Wheelers Fokus auf Sicherheit entstand 2010 mit dem Eintritt in die US Navy, wo er sechs Jahre blieb. Die Naval Academy beschreibt er als im Kern eine Undergraduate-Einrichtung; auf drei Jahre klassischen Dienst auf Zerstörern folgten drei Jahre Cyber-Operationen, die die Navy damals “Information Warfare” nannte. Besonders prägte ihn eine Übung, bei der die Navy ein Red Team der NSA eine Woche lang aus ihren Netzwerken heraushalten musste – bewertet wurden Netzwerkverfügbarkeit, Erkennung und Verdrängung des Red Teams sowie digitale Forensik.
Die Navy schulte ihn zugleich als Führungskraft. Er verweist auf das militärische Prinzip “aufsteigen oder gehen”: “Ob Sie ein höherer Unteroffizier, ein Unteroffizier mittlerer Ebene oder ein Offizier sind – am Ende führen Sie Teams von Menschen. Fast direkt nach der Ausbildung habe ich eine Division von 15 Matrosen auf einem Schiff geführt.” Hinzu komme ein starkes Gefühl von Auftrag und Sinn, das nach seiner Erkenntnis die Identität eines Menschen mitträgt.
In der Wirtschaft musste er umlernen. Drei Dinge wurden ihm schnell klar: Technologie entwickelt sich in atemloser Geschwindigkeit, Netzwerke werden immer komplexer, und Sicherheitsführung erfordert auch betriebswirtschaftliche Analysefähigkeit. Niemand könne gleichzeitig der Experte des Unternehmens für IT, Sicherheit und Geschäftsprozesse sein. “Eine Führungskraft muss die gesamte Aufgabe verstehen und beherrschen, aber vor allem anderen beibringen können, wie und wo sie sich spezialisieren”, sagt er. Der moderne Sicherheitschef wisse, wann er selbst handelt und wann er anleitet.
Vertrauen ist für Wheeler eine Zweibahnstraße: Ohne Vertrauen akzeptieren Geschäftsverantwortliche keine strategischen Sicherheitsempfehlungen; umgekehrt müsse der CISO seinen Kollegen und dem Unternehmen vertrauen. Am wichtigsten sei das Vertrauen in das selbst rekrutierte Team: “Da ein CISO unmöglich alles wissen kann, muss er die richtigen Fragen kennen und die richtigen Leute, die er fragen kann.” Das Team wiederum müsse darauf zählen können, dass der CISO hinter ihm steht.
Technische Expertise sei bei der Einstellung nicht mehr das Maß aller Dinge. “Im Zeitalter der generativen KI hat es eine Demokratisierung der Fähigkeit gegeben, Automatisierung zu nutzen”, so Wheeler – so wie man kein ausgebildeter Programmierer mehr sein müsse, um zu programmieren, brauche es keinen qualifizierten Security Engineer für Security Operations. Gesucht seien Menschen, die zukunftsorientiert denken und KI in ihre Arbeit einbinden; emotionale Intelligenz und soziale Fähigkeiten gewinnen an Gewicht.
Den besten Rat, den er erhielt, teilt Wheeler in einen philosophischen und einen praktischen. Philosophisch: Man könne kein Experte sein, ohne die Mathematik des eigenen Berufs zu kennen. “Risikoquantifizierung zu lernen und anzuwenden ist etwas, worin sich alle CISOs verbessern können. Muss man darin perfekt sein? Nein, aber man muss Wahrscheinlichkeiten vernünftig schätzen, Unsicherheit beschreiben und das zunehmend in finanzielle Größen übersetzen können.” Aufgabe sei nicht, alle Vorfälle zu verhindern, sondern Angriffe auf das geschäftlich Wesentliche zu begrenzen und die Geschäftskontinuität zu sichern. Idealerweise gehörten CISOs dem Vorstand an – ein Kernbestandteil des am 7. Juli 2026 gestarteten Cyber Resilience Pledge der britischen Regierung. Beobachtet habe man bislang vor allem “eine Zunahme der Zahl und Häufigkeit von Briefings an den Vorstand”.
Praktisch riet man ihm, ein Heimlabor aufzubauen – heute auch jenseits von Hardware, etwa mit generativer KI zum Simulieren und Ausprobieren von Konzepten.
Seinem Team gibt Wheeler vor allem persönliche Ratschläge. Traditionelle Sicherheit trage einen Perfektionskomplex, doch “jeder risikoorientierte CISO weiß, dass Perfektion nicht durchzuhalten ist, selbst mit dem Budget eines Nationalstaats”. Er ermutigt zu Empathie gegenüber allen Partnern und zu Ausgleich: “Nehmen Sie den Urlaub, seien Sie für Ihre Familie da, widmen Sie Ihrem Hobby Zeit. Brennen Sie nicht aus. Die Arbeit bleibt hier, und sie wird nur komplexer.”
Sorgen macht ihm der Aufstieg agentischer KI – nicht nur durch Angreifer. “Mich beschäftigt, mit der Einführung agentischer KI sicher und resilient Schritt zu halten”, sagt er und verweist auf Nachfrage von Vorständen und Investoren wie auch von Entwicklern und Power-Usern. Sein Team betreibt eine Initiative zur sicheren Befähigung mit risikobasierten Leitlinien: “Es gibt zwar einige neue Kontrollkategorien, aber fast alle wurzeln in einer Zero-Trust-Architektur.” Entsprechend investiere man verstärkt in IAM, Dateninventarisierung und -klassifizierung sowie Automatisierung.