Charles Blauner: Was erfolgreiche CISOs heute auszeichnet

Charles Blauner gehört zu den Managern, die die Entwicklung der CISO-Rolle aus nächster Nähe erlebt haben. Er kam nach einem Informatikstudium über Bell Communications Research in die Informationssicherheit und wechselte Mitte der 1990er Jahre in den Bankensektor. Über mehr als 20 Jahre war er CISO bei JPMorgan, Deutsche Bank und Citigroup; heute ist er Operating Partner bei Crosspointe Capital.

Im Interview der Dark-Reading-Reihe „Heard It From a CISO“ zeichnet Blauner nach, wie das Berufsbild entstanden ist. Einen zentralen Bezugspunkt sieht er in Steve Katz, den er als frühe Leitfigur der Funktion beschreibt. Der Präzedenzfall sei 1994 mit der Schaffung des Titels und der Besetzung mit Katz entstanden. In der ersten Generation von CISOs habe damals kaum jemand genau gewusst, wie die Aufgabe aussehen sollte. Nach Blauners Darstellung wurde die Rolle deshalb gemeinschaftlich definiert.

Zwei Elemente hebt er dabei besonders hervor. Erstens habe Katz den Gedanken der kollektiven Verteidigung geprägt. Blauner verweist in diesem Zusammenhang auf die spätere Entstehung des ISAC durch Katz, ihn selbst und weitere Beteiligte. Zweitens habe Katz eine Kultur des Mentorings und des Weitergebens gefördert. Blauner beschreibt ihn als außergewöhnlich großzügig mit seiner Zeit und sagt, dieses Verständnis habe eine ganze Generation von Sicherheitsverantwortlichen geprägt. Als Beispiel nennt er, dass aus dem „Familienstammbaum“ von Phil Venables und ihm zusammen deutlich mehr als 120 CISOs hervorgegangen seien.

Mentoring ist für Blauner deshalb kein Nebenthema, sondern Kern der Profession. Berufseinsteiger sollten aus seiner Sicht nicht nur nach einem einzelnen Mentor suchen, sondern ein ganzes Netzwerk von Mentoren aufbauen. Wer später in der Laufbahn stehe, solle dieses Wissen weitergeben. In seiner letzten formalen Position richtete Blauner nach eigenen Angaben ein informelles Mentoring-Programm ein, bei dem Mentoren zugleich selbst Mentees sein mussten. Für ihn ist dieses Netzwerk für CISOs und generell für Beschäftigte im Cyberbereich entscheidend.

Besonders deutlich wird Blauner bei der Frage, warum die CISO-Rolle so anspruchsvoll ist. Zwar sei die Position des CEO in großen Unternehmen die schwierigste, weil dort die letzte Entscheidungsverantwortung liege. Im Unterschied zu anderen C-Level-Funktionen wie CIO, CTO, CFO oder Personalverantwortlichen habe der CISO jedoch einen aktiven Gegner. Während andere Führungskräfte definierte Aufgaben und Erfolgskriterien hätten, gebe es beim CISO Akteure, deren ganzer Zweck darin bestehe, Schutzmaßnahmen zu umgehen und die Funktion scheitern zu lassen.

Daraus leitet Blauner auch Anforderungen an erfolgreiche Sicherheitschefs ab. Technisches Wissen allein reiche nicht. Wer in der Rolle bestehen wolle, müsse vor allem resilient sein, schwierige Auseinandersetzungen mit dem Management aushalten und Rückschläge nicht persönlich nehmen. Ebenso wichtig sei die Fähigkeit, in Krisen schnell Entscheidungen zu treffen, obwohl oft keine guten Daten vorlägen, und Fehlentscheidungen rasch zu erkennen und den Kurs anzupassen.

Ein weiterer Schwachpunkt vieler CISOs liegt für Blauner in der Kommunikation. Sicherheitsverantwortliche würden besser akzeptiert und stärker eingebunden, wenn sie ihre Themen in eine Sprache übersetzten, die das Geschäft versteht. Als Beispiel nennt er einen Leiter einer Schokoladenproduktion: Technische Details seien dort kaum anschlussfähig, wohl aber die Erklärung, dass ein Vorfall die Produktion stören oder Geschmacksrichtungen manipulieren könnte.

Auch beim Berufseinstieg warnt Blauner vor einfachen Rezepten. Es gebe keinen einzigen richtigen Weg in die Cybersicherheit und auch keinen einheitlichen Pfad zum CISO. Manche Tätigkeiten seien stark technisch geprägt, etwa Engineering, Penetrationstests oder Sicherheitsarchitektur. Andere Rollen, etwa im Risikomanagement oder in der Analyse, verlangten andere Fähigkeiten. Die Mehrheit heutiger CISOs wachse zwar eher technisch auf, doch tiefgehende Technikexpertise sei aus seiner Sicht keine zwingende Voraussetzung, um ein hervorragender CISO zu werden.

Zur Wirkung von KI sagt Blauner, sie werde Cybersicherheit nicht überflüssig machen, sondern die Arbeit verändern. Automatisiert würden vor allem monotone Aufgaben. Strategische Architekturentscheidungen, Gespräche mit dem Geschäft über Risikoprofile oder die Arbeit im Security Operations Center verschwänden nicht, sondern verschöben sich auf interessantere und kritischere Tätigkeiten. Langfristig, so Blauner, müsse sich die Disziplin von Informationssicherheit und Cybersicherheit hin zu operativer und geschäftlicher Resilienz weiterentwickeln. CISOs, die diesen Weg einschlügen, würden am ehesten zu echten Unternehmensführern.