Mitte der 1990er Jahre brauchte Gaetje Geld, und das Internet wandelte sich gerade vom Spielplatz einer kleinen Elite zum Arbeitsmittel für Unternehmen und Privatleute, E-Mail wurde zum Standardkanal der Kommunikation. “Ich sagte mir: Okay, machen wir vielleicht etwas im Computergeschäft”, erinnert er sich. Er suchte einen Beruf, der sein Interesse an Wirtschaft und Wirtschaftspolitik mit Informationstechnik verband, und ging zu einer Beratungsfirma.
Anfang der 2000er entschied er, sich auf eine einzige Branche zu konzentrieren. “Die beste Branche zu diesem Zeitpunkt, in der IT wirklich entscheidend war, war die Finanzbranche. Ich ging zu einem Versicherer.” Dort begann er als Auditor. Informationssicherheit war damals vor allem eine Compliance-Frage und noch keine Geschäftsbedrohung; Audit und IT-Sicherheit hatten eine natürliche Nähe. Als das Thema an Bedeutung gewann, wurde er gefragt, ob er den wachsenden Bereich Informationssicherheit führen wolle.
In den 2010er Jahren “begann der Spaß”, wie er es nennt – die Zeit großflächiger Angriffe wie WannaCry und NotPetya. “Es war völlig klar: Wir sprachen nicht mehr über ein einfaches Compliance-Thema. Das war eine ernste Bedrohung für das Geschäft.” 2018 wurde er CISO bei Körber IT Solutions, 2019 CISO der Körber AG.
Der wichtigste Karriereratschlag, den er erhielt, brachte ihn zu Körber: Wer Sicherheit wirklich verstehen wolle, solle nicht zu lange in einem einzigen Unternehmen oder einer einzigen Branche bleiben. Unterschiedliche Firmen und Sektoren hätten unterschiedliche Risikoprofile; wer zu lange am selben Ort bleibe, ändere sein Denken womöglich nicht so schnell, wie Angreifer ihre Methoden ändern. “Deshalb bin ich von der Versicherungswirtschaft in den Maschinen- und Anlagenbau gewechselt.”
Als Führungskraft sieht er sich nicht als Naturtalent: “Ich bin kein geborener Anführer.” Ein Anführer sei jemand, der anderen Richtung gibt oder eine Vorstellung davon, was und wie etwas erreichbar ist. Das sei erlernbar, er habe es mit Schulungen ergänzt – zugleich brauche es Verlässlichkeit und Vertrauen. Führung sei auch nicht an einen formalen Titel gebunden: “Man ist eine Führungsfigur, selbst als Vordenker, der andere in eine bestimmte Richtung lenkt.”
Beim Teamaufbau steht der Wunschliste die Realität gegenüber – die Kompetenzlücke in der Cybersicherheit wurde 2025 auf 2,8 bis 4,8 Millionen Fachkräfte geschätzt. Eine Anforderung gilt für Gaetje unabhängig von der Erfahrung: “Ich brauche Leute, die lernen wollen.” Erfahrung sei gut, Lernbereitschaft notwendig – ob Ingenieur, Analyst oder Junior. Hacker würde er einstellen, aber differenziert: Weiße Hüte ja, Schwarzhüte mit einer Vorgeschichte bösartiger Aktivitäten nicht.
Seine größte Sorge ist das Tempo technischer Entwicklung. Über generative und agentische KI lerne man jede Woche Neues; was früher zwei Jahre gebraucht habe, geschehe nun in wenigen Wochen. KI werde von Angreifern für Geschwindigkeit, Umfang und Raffinesse genutzt, Verteidiger setzten eigene KI ein, die wiederum manipulierbar sei – und Schatten-KI, also der IT und Sicherheit unbekannte Systeme, breite sich aus.
Die Rolle des CISO werde dadurch nicht kleiner, sondern wichtiger, glaubt Gaetje – aber anders: Produktentwicklung und Softwareentwicklung müssten stärker eingebunden werden. Skeptisch ist er bei der Qualifikation: KI-Programmierassistenten verlangen Prompt-Ingenieure und Architekten über den Programmierern. “Wie bringt man Leute auf die nächste Stufe, wenn sie nicht selbst programmieren können?” Dasselbe gelte für das SOC, wo KI die Triage der ersten Ebene übernehme: “Wenn wir uns nur auf KI verlassen, verlieren wir vielleicht die Fähigkeit, die kniffligen Dinge in einem Vorfall zu sehen.” Um die Sicherheit selbst sorgt er sich nicht: “Die Aufgabe des Sicherheitsteams wird sich dramatisch verändern. Die Herausforderung für den CISO ist, die Teammitglieder auf diesem Weg zu begleiten.”