Der CISO nach der KI

Warum Informationssicherheit im Zeitalter der künstlichen Intelligenz nicht mehr an der Firewall beginnt

I. Die Berufsbeschreibung als Fossil

Man öffnet ein Stellenportal, tippt „Chief Information Security Officer“ ein, und was erscheint, ist eine Liturgie. ISO 27001. Risikomanagement. Audits. Business Continuity. Awareness-Schulungen. Ein Text, der klingt, als hätte ihn eine Behörde für eine andere Behörde geschrieben, in jener eigentümlichen Prosa, die alles beschreibt und nichts verrät. Liest man zehn solcher Ausschreibungen hintereinander, entsteht der Eindruck, Informationssicherheit sei im Kern eine Verwaltungsdisziplin: ein Amt für Ordner, Kontrollen und Zertifikate, angesiedelt irgendwo zwischen Compliance und Feuerwehrübung.
Das ist nicht falsch. Es ist nur von vorgestern.
Denn ein CISO, der wirklich etwas taugt, verwaltet keine Dokumente. Er verwaltet die Handlungsfähigkeit einer ganzen Organisation – jene stille Voraussetzung, ohne die eine Behörde zwar noch existiert, aber nicht mehr entscheidet, sondern nur noch reagiert. Das Aktenzeichen als Überlebensform. Wer das übersieht, verwechselt den Wächter mit dem Bibliothekar.

II. Vom Wächter der Mauern zum Wächter der Urteile

Jahrzehntelang war die Metapher klar und robust: Die Organisation ist eine Burg, der CISO ihr Baumeister der Wälle. Man befestigte die Perimeter, verminte die Netzwerkübergänge, postierte Wachen an jedem digitalen Stadttor. Ein ehrenwerter, mittelalterlicher Beruf – der Festungsingenieur des Informationszeitalters.
Die künstliche Intelligenz beendet dieses Zeitalter nicht mit einem Paukenschlag, sondern mit etwas viel Subtilerem: Sie verlegt den Kriegsschauplatz. Ein Sprachmodell kennt keine Bürostunden, keine Nachtwache, keine Torschliesserstunde. Es liest Verträge, verfasst Berichte, seziert Akten, schreibt Quellcode und beantwortet die Fragen der Belegschaft – unermüdlich, höflich, und ohne das leiseste Bewusstsein dafür, was es da eigentlich in den Händen hält. Es bewegt sich nicht durch Netzwerke. Es bewegt sich durch Wissen selbst.
Damit verschiebt sich die eigentliche Angriffsfläche: von der Serverfarm auf die Organisation als Ganzes. Man kann eine Mauer um ein Gebäude ziehen. Man kann keine Mauer um ein Urteilsvermögen ziehen.

III. Der Statiker, der zu spät kommt

Noch immer behandeln viele Behörden ihren CISO wie einen technischen Spezialisten mittlerer Ordnung: Er prüft Projekte, die andere längst beschlossen haben. Er kontrolliert Richtlinien, die andere längst verabschiedet haben. Er begleitet Audits, deren Ergebnis so unausweichlich ist wie die Moral einer Fabel.
Das ist, mit Verlaub, die Logik des Statikers, dem man den Bauplan erst nach der Einweihung reicht – auf dass er nachträglich bestätige, was ohnehin schon steht, und im Zweifel den Riss in der Fassade dokumentiere. Eine noble Tätigkeit, gewiss. Nur keine, die Gebäude vor dem Einsturz bewahrt.
Informationssicherheit beginnt viel früher, und zwar dort, wo es noch nach Papier und Absicht riecht, nicht nach Beton:

• Wo Anforderungen formuliert werden.
• Wo Datenmodelle entstehen.
• Wo Cloud-Dienste ausgewählt werden.
• Wo Verträge unterzeichnet werden.
• Wo eine Behörde entscheidet, welche Aufgaben künftig eine künstliche Intelligenz übernehmen darf – und welche, aus guten Gründen, niemals.

Der CISO, der erst hinterher gerufen wird, ist kein Wächter mehr. Er ist ein Trauerredner. Sein Platz ist am Tisch, an dem diese Entscheidungen vorbereitet werden, nicht an der Pforte, an der sie hinterher abgestempelt werden.

IV. Das Ende des einsamen Königreichs

Ebenso wenig kann er sein Reich noch als Alleinherrscher regieren. Informationssicherheit ist zu komplex geworden, um sie einer einzigen Funktion zu überantworten – jener alten Versuchung, alle Verantwortung in einer Amtsperson zu bündeln, auf dass man sie im Ernstfall auch bequem zur Rechenschaft ziehen kann. Diese Versuchung war schon in der Verwaltungsgeschichte nie besonders klug, und im Zeitalter lernender Systeme ist sie schlicht lebensgefährlich.
Was moderne Behörden brauchen, ist kein Monarch, sondern ein Ökosystem:

• Business-Analystinnen, die Sicherheitsrisiken bereits in den Anforderungen erkennen, nicht erst im Betrieb.
• Architektinnen, die Systeme entwerfen, die auch in der Krise noch funktionieren, nicht nur in der Werbebroschüre.
• Juristen, die beurteilen, welche Entscheidungen überhaupt automatisiert werden dürfen – eine Frage, die näher an der Verfassung liegt als an der IT-Richtlinie.
• Datenschutzfachleute, die verstehen, wie Sprachmodelle Informationen tatsächlich verarbeiten, und nicht nur, wie sie beworben werden.
• Projektleiter, die Sicherheitsrisiken mit derselben Selbstverständlichkeit steuern wie Termine und Kosten.

Die Aufgabe des CISO ist es, diese Disziplinen zu verbinden – nicht, sie zu ersetzen. Er ist Dirigent, nicht Solist. Und wie jeder gute Dirigent ist er daran zu erkennen, dass man ihn im gelungenen Konzert kaum bemerkt.

V. Die Gleichgültigkeit der Maschine

Künstliche Intelligenz macht diese Zusammenarbeit nicht zu einer Option, sondern zu einer Pflicht. Denn ein Sprachmodell fragt nicht nach Organigrammen. Es kennt keine Hierarchie, keine Vertraulichkeitsstufe, keine gewachsene Vorsicht. Es verarbeitet, worauf es Zugriff erhält – mit derselben höflichen Gründlichkeit, ob es sich um eine vertrauliche Sitzungsvorlage, einen Entwurf des Regierungsrats oder eine öffentlich zugängliche Weisung handelt.
Diese Unterscheidung muss der Mensch treffen. Die Maschine ist darin von einer Unschuld, die an das Naturrecht erinnert: Sie kennt kein Falsch, solange niemand ihr die Grenze gezogen hat. Das ist keine Anklage gegen die künstliche Intelligenz – es ist eine Erinnerung daran, dass Verantwortung sich nicht delegieren lässt an etwas, das gar nicht weiss, was Verantwortung ist.
Deshalb verändert KI nicht nur die Technik. Sie verändert die Verantwortung selbst – ihre Verteilung, ihre Adressaten, ihre Zeitpunkte.

VI. Vom Festungsbaumeister zum Staatsgründer

Der CISO der Zukunft wird weniger Zeit mit Firewalls verbringen und mehr mit Governance. Er wird weniger Systeme kontrollieren und mehr Organisation gestalten. Er wird nicht in erster Linie Schwachstellen im Code aufspüren, sondern institutionelle Denkfehler – jene stillen Konstruktionsmängel, die keine Zeile Programmcode je sichtbar macht.
Denn die grössten Sicherheitslücken entstehen selten durch Hacker in dunklen Kellern. Sie entstehen dort, wo niemand Verantwortung übernimmt:

• Ein fehlendes Rollenmodell.
• Ein unklarer Prozess.
• Ein Vertrag ohne Exit-Strategie.
• Ein Projekt ohne Risikoanalyse.
• Eine Behörde, die nicht einmal weiss, welche Daten ihre eigene künstliche Intelligenz gerade verarbeitet.

Hier, in diesen Lücken der Zuständigkeit, beginnt die eigentliche, moderne Informationssicherheit – nicht im Serverraum, sondern im Organigramm, in der Sitzungskultur, in der Frage, wer eigentlich Nein sagen darf, bevor ein System live geht.

VII. Gegen die Illusion der Zertifikate

ISO-Normen bleiben wichtig. Sie schaffen Ordnung, und Ordnung ist, gerade in Behörden, keine Kleinigkeit. Aber Ordnung allein erzeugt noch keine Resilienz. Ein Lehrbuch macht niemanden zum Chirurgen. Ein Zertifikat macht keine Behörde sicher – es macht sie höchstens prüfbar, was etwas anderes ist als geschützt.
Sicherheit entsteht dort, wo Wissen, Verantwortung und Entscheidung tatsächlich zusammenfinden – nicht auf dem Papier, sondern im Moment, in dem jemand eine Unterschrift leistet, einen Vertrag prüft, ein Modell freigibt.
Vielleicht sollten wir deshalb aufhören zu fragen, wie viele Richtlinien ein CISO verfasst hat. Die interessantere Frage lautet: Hat er eine Organisation aufgebaut, in der Informationssicherheit nicht als lästige Pflichtübung, sondern als geteilte Kultur verstanden wird?

VIII. Schluss: Kein Königreich, ein Staat

Der CISO der Zukunft regiert kein Königreich. Er baut einen Staat – mit Institutionen, Gewaltenteilung und einer Verfassung, die niemand feierlich unterzeichnet, sondern die sich täglich in tausend kleinen Entscheidungen bewährt oder eben nicht. Und dessen wichtigste Verteidigungslinie verläuft nicht an der Firewall. Sie beginnt im Denken seiner Institution.