Führen durch Neugier: Sergej Epp über KI, Risiko und die neue Rolle des CISO
Sergej Epps Weg in die Cybersicherheit begann mit einer Lektion aus der Praxis. Als Student baute er einen einfachen Webserver, der über eine Schwachstelle schnell kompromittiert wurde. Statt sich abzuwenden, weckte diese Erfahrung sein Interesse daran, zu verstehen, wie Systeme funktionieren und wie man sie absichert. Diese Neugier legte den Grundstein für eine Laufbahn, die Cybersicherheit sowohl technisch als auch strategisch stärkt.
Nachdem er bei der Deutschen Bank die globale Cyberabwehr geleitet und mehr als sechs Jahre als CISO bei Palo Alto Networks gewirkt hat, ist Sergej seit Kurzem Chief Information Security Officer bei Sysdig – einem weltweit führenden Anbieter für Cloud- und Open-Source-Sicherheit. Sein Fokus liegt heute im Kern moderner Unternehmensabwehr: Cloud-native Umgebungen absichern, Risiken in der Lieferkette steuern und Awareness in der gesamten Organisation verankern.
In diesem Gespräch spricht Sergej über die sich wandelnde Bedrohungslage, die wachsenden Anforderungen an CISOs und darüber, warum wirksame Führung mit Engagement beginnt – nicht mit Angst.
Sergej, was hat Sie ursprünglich zur Cybersicherheit gebracht, und was hält Sie in diesem Feld?
„Bei mir fing das ziemlich früh an. Ich war noch in der Schule und hatte einen kleinen, selbst programmierten Webserver veröffentlicht. Innerhalb von zwei Tagen fand jemand eine Schwachstelle und nutzte sie aus. Ich war wütend, ja – vor allem aber fasziniert. Dieser Moment hat mich in die Welt der Security gezogen. Was mich darin hält, ist das Tempo. Cybersicherheit ist eines der dynamischsten Felder überhaupt – Cloud, Blockchain, Container, KI … Es kommt immer eine neue Innovationswelle, die uns zwingt, uns schnell anzupassen. Man lernt permanent dazu. Und für jemanden, der endlos neugierig ist, macht das süchtig.“
Was sind aus Ihrer Sicht heute die größten Bedrohungen für die Cybersicherheit?
„Es ist nicht die Technologie, wie viele annehmen – es sind die strategischen blinden Flecken. Zu häufig haben Unternehmen entweder kein klares Bild ihrer tatsächlichen Risikoexposition oder gehen davon aus, allein der Einsatz von Security-Tools bedeute Schutz. Diese Haltung ist riskant. Ich sehe häufig zu stark vereinfachte Sicherheitsstrategien und zu wenig realistische Tests. Ohne die Simulation echter Angriffsszenarien lässt sich kaum wirksam priorisieren, wo die Verteidigung ansetzen muss. Und alles zu beheben ist schlicht Wunschdenken. Deshalb bin ich ein überzeugter Verfechter von Red Teaming, Simulationen und Assume-Breach-Denken – besonders in regulierten Branchen wie dem Finanzsektor, wo operative Resilienz eine ganze Branche oder Volkswirtschaft betreffen kann.“
Generative KI verändert die Bedrohungslage bereits. Wie sollten CISOs auf diesen Wandel reagieren?
„KI beschleunigt sowohl das Volumen als auch die Präzision von Angriffen – von überzeugenderen Phishing-Mails bis zu realistischen Deepfakes. CISOs müssen dem zuvorkommen, indem sie klar festlegen, wer die Verantwortung für KI-bezogene Risiken trägt: in den Bereichen Recht, Compliance und Engineering. Es geht nicht nur um Richtlinien, es geht um Sichtbarkeit. Sie müssen verstehen, wie KI intern eingesetzt wird und welche Angriffsflächen dadurch entstehen.
Investieren Sie zugleich in KI-gestützte Sicherheitsplattformen, die Anomalien in Echtzeit erkennen, Response-Workflows automatisieren und die operative Komplexität senken. Und selbst mit den besten Werkzeugen bleibt eine Kultur aus Awareness und Weiterbildung Ihre stärkste Verteidigungslinie.“
Kann KI auch die Verteidigung stärken? Wie denken Sie über KI in diesem Zusammenhang?
„Unbedingt. KI hat enormes Potenzial, die Verteidigung zu verstärken. Wir sehen bereits Copilots, die Security-Teams beim Triagieren von Alerts, beim Erkennen von Bedrohungen und bei der Sichtbarkeit unterstützen. Das funktioniert aber nur, wenn Sicherheit fest im KI-Lebenszyklus verankert ist. Ich glaube, CISOs werden in vielerlei Hinsicht zu Chief AI Security Officers. Wir müssen messbare KPIs definieren und sicherstellen, dass unsere KI-Systeme gegen Manipulation, Data Poisoning und Missbrauch gewappnet sind. KI wird menschliche Expertise nicht ersetzen, aber sie sollte sie wirkungsvoll erweitern.“
{{quote}}
Wie sollten CISOs mit Geschäftsleitung und Vorstand zusammenarbeiten, um die Verantwortlichkeit für Cybersicherheit zu stärken?
„Oft klaffen die Erwartungen auseinander. CISOs werden für alles verantwortlich gemacht, während der Rest der Organisation nicht immer gleichermaßen bei Sicherheitsthemen mitzieht – und im Vorstand fehlt es in vielen Fällen weiterhin an Cyber-Kompetenz. Es ist wichtig, Führungskräften einen Blick hinter die Kulissen zu ermöglichen und ihnen Sicherheit in ihren Entscheidungen zu geben.
Zum Glück beginnt sich das zu verändern. Regelwerke wie NIS2 machen Vorstände rechtlich für Cybersicherheit verantwortlich. Das ist ein wichtiger Schritt, aber nur, wenn daraus echtes Engagement erwächst. Entscheidend ist, keine Angst zu erzeugen, sondern gemeinsame Verantwortung zu wecken. Einer der wirksamsten Schritte, die ich erlebt habe, ist, wenn Vorstandsmitglieder ihre Teams fragen: Welchen Wert bringt Cybersicherheit für Ihre Arbeit? Eine solche Frage verändert die Dynamik – und holt den CISO aus der Schusslinie.“
Wie können Unternehmen ihre Cybersicherheit in einem komplexen Umfeld am besten stärken?
„Es beginnt mit einem realistischen, risikobasierten Ansatz. Sie können nicht alles gleich stark absichern, konzentrieren Sie sich also auf das Wichtigste und bauen Sie darum herum eine starke Verteidigung auf. Kernpraktiken wie Zero Trust, Runtime Security und Netzwerksegmentierung helfen, die Auswirkungen von Sicherheitsvorfällen zu begrenzen. Und Identity Security ist entscheidend, denn Angreifende nutzen sie häufig aus, um sich lateral zu bewegen. Es gibt keine Wunderlösung, aber gestaffelte, gut integrierte Maßnahmen bringen sehr viel.“
Sie sprechen Cybersicherheit oft als gesellschaftliches Thema an. Was bedeutet das in der Praxis?
„Digitale Souveränität in Europa werden wir ohne starke, gemeinschaftliche Cybersicherheit nicht erreichen. Das ist nicht nur ein Unternehmensproblem, sondern eine politische, wirtschaftliche und kulturelle Herausforderung. Wir brauchen branchenübergreifende Zusammenarbeit: Security-Verantwortliche, Regulierungsbehörden, Forschende. Wir sitzen alle im selben Boot, und je eher wir danach handeln, desto besser sind wir vorbereitet.“
Und zum Schluss: Herzlichen Glückwunsch zur Nominierung für die deutschen „Top 40 under 40“! Was bedeutet Ihnen diese Anerkennung?
„Es ist natürlich eine große Ehre – vor allem aber eine Gelegenheit, Cybersicherheit als strategische und gesellschaftliche Priorität ins Rampenlicht zu rücken. Ich möchte diese Plattform nutzen, um anderen in diesem Feld Sichtbarkeit zu geben und Cybersicherheit sichtbarer zu machen – gerade für Menschen außerhalb der Branche. Zusammenarbeit spielt dabei eine große Rolle. Veranstaltungen, die CISOs, Start-ups, Technologieanbieter und Forschende zusammenbringen, sind unverzichtbar. Wir brauchen Perspektiven aus dem gesamten Ökosystem – von Cloud über Detection bis Identity –, um unsere gemeinsame Verteidigung zu stärken. Kein einzelner Akteur hat alle Antworten, aber durch offenen Austausch und gemeinsames Lernen bringen wir das gesamte Feld voran.“
