DARE #2 – Mayeul Berger – Head of IT & Security @CybelAngel
Manchmal begegnen wir Menschen, die uns inspirieren. Die uns glauben lassen, dass ein anderer Ansatz möglich ist. Die uns mit ihrer Energie mitreißen.
„DARE.“ ist die Serie über Optimisten. Über diejenigen, die den Mut und die Kreativität haben, unsere Unternehmen und unseren Alltag immer wieder neu zu erfinden.
Tauchen Sie ein in die Welt, die Strategie und die Methoden derer, die etwas bewegen.
Starke Persönlichkeiten, konkrete Interviews.
Wenig Zeit? Die 3 konkreten Erkenntnisse dieses Artikels, die Sie morgen früh umsetzen können:
Versetzen Sie sich in einen Cyberangriff wie eine Figur in einem Comic, um Ihre Kreativität und Prävention anzuregen
Wenn Sie spüren, dass ein Zyklus zu Ende geht, dramatisieren Sie den Wandel nicht. Entscheidend ist, den richtigen Zeitpunkt zu finden, um in das Wespennest zu stechen
Es ist entscheidend, ein offenes Ohr für Ihre Teams zu haben, aber Sie müssen Grenzen setzen. Es gibt eine Zeit für Empathie und eine Zeit für die Umsetzung. Gerade Letztere gibt ihnen das Vertrauen zurück.
Das Gespräch
Mayeul, vielen Dank, dass Sie an diesem „DARE.“-Interview teilnehmen. Lassen Sie uns am Anfang beginnen. Wie sind Sie in die Welt der Cybersicherheit gekommen?
Auf den ersten Blick hätte mich mein Werdegang absolut nicht dorthin führen sollen, wo ich heute bin. Mit etwas Abstand betrachtet gibt es aber dennoch eine Logik, einen roten Faden zwischen meinen Kindheitsträumen und meiner heutigen Arbeit.
Meine familiäre Prägung hat damit viel zu tun. Wir haben mehrere Soldaten in der Familie, und ich hatte schon immer eine Vorliebe für Themen rund um Verteidigung und Engagement. Ich war indirekt davon umgeben, sei es bei den Pfadfindern oder durch meine Lektüre: Ich war (und bin) zum Beispiel ein großer Fan von Spionageromanen. Als Jugendlicher dachte ich an eine militärische Laufbahn..
Doch die Zeit verging, und am Ende der Schulzeit musste ich mir eingestehen: Ich hätte mich in diesem Umfeld nicht entfaltet und wäre vielleicht auch nicht besonders gut gewesen. Ich hatte eine recht romantische Vorstellung davon, aber als ich mir den konkreten Alltag eines Soldaten vorstellte, wurde mir klar, dass dieser Rahmen nicht der richtige für mich war.
Und wenn ich mich recht erinnere, haben Sie keine halben Sachen gemacht, sondern einen ganz anderen Weg eingeschlagen …?
Genau, ich habe mich schließlich für Politikwissenschaft und Literatur entschieden. Ich ging an das Institut Albert-le-Grand (Angers) für einen Doppelabschluss in Literatur und Politikwissenschaft - eine Ausbildung, die ich geliebt habe. Sie entsprach genau meiner Vorstellung einer umfassenden intellektuellen Bildung. Wir haben viel gearbeitet, zu den unterschiedlichsten Themen – von der Marktwirtschaft über politische Philosophie bis hin zum Theater. Ich fand dort viel intellektuelle Substanz und eine echte Schule des Arbeitens. Es war anspruchsvoll, so weit auseinanderliegende Disziplinen zu beherrschen, aber vor allem sehr prägend.
Mit so vielen Disziplinen konfrontiert zu sein, hat mich am Ende des Studiums viele Fragen stellen lassen, aber letztlich habe ich mich für internationale Beziehungen entschieden. Ich fand das spannend und dachte vor allem, dass es dort viel zu tun geben würde. Wenn ich mir die aktuellen Nachrichten ansehe, habe ich das Gefühl, mich nicht getäuscht zu haben.
Auf diesem Weg bin ich zur Cybersicherheit gekommen. Das Thema war damals schon im Kommen und versprach, unverzichtbar zu werden. Ich habe begonnen, mich in Hausarbeiten, Projekten und während meiner Masterjahre damit zu beschäftigen, was mir erlaubte, die Herausforderungen allmählich zu erfassen.
Zunächst arbeitete ich zwei Jahre im Bereich Monitoring und Public Relations. Eines Tages sah ich eine Stellenanzeige für eine Position im Cyberbereich, bewarb mich, und es hat geklappt. Ich habe mich dort sofort wohlgefühlt und mir die Frage seitdem kaum noch gestellt.
Was hat Sie als Student der Politikwissenschaft und Literatur dafür prädestiniert, in der Cybersicherheit gut zu sein?
Das war nicht selbstverständlich. Ich fing bei null an und musste alles lernen, vor allem auf technischer Ebene. Aber ich kann mich gut in Themen vertiefen, die mich interessieren, also habe ich recht schnell gelernt. Meine damaligen Kollegen waren sehr offen und ermutigend, was mir geholfen hat, mich weiterzuentwickeln.
Außerdem haben mir einige Charakterzüge geholfen, in dieser Arbeit recht effektiv zu sein.
Welche?
Man sagt mir eine gewisse Fantasie nach. Nebenbei bemerkt: Der einzige Bereich, für den ich fast alles hingeschmissen hätte, waren Comics – ich wollte Illustrator werden. (Lacht) Ich habe es geliebt, zu zeichnen und Geschichten zu erzählen. Das mache ich schon immer. Das ist meiner Meinung nach ein echter Vorteil, zuerst als Analyst und heute als Head of IT & Security. Ich glaube, ich habe die richtige Portion Fantasie, die es mir leicht macht, mich in eine Bedrohung und in die Lage eines Angreifers hineinzuversetzen.
Das hilft bei der Prävention, aber auch dabei, Schwachstellen schnell zu erkennen. Bei den Datenmengen, die wir verarbeiten, braucht es neben der methodischen Analyse auch ein gewisses Gespür, um die Lücke, die Schwachstelle, das Risiko aufzuspüren. Als Analyst gelang es mir recht gut, mich in einen Angreifer hineinzuversetzen und mir „alles Böse, was ich anstellen könnte“ mit den von unseren Systemen erkannten Elementen (Datenleck, Schwachstelle usw.) vorzustellen. Das hilft mir natürlich auch heute im Risikomanagement – diesmal für mein Unternehmen und nicht mehr für unsere Kunden.
Das entsprach also Ihrer Persönlichkeit und Ihren Talenten. Hat Sie noch etwas anderes an dieser Welt gereizt?
Ich würde sagen, das Konkrete und die Wirkung der Arbeit, selbst bei alltäglichen Aufgaben. Als Sicherheitsverantwortlicher verbringen wir unsere Tage damit, das abzuwehren, was einem Unternehmen schaden könnte. Dieses kann riesig oder winzig sein. Auch wenn es nicht immer um nationale Interessen geht – wie es etwa bei einem OIV oder OSE der Fall sein könnte –, stehen immer Fragen der operativen Sicherheit, rechtliche und menschliche Aspekte (Arbeitsplätze) usw. auf dem Spiel – und oft auch sehr hohe finanzielle Interessen.
In der Cybersicherheit habe ich, unabhängig von meiner Position, das echte Gefühl, konkret zu etwas (und für jemanden) nützlich zu sein. Das ist wirklich erfüllend..
Sie sprechen von erfüllenden Aufgaben. Welche sind die undankbaren Aufgaben Ihrer Woche?
Ich denke eher in Phasen als in Aufgaben.
Ich sehe das Leben gerne als eine Abfolge von Kapiteln. Und es gibt für mich zwei große Arten von Kapiteln, die Energie kosten.
Die erste ist die der „Langeweile“. Sie tritt meist dann ein, wenn der Alltag vom Tagesgeschäft vereinnahmt wird. Wenn es weniger Innovation gibt und man das Gefühl hat, kaum noch etwas zu lernen (das passiert in einer Karriere irgendwann ganz natürlich). Bei mir schlägt das Alarmsystem an, wenn ich das Gefühl habe, denselben Tag zu erleben wie vor 3–4 Monaten. Darauf folgt meist eine ganze Phase des Hinterfragens, der Selbstreflexion, einer Bilanz der Aktivitäten und Kompetenzen und der Vorbereitung auf das Danach.
Und die zweite?
Die zweite Art „undankbarer“ Phase kommt mit dem Hochstapler-Syndrom; einem Syndrom, das einen nach oben ziehen und voranbringen kann, wenn man gut damit umgeht, das aber auch destruktiv sein kann. Es gibt in jeder Karriere, ja sogar in jedem Jahr, einen Moment, in dem die eigene Arbeit über die eigenen Kräfte hinauszugehen scheint oder man glaubt, das Vertrauen von Kunden oder Kollegen nicht zu verdienen.
Man muss sich selbst realistisch betrachten und einen ausgewogenen Anspruch an sich stellen – natürlich, um sich nicht auf seinen Lorbeeren auszuruhen, aber auch, um in Momenten des Zweifels voranzukommen. Letztlich sind diese Zweifel, wenn man gut umgeben ist, auch ein Ansporn, weiterzukommen und sich zu verbessern. Jedes Mal, wenn ich an diesem Punkt der Unruhe ankam, habe ich es geschafft, den Blick zu heben, und es haben sich Chancen ergeben.
Der Schlüssel in diesen Phasen des Zweifels ist, den richtigen Moment zu erkennen, um in das Wespennest zu stechen. Meiner Erfahrung nach zahlt es sich in der Regel aus, offen zu bleiben und den Wandel nicht zu dramatisieren.
Ich nehme an, diese Fähigkeit, Abstand zu den Themen zu gewinnen, hat Ihnen auch als Führungskraft geholfen. Haben Sie dazu eine Anekdote?
Ohne auf eine bestimmte Anekdote einzugehen: Ich habe in den letzten Jahren einige sehr bereichernde Erfahrungen gemacht.
Zweimal habe ich Mitarbeitende in mein Team aufgenommen, die sich in einer ziemlich fragilen Situation befanden. Brillante Menschen, die mit persönlichen und beruflichen Schwierigkeiten zu kämpfen hatten. Man hatte mich vor der Situation gewarnt, aber ich glaubte an ihr Potenzial und entschied mich, mit ihnen weiterzugehen.
Das geschah nicht über Nacht, aber ein klarer Rahmen, viel Austausch und viel Handlungsfreiheit haben gut funktioniert. Nach und nach gewannen sie ihr Selbstvertrauen zurück und entwickelten wieder großen Unternehmergeist. Sie konnten ihren Platz im Unternehmen wieder einnehmen und sich im Team entfalten.
Man muss akzeptieren, dass das Zeit braucht. Es erforderte viel Zuhören und das eine oder andere Bier an der Theke. Manchmal mussten auch Grenzen gesetzt werden. Nicht aus mangelnder Empathie, sondern weil es manchmal hilfreich ist, die Balance zwischen Autonomie und Kontrolle sowie zwischen Vertrauensgespräch und Führung zu halten. Manche Momente eignen sich dafür, sich anzuvertrauen, andere für die Umsetzung. Indem man diese Herausforderungen meistert, baut man sein Selbstwertgefühl wieder auf.
Das müssen menschlich sehr bereichernde Momente gewesen sein. Wenn wir den Blick weiten und auf die Ebene des Unternehmens schauen: Wie schaffen Sie es, das ganze Unternehmen für Ihre Projekte mitzunehmen?
Dazu kann ich Ihnen nichts sehr Konkretes erzählen. Ich habe das Glück, in einem Unternehmen zu arbeiten, in dem das ganze Team bei Cyberthemen engagiert und motiviert ist; kein Wunder, das ist unser aller Beruf. Das gilt für meine Themen (Sicherheit, IT, Cyber), aber auch ganz allgemein für alle Abteilungen. Ich stoße daher selten auf Blockaden, sei es aus Desinteresse oder aus mangelndem Willen.
Sehr klar. Und wie sehen Sie die Entwicklung der Rolle des CISO / Leiters Cybersicherheit in den kommenden Jahren?
Die Informationssicherheit entwickelt sich ständig und schnell weiter, daher ist eine Prognose über die Zukunft dieser Berufe sehr unsicher.
Insgesamt denke ich, dass die kurz- und mittelfristigen Herausforderungen die Stellung des CISO betreffen, der zunehmend eine strategische Rolle in der Führungsebene übernimmt und enger mit den anderen Fachbereichen/Teams/Abteilungen zusammenarbeitet. Das Risikomanagement entwickelt sich ganzheitlicher, während in den vergangenen Jahrzehnten die verschiedenen Probleme stärker voneinander abgeschottet waren. Die regulatorische Komplexität nimmt zu.
Und natürlich bleibt – in der Cybersicherheit wie überall – die Bewältigung der technologischen Revolution der künstlichen Intelligenz in all ihren Formen eine der größten Herausforderungen, jedenfalls eine der übergreifendsten.
Über den allgemeinen Wandel der Arbeitsweisen hinaus, der alle Branchen betrifft, halte ich die Asymmetrie zwischen der Entwicklung „defensiver“ KI, die bisher eher dazu neigte, Bestehendes zu verbessern, und der Entwicklung „offensiver“ KI, die stärker darauf ausgerichtet scheint, Unbekanntes zu erkunden und Cyberkriminalität zugänglicher zu machen, für einen entscheidenden Faktor.
Welchen Rat würden Sie sich selbst vor 10 Jahren geben? Über Bitcoin zu sprechen ist verboten.
Das knüpft an das an, was ich gerade gesagt habe, aber ich würde mehr Zeit in meine technische Weiterentwicklung investieren, in das Wissen über und die Beherrschung grundlegender Systeme sowie in die Erkundung innovativer Technologien. Ich sehe jeden Tag, wie diese Beherrschung den Erfindungsreichtum in unserem Beruf nährt.
Es gibt eine ganze Bewegung, die dafür eintritt, CISOs ohne IT-Hintergrund zu ernennen. Das ist bis zu einem gewissen Grad gesund, wenn es die strategische und geschäftliche Rolle dieses Berufs stärkt; es ist aber wichtig, keine Kluft zwischen der vom Management getragenen Vision und der technischen Realität vor Ort entstehen zu lassen.
Für alles andere: Wenn ich es noch einmal machen müsste, würde ich weiterhin auf den Rat meiner Frau hören.