Mobile & Web Application Security Engineer – Weiterbildung

Mobile Apps und Webanwendungen sind heute die primären Angriffsflächen vieler Unternehmen. Wer als Mobile & Web Application Security Engineer arbeitet, muss nicht nur Code schreiben können, sondern von Anfang an Sicherheitsdenken in die Entwicklung integrieren. Diese Weiterbildung verbindet drei eigenständige, aufeinander abgestimmte Themenblöcke: die Java-basierte Android-App-Entwicklung mit Android Studio und Jetpack Compose, moderne Webentwicklung mit RESTful APIs und aktuellen Frontend-/Backend-Ansätzen sowie den Aufbau eines Informationssicherheitsmanagementsystems nach ISO/IEC 27001:2022 und ISO/IEC 27701:2025. Wer alle drei Bausteine durchläuft, versteht sowohl die technische Entwicklung mobiler und webbasierter Software als auch die normativen Anforderungen, die sichere Anwendungen in Unternehmen erfüllen müssen.

Modul 1 — App-Entwicklung für Android (Java-basierte Lösungen): Dieser Baustein vermittelt die technischen Grundlagen der nativen Android-Entwicklung mit Java als Basissprache. Im Mittelpunkt stehen moderne Werkzeuge und Architekturmuster, die in aktuellen Android-Projekten Standard sind.

• Android Studio als Entwicklungsumgebung: Projektstruktur, Gradle-Build und Emulator-Konfiguration
• Jetpack Compose: deklarative UI-Entwicklung statt klassischer XML-Layouts
• Persistenz mit Room und SQLite, Offline-First-Datenhaltung und Synchronisationsstrategien
• Navigation Component und moderne Dialogführung in Compose-Oberflächen
• Berechtigungsmanagement und Hintergrundprozesse gemäß aktuellen Android-Sicherheitsvorgaben
• Debugging, Versionskontrolle, Testing-Strategien sowie Build- und Deployment-Prozesse für Android-Apps

Modul 2 — Webentwicklung & Frameworks: Der zweite Baustein behandelt den Aufbau dynamischer Webanwendungen von der Architektur bis zum Betrieb. Sicherheitsrelevante Standards wie OWASP werden direkt in die Backend-Konzepte eingebettet, nicht als nachträgliche Ergänzung.

• Web-App-Architekturen und Integration von RESTful APIs
• Moderne UI-Frameworks und barrierefreie Komponentenentwicklung nach WCAG 2.2
• Backend-Strukturen und API-Routing orientiert an OWASP-Sicherheitsstandards
• Datenmodellierung und Speicherlösungen für Webanwendungen
• CI/CD-Pipelines, Container-Orchestrierung und Performance-Optimierung
• State Management, Internationalisierung sowie Monitoring und Sicherheitsaspekte im laufenden Betrieb

Modul 3 — IT-Sicherheitsmanagement nach ISO/IEC 27001 & 27701: Der dritte Baustein verlagert den Blick von der Codeebene auf die organisatorische Ebene der Informationssicherheit. Teilnehmende lernen, wie ein Managementsystem aufgebaut, betrieben und nachweisbar dokumentiert wird.

• Aufbau eines Informationssicherheitsmanagementsystems nach ISO/IEC 27001:2022
• Risikoanalyse und Schutzbedarfsbewertung: Bedrohungen identifizieren, Schwachstellen bewerten
• PDCA-Zyklus und kontinuierliche Verbesserung im Sicherheitsmanagement
• Annex-A-Controls der ISO/IEC 27001:2022: technische und organisatorische Maßnahmen (TOM) (TOM)
• Datenschutz-Informationsmanagementsystem nach ISO/IEC 27701:2025 einschließlich Risiken im Umgang mit KI-Systemen
• Dokumentation, Auditvorbereitung und normkonforme Nachweisführung

Praxis-Block — Anwendungsfälle über alle drei Themenbereiche

• Android-App mit Room-Datenbank und Offline-Synchronisation prototypisch entwickeln
• Compose-Oberfläche mit Navigationsfluss für ein mehrstufiges Formular umsetzen
• REST-Schnittstelle zwischen einer Webanwendung und einem Backend-Dienst spezifizieren
• Barrierefreie Komponente nach WCAG 2.2 testen und Korrekturen einarbeiten
• API-Endpunkt gegen typische OWASP-Top-10-Schwachstellen prüfen
• CI/CD-Pipeline für ein Webprojekt mit automatisierten Sicherheitschecks aufsetzen
• Schutzbedarfsanalyse für ein fiktives mobiles Zahlungsmodul durchführen
• Risikoregister nach ISO/IEC 27001 für eine App-Backend-Landschaft erstellen
• Annex-A-Controls auf ein konkretes Entwicklungsprojekt anwenden und Lücken dokumentieren
• ISMS-Dokumentationsstruktur (Richtlinien, Verfahrensanweisungen, Nachweise) aufbauen
• Datenschutzfolgenabschätzung nach ISO/IEC 27701 für eine App mit Nutzerdaten skizzieren
• Internes Mini-Audit simulieren und Feststellungen nach ISO-Systematik protokollieren

Der Zusammenhang zwischen den drei Modulen erschließt sich vor allem im Praxisteil: Wer eine App entwickelt hat, versteht anschließend besser, warum bestimmte Annex-A-Controls existieren, und wer ein ISMS aufbaut, erkennt, an welchen Stellen im Code und in der API-Struktur diese Anforderungen konkret ansetzen. Diese Verzahnung unterscheidet die Weiterbildung von einem reinen Entwicklungskurs oder einem reinen Managementsystem-Seminar.

Die Weiterbildung eignet sich für Personen, die technische Entwicklungskompetenz mit sicherheitsrelevantem Managementwissen verbinden möchten, um Anwendungen von der Programmierung bis zur organisatorischen Absicherung verantworten zu können.

• Softwareentwickler, die sich Richtung Application Security spezialisieren möchten
• IT-Fachkräfte mit Interesse an mobiler und weborientierter Entwicklung
• Angehende Sicherheitsbeauftragte, die ein technisches Fundament in App- und Webentwicklung suchen
• Quereinsteiger mit Grundverständnis für Programmierung, die sich auf Security-Rollen vorbereiten
• Fachkräfte aus IT-Betrieb oder Qualitätsmanagement, die ISMS-Kompetenz aufbauen wollen

Die Weiterbildung wird im Combined-Learning-Ansatz umgesetzt: Präsenzeinheiten zur gemeinsamen Erarbeitung komplexer Konzepte wechseln sich mit angeleiteten Online-Phasen ab, in denen Übungsaufgaben in eigenem Tempo bearbeitet werden. Die Android- und Webentwicklungsmodule finden weitgehend praxisorientiert an konkreten Entwicklungsumgebungen statt, während das ISMS-Modul stärker dokumentations- und fallstudienbasiert aufgebaut ist. Vollzeit-Teilnahme ermöglicht einen zügigen Durchlauf durch alle drei Themenblöcke.

Die Weiterbildung wird in Vollzeit durchgeführt. Da drei eigenständige Themenblöcke — Android-Entwicklung, Webentwicklung und ISMS-Aufbau — abgedeckt werden, ist mit einer mehrwöchigen Gesamtlaufzeit zu rechnen, die sich je nach Vorkenntnissen der Teilnehmenden verschieben kann. Die konkrete Aufteilung der Wochen auf die drei Module richtet sich nach dem vorhandenen Vorwissen in Programmierung beziehungsweise Managementsystemen.

Nach erfolgreichem Abschluss erhalten Teilnehmende das trägerinterne Zertifikat "Mobile & Web Application Security Engineer (Java / Webprogrammierung / IT Security - CISSP)". Es handelt sich um ein Zertifikat des Kursanbieters, das die erworbenen Kompetenzen in Android-Entwicklung, Webentwicklung und Informationssicherheitsmanagement dokumentiert. Es ist kein externes Herstellerzertifikat von Google, Oracle oder ISC² enthalten; wer eine offizielle CISSP-Zertifizierung von ISC² anstrebt, benötigt dafür zusätzliche Berufserfahrung und eine gesonderte externe Prüfung.

Application Security ist eines der am schnellsten wachsenden Felder der IT-Sicherheit, weil Angriffe zunehmend über Schwachstellen in mobilen Apps und Webanwendungen erfolgen statt über klassische Netzwerkinfrastruktur. Unternehmen suchen Fachkräfte, die den gesamten Entwicklungszyklus verstehen und gleichzeitig wissen, wie Sicherheitsanforderungen normativ verankert werden. Diese Kombination aus praktischer Entwicklungskompetenz und Managementsystem-Wissen ist auf dem Arbeitsmarkt selten und macht Absolventen zu vielseitig einsetzbaren Ansprechpartnern für Entwicklerteams und Sicherheitsverantwortliche gleichermaßen. Die drei Module bauen bewusst unterschiedliche Kompetenzprofile auf, die sich im Berufsalltag ergänzen: Wer Android- und Webentwicklung beherrscht, kann Sicherheitslücken im Code direkt erkennen und beheben. Wer zusätzlich die ISO/IEC-27001- und 27701-Systematik versteht, kann diese Erkenntnisse in überprüfbare, auditfähige Prozesse überführen. Diese Doppelqualifikation ist besonders für Unternehmen wertvoll, die sowohl technische Entwicklung als auch Compliance-Anforderungen im eigenen Haus abdecken müssen, statt beides an getrennte Abteilungen oder externe Dienstleister auszulagern. Wer nach dieser Weiterbildung in einer Security-Engineer-Rolle arbeitet, bringt eine Perspektive mit, die klassische Entwickler oder reine Compliance-Spezialisten oft nicht abdecken: das Verständnis dafür, wie sich eine abstrakte Sicherheitsanforderung aus einem Annex-A-Control tatsächlich im Quellcode einer Android-App oder in der API-Struktur einer Webanwendung niederschlägt. Diese Übersetzungsleistung zwischen Norm und Code ist der eigentliche Kern der Rolle des Mobile & Web Application Security Engineers.