Cloud Armor WAF für Kubernetes (GKE)
Layer-7-Schutz vor GKE über External HTTP(S) Load Balancer: OWASP-WAF-Regeln, Rate Limiting und Geo/IP-Allow-Deny, mit Cloud Logging und Terraform-IaC.
Suchen Sie das? Kontakt aufnehmenPortfolio — Produktive GCP-Plattform, Security & FinOps
Portfolio & Projekte
Portfolio
Ich entwerfe und liefere Enterprise-Cloud-Plattformen, die sicher, zuverlässig und kosteneffizient bleiben — vom Architektur-Review bis zum Produktionsbetrieb.
Google CloudAmbassador
5×GCP Professional zertifiziert
25Referenzarchitekturen
3Clouds — AWS · Azure · GCP
Enterprise-Cloud, Security und KI-Delivery — vertrauenswürdig von der Architektur bis zur Produktion.
Entworfen & geliefert auf
Google CloudAWSAzureKubernetesTerraform
Cloud Platform Engineering
Multi-regionales GKE, Shared VPC und Load Balancing, Terraform und Argo CD GitOps — produktiv für 5+ Produktteams verantwortet.
Cloud Security & DevSecOps
Least-Privilege-IAM, Workload Identity, Cloud Armor WAF, Policy-as-Code, Secrets und Supply-Chain-Controls — Teil der Plattform.
FinOps & Kosten-Governance
Cross-Cloud-Reviews mit 40% Einsparung — Right-Sizing, Autoscaling, Storage-Tiering, Commitments — bei intakten SLOs.
Reliability & SRE
Observability, SLOs, On-Call, RCA, Backup und RPO/RTO-Validierung — bewährt zur FIFA-2026-Spitzenlast und im externen DDoS-Test.
Cloud-Migration & GCP-Einführung
Re-Platforming von OpenStack/AWS nach GCP mit IaC, GitOps-Promotion und Zero-Downtime-Cutover; internes Enablement für 150+ Engineers.
AI-Workloads auf GCP
RAG- und LLM-Services sicher auf der Plattform betrieben — Guardrails, Evals, PII-Kontrollen, EU-AI-Act-/DSGVO-Governance.
Sie suchen jemanden für eines dieser Themen? Fokus wählen — das Kontaktformular wird vorausgefüllt.
Cloud Platform / ArchitektCloud-MigrationCloud SecurityRecruiter / VermittlungAI-Plattform auf GCPFinOps-Fokus
Offen für Senior-Festanstellung · Deutschland / DACH · onsite, hybrid oder remote
Referenzarchitekturen![]()
Architektur-Entwürfe
Ich entwerfe und liefere Enterprise-Plattformen über AWS, Azure und Google Cloud — regional skalierbar, mit Zero-Trust abgesichert, beobachtbar und kosteneffizient. Jedes Diagramm unten ist eine praxiserprobte Referenzarchitektur: Landing Zones und Governance, resiliente Netzwerke, sichere CI/CD, Event-Driven-Systeme, Datenplattformen und angewandte KI. Nach Cloud filtern, ein Design öffnen und für Details hineinzoomen.
Die Sammlung umfasst GKE- und Kubernetes-Netzwerke, Cloud Armor WAF, VPC Service Controls, Landing Zones, Disaster-Recovery-Muster wie Pilot Light und Warm Standby, Event-Driven-Pipelines und Multi-Region-Failover auf Google Cloud, AWS und Azure.
Klicke ein Diagramm an, um den Viewer zu öffnen und zu zoomen.
Multi-Region-GKE-Cluster mit GitOps & Fleet
Hochverfügbares GKE über mehrere Regionen, verwaltet mit Google Fleet. Config Sync aus Git hält Deployments konsistent — mit Multi-Region-Failover.
Suchen Sie das? Kontakt aufnehmenCross-Regional Internal Load Balancer für GKE
Round-Robin-Lastverteilung über GKE-Cluster in verschiedenen Regionen mit Cross-Regional-ILB. NEG-basiert, hochverfügbar, geringe interne Latenz.
Suchen Sie das? Kontakt aufnehmenBackup und Restore
Multi-Region-Backups mit S3 Cross-Region Replication, Aurora Global Database und EBS-Snapshots — Datenintegrität, HA und DR für kritische Workloads.
Suchen Sie das? Kontakt aufnehmenPilot-Light-Architektur
Pilot-Light-DR mit Aurora Global Database, ELB und Auto Scaling Groups. Kritische DBs bleiben aktiv; die App-Ebene startet beim Failover — geringere Kosten und RTO.
Suchen Sie das? Kontakt aufnehmenCI/CD für ML mit Vertex AI Pipelines
Cloud Build und Vertex AI Pipelines automatisieren Images, Artefakte und Pipeline-Deployments aus jedem Git-Commit — ein vollständiger MLOps-Kreislauf.
Suchen Sie das? Kontakt aufnehmenWarm-Standby-Architektur
Warm-Standby-Umgebung in einer Zweitregion mit Aurora Global Database, ELB und Auto Scaling Groups — schnelles Failover und kürzere Wiederherstellungszeit.
Suchen Sie das? Kontakt aufnehmenCloud VPN Hub-and-Spoke
Skalierbares Hub-and-Spoke mit Google Cloud VPN, das VPC-Peering-Grenzen überwindet und transitive Konnektivität über viele Spoke-Netze ermöglicht.
Suchen Sie das? Kontakt aufnehmenVPC-Peering Hub-and-Spoke
Sichere Inter-VPC-Kommunikation via Network Peering über das Google-Backbone, mit Cloud NAT für Egress und optional VPN für weitergeleitete Routen.
Suchen Sie das? Kontakt aufnehmenEnterprise-App auf Compute Engine (Oracle DB)
Regionale Managed Instance Groups hinter einem Load Balancer mit Oracle Data Guard HA — Cloud NAT, Hyperdisk und Cloud Storage für Performance und Backups.
Suchen Sie das? Kontakt aufnehmenAWS Multi-Account Landing Zone
Governance at Scale mit AWS Organizations und Control Tower: Security-, Infrastructure- und Workloads-OUs, SCP-Guardrails und zentrales CloudTrail/Config.
Suchen Sie das? Kontakt aufnehmenEvent-Driven Serverless mit EventBridge
Entkoppelter Serverless-Flow: API Gateway und Lambda publizieren an EventBridge, das per Regel an SQS, Step Functions und DynamoDB routet — mit DLQ-Sicherheitsnetzen.
Suchen Sie das? Kontakt aufnehmenZero-Trust Private Connectivity (PrivateLink + TGW)
Segmentiertes Hub-and-Spoke über AWS Transit Gateway mit PrivateLink-Endpoints zu S3, KMS und Secrets Manager — Ost-West-Traffic ohne öffentliches Internet.
Suchen Sie das? Kontakt aufnehmenAzure Enterprise-Scale Landing Zone
Cloud-Adoption-Framework-Landing-Zone: Management-Group-Hierarchie, Azure-Policy-Guardrails, Hub-and-Spoke mit Firewall und Bastion sowie Entra ID.
Suchen Sie das? Kontakt aufnehmenSichere CI/CD für AKS (GitHub Actions + Key Vault)
GitHub Actions baut, scannt und signiert Images in ACR und deployt in einen privaten AKS-Cluster. Pods beziehen Secrets aus Key Vault via Workload Identity.
Suchen Sie das? Kontakt aufnehmenGCP Secure Landing Zone / Org-Blueprint
Organisations-Blueprint mit Ordnerhierarchie, VPC-Service-Controls-Perimeter, Org Policies, Shared VPC und zentralem Logging mit Security Command Center.
Suchen Sie das? Kontakt aufnehmenEnterprise-RAG auf Vertex AI
Retrieval-Augmented Generation: Dokumente in Vertex AI Vector Search eingebettet; Cloud Run holt Kontext und ruft Gemini für fundierte, zitierte Antworten.
Suchen Sie das? Kontakt aufnehmenBigQuery-Lakehouse-Datenplattform
Streaming- und Batch-Ingestion über Pub/Sub und Dataflow in ein BigQuery-Lakehouse, ELT mit Dataform und Governance mit Dataplex — analysebereit.
Suchen Sie das? Kontakt aufnehmenAnthos Multi-Cluster Service Mesh
Hybride Flotte aus GKE- und On-Prem-Clustern unter Anthos: Multi-Cluster-Ingress, Anthos Service Mesh mit mTLS überall und GitOps-Config-Sync.
Suchen Sie das? Kontakt aufnehmenGlobale Web-App — Cloud CDN + Cloud Armor
Globaler HTTP(S)-Load-Balancer mit Anycast-IP vor Serverless-Backends: Cloud CDN cacht am Edge und Cloud Armor blockt WAF- und DDoS-Bedrohungen.
Suchen Sie das? Kontakt aufnehmenHybride Konnektivität — Interconnect + NCC
Hochbandbreitiger Dedicated Interconnect mit verschlüsseltem HA-VPN-Failover und Cloud-Router-BGP, vereint über transitives Routing im Network Connectivity Center.
Suchen Sie das? Kontakt aufnehmenEvent-Driven Serverless mit Eventarc
Eventarc routet CloudEvents aus über 90 Quellen via Pub/Sub an autoskalierende Cloud-Run-Dienste, mit Dead-Letter-Topics für At-least-once-Sicherheit.
Suchen Sie das? Kontakt aufnehmenSichere Software-Lieferkette
Cloud Build scannt, erstellt SBOMs und signiert Images in Artifact Registry; Binary Authorization sperrt unverifizierte Images vor Cloud-Deploy-Rollouts.
Suchen Sie das? Kontakt aufnehmenZero-Trust-Zugriff mit IAP / BeyondCorp
Identity-Aware Proxy autorisiert jede Anfrage nach Identität und Gerätekontext via Access Context Manager — ohne VPN und ohne vertrautes Netzwerk-Perimeter.
Suchen Sie das? Kontakt aufnehmenMulti-Region-Resilienz mit Cloud Spanner
Active-Active-App-Ebenen in zwei Regionen hinter einem globalen Load Balancer teilen sich eine Cloud-Spanner-Instanz mit synchroner Replikation und 99,999% SLA.
Suchen Sie das? Kontakt aufnehmen100%
Ausgewählte Arbeiten
In Produktion umgesetzt
Plattform-, Security- und Kostenarbeit, die ich end-to-end verantwortet habe — angeführt von der produktiven Google-Cloud-Plattform bei der Deutschen Telekom — plus die AI-Workloads, die darauf sicher laufen. Jeweils von der Architektur bis zum messbaren Ergebnis.
ProductionTelecom · Deutsche Telekom
Production Google Cloud Platform — Deutsche Telekom
Architected and operate Telekom's first production GCP platform — multi-region, active-active GKE with Terraform/OpenTofu, Argo CD GitOps, Cloud Armor WAF and zero-trust IAM — sustaining 12,000+ req/s at FIFA World Cup 2026 peak and passing an independent DDoS resilience test, for 5+ product teams.
ProductionEnterprise · regulated EU
FinOps Cost Optimization
Led a cross-cloud cost review across GCP, AWS and Azure — rightsizing, autoscaling, storage tiering and commitment planning — cutting cloud spend by 40% with SLOs and performance fully intact.
ProductionEnterprise · regulated EU
DevSecOps Hardening & Supply Chain
Hardened the pipeline with threat-aware CI/CD — SAST / DAST, SBOM, image signing and policy-as-code — cutting critical findings and delivering an audit-ready supply chain.
ProductionEnterprise · regulated EU
Grounded Enterprise Search on Vertex AI
Platform and security side of grounded enterprise search on Vertex AI — secure connectors, IAM scoping, relevance tuning and observability — with PII controls that keep every answer compliant and trustworthy.
ProductionEnterprise · regulated EU
LLM Guardrails & Evaluation
Shipped LLM guardrails & automated evals — toxicity, hallucination and jailbreak coverage — with production dashboards that turn safety into measurable, continuous quality.
AdvisoryEnterprise · regulated EU
AI Compliance Readiness
Ran a EU AI Act & GDPR gap analysis — data mapping, DPIA templates, model inventory and logging controls — and prepared audit-ready artefacts for internal and external reviews.
Außerdem umgesetzt
- Kubernetes platform on OpenStack & AWS (2022–2024)
- GitLab CI for 50+ services — ~40% faster releases
- AI voice & chat contact-center PoC (Agentspace)
- Centralized log analytics & SIEM forwarding
- TLS & certificate lifecycle automation
- Enterprise network hardening (Juniper, Cisco, Huawei)
Veröffentlicht & Ausgeliefert
Produkte & Open Source
Software, die ich entworfen, gebaut und vollständig ausgeliefert habe — von Open-Source-Paketen live in öffentlichen Registries bis zu privaten Produktionsdiensten. Post-Quanten-Sicherheit, Risiko-Analytik, Protokollforschung, Cloud-Automatisierung und Developer-Tooling.
ClawSec
Ein vollständiges verschlüsseltes Netzwerk-Toolkit — AES-256-GCM mit Post-Quanten-Hybrid-Schlüsselaustausch (ML-KEM-768), TUN-VPN, TLS-1.3-Tarnung und Anti-Zensur-Transport. Veröffentlicht auf Docker Hub, AUR und GHCR.
Human Risk Graph
Ein quantitatives Modell, das Führungskräften messbare Transparenz über Schlüsselpersonen-Abhängigkeit, Entscheidungsengpässe und Kontroll-Bypass-Risiken gibt — Bus Factor, Decision Concentration und Bypass Risk in einem Produkt. Auf PyPI veröffentlicht mit zitierbarem DOI.
Open-IPv8-Lab
Ein lehrorientiertes reines Python-Toolkit auf Basis des experimentellen IPv8-Protokolls (draft-thain-ipv8-02) — 58 Module, 35 CLI-Befehle und 1 827 Tests von Adress-Parsing über Paketaufbau bis Routing-Simulation und Begleitprotokollen. Auf PyPI mit DOI und vollständiger Doku.
Dev Env Diff & Flight Recorder
Eine VS-Code-Extension, die „Works on my machine“ beendet — Ein-Klick-Snapshot von Runtimes, Docker, Ports, Env-Variablen und Git-Zustand, verglichen mit einem Teammitglied und als Markdown-Bericht mit ausführbaren Befehlen aufbereitet. 100 % lokal, keine Telemetrie.
Prompt Seal
Eine Chrome- & Safari-Extension, die Geheimnisse aus KI-Prompts fernhält — sie scannt Nachrichten, bevor sie ChatGPT, Claude oder Gemini erreichen, mit 110+ Regex-Mustern und Shannon-Entropie-Analyse und redigiert oder blockiert API-Keys, Tokens und PII. 100 % lokal, keine Telemetrie.
Worta
Eine Chrome-Extension, die alltägliches Surfen zum Sprachenlernen macht — Sofortübersetzung in 39 Sprachen, persönliches Vokabular und Leitner-Karteikarten mit Spaced Repetition, TTS und Seitenleisten-Modus. 100 % lokaler Speicher, keine Konten, kein Tracking.
Certificate Reconciler
Ein Python-Dienst, der serverlos auf Cloud Run läuft und den TLS-Zertifikatsstatus kontinuierlich abgleicht — er erkennt Drift und bevorstehende Abläufe über Umgebungen hinweg und stößt Erneuerungen automatisch an, damit in der Produktion nichts unbemerkt abläuft.
Privater Produktionsdienst
App Checker
Ein schlanker Go-Dienst, der Anwendungen prüft und meldet, ob sie erreichbar sind — schnelle, abhängigkeitsfreie Health-Checks mit klarem Up/Down-Signal, gebaut als eigenständiger Reliability-Watchdog für jedes Deployment.
Privater Produktionsdienst