DARE #3 - Eric Kawka - CISO GRC @Eramet

Manchmal begegnet man Menschen, die einen inspirieren. Die einen glauben lassen, dass ein anderer Ansatz möglich ist. Die einen mit ihrer Energie mitreißen. 

„DARE.“ ist die Serie der Optimisten. Über jene, die den Mut und die Kreativität haben, unsere Unternehmen und unseren Alltag immer wieder neu zu erfinden.

Tauchen Sie ein in die Welt, die Strategie und die Methoden derer, die etwas bewegen.

Starke Persönlichkeiten für konkrete Interviews.

Wenig Zeit? Die 3 konkreten Insights dieses Artikels:

• Der CISO von morgen ist ein Stratege, kein Hypertechniker: Seine Stärke liegt im Gesamtblick und in der Fähigkeit, Expertisen zu bündeln.

• Ein Cyberprogramm gelingt durch das Team und durch Pragmatismus: die Transformation an den Kontext anpassen und mit Widerständen umgehen können.

• KI und Automatisierung schaffen Freiraum im Kopf: Nachdem die Grundlagen gefestigt sind, auf einfache Tools setzen, die repetitive Aufgaben eliminieren.

Das Gespräch

Gab es einen entscheidenden Moment, der Sie zu einer Karriere in der Cybersecurity geführt hat?

Ja und nein! (Lacht)

Ich erkläre es. Ich bin nicht der Typ, der seine Karriere auf 5 oder 10 Jahre plant. Ich habe mir nie gesagt: „So, ich werde in der Cybersecurity arbeiten“ oder „Ich werde dort Karriere machen“.

Einem Prinzip bin ich jedoch treu geblieben: nie aufhören zu lernen. Das ist der rote Faden meines Werdegangs.

Ich bin also immer auf der Suche nach Gelegenheiten, neue Themen zu erkunden und mich mit anderen Berufsfeldern auseinanderzusetzen. Und die Cybersecurity … lag einfach auf meinem Weg.

Interessant! Und wie hat sich das konkret ergeben? 

Ich bin von Haus aus Techniker für Industrieinformatik. Und angefangen habe ich … mit der Installation von Bürosoftware! Ich habe sogar Projekte zur Installation von Buchhaltungssoftware in Rathäusern geleitet, nur um Ihnen eine Vorstellung zu geben. Das hatte nichts mit Cybersecurity oder meiner ursprünglichen Ausbildung zu tun, war aber enorm lehrreich, um Projektmanagement zu lernen und ein echtes Gespür für zwischenmenschliche Beziehungen zu entwickeln.

Nach dieser ersten Erfahrung bin ich zur Michelin-Gruppe gewechselt, um in der Entwicklung und Systemadministration zu arbeiten. Man muss sich das vorstellen: Wir sind im Jahr 1997. Damals sprach man nicht einmal von „Cyber“, sondern von „IT-Sicherheit“.

Und diese „IT-Sicherheit“ war bei Michelin … ein Abstellgleis. Der Rückzugsort der Alten, der Koryphäen am Ende ihrer Laufbahn. Ein kleines Team extrem erfahrener Experten, aber in sich abgeschottet, wie in einer Festung.

Glücklicherweise ermöglichte mir meine Position in einer sensiblen Tochtergesellschaft, mit ihnen in Kontakt zu kommen. Und ich verspürte den echten Wunsch, zu ihnen zu wechseln. Die Personalabteilung versuchte, mich davon abzubringen (lacht). „In Ihrem Alter, mit Ihrem Werdegang … wir finden etwas Besseres für Sie.“ Aber mein Unterbewusstsein hatte die Entscheidung bereits getroffen. In meinem Kopf war es klar.

Hätten Sie rückblickend besser auf sie gehört?

Ich habe nie eine bessere Entscheidung getroffen. (Lacht)

Ich kam aus 10 Jahren reiner Technik und wollte zu etwas Strategischerem wechseln. Eine Rolle, die es mir ermöglichte, mit einem Bein in der Technik zu bleiben und gleichzeitig mehr Einblick in die Governance zu gewinnen.

Und ich landete in einem Team unglaublicher Experten, die mir ihr gesamtes Wissen weitergaben, das sie im Laufe ihrer langen Karrieren angesammelt hatten. Sie haben mir unter anderem alles über Kryptografie beigebracht.

Rückblickend glaube ich, dass es für mich eine Art Selbstverständlichkeit war. Ich habe immer nach Instinkt gehandelt, und dieser Wechsel erschien mir unausweichlich.

Parallel dazu sah ich, dass sich die Dinge veränderten. Michelin hat eine echte Kultur des Informationsschutzes, und ich befand mich an einem Knotenpunkt vieler strategischer Themen. Statt in eine Infrastruktur- oder Entwicklungsabteilung inmitten einer Armee von Entwicklern zu gehen, bin ich ein Risiko eingegangen. Und ich habe es nie bereut.

Wann kam die „IT-Sicherheit“ vom Abstellgleis und wurde zum Trendthema?

Das hat gedauert … und einige Umstrukturierungen erfordert!

Zwischen 2008 und 2012 hat sich das Umfeld stark verändert. Wir sind von geschlossenen „On-Premise“-Systemen zu immer offeneren, heterogenen Architekturen übergegangen … und damit neuen Bedrohungen ausgesetzt.

Und dann tauchten die Vorfälle in der Presse auf. Die Folgen wurden konkret und greifbar. Das prägnanteste Beispiel ist sicherlich Stuxnet.

Man erkannte, dass ein Unternehmen nur funktioniert, wenn sein Informationssystem geschützt ist. Sicherheit war keine Sache von IT-Leuten im stillen Kämmerlein mehr. Man musste vor Ort gehen, Hand in Hand mit den Fachbereichen arbeiten und ihre Anforderungen verstehen, um die gesamte Kette abzusichern. Genau das hat den Beruf zugleich bereichsübergreifend, technisch, strategisch … und spannend gemacht.

Ein weiterer Schlüsselmoment war für mich der Aufstieg der Incident-Response-Teams. Denn man musste schließlich einsehen, dass keine Governance, so solide sie auch sein mag, jemals zu 100 % ausreicht. Man musste also reagieren können.

Heute gelten diese Teams als kritisch für Betrieb und Geschäft. Der Wandel war so tiefgreifend … dass man gleich ein neues Wort erfunden hat: Cybersecurity.

Sehr klar! Die Entwicklung ist gut zu erkennen. Wie wird sich Ihrer Meinung nach die Rolle des CISO in den kommenden Jahren verändern? 

Ich glaube, vor uns liegen spannende Jahre. Cybersecurity bleibt ein stark wachsender Sektor. Systeme sind in unserem Leben immer präsenter, die Technologie entwickelt sich rasant, und der geopolitische Kontext fügt eine zusätzliche strategische Ebene hinzu.

All das wird zwangsläufig die Rolle und die Kompetenzen des CISO beeinflussen.

Brauchen wir „Schweizer Taschenmesser“, die sich in allen Cyberthemen wohlfühlen? Oder Manager, die sich im Wesentlichen auf eine Sicherheitsrichtlinie stützen? Ich habe keine Gewissheit, aber eine Meinung …

Der CISO von morgen ist kein Hypertechniker. Die Technologien entwickeln sich zu schnell. Niemand, so brillant er auch sein mag, kann Experte in allen Bereichen sein, die abgedeckt werden müssen.

Sich auf dem Laufenden halten, in die Themen eintauchen: natürlich, das ist unerlässlich. Aber alles beherrschen zu wollen bedeutet, Gefahr zu laufen, das Wesentliche zu verpassen.

Verstanden! Wir hätten es also eher mit CISOs mit Makrosicht zu tun, die Projekte gut steuern können. Welche Faktoren entscheiden Ihrer Meinung nach über Erfolg oder Scheitern eines Cyberprogramms?

Mehr als eine „Makrosicht“ würde ich sagen: ein Gesamtblick. Er ermöglicht es, eine solide Strategie aufzubauen.

Der erste Erfolgsfaktor ist für mich das Team. Sich mit den richtigen Leuten zu umgeben. Mit denen, die das Fachwissen, die Technik oder einfach die richtige Einstellung mitbringen.

Dann braucht es Pragmatismus. Jedes Unternehmen hat seine DNA, seinen Rhythmus, seine Zwänge. Und dieser Kontext verändert sich ständig. Man muss also auf gesunden Menschenverstand setzen.

Wenn Sie zum Beispiel ein Programm starten und die Mehrheit der Stakeholder ist dagegen, dann gibt es ein Problem. Natürlich wird es immer eine widerspenstige Minderheit geben. Das ist normal, sogar gesund. Aber wenn der Widerstand flächendeckend ist, muss man sich hinterfragen:

• Was habe ich übersehen?

• Welche Signale habe ich nicht gesehen?

• Ist es der richtige Zeitpunkt für diese Transformation?

• Ist meine Organisation bereit?

Das ist frustrierend, weil man manchmal genau weiß, wohin man will. Aber man muss Kompromisse eingehen. Es ist wie beim Wandern: Sie kennen den Gipfel und die herrliche Aussicht, die Sie bei Sonnenaufgang erwartet. Aber manchmal ist der einzig mögliche Weg für Ihre Gruppe der Pass zwischen zwei Gipfeln. Und das ist schon sehr gut.

Schönes Bild! Und eine letzte Frage, bevor wir zu den „menschlicheren“ Themen kommen: In welche Lösung oder Technologie würden Sie morgen 1 Million Euro investieren? 

Ich würde damit beginnen, die Grundlagen zu festigen. Zero Trust, XDR, SOC, Schwachstellenmanagement … Solange Sie kein robustes Fundament haben, verbringen Sie Ihre Zeit damit, Brände zu löschen.

Bei der Innovation glaube ich dann stark an Tools, die Freiraum im Kopf schaffen. Automatisierung und KI haben eindeutig ihren Platz, vor allem bei repetitiven Aufgaben, die heute keinen Sinn mehr ergeben. Man sollte zum Beispiel nicht mehr SOC-II-Berichte mit „Strg + F“ nach Schlüsselwörtern durchsuchen müssen …

In diesem Sinne glaube ich, dass Sie mit Galink die richtige Richtung einschlagen, indem Sie Lieferantenaudits mithilfe von Sprachmodellen beschleunigen. Ich würde auch Mokn und ihr „Phishback“-System erwähnen, das kompromittierte und aktiv ausgenutzte Credentials identifiziert. Das Konzept ist verblüffend einfach … und deshalb genial.

Ich habe eine echte Schwäche für solche Ideen, die offensichtlich wirken. Sie werden oft am stärksten angenommen und gewinnen schnell Marktanteile.

100 % einverstanden. Kommen wir also zum Menschen. Welche Charaktereigenschaften haben Ihnen in Ihrer Karriere am meisten geholfen? 

Ich glaube, ich kann mich gut wieder aufrappeln. Wie jeder habe ich Phasen des Zweifels. Ich kenne auch diese Abende, an denen ich mit wirrem Kopf ins Bett gehe, überzeugt, dass es keine Lösung gibt.

Aber ich habe das Glück, mental schnell wieder in Fahrt zu kommen. Ich kann bei einem Thema feststecken, aber ich gebe nie auf. Am Ende finde ich immer einen Ansatzpunkt, einen Ausweg. Das hilft mir im Alltag wohl am meisten.

Außerdem glaube ich, dass meine Begeisterung ansteckend ist. Ich liebe, was ich tue, und ich denke, das spürt man. Das hilft mir, meine Ideen zu vermitteln und zu überzeugen. Ich habe großes Vertrauen in meine Überzeugungen, was es mir oft ermöglicht, andere mitzureißen.

Diese verbindende Art kann sich gegen einen wenden, wenn man sich irrt … aber bisher hat sie mich eher getragen.

Wie gehen Sie mit Rückschlägen um, wenn sie auftreten? 

Unsere gabunischen Freunde haben eine Philosophie, die ich mag: „Einen Elefanten isst man mit dem Teelöffel.“ 

Anders gesagt: Man zerlegt das Problem in Stücke. Genau das versuche ich bei meinen großen Themen.

Wenn man einen Berg in eine Reihe kleiner Steine verwandelt, wird es leichter, die Menschen um sich herum zu mobilisieren. Man kommt Schritt für Schritt voran. Und meistens gewinnt man am Ende weitere Teelöffel, die helfen, den Elefanten zu essen.

Das ist sicher entscheidend, um Menschen für Ihre Themen zu gewinnen. Wie würden Sie Ihren Führungsstil beschreiben? 

Ich versuche, zwei wesentliche Dinge einzubringen: Transparenz und Sinn.

Transparenz, weil ich mir die Zeit nehme, Themen, Zusammenhänge und Zwänge zu erklären … manchmal sogar meine eigenen Schwierigkeiten. Natürlich nicht, um mich zu beklagen, sondern um meinen Teams eine andere Perspektive zu bieten, sie zum Nachdenken anzuregen und sie wachsen zu lassen.

Und Sinn, weil er die Grundlage für Engagement ist. Ich achte sehr auf den Menschen. Ich bin kein besonderer Freund der Vermischung von Beruflichem und Privatem, erkenne aber an, dass manche Situationen eine mentale Belastung erzeugen, die man nicht ignorieren kann. In solchen Fällen reicht es oft schon, darüber zu sprechen, um zu entlasten – also versuche ich, präsent zu sein und einen Raum zum Zuhören zu schaffen.

Haben Sie Mentoren oder Vorbilder? 

Wie ich zu Beginn des Gesprächs sagte, lege ich enorm viel Wert auf das Team und darauf, was ich mit ihm lernen werde. Das ist ein tief in mir verankertes Prinzip.

Aber nein, einen „Mentor“ im traditionellen Sinne habe ich nicht.

Ich lasse mich lieber von jedem Profi inspirieren, dem ich begegne, und von jeder Situation, die ich erlebe.

Eric, wir nähern uns dem Ende des Gesprächs. Ich habe noch meine zwei traditionellen letzten Fragen an Sie. Die erste: Worauf sind Sie beruflich bis heute am meisten stolz? Oder umgekehrt: Welches Scheitern hat Sie am meisten gelehrt?

Ein und dasselbe Projekt beantwortet beide Fragen.

Als ich bei Michelin war, startete der Konzern ein Intrapreneurship-Programm. Alle Mitarbeitenden konnten eine Idee einreichen, sie vor einer Jury pitchen und sie, wenn sie ausgewählt wurde, umsetzen.

Ich hatte damals eine recht ausgereifte Idee für ein Eco-Driving-Projekt, basierend auf einem Ökosystem vernetzter Geräte zur Senkung der CO₂-Emissionen von Fahrern. Ich kam durch die erste Auswahlrunde, aber danach wurde mein Projekt abgelehnt.

Allerdings hatte ich mich mit den Initiatoren eines anderen Projekts, MyGoodTrip, ausgetauscht, und wir verstanden uns hervorragend. Sie boten mir an, mitzumachen. Wir haben uns voll reingehängt: Abende, Wochenenden, alles. Und am Ende wurde das Projekt ausgewählt.

Es wurde konkret: Der Konzern stellte uns von unseren jeweiligen Positionen frei, um das Geschäft aufzubauen.

Alles war bereit. Das Team war eingeschworen und motiviert. Doch in allerletzter Minute, kurz vor dem Start, beendete das Executive Committee die Initiative. Ohne Erklärung. Sehr wahrscheinlich, weil unser Angebot mit einem anderen Projekt konkurrierte, das in einer anderen Einheit entwickelt wurde.

Es bleibt ein riesiger Stolz, weil wir sehr weit gekommen waren. Und ein sehr lehrreiches Scheitern, weil es mich gelehrt hat, wieder aufzustehen und zu akzeptieren, dass manche Entscheidungen nicht von einem selbst abhängen – selbst wenn man alles richtig macht.

Ich kann mir die Frustration vorstellen. Und zum Schluss: Welchen Rat würden Sie Ihrem „Ich“ von vor 10 Jahren geben? 

Es mag widersprüchlich klingen, aber ich würde zwei Dinge sagen:

• Lernen, den eigenen Eifer zu zügeln und besser zuzuhören.

• Mehr auf sich selbst hören. Dem eigenen Instinkt vertrauen.

Es ist diese Balance zwischen Feuer und Klarheit, die einen weit bringt.