Senior PKI Engineer (m/w/d)
Projektbewertung
Die Ausschreibung bietet einen sehr detaillierten und umfassenden Einblick in die Anforderungen für einen Senior PKI Engineer mit klaren Rahmenbedingungen wie Remote-Arbeit, Einsatzort, Laufzeit und spezifischen technischen Erwartungen an Fähigkeiten und Erfahrungen.
Aktuell suchen wir wir unseren Kunden einen Senior PKI Engineer (m/w/d)
Start: Ende Oktober (20.10.25)
Laufzeit: 6 Monate mit Option auf Verlängerung
Auslastung: Vollzeit
Einsatzort: Remote - ca. 3 Tage/Monat vor-Ort-Präsenz in Frankfurt erwartet
Anforderung:
Der PKI-Engineer muss über fundierte Kenntnisse der PKI-Grundlagen verfügen – einschließlich X.509-Standards, Zertifikatslebenszyklusmanagement und kryptografischer Algorithmen (RSA, ECC, SHA-2/3) – und sollte in der Lage sein, untergeordnete CA-Infrastrukturen unter einer Stamm-CA zu entwerfen und zu betreiben. Er sollte sich mit der Bereitstellung und Verwaltung von Unternehmens-CAs (wie Microsoft AD CS, EJBCA oder Entrust), der Konfiguration von Zertifikatsvorlagen und der Aktivierung der automatischen Registrierung über Active Directory auskennen. Praktische Erfahrung mit Hardware-Sicherheitsmodulen (HSMs) für den Schutz von Schlüsseln, der Konfiguration von CRL/OCSP und der Integration von Zertifikaten in gängige Unternehmensdienste (TLS für Webserver, VPNs, Wi-Fi, S/MIME und Code-Signierung) wird erwartet. Der Engineer sollte über Kenntnisse in Skriptsprachen (in der Regel PowerShell oder Python) verfügen, um routinemäßige PKI-Aufgaben zu automatisieren, das Ablaufen von Zertifikaten zu überwachen und Erneuerungen zu optimieren.
Must-have Skills:
• Cryptography Fundamentals - Public/private key concepts, symmetric vs. asymmetric crypto, digital signatures, hashing (SHA-2, SHA-3), ECC vs. RSA, key lifecycles.
• PKI Architecture - Root vs. Subordinate CA hierarchy, trust chains, cross-certification, bridge CA, offline vs. online CA; Vault PKI engine (enterprise-level).
• Certificate Lifecycle - Issuance, renewal, revocation, suspension, CRLs, OCSP, key escrow, key destruction.
• Standards & Protocols - X.509, PKCS standards (PKCS#7, #10, #11, #12), TLS/SSL, S/MIME, Kerberos, OCSP, ACME, EST, SCEP, certificate lifecycle, revocation methods.
• Key Management - Key generation, protection (HSM), backup/recovery, rotation, FIPS 140-2/3 requirements, NIST, ETSI, ISO standards; strong HSM expertise (Thales Luna preferred)
• Compliance & Governance - Certificate Policy (CP), Certificate Practice Statement (CPS), CAB Forum BRs, WebTrust, eIDAS, GDPR implications.
• Fluent in German and English
Preferred experience:
• Experience with cloud services and their configuration
• Knowledge about IAM solutions based on OpenID Connect (OIDC), such as Keycloak, for auth backends
• Working with Scrum and general experience in agile frameworks