DevSecOps: Markt

Stelle

eine offene Stelle, die das Qualitäts-Gate passiert hat und mindestens zwei Technologien nennt

Beobachteter Kandidat

ein Kandidat, dessen Stack diese Technologie enthält; ein Aggregat — kein einziger Datensatz verlässt den Perimeter

Matchbarer Kandidat

noch nicht gezählt

Fenster

Stellen, die zum Zeitpunkt der Erstellung des Snapshots offen waren

Junior — selten (typischer Einstieg: DevOps Middle mit Interesse an Sicherheit oder Application Security Engineer Middle mit Interesse an DevOps). Der Sprung Junior → Middle — nach der ersten End-to-End-Integration einer Security-Pipeline (SAST + SCA + Container-Scanning + Secrets-Scanning in CI/CD). Middle → Senior — teamübergreifende Verantwortung für die Security-Pipeline + Compliance-Automatisierung (auditfähige Automatisierung für SOC 2 / ISO 27001 / PCI-DSS) + Einrichtung von Runtime Security. Senior → Staff / Principal — organisationsweite Sicherheitsarchitektur + Threat Modelling + Integration mit dem Product-Security-Team. Karriereweg: DevOps Middle (2-3 Jahre) + Interesse → DevSecOps Junior (1-2 Jahre) → Middle (2-3 Jahre) → Senior → entweder Staff / Principal DevSecOps, CISO-Pfad, Cloud Security Engineer oder AppSec-Spezialist.

Top 5: devsecops, devops, aws, sre, cloud. SAST-Tools: Semgrep (auf dem Vormarsch 2026 — schnell + eigene Regeln + Community-Regelpakete), SonarQube (ausgereift), CodeQL (GitHub Advanced Security — am besten für GitHub-native Unternehmen), Checkmarx (Enterprise), Veracode. DAST-Tools: OWASP ZAP (kostenloser Standard), Burp Suite (Professional — Portswigger), Acunetix, StackHawk (modernes DAST in CI). SCA (Software Composition Analysis): Snyk dominiert 2026 (beste UX + Integrationen), Dependabot (kostenlose Basis von GitHub), Renovate (fortgeschrittene automatische PRs — für Monorepos besser als Dependabot), Sonatype Nexus IQ, JFrog Xray. Container-Sicherheit: Trivy (Aqua, Open Source — Standard 2026 für Image-Scanning in CI), Grype (Anchore), Snyk Container, Twistlock / Prisma Cloud (Palo Alto Enterprise), Aqua Security. IaC-Sicherheit: Checkov (Bridgecrew / Palo Alto — am besten für Terraform/CloudFormation), tfsec, KICS (Checkmarx), Terrascan. Secrets-Scanning: GitLeaks, TruffleHog (am besten für historische Scans), Detect Secrets (Yelp). Supply-Chain-Sicherheit: Sigstore + cosign (Signierung + Verifizierung von Images — Linux Foundation), SLSA-Framework Level 1-4, SBOM-Erzeugung (Syft) + Scanning (Grype + Trivy), in-toto-Attestierungen. Policy as Code: OPA (Open Policy Agent) + Gatekeeper für Admission Policies in K8s + Conftest für CI-Policies, Kyverno (aufstrebende Policy-Alternative für K8s — einfacher als OPA). Laufzeitsicherheit: Falco (CNCF — eBPF-basiertes Syscall-Monitoring), Cilium Tetragon (neuere eBPF-Security-Observability), Tracee (Aqua). Secrets Management: HashiCorp Vault (Branchenstandard — Engines Transit / KV / Database / PKI), cloud-native (AWS Secrets Manager / Parameter Store + GCP Secret Manager + Azure Key Vault), External Secrets Operator (K8s — holt aus Vault / Cloud-Secret-Managern). Cloud-Sicherheit: cloud-native (AWS GuardDuty + Security Hub + Macie + IAM Access Analyzer / GCP Security Command Center / Azure Sentinel + Defender for Cloud) + CSPM-Tools (Wiz (Premium 2026), Lacework, Prisma Cloud, Orca Security). Threat Modelling: Methodik STRIDE, Microsoft Threat Modeling Tool, OWASP Threat Dragon. Compliance-Automatisierung: AWS Config Rules + Conformance Packs, GCP Forseti, Azure Policy. Sprachen: Python primär (für eigenes Security-Tooling).

DevOps Engineer — Fokus auf CI/CD + Infrastruktur. Sicherheit ist Teil der Arbeit (Grundlagen wie Secrets Management, IAM), aber nicht die Kernkompetenz. Siehe DevOps Engineer (allgemein). Security Engineer (allgemein) — Fokus auf Sicherheit in der gesamten Organisation: Netzwerksicherheit, Endpoint-Sicherheit, Identity- / Access-Management, Incident Response, Sicherheitsarchitektur, Bedrohungserkennung (SOC-Analystenarbeit). Arbeitet möglicherweise NICHT mit CI/CD-Pipelines. Wenig Programmierung. Siehe Security Engineer (allgemein) (sobald die Seite online ist). DevSecOps Engineer (diese Seite) — Schnittmenge von DevOps + Security. Speziell fokussiert auf Sicherheit INNERHALB von CI/CD-Pipelines + Sicherheit von Infrastructure as Code + Container-Sicherheit zur Laufzeit + Integrität der Supply Chain. Programmierlastig (eigene Security-Tools in Python). Application Security Engineer (AppSec) — Fokus auf die Sicherheit des Produktcodes (Triage von SAST-Befunden, Threat Modelling für Features, Security Code Review, Sicherheitsschulungen für Entwickler). Kann sich mit DevSecOps überschneiden, konzentriert sich aber auf den Produktcode (nicht die Infrastruktur). Cloud Security Engineer — Fokus auf cloudspezifische Sicherheit (IAM-Meisterschaft + KMS + Cloud-native Sicherheitsdienste + CSPM-Tools — Wiz / Lacework / Orca). Überschneidet sich oft mit DevSecOps + Cloud Engineer. Siehe Cloud Security. Karrierewechsel: DevOps Middle → DevSecOps in 4-8 Monaten (Security-Tools + Grundlagen des Threat Modelling nötig). AppSec Engineer ↔ DevSecOps in 2-4 Monaten (viel gemeinsames Wissen). Security Engineer allgemein → DevSecOps in 6-12 Monaten (DevOps-Stack muss gestärkt werden).

Referenz-Pipeline für Shift-Left-Sicherheit 2026 (Sicherheitsprüfungen in jeder Phase des Entwicklungszyklus): 1) Pre-Commit-Hooks — lokale Git-Hooks mit Secrets-Scanning (GitLeaks) + IaC-Linting (Checkov / tfsec). Commits mit geleakten Secrets ODER unsicheren IaC-Mustern ablehnen. 2) IDE-Plugins — Erweiterungen von Semgrep / SonarLint / Snyk für IntelliJ / VS Code — markierte Schwachstellen erscheinen in der IDE noch vor dem Commit. 3) Erstellen von PR / MR — automatisierte Prüfungen: SAST (Semgrep / CodeQL / SonarQube), SCA (Snyk / Dependabot — Schwachstellen in Abhängigkeiten markieren + automatische Versionsanhebungen vorschlagen), IaC-Sicherheit (Checkov), Secrets-Scanning (GitLeaks / TruffleHog). Der PR wird bei kritischen Befunden blockiert. 4) Code-Review — sicherheitsrelevant markierte PRs ziehen automatisch das Security-Team zum Review hinzu. Review der Bedrohungsmodellierung für neue Architektur-Features. 5) Merge in main — vollständige Sicherheits-Scan-Suite in der CI: tieferes SAST (länger laufend), DAST-Scans der Staging-Umgebung (OWASP ZAP / StackHawk gegen die Staging-API), Lizenz-Compliance-Scan (Snyk License Compliance / FOSSA). 6) Container-Build — Multi-Stage-Builds + Distroless-Basis-Images + Scan mit Trivy / Snyk Container nach dem Build. Builds mit kritischen CVEs ablehnen. 7) Signierung von Images — Signierung mit Sigstore cosign im Keyless-Modus (OIDC-basiert) + Erzeugung einer SBOM (Syft). Signierte Images + SBOM in die OCI-Registry pushen. 8) Admission Control — ein K8s-Admission-Webhook (OPA Gatekeeper / Kyverno) prüft Image-Signaturen (cosign) + Sicherheitsrichtlinien (keine privilegierten Container, kein Host-Network, Pflicht-Labels, RBAC-Compliance). 9) Laufzeitsicherheit — Falco / Cilium Tetragon erkennt auffällige Syscalls + Prozesse + Netzwerkverbindungen. Alarme bei verdächtiger Aktivität (z. B. Start einer Shell in einem Produktionscontainer, nicht autorisierte Netzwerkverbindung, Verletzung der Dateiintegrität). 10) Überwachung der Cloud-Konfiguration — CSPM (Wiz / Lacework / Prisma Cloud / Orca) scannt Cloud-Konfigurationen kontinuierlich auf Abweichungen von der sicheren Baseline. Automatische Behebung bei Standardverstößen. 11) Schwachstellenmanagement — zentrales Dashboard (Snyk Hub / Dependabot Alerts / DefectDojo) für Nachverfolgung + Priorisierung + Zuweisung + Durchsetzung des SLA (Critical-Fix in 7 T, High in 30 T, Medium in 90 T). 12) Compliance-Reporting — automatisierte Sammlung von Nachweisen für Audits nach SOC 2 / ISO 27001 / PCI-DSS / HIPAA (Drata / Vanta / Secureframe). Kontinuierliche Compliance statt Panik vor dem jährlichen Audit. Verfolgte Pipeline-Kennzahlen: mittlere Behebungszeit (MTTR) für Schwachstellen, Anteil der PRs mit Sicherheitsbefunden, Sicherheitsschulden im Zeitverlauf, Compliance-Posture-Score. Ein Senior DevSecOps verantwortet diese gesamte Pipeline + die Abstimmung der Fehlalarmquote + die Balance zwischen Sicherheit und Entwicklungsgeschwindigkeit.

Ja, 87% der DevSecOps-Stellen sind vollständig remote oder hybrid. DevSecOps-Arbeit ist standardmäßig cloudbasiert. Outsourcing-Firmen — fast immer remote bei US-Projekten. Russische Produktunternehmen — hybrid oder remote nach der Probezeit. Russische Banken — hybrid/Büro wegen Security-Compliance, aber remote ist nach Sicherheitsüberprüfung möglich. Internationale Tech-Unternehmen — vollständig remote als Standard. Big Tech — Hybrid als Standard. Relokations-Hubs: Polen / Deutschland (DevSecOps-freundlich) / Kanada / Serbien / Georgien. Englisch für internationale DevSecOps-Remote-Arbeit — Pflicht (die Security-Community und die meisten Ressourcen sind englischsprachig).

DevSecOps Engineer — Sicherheitsfokus auf der Infrastrukturebene: CI/CD-Pipelines, IaC-Sicherheit, Container-Sicherheit, Laufzeitsicherheit, Integrität der Supply Chain, Cloud-Konfigurationen. Programmierung in Python für Security-Automatisierung. Application Security Engineer (AppSec) — Sicherheitsfokus auf der Ebene des Produktcodes: Triage von SAST-Befunden (False Positives herausfiltern + gültige zuweisen), Threat Modelling für neue Features (STRIDE-Methodik), Security Code Review (manuell + toolgestützt), Sicherheitsschulungen für Entwickler, Management des Bug-Bounty-Programms, Sicherheitstests von Features vor dem Release. Programmierlastig (Code in mehreren Sprachen muss tief verstanden werden). Überschneidung: ~50% — beide kennen SAST-Tools, OWASP Top 10, sichere Coding-Patterns. DevSecOps — tief in den Tools, AppSec — tief im Code. Karrierewechsel: einfacher lateraler Wechsel (2-4 Monate). Typische Unternehmensstruktur: kleine Organisation — eine Person macht beides (hybride Rolle DevSecOps + AppSec). Mittlere Organisation — getrennte Rollen, beide berichten an den CISO. Großunternehmen (FAANG / Banken) — AppSec-Team innerhalb der Produktsicherheit, DevSecOps-Team innerhalb der Plattformsicherheit. Gehalt vergleichbar — beide liegen im Premiumsegment über dem allgemeinen Senior DevOps. Karrierewahl: DevSecOps, wenn Sie tiefe Arbeit an Infrastruktur + Betrieb + Automatisierung reizt, AppSec, wenn Sie tiefe Arbeit an Produktcode + Threat Modelling + Sicherheitsarchitektur reizt. AppSec trägt oft mehr Verantwortung für Kunden- / Geschäftswirkung (Design von Sicherheitsfeatures).

Roadmap: 1) Solide DevOps-Basis — Linux + Docker + Kubernetes (CKA) + IaC (Terraform) + eine Cloud + CI/CD. Ohne sie hat der Weg ins DevSecOps keinen Sinn. 2) Sicherheitsgrundlagen — tiefes Verständnis der OWASP Top 10 (Schwachstellen von Webanwendungen), CIA-Triade (Vertraulichkeit / Integrität / Verfügbarkeit), Grundlagen von Identity / Access Management, Grundlagen der Kryptografie (symmetrisch / asymmetrisch / Hashing — aus angewandter Sicht). Bücher: „The Web Application Hacker's Handbook“ von Stuttard / Pinto, „Practical Cryptography for Developers“ von Nakov. 3) Eine Programmiersprache in der Tiefe: Python (Standard für Sicherheitsautomatisierung) oder Go (für eigene Tools). 4) SAST + SCA beherrschen — Semgrep + Snyk + Dependabot in einem persönlichen GitHub-Projekt einrichten. Die Triage von Fehlalarmen verstehen. Eigene Semgrep-Regeln schreiben. 5) Container-Sicherheit — Trivy beherrschen (Scans + SBOM), Distroless-Images, Multi-Stage-Builds, Auswahl sicherer Basis-Images. Signierung von Images mit Sigstore cosign einrichten. 6) IaC-Sicherheit — Checkov für Terraform / CloudFormation beherrschen. In CI/CD einrichten. 7) Secrets-Management — HashiCorp Vault in der Tiefe (Engines Transit / KV / Database / PKI), External Secrets Operator in K8s einrichten. 8) Policy as Code — OPA Gatekeeper für die Admission Control in K8s + Conftest für CI-Richtlinien. Praxisnahe Richtlinien schreiben. 9) Cloud-Sicherheit in der Tiefe — IAM beherrschen (Least-Privilege-Design + Automatisierung), Integrationsmuster für KMS, Cloud-native Sicherheitsdienste (GuardDuty + Security Hub / Security Command Center / Sentinel). Zertifizierung AWS Security Specialty (Premium-Zertifikat). 10) Laufzeitsicherheit — Falco auf einem K8s-Cluster einrichten, eigene Regeln schreiben, Alarme in ein SIEM integrieren. 11) Bedrohungsmodellierung — STRIDE-Methodik (Microsoft), „Threat Modeling: Designing for Security“ von Adam Shostack. Auf Ihr eigenes Projekt anwenden. 12) Grundlagen von Compliance-Frameworks — SOC 2 / ISO 27001 / PCI-DSS / HIPAA — was sie verlangen, wie man die Sammlung von Nachweisen automatisiert (Drata / Vanta / Secureframe). 13) Fortgeschrittenes Pet-Projekt: eine vollständige Shift-Left-Sicherheitspipeline (12 Phasen) für Ihr eigenes Projekt bauen — als Portfolio dokumentieren. 14) Offensive Sicherheit als Bonus (nicht erforderlich, aber Premium): Zertifizierung OSCP (Offensive Security Certified Professional), HackTheBox / TryHackMe / PortSwigger Web Security Academy. Die Perspektive des Angreifers zu verstehen verbessert die Verteidigung deutlich. Russische Kurse: Otus „DevSecOps“, Slurm DevSecOps, Karpov.Courses DevSecOps, BI.ZONE Cybersecurity Academy. International (EN): SANS-Kurse (Premium, aber die besten — SEC540 Cloud Security & DevOps Automation), Kurse von „Practical DevSecOps“, kostenlose OWASP-Ressourcen, The DevSecOps Handbook. Pflichtlektüre: „Securing DevOps“ von Vehent (kanonisch), „Container Security“ von Liz Rice, „Cloud Native Security“ von Liz Rice. DevOps Middle + Interesse an Sicherheit → DevSecOps Junior — 4-8 Monate.

244 active open DevSecOps positions — growing security-shift specialisation. Geography: the US, Poland, Singapore. The real market is broader thanks to the international remote segment. Time to close a Senior DevSecOps role — 6-12 weeks (longer than general DevOps due to rare-skill combination + background-check requirements at banks).

Ein Senior DevSecOps verantwortet den gesamten Zyklus aus Security Engineering + DevOps + technischer Führung. Sicherheitsgrundlagen in der Tiefe: Beherrschung der OWASP Top 10, angewandte Kryptografie (TLS-Konfiguration, Schlüsselrotation, HSM-Integration), Zero-Trust-Architektur, Kenntnis des MITRE-ATT&CK-Frameworks für Threat Modelling. Beherrschung von SAST + SCA: Erstellen eigener Semgrep-Regeln (in der Tiefe — geschäftslogikspezifische Sicherheitsregeln schreiben), CodeQL-Abfragen für GitHub Advanced Security, Feinjustierung der Snyk-Integration (Umgang mit Falsch-Positiven). Beherrschung der Container-Sicherheit: Trivy fortgeschritten (eigene Checks + SBOM-Workflows), Strategie für Distroless-Images, Signieren von Images mit Sigstore (schlüsselloser OIDC-Modus), Supply-Chain-Attestierungen (in-toto / SLSA L3+). Beherrschung von IaC-Sicherheit: Entwicklung eigener Checkov-Checks, Sicherheitsmuster für Terraform, Automatisierung Cloud-nativer Sicherheits-Baselines. Beherrschung von Policy as Code: die OPA-Sprache Rego in der Tiefe, komplexe Richtlinien mit mehreren Bedingungen, Gatekeeper / Kyverno in produktivem K8s. Beherrschung der Laufzeitsicherheit: eigene Falco-Regeln in Lua / YAML, eBPF-Richtlinien mit Cilium Tetragon, Integration mit SIEM (Splunk / Elastic Security / Sentinel) und SOAR (Tines / Torq / Splunk SOAR / Cortex XSOAR). Cloud-Sicherheit in der Tiefe: Beherrschung von IAM (Least-Privilege-Automatisierung über mehrere Konten), Integrationsmuster für KMS (Envelope Encryption, Automatisierung der Schlüsselrotation), Cloud-native Sicherheitsdienste fortgeschritten (eigene GuardDuty-Detektoren / eigene Security-Hub-Integrationen / Security Command Center / Sentinel-Automatisierung). Beherrschung von CSPM-Tools (Wiz / Lacework / Prisma Cloud) — ein typischer Senior verantwortet CSPM-gesteuerte Behebungs-Workflows. Beherrschung von Vault: HashiCorp Vault fortgeschritten (Transit für Encryption-as-a-Service, Database Engines für dynamische Zugangsdaten, PKI Engine für interne Zertifikate, Integration von Auth-Methoden mit K8s / OIDC / AWS / Cloud-Plattformen). Beherrschung von Threat Modelling: STRIDE-Methodik, Leitung von Design Reviews, Analyse der Angriffsfläche. Beherrschung der Compliance-Automatisierung: SOC 2 / ISO 27001 / PCI-DSS / HIPAA — Systeme zur automatisierten Beweissammlung entwerfen (Integration von Drata / Vanta / Secureframe oder Eigenentwicklung). Incident Response: Sicherheitsvorfälle leiten, Grundlagen der Forensik, Verfassen von Post-Mortems. Programmierung: Python in der Tiefe + Go-Grundlagen für eigene Sicherheitsautomatisierung. Systementwurf für Sicherheit: Zero-Trust-Architektur am Whiteboard entwerfen, ein Programm für Supply-Chain-Sicherheit End-to-End entwerfen, eine Multi-Region-Strategie für das Schlüsselmanagement entwerfen. Soft Skills: Verfassen von ADRs für Sicherheitsentscheidungen, Entwicklung von Sicherheitsschulungen für Ingenieure, Kommunikation mit der Führungsebene (Berichte zur Sicherheitslage an CISO / Vorstand), Mentoring von Middle DevSecOps. Englisch ab Senior+ PFLICHT — Security-Community / OWASP / Defcon / Black Hat sind englischsprachig. Optionaler Bonus: Hintergrund in Offensive Security (OSCP / OSCE), Open-Source-Beiträge zu Sicherheitstools (Trivy / Falco / Vault / OPA / Cilium Tetragon), Vorträge auf Sicherheitskonferenzen — steigern den Marktwert deutlich.