases. Überführe Ursachen in konkrete Präventionsmaßnahmen mit klarer Verantwortung, Tests, Tools oder Designänderungen und verfolge, ob diese Änderungen Wiederholungen reduzieren. Fördere und entwickle die beiden Engineers weiter, stelle die Abdeckung von Commerce Core und Services sicher und mache die Arbeit des Teams in der Produktplanung sichtbar. Arbeite mit InfoSec, Product Operations, Quality Operations, DevRel, Legal, Customer Support und der Product-Leitung an Entscheidungen zu Sicherheitsrichtlinien, Reaktionen, Releases und Kommunikation. Das bringst du mit: Fundierte praktische Erfahrung in der Softwareentwicklung und nachweisbare Erfolge bei der Verbesserung der Sicherheit produktiv eingesetzter Produkte. Praktische Kenntnisse in der Anwendungssicherheit, insbesondere zu Authenti