Tarah Wheeler über Führung, Fehlversuche und das Wahrheitsproblem in der Cybersicherheit

Wheeler beschreibt sich im Kern als Sozialwissenschaftlerin und Autorin. Gerade deshalb habe sie in der Cybersicherheit ein ideales Beobachtungsfeld gefunden: Dort lasse sich nachvollziehen, wie Menschen handeln, wenn sie glaubten, unbeobachtet zu sein, und diese Beobachtungen ließen sich mit Daten unterlegen. Diese Perspektive prägt ihren Blick bis heute, etwa wenn sie Compliance nicht nur als Regelwerk versteht, sondern als Hebel, um das Verhalten von 50.000 Menschen im Sicherheitskontext messbar zu verbessern.

Die fachliche Breite ihrer Laufbahn nennt Wheeler als entscheidend für ihre heutige Rolle. Sie habe in sehr unterschiedlichen Sicherheitsfunktionen gearbeitet und verliere beim Wechsel in neue Bereiche die früheren Perspektiven nicht. Erfahrungen aus dem Red Teaming würden etwa auch in der Compliance helfen, weil sich damit besser erkennen lasse, wie Richtlinien ausgenutzt, umgangen oder missbraucht werden können. Neben ihrer operativen Arbeit war sie auch publizistisch aktiv: Sie schrieb das Buch „Women in Tech: Take Your Career to the Next Level with Practical Advice and Inspiring Stories“ sowie mehrere Grundsatzpapiere für Institutionen wie den Council on Foreign Relations und das Belfer Center der Harvard University. Auf ihren Beitrag „In Cyberwar, There are No Rules“ für Foreign Policy aus dem Jahr 2018 verweist sie ausdrücklich mit Stolz.

Auch außen- und sicherheitspolitische Themen ziehen sich durch ihre Laufbahn. Bereits im Studium befasste sie sich nach eigener Aussage mit Konflikten rund um China, Russland und Nordkorea; heute begegne sie diesen Themen erneut, nun aber aus der Perspektive der Cybersicherheit. Als Security Fellow bei New America arbeitete sie zu Südasien und dem Nahen Osten, zu extremistischen Gruppen wie ISIS, al-Qaida und verbündeten Gruppierungen, zur Verbreitung von Drohnen, zur Heimatschutzpolitik sowie zu Aktivitäten der US-Spezialkräfte und der CIA. Sie war Senior Fellow für globale Cyberpolitik beim Council on Foreign Relations, ist dort lebenslanges Mitglied und sitzt im Vorstand der EFF.

Wheeler verbindet ihre Fachlichkeit mit einer klaren Vorstellung von Führung. Der Übergang vom individuellen Beitragenden zur Führungskraft gelinge vor allem dann, wenn das eigene Ego zurückgenommen werde. Gute Führung bedeute für sie, andere dabei zu unterstützen, eine Aufgabe besser zu erledigen, als man selbst es früher konnte, ohne den Erfolg für sich zu beanspruchen. Als wichtigsten persönlichen Rat nennt sie die Erfahrung, von einer wirklich großen Führungspersönlichkeit zu lernen. Fachlich prägend war für sie nach eigener Aussage ein Hinweis von Jon Callas bei Silent Circle: Ihre Aufgabe sei es, Technik anderen verständlich zu machen, nicht ständig ihren Rechner neu aufzusetzen. Die Lehre daraus sei, sich auf das zu konzentrieren, was für die eigentliche Arbeit wirklich nötig und zeiteffizient ist.

Ihr eigener Rat an andere fällt entsprechend direkt aus: häufig scheitern, hart scheitern und es akzeptieren. Sie sagt, sie sei vermutlich bei sieben von zehn Versuchen gescheitert. Gerade diese Bereitschaft erhöhe aber die Zahl der Anläufe und damit auch die Chance auf große Erfolge.

Am meisten Sorgen bereitet Wheeler derzeit nicht eine einzelne Bedrohung, sondern das Fehlen belastbarer Wahrheit in der Cybersicherheit. Sie kritisiert, dass es an Branchen-Benchmarks und Branchenstatistiken fehle. Deshalb blieben zentrale Fragen unbeantwortet: Wie viele Phishing-Tests sind angemessen? Wie sollte Identitätsmanagement organisiert werden? Wie viele Angriffe müsse ein Unternehmen pro Jahr erwarten und akzeptieren, statt Geld für deren Vermeidung auszugeben? Welchen messbaren Nutzen hat eine Cyberversicherung?

Als Ursache nennt sie eine Flut aus Medienberichten, Marketing großer Unternehmen mit ihren Unternehmensdaten und Regierungsdokumenten, die aus ihrer Sicht keine belastbare Wissenschaft über tatsächliche Auswirkungen internationaler Aktionen, Nutzerverhalten, staatlicher Bedrohungen oder APTs liefern. In den USA fehle eine zentrale Behörde für Cyberstatistik und damit eine verlässliche Wahrheitsquelle. Mit Blick auf NIST äußert sie sich besonders besorgt. Sie verweist auf den von der Regierung erzwungenen Personalabbau: Er begann laut Text um das Frühjahr 2025 mit der Entlassung von mehr als 70 überwiegend noch in der Probezeit befindlichen Beschäftigten; bis Ende Januar 2026 habe die Behörde nach einem Bericht von CyberScoop mehr als 700 Stellen seit 2025 abgebaut, darunter 89 in einem Labor für die Prüfung und Validierung der Regierungsverschlüsselung. Ohne zentrale Wissensquellen, so Wheelers Fazit, fehle der Branche ein belastbares Fundament für Entscheidungen.