Über mich
Ich habe bei Servern angefangen, nicht bei Buttons. Das merkt man den Sachen an, die ich baue.
Wer das macht
Angefangen habe ich bei der Hardware, mit einer Ausbildung zum Elektroniker. Seit 2006 betreibe ich parallel Webhosting, Domains und DNS auf eigene Rechnung, ziehe Server, Datenbanken und ganze CMS-Installationen um — und habe im selben Jahr die Serverinfrastruktur eines Netzwerks rund um 3D und Computergrafik übernommen, das mir bis heute gehört. Wer einmal nachts eine Migration zurückgeholt hat, entwickelt ein anderes Verhältnis zu der Frage, was eine Website eigentlich ist: kein Bild, sondern ein System, das läuft — oder eben nicht.
Das Studium der Interaktiven Medien an der Hochschule Augsburg hat die zweite Hälfte dazugelegt. Gestaltung und Technik lagen dort im selben Studiengang, und genau so arbeite ich seitdem: Ich entwerfe, was ich später selbst umsetze. Das spart die Übergabe — und damit den Moment, in dem ein Entwurf auf ein „geht technisch leider nicht" trifft.
Bei der Agentur anfema in München bin ich in neun Jahren vom Werkstudenten zum Lead Fullstack Frontend Engineer geworden, zuletzt mit fachlicher Führung eines Teams aus festen Entwicklern, Werkstudenten und Freelancern. Dort ging es um Software, die jahrelang laufen und wachsen muss: eine Promoter-Plattform für mehrere tausend Nutzer, für die ich auch die Produktverantwortung trug, vier Jahre Entwicklung für die Boston Consulting Group, Knaufs Augmented-Reality-Planer, dazu Arbeiten für Audi, BMW, Takeda und Zurich.
Seit 2024 bin ich Information Security Officer einer Unternehmensgruppe mit rund 600 Mitarbeitenden in sechs Ländern: ISO 27001, TISAX, SOC 2 und NIS2 liegen bei mir. Den Wechsel des gesamten ISMS auf ISO 27001:2022 habe ich allein verantwortet. Und weil kein Standardprodukt abbildete, was dabei tatsächlich gebraucht wird, habe ich die GRC-Plattform selbst gebaut — SvelteKit, Node, Postgres, AWS. Sie führt inzwischen dreizehn Normen in einem einzigen Kontrollmodell zusammen. Sicherheitsarbeit und Softwareentwicklung sind für mich dasselbe Handwerk aus zwei Richtungen.
Daneben betreue ich eigene Kunden: einen Shop, der aus Handyfotos 3D-Figuren macht, einen Konfigurator für lasergravierte Bauplatten, eine Sozietät von Rechtsanwälten beim Bundesgerichtshof, ein Münchner Produktdesign-Studio. Dass zwei davon mit 3D zu tun haben, ist kein Zufall — die Szene begleitet mich seit fast zwanzig Jahren. Sehr verschiedene Häuser, aber in allen steckt dieselbe Überzeugung: Eine Website ist erst fertig, wenn sie ohne mich läuft.
Information Security Officer
Pixida · seit 2024Seit 2024 verantworte ich die Informationssicherheit einer Unternehmensgruppe mit rund 600 Mitarbeitenden an Standorten in Deutschland, Brasilien, Portugal, den USA, China und den Vereinigten Arabischen Emiraten — mit ISO 27001, TISAX, SOC 2 und NIS2 in der Hand. Dazu kommt ein GRC-Werkzeug, das ich selbst entwickle und das inzwischen dreizehn Normen abbildet.
- Mitarbeitende
- ~600 Mitarbeitende
- Länder
- 6 Länder
- Normen in Verantwortung
- 4 Normen in Verantwortung
- Normen in der Plattform
- 13 Normen in der Plattform
- DE
- BR
- PT
- US
- CN
- AE
In eigener Verantwortung
- ISO 27001
- TISAX
- SOC 2
- NIS2
Audits geführt und begleitet mit: DEKRA (Deutschland) · Johanson Group LLP (USA)
Eigenentwicklung
GRC-Plattform — von Grund auf selbst entwickelt
Kein Standardprodukt bildete ab, was eine Gruppe mit sechs Standorten und einem Dutzend paralleler Normen tatsächlich braucht. Also habe ich die Plattform selbst gebaut — vom Datenmodell über Backend und Oberfläche bis zu Rechtekonzept und Betrieb. Inzwischen deckt sie ab, wofür andernorts eine Fachanwendung lizenziert wird.
- SvelteKit
- TypeScript
- Node.js
- PostgreSQL
- AWS
- M365
- SCF
Steuerung & Nachweis
- Risikomanagement mit Bewertung und Wiedervorlage
- Chancen und Risiken in einem Register
- Controls über dreizehn Normen hinweg
- Gremien, Sitzungen und Protokolle
- Nachweisführung für Audits
Abläufe
- Software-Freigabeprozesse
- Aufgaben mit Verantwortlichen und Fristen
- Onboarding neuer Mitarbeitender
- Jahresplaner und QM-Kalender
- Richtlinien mit Freigabe und Gültigkeit
Anbindung
- Microsoft 365 und SharePoint
- AWS-Umgebung
- Kalender-Integration
- Rollenbasierte Zugriffsverwaltung
Auswertung
- Dashboards mit Kennzahlen
- Exporte für Auditoren und Leitung
- Das Secure Controls Framework (SCF) als Grundlage der normübergreifenden Konsolidierung
Zusätzlich in der Plattform abgebildet
- ISO 9001
- ISO 14001
- ISO 27017
- ISO 27018
- ISO 27701
- ISO 42001
- IATF 16949
- IEC 62443
- C5:2020
Eigenverantwortlich geleitet
ISO 27001: Revisionswechsel auf die Fassung 2022
Die Umstellung des gesamten ISMS von der Fassung 2016 auf ISO/IEC 27001:2022 habe ich allein verantwortet — von der GAP-Analyse über eine Business Impact Analyse quer durch alle Standorte bis zum bestandenen externen Audit. Die Revision hat nicht nur Controls umsortiert: Sie verlangt belegbare Aussagen darüber, welcher Prozess das Geschäft trägt und wie lange es ohne ihn auskommt.
- ISO 27001:2022
- Annex A
- SoA
- BIA
- RTO/RPO
- A.5.30
- Interne Audits
Analyse & Planung
- GAP-Analyse gegen den neuen Normstand
- Projektplan, Meilensteine, Zuständigkeiten
- Abstimmung mit Leitung, IT und Fachbereichen
- Schulung der Beteiligten auf die neue Struktur
Controls & Anwendbarkeit
- 93 Controls in vier Themenfeldern statt 114 in vierzehn Bereichen
- Elf neue Controls eingeführt — darunter Threat Intelligence, Cloud Services, Data Leakage Prevention, Secure Coding, Monitoring und Konfigurationsmanagement
- Statement of Applicability neu aufgesetzt, jede Aufnahme und jeder Ausschluss begründet
- Attribute der Controls für Auswertung und Filterung nutzbar gemacht
Risiko & Fortführung
- Risikomethodik überarbeitet: Schutzziele, Eintrittswahrscheinlichkeit, Auswirkung, Behandlung
- Business Impact Analyse über alle Standorte: Welcher Prozess trägt das Geschäft, und wie lange hält es ohne ihn?
- Wiederanlaufzeiten und tolerierbarer Datenverlust je Prozess festgelegt (RTO/RPO)
- IKT-Bereitschaft für die Geschäftsfortführung nach A.5.30 aufgebaut
- Asset-Inventar und Klassifizierung an die Ergebnisse gekoppelt
Dokumentation & Audit
- Richtlinien, Prozesse und Verfahrensanweisungen auf die neue Terminologie umgeschrieben
- Interne Audits über alle Fachbereiche
- Readiness-Assessment vor der externen Prüfung
- Begleitung des Rezertifizierungsaudits bis zum Bestehen
Audits führen und bestehen
Ich führe und begleite die Audits für meine Normen selbst — in Deutschland mit der DEKRA, in den USA mit der Johanson Group. Von der internen Vorprüfung über die Nachweisführung bis zur Begleitung der externen Prüfer vor Ort. Dazu Risikomanagement, Lieferantensicherheit und die Koordination von Sicherheitsvorfällen. Die Kunst liegt weniger im Dokument als darin, dass die Praxis dahinter wirklich stattfindet.
AWS-Cloud-Sicherheit
Netzarchitektur und Absicherung der Cloud-Umgebung: VPC-Design, Security Groups, EC2-Setup und die Frage, wer eigentlich worauf zugreifen darf — und warum.
Sicherheit, die im Alltag trägt
Richtlinien, Prozesse und Awareness über mehrere Länder hinweg — so aufgesetzt, dass Menschen damit arbeiten können, statt sie zu umgehen.
- ISMS
- GRC
- ISO 27001
- TISAX
- SOC 2
- NIS2
- SvelteKit
- AWS
- VPC
- EC2
- IAM
Agenturzeit
anfema · 07/2015 – 05/2024Als Lead Frontend Engineer bei der Agentur anfema in München und Augsburg habe ich ein Team aus festen Entwicklern, Werkstudenten und Freelancern geführt. Diese Projekte sind in dieser Zeit entstanden.
Werkstudent → Lead Frontend Engineer, Fullstack & Projektleitung 07/2015 – 05/2024 München
anfema
2015 – 2024Website der Agentur
Der eigene Auftritt einer Digitalagentur ist der Fall mit der schärfsten Anforderung: Er muss belegen, was das Haus kann, bevor ein Kunde je ein Projekt gesehen hat. Zweisprachig, mit dem gesamten Projektportfolio und einem Karrierebereich, der Bewerbungen tatsächlich einbringt.
Mein Anteil: Frontend-Entwicklung, Umsetzung
Projekt bei anfema ansehen ↗- Frontend
- i18n DE/EN
- Portfolio
- Recruiting
MYSTAFFPILOT
2015 – 2024Promoter-Plattform
Komplettplattform für die Abwicklung von Promotion-Aufträgen — iOS- und Android-App, Web-Portal für Promoter und eine interne Anwendung. Sie bildet den gesamten Weg vom Recruiting über die Terminplanung bis zur Abrechnung ab und wird von mehreren tausend Nutzern verwendet.
Mein Anteil: Product Owner und Projektleitung, Frontend, Backend, UI/UX, Abrechnungslogik
Projekt bei anfema ansehen ↗- Product Ownership
- iOS & Android
- Web-Portal
- Billing
- PostgreSQL
Boston Consulting Group
2019 – 2023Interne Anwendungen
Vier Jahre Entwicklung für die Münchner und die Bostoner Gesellschaft einer der weltweit führenden Unternehmensberatungen — mit den Anforderungen an Vertraulichkeit und Verlässlichkeit, die in diesem Umfeld selbstverständlich sind.
Mein Anteil: Frontend, Backend, Deployment, Projektverantwortung
- Frontend
- Backend
- Deployment
- Enterprise
Knauf
2019 – 2023ARoom — Augmented-Reality-App
Planungs-App für Wand- und Deckenelemente, die das Ergebnis per Markerless Augmented Reality direkt im echten Raum zeigt. Die eigentliche Aufgabe: eine enorme Zahl an Varianten so ordnen, dass Laien damit in wenigen Schritten zu einem Entwurf kommen.
Mein Anteil: Frontend, Backend, Projektverantwortung, Testing
Projekt bei anfema ansehen ↗- Augmented Reality
- SLAM
- Configurator
- API-Design
RECRUITEER
2022 – 2024Recruiting-Plattform
Aufbau einer Recruiting-Plattform von der Oberfläche bis zur Schnittstelle — inklusive Produktverantwortung, Testabdeckung und Dokumentation, damit das Team nach der Übergabe eigenständig weiterbauen konnte.
Mein Anteil: Frontend, Backend, Testing, Dokumentation, PO/PM
- Product Ownership
- Testing
- CI/CD
- Docker
Lokato
2016 – 2020Plattform & Gestaltung
Vier Jahre durchgehende Verantwortung für ein Münchner Produkt: Gestaltung, Frontend, Backend und Deployment in einer Hand — der Fall, für den ich bis heute am liebsten arbeite.
Mein Anteil: Frontend, Backend, Deployment, UI/UX, Gestaltung, Testing
- Fullstack
- UI/UX
- Nginx
- Deployment
HAIR HAUS
2018 – 2022Frontend-Entwicklung
Frontend-Arbeit für einen Großhändler mit gewachsener Systemlandschaft — die Sorte Projekt, bei der die Anbindung an Bestehendes mehr Sorgfalt verlangt als die Oberfläche selbst.
Mein Anteil: Frontend-Entwicklung
- Frontend
- Legacy-Integration
- SCSS
Weitere Kunden
- BMW
- Audi
- IDnow
- Pingonaut
- Takeda
- Zurich
- Paulaner
- Unitymedia Kabel BW
- CLX Europe
- Seven.One Entertainment
+ NDA
Dazu kommen zahlreiche weitere Projekte, die vertraglich nicht öffentlich gezeigt werden dürfen.
Werdegang
- seit 05/2024
Information Security Officer
Pixida GmbH·München
Informationssicherheit für rund 600 Mitarbeitende in sechs Ländern: Umstellung des ISMS auf ISO 27001:2022, TISAX-Vorbereitung, SOC 2, interne Audits, Risikomanagement — und die selbst entwickelte GRC-Plattform.
- seit 12/2021
Inhaber
C4DNetwork Group·Augsburg
Ein Netzwerk rund um 3D und Computergrafik, das ich seit 2006 begleite und im Dezember 2021 übernommen habe — seither von Augsburg aus. Die Nähe zur 3D-Szene ist der Grund, warum mir Projekte wie 3D Memories und PlateForge so nah liegen.
- 07/2015 – 05/2024
Werkstudent → Lead Frontend Engineer, Fullstack & Projektleitung
anfema GmbH·München
In neun Jahren vom Werkstudenten zur Verantwortung für das gesamte Frontend-Team und dessen Technologieentscheidungen. Dazu Backend und UI/UX, die Betreuung langlaufender B2B- und B2E-Anwendungen über ihren ganzen Lebenszyklus, Projektleitung samt Angeboten und Abrechnung — und das Einarbeiten neuer Entwickler und Werkstudenten.
- seit 07/2006
Inhaber
CGHostGroup·Augsburg
Gestaltung, Entwicklung, Server- und Systemmigrationen, Wartung und individuelle Kundenlösungen — auf eigene Rechnung, seit bald zwanzig Jahren.
- 2006 – 2012
Technischer Administrator
C4DNetwork Group·Berlin
Betrieb und Absicherung der Serverinfrastruktur samt Programmierung — dort habe ich gelernt, wie Systeme unter Last und unter Angriff aussehen.
Ausbildung
- 10/2013 – 09/2018
B. A. Interaktive Medien
Technische Hochschule Augsburg
Gestaltung und Technik im selben Studiengang — die Grundlage dafür, dass beides bei mir zusammenbleibt.
- 11/2006 – 05/2010
Ausbildung zum Elektroniker
Mit Gesellenbrief abgeschlossen
Der Anfang bei der Hardware — bevor es um Software ging.
Zertifizierungen
- ISMS Security Officer nach ISO/IEC 27001:2022 ICO
- ISMS ISO 27001:2022 Professional ICO
- ISMS ISO 27001:2022 Foundation ICO
- Open Telekom Cloud Architect Deutsche Telekom
- Open Telekom Cloud Practitioner Deutsche Telekom
- Open Telekom Cloud Essentials Deutsche Telekom
- Open Telekom Cloud Fundamentals Deutsche Telekom
- SAFe Product Owner / Product Manager (6.0) Scaled Agile Inc.· 2024
Sprachen
- Deutsch Muttersprache
- Englisch Verhandlungssicher