Security jenseits von Compliance führen: Erkenntnisse von Dr. Daniel Schatz
Das Interesse von Dr. Daniel Schatz an Cybersicherheit entstand aus einer frühen Neugier darauf, wie IT-Systeme funktionieren – und wie man sie außer Kraft setzen kann. Sein akademischer Hintergrund in Cybersicherheit und IT-Recht prägt einen pragmatischen Führungsansatz, der technisches Risiko in geschäftsrelevante Entscheidungen übersetzt.
Heute ist er Chief Information Security Officer bei QIAGEN, einem global tätigen Life-Sciences-Unternehmen, das Technologien für molekulare Diagnostik und Forschung bereitstellt.
Nach leitenden Sicherheitsrollen bei Thomson Reuters, als CISO beim Digital-Media-Unternehmen hinter DAZN und als beratendes Mitglied der Agentur der Europäischen Union für Cybersicherheit teilt Dr. Schatz seine Sicht auf die derzeit dringendsten Cyberbedrohungen – und darauf, wie Unternehmen über Compliance hinausgehen und eine pragmatische, geschäftsnahe Sicherheitskultur aufbauen können.
Gab es einen prägenden Moment, der Ihr Interesse an Cybersicherheit geweckt hat, und was hält Sie in diesem Feld?
„Einen einzelnen dramatischen Schlüsselmoment gab es nicht. Ich bin mit IT aufgewachsen und war immer zutiefst neugierig darauf, wie Systeme funktionieren – und ebenso darauf, wie man sie zum Nichtfunktionieren bringt oder vorgesehenes Verhalten umgeht.
Mit der Zeit hat mich diese Neugier ganz natürlich zur Informations- und IT-Sicherheit geführt. Was mich heute weiter motiviert, ist, dass Cybersicherheit komplexe technische Problemlösung mit sehr realen geschäftlichen und gesellschaftlichen Auswirkungen verbindet.“
Welche drei Bedrohungstrends halten Sie derzeit für die dringendsten, gerade in einem global tätigen Life-Sciences-Unternehmen wie QIAGEN?
„Diese Trends lassen sich nur schwer einer einzelnen Branche zuordnen, denn im Kontext von Security Awareness betreffen sie viele Sektoren. Aus meiner Sicht sind die dringendsten Bedrohungen:
Erstens KI-gestütztes Phishing. Wir sehen einen massiven Anstieg nicht nur beim Volumen, sondern auch bei der Qualität von Phishing-Mails. Sprache, Kontext und Personalisierung sind so viel besser geworden, dass sich viele Nachrichten heute nur noch äußerst schwer von legitimer Kommunikation unterscheiden lassen.
Zweitens automatisierte Ausnutzung und MFA-Umgehung. Früher war es vergleichsweise einfach, jemanden zu einem Klick zu bewegen – diesen Klick in großem Maßstab auszunutzen war schwieriger. KI automatisiert heute nicht nur den Diebstahl von Zugangsdaten, sondern auch den Missbrauch von Tokens. Damit wird die Umgehung von Multi-Faktor-Authentifizierung praktikabler und skalierbarer.
Drittens Stimmimitation und die aufkommende Video-Imitation. Wir sehen bereits regelmäßig Vorfälle mit sehr überzeugendem Voice Cloning von CEOs per Telefon oder Sprachnachricht. Vollständig KI-generierte Video-Avatare für Videocalls sind heute technisch möglich und werden rasch besser. Aktuell ist das vor allem für sehr lohnende Ziele relevant, aber die Hürde sinkt schnell.“
Sie bringen Erfahrung aus Life Sciences, Digital Media und Finanzinformationsdiensten mit. Welche Branchen sehen Sie derzeit am stärksten Cyberrisiken ausgesetzt, und wo sehen Sie Lücken in der Cybersicherheitsreife?
„Manche Branchen sind zugleich stark exponiert und vergleichsweise reif in ihrer Abwehr. Finanzdienstleister wie Banken und Versicherer sowie Rüstungsunternehmen gehören dazu. Hoher regulatorischer Druck und klare Kundenerwartungen haben sie gezwungen, früh und umfangreich in Cybersicherheit zu investieren.
Auf der anderen Seite gibt es Branchen, in denen Cybersicherheit noch immer unterschätzt wird. Das Gesundheitswesen im weiten Sinne ist dafür ein wichtiges Beispiel. Kliniken und Pflegeanbieter priorisieren verständlicherweise die Patientenversorgung gegenüber Sicherheitsausgaben, und Patientinnen und Patienten wählen ihren Anbieter nicht nach Cybersicherheit aus. Entsprechend investieren Führungsebenen häufig zu wenig, bis ein schwerer Vorfall zum Umdenken zwingt.
Andere margengetriebene Branchen wie Fertigung oder Handel sehen Sicherheit eher als Kostenfaktor denn als Ermöglicher. Zudem stützen sie sich häufig auf veraltete Operational-Technology-Umgebungen, die schwierig und teuer abzusichern sind.
Das allgemeine Muster lautet: Wo Regulierung und unmittelbares Umsatzrisiko Investitionen erzwingen, ist die Sicherheitsreife höher. Wo Margen eng sind und Kunden Sicherheit nicht ausdrücklich honorieren, bleibt sie tendenziell zurück.“
Wenn Sie von solcher Sicherheitsreife sprechen: Welche KPIs betrachten Sie üblicherweise, um diese Reife zu bewerten?
„Wenn ich Sicherheitsreife im Kontext von Security Awareness bewerte, konzentriere ich mich auf wenige KPIs, die als Indikatoren für Cyber-Awareness dienen – wohl wissend, dass keiner davon für sich allein perfekt ist.
Erstens ist das Meldeverhalten bei Phishing ein zentrales Signal: wie viele Nutzende simulierte Phishing-Versuche melden und wie schnell verdächtige Nachrichten eskaliert werden – wobei Geschwindigkeit oft ebenso wichtig ist wie Menge.
Zweitens helfen Ergebnisse aus Phishing-Simulationen, etwa Klickraten oder eingegebene Zugangsdaten, die Awareness über die Zeit zu verfolgen, idealerweise nach Risikogruppen segmentiert.
Drittens liefern Kennzahlen zur Bearbeitung von Sicherheitsvorfällen einen indirekten Awareness-Indikator, darunter die Zeit, die nötig ist, um menschlich verursachte Vorfälle wie Social Engineering oder CEO-Fraud zu erkennen und einzudämmen.“
Da diese KPIs ein gewisses Maß an Awareness voraussetzen: Wie bestimmen Sie die richtige Balance zwischen Awareness-Initiativen, technischen Sicherheitsmaßnahmen und Threat-Hunting-Aktivitäten?
„Die Reihenfolge zählt mehr als jede einzelne Maßnahme. Zuerst müssen Grundlagen und Sicherheitshygiene stehen. Unternehmen müssen ihre Schwachstellen kennen und über strukturierte, wiederholbare Prozesse verfügen, um kritische Probleme zu beheben. Basismaßnahmen wie Endpoint-Schutz, Logging, Backups, Zugriffskontrolle und Patching müssen nicht nur existieren, sondern tatsächlich funktionieren und überwacht werden. Ziel ist es, das Rauschen zu reduzieren, damit Teams nicht permanent im Krisenmodus arbeiten.
Zweitens lassen sich Sicherheitskultur und Awareness aufbauen, sobald diese Grundlagen stabil sind. Wenn ein Unternehmen alle zwei Wochen mit Ransomware-Vorfällen kämpft, verliert jede Awareness-Botschaft an Glaubwürdigkeit. Menschen brauchen ein stabiles Umfeld, um Trainings aufzunehmen und anzuwenden.
Drittens ergeben fortgeschrittene Fähigkeiten wie Threat Hunting erst dann Sinn, wenn das Fundament solide ist. Threat Hunting ohne Sicherheitshygiene ist, als stünde man in einem brennenden Haus und suchte nach der nächsten Flamme, statt Rauchmelder und Brandschutztüren einzubauen.
Sobald die Basis sicher ist und die Menschen die Risiken verstehen, wird proaktives Hunting sinnvoll. Technologien wie Firewalls und MFA gehören in die ersten Schritte, aber die Art ihrer Einführung muss pragmatisch und geschäftsnah sein.“
Wie sieht eine pragmatische, geschäftsnahe Einführung von Cybersecurity Awareness in der Praxis aus, gerade im Fall von QIAGEN mit hochspezialisierten, nicht-technischen Umfeldern wie Forschung und Entwicklung oder Laboren?
„Cybersecurity Awareness muss über Compliance hinausgehen und als Chance genutzt werden, Kultur aufzubauen – nicht als einmalige Pflichtübung. Ein CISO sollte die Menschen zuerst dort abholen, wo sie stehen, unterschiedliche Niveaus an Cyber-Kompetenz anerkennen und diese als Ausgangspunkt nehmen, statt Teams mit technischen Details zu überfrachten. Der erste Fokus sollte auf dem Geschäftszweck und einer geschäftsnahen Sicherheitsstrategie liegen: Cybersicherheit über konkrete Fragen greifbar machen, etwa wie schnell ein Cybervorfall zentrale Umsatzströme oder kritische Forschung stören oder geistiges Eigentum kompromittieren könnte – statt über rein technische Erklärungen.
Mit der Zeit lässt dieser Ansatz eine Sicherheitskultur schrittweise wachsen. Teams verstehen, welche Schwachstellen existieren, wie sie adressiert werden und warum bestimmte Maßnahmen wichtig sind, ohne dass übermäßige technische Tiefe das Engagement erstickt.
Entscheidend ist, dass der Ansatz zur Unternehmenskultur passt. In eher konservativen Umfeldern wie QIAGEN ist ein strukturierter und sorgfältiger Kommunikationsstil wirksamer. Bei DAZN, einem Digital-Media-Unternehmen, habe ich erlebt, dass ein informellerer und agilerer Ansatz die Teams besser erreicht und zu stärkerem Engagement geführt hat.
Die Sicherheitskultur an die Corporate Identity des Unternehmens anzupassen ist deshalb der Schlüssel dafür, dass Cybersecurity Awareness nachhaltig wirkt und wirklich in alltäglichen Entscheidungen verankert ist.“
{{quote}}
Können Sie uns etwas über Ihre Erfahrung als beratendes Mitglied der Agentur der Europäischen Union für Cybersicherheit (ENISA) erzählen? Wo sehen Sie die größte Lücke zwischen der EU-Cybersicherheitsregulierung und der tatsächlichen Sicherheitslage von Unternehmen?
„Ich spreche hier persönlich und nicht im Namen von ENISA: Die größte Lücke sehe ich zwischen dem Anspruch und dem Geltungsbereich der EU-Regulierung und dem tatsächlichen Ausgangspunkt vieler Unternehmen, die nun darunterfallen.
Nehmen wir NIS2 als Beispiel: Allein in Deutschland fallen Zehntausende Unternehmen neu in den Anwendungsbereich, viele davon aus dem ‚Mittelstand‘. Ein großer Teil von ihnen hat solide IT-Teams, die den Umsatzstrom schützen wollen, aber keine eigene Sicherheitsfunktion – und ist noch weit von dem Reifegrad entfernt, den die Regulierung letztlich erwartet.
Eine zweite große Lücke liegt darin, wie Regulierung in die Praxis übersetzt wird. Ein häufiges Muster ist, dass IT-Teams eine Anforderung wie ‚MFA einsetzen‘ lesen, eine technische Lösung auswählen und sie sehr schnell ausrollen. Das kann den Geschäftsbetrieb stören, Widerstand in der Führungsebene auslösen und den Eindruck verstärken, Security sei rein hinderlich. Die meisten Regularien verlangen keine überstürzte Geschwindigkeit, sie verlangen Ergebnisse. Was fehlt, ist oft eine geschäftsnahe Umsetzung, die Sicherheitsziele und operative Realität austariert.
Schließlich gibt es eine ausgeprägte menschliche und kulturelle Lücke. Regularien können vorschreiben, dass Awareness-Trainings existieren, aber sie können nicht sicherstellen, dass diese sinnvoll sind oder im Alltagsverhalten verankert werden. Häufig fehlt die Übersetzungsschicht zwischen Gesetzestext, technischen Maßnahmen und der tatsächlichen Arbeitsweise der Menschen.“
Diese Lücke zwischen Regulierung, technischen Maßnahmen und Alltagsverhalten legt letztlich viel Verantwortung auf die Führungsebene. Welche Führungslektion haben Sie rückblickend als CISO auf die harte Tour gelernt?
„Führungskräfte teilen die Leidenschaft für technische Details nicht. Früh in meiner Laufbahn habe ich zu viel Zeit darauf verwendet zu erklären, wie Maßnahmen funktionieren, statt mich darauf zu konzentrieren, was die Führungsebene braucht, um das Unternehmen zu steuern. Der Wechsel zur Perspektive des Geschäftsrisikos hat die Gespräche deutlich produktiver gemacht.
Außerdem kommen die Grundlagen immer zuerst. Es ist verlockend, fortgeschrittenen Fähigkeiten hinterherzujagen, aber eine schwache Sicherheitshygiene zieht Sie ständig zurück in den Krisenmodus. Die Basis auf ein Niveau von ‚gut genug‘ zu bringen schafft den Freiraum für strategische Arbeit und reifere Gespräche auf Führungsebene.“
