Wie Dr. Peter Dornheim Sicherheitskultur neu denkt
Bei revel8 sind wir überzeugt: Sicherheit beginnt beim Menschen. Und wer Unternehmen wirklich sicherer macht, verdient die Bühne. Einer dieser Menschen ist Dr. Peter Dornheim – CISO, Forscher zum Thema Cybersicherheitskultur und eine der klarsten Stimmen Europas für menschzentrierte Sicherheit.
Mit über 15 Jahren Erfahrung, einer frisch abgeschlossenen Promotion und Stationen bei SAP, Festo und STIHL verbindet Peter akademische Präzision mit Führungsstärke in der Praxis. Was ihn aber wirklich auszeichnet, ist seine Mission: Cybersicherheit aus dem Serverraum herauszuholen und in der Unternehmenskultur zu verankern.
Wir haben mit Peter darüber gesprochen, was ihn antreibt, was ihn nachts wachhält und was er daraus gelernt hat, bei Tausenden Mitarbeitenden ein Sicherheitsdenken zu verankern.
Peter, wie sind Sie zur Cybersicherheit gekommen? Und wie sind Sie in die Rolle des CISO hineingewachsen?
„Ich bin nicht zufällig hineingeraten – ich habe mich Schritt für Schritt dorthin entwickelt. Für mich ging es bei Sicherheit immer um mehr als nur Technologie. Ich wollte wirklich verstehen, wie sich Organisationen verändern, wie Menschen lernen und wie sich Sicherheit im täglichen Verhalten verankern lässt. Deshalb habe ich neben meiner eigentlichen CISO-Position zusätzlich zum Thema Cybersicherheitskultur promoviert. In verschiedenen Rollen in den IT-Security-Teams großer Unternehmen wie SAP oder Stihl habe ich gemerkt, dass mich die Steuerung von IT-Sicherheit als Ganzes sehr interessiert. Für mich gehen eine sichere IT-Infrastruktur und eine funktionierende Cybersicherheitskultur Hand in Hand.“
Welche Bedrohung hält Sie als CISO nachts wach?
„Es ist kein einzelner Angriffstyp – es ist Nachlässigkeit. Wenn Menschen denken, Sicherheit sei ‚Aufgabe der anderen‘, wenn Awareness zu einem weiteren Häkchen auf einer Liste verkommt oder wenn wir uns zu stark auf Tools verlassen, ohne die richtige Haltung aufzubauen. Wir brauchen keine Angst – aber wir brauchen eine gelebte, atmende Sicherheitskultur. Genau darauf richte ich meine Energie.“
Wie sieht ein typischer Tag bei Ihnen aus? Welche Themen beanspruchen die meiste Aufmerksamkeit?
„Kein Tag gleicht dem anderen, und genau das liebe ich. Ich wechsle zwischen Strategiearbeit auf C-Level, Krisenübungen, Compliance-Management und praxisnahen Workshops mit meinem Team. Außerdem bin ich Dozent für Cybersicherheit an der DHBW. Am wichtigsten ist mir, in Verbindung zu bleiben: mit den Menschen, dem Puls, dem Druck. Security darf nicht im Silo sitzen – sie muss dort im Raum sein, wo Entscheidungen fallen.“
Wenn Sie anderen CISOs einen Rat geben könnten: Was war Ihre größte Erkenntnis auf Ihrem bisherigen Weg als CISO?
„Dass Awareness nicht dadurch entsteht, dass man Menschen sagt, was sie nicht tun sollen, oder Richtlinien schreibt – sondern dadurch, dass man ihnen zeigt, warum es zählt. Ein Durchbruch kam, als wir begannen, alltägliche Sicherheitsgeschichten unserer Mitarbeitenden zu sammeln. Plötzlich fühlten sich die Menschen gesehen – und Sicherheit wurde etwas Persönliches. Kultur lässt sich nicht verordnen. Sie wird aufgebaut.“
Angesichts der jüngsten Fortschritte bei KI: Auf welche Trends freuen Sie sich aus Sicht der Cybersicherheit am meisten?
„Darauf, dass Cybersicherheitskultur endlich zur strategischen Priorität wird. Immer mehr CISOs erkennen, dass Technologie ohne Vertrauen, Klarheit und starke Führungswerte nicht ausreicht. Ja, KI ist ein großes Thema – und sie ist nützlich –, aber nur, wenn sie Menschen stärkt, statt sie zu ersetzen. Menschzentrierte Sicherheit wird das Betriebssystem des nächsten Jahrzehnts sein.“
Welchen Rat würden Sie anderen CISOs geben, die Awareness aufbauen wollen?
„Schaffen Sie nicht nur Awareness – stoßen Sie einen Dialog an. Awareness ist kein einmaliges Training und kein Poster an der Wand. Sie muss im Arbeitsalltag stattfinden. Bei uns hat funktioniert, von allgemeinen Ratschlägen zu realistischen Simulationen zu wechseln, die genau die Bedrohungen abbilden, denen Mitarbeitende täglich begegnen. Wenn Menschen Cyberbedrohungen selbst erleben und darüber ins Gespräch kommen, dann macht es bei ihnen wirklich klick.“
{{quote}}
Nennen Sie eine Sache über sich, die unsere Leserinnen und Leser nicht erwarten würden?
„Vermutlich, dass ich gerne tief in wissenschaftliche Forschung eintauche – aber nur, wenn ich sie mit der Praxis verbinden kann. Ich hinterfrage Ideen gerne und mache greifbare Ergebnisse daraus. Deshalb begeistern mich Lernformate in Echtzeit. Eine Angriffssimulation ist mehr als ein Test – sie ist eine Gelegenheit, zu reflektieren, sich anzupassen und zu wachsen. Wenn wir Mitarbeitenden Raum geben, im Moment zu lernen, informieren wir sie nicht nur. Wir befähigen sie, Teil der Sicherheitsgeschichte zu werden.“
