Chris Müller: Falsch abgebogen in die Cybersecurity

Eigentlich wollte ich Sozialpädagoge werden, oder Lehrer. Dann bin ich falsch abgebogen und in der Cybersecurity gelandet. Mein Gedanke: Sozial engagieren kann ich mich auch dort. Nach innen im Team, nach außen bei Kunden, die ich dabei unterstütze, sich resilienter aufzustellen.

Heute bin ich CEO von KaitoSec, und ehrlich gesagt zahlt genau das, was wir hier bauen, auf diesen alten Gedanken ein. Aber der Reihe nach.

Wer ich bin

Ich bin Chris Müller, 35 Jahre alt, verheiratet, ein Kind. Seit mehr als zehn Jahren arbeite ich in der Informationssicherheit. Heute bin ich Mitgründer und Geschäftsführer (CEO) von KaitoSec, einer Plattform, die Informationssicherheit, Business Continuity Management, Datenschutz, KI-Governance und Lieferantensteuerung in einem Datenmodell zusammenführt. Seit Ende August 2026 ist KaitoSec live.

Sicherheit hat mich schon als Teenager begleitet

Wenn ich zurückschaue, zieht sich das Thema Sicherheit durch mein ganzes Leben, nur in unterschiedlichen Facetten. Mal sportlich, mal mit militärischem Hintergrund, in der physischen Sicherheit und über die akademische Laufbahn zunehmend im Kontext der Digitalisierung.

Gleich geblieben ist dabei immer eins. Am Ende geht es um Menschen, auch wenn wir auf technischer Ebene unterwegs sind. In der Informationssicherheit hat man es mit ganz unterschiedlichen Profilen zu tun. Wer die Leute dort abholt, wo sie gerade stehen, und ihnen die Sachverhalte nachvollziehbar erklärt, gewinnt enorm viel. Dann greift man sich gegenseitig unter die Arme, und am Tagesende entsteht tatsächlich Sicherheit für die Organisation. Diese Formel gilt für jeden meiner Karriereschritte, aber auch für meinen Alltag mit meinen Mitmenschen.

Was mein Vater mit meiner Berufswahl zu tun hat

Mein Vater hat in der DDR so etwas wie Elektroingenieur gelernt. Mit der Wende war die Technologie im Westen eine ganz andere und deutlich fortschrittlicher. Seine Lerninhalte konnte er praktisch nicht weiterverwenden, er musste sich umorientieren.

Das hat mich geprägt. Ich will so nah wie möglich an der technologischen Entwicklung dran sein, sie mitgestalten und damit Mehrwert schaffen, nicht nur für mich, sondern auch für andere. Genau deshalb bin ich in der Informationssicherheit gelandet, und genau deshalb bin ich heute bei KaitoSec.

Das Handwerk lernen, auch durch harte Zeiten

Mich hat an Informationssicherheit immer das Handwerk interessiert: das zu lernen und zu beherrschen, was Organisationen brauchen, um sich abzusichern und resilient aufzustellen. Dafür bin ich über verschiedene Stationen gegangen, unter anderem als interner Berater in einer globalen Digitalagentur und im Big-Four-Consulting mit Fokus auf den öffentlichen Sektor. Gerade in den Big Four bin ich, wie das im Consulting halt klassisch ist, durch herbe Zeiten marschiert. Ich habe dort aber viel konzeptionelles Wissen aufgesammelt und hier und da ein paar feine Kerle kennengelernt, mit denen man sich genau über solche Themen verständigen konnte.

Inhaltlich habe ich mich mit ISMS, Datenschutz, Business Continuity Management und dem Einsatz von KI beschäftigt. Über BCM schreibe ich heute auch, zuletzt einen Gastbeitrag bei BCM News über Wiederanlauftests. Für all diese Themen gibt es Standards, Anforderungen und Strukturgrundlagen. Alles toll und hilfreich. Aber das zu orchestrieren, erfordert viel: nicht nur Zeit, sondern auch die Fähigkeit, sich in diese Themen wirklich hineinzudenken.

Als Junior Berater fand ich es immer schwierig, da den Überblick zu behalten. Ich musste mir viel selbst aneignen und mir meine Übersichten selbst bauen. Und manches davon war monoton, manchmal auch stumpf. Ich übertreibe jetzt mal: Als Berater war ich manchmal wie ein Kolben in einer Maschine, der immer wieder Energie irgendwo umlenkt. Sicherheit herzustellen ist großartig. Die Arbeit, um dorthin zu kommen, ist aber anstrengend und sperrig. Das muss nicht so sein.

Der Wendepunkt: Drei Interessen, die nicht zusammenpassen

Ein echter Wendepunkt kam für mich in der Beratung. Ich wollte das Handwerk lernen und in einem guten Team arbeiten. Das muss aber nicht das Interesse meines Vorgesetzten sein. Der muss seine Zahlen abliefern. Der Kunde muss zufrieden sein. Und der Mitarbeiter, der irgendwo im Team mitwirkt, soll auch zufrieden sein. In diesem Dreieck kannst du nicht jeden zufriedenstellen, auch wenn das die ideale Welt wäre.

Daraus ist bei mir der Wunsch entstanden, selbst eine Organisation aufzubauen, in der die Ziele aller so gut es geht berücksichtigt werden, und zwar immer zum Wohle des Kunden. Denn darum geht es am Ende: dass sich eine Organisation tatsächlich sicher aufstellt und nicht Opfer eines Angriffs wird. Nicht um individuelle Befindlichkeiten. Wenn es gut läuft, ist es ohnehin das gemeinsame Interesse von Mitarbeitenden und Management, den Kunden wirklich abzusichern. Diese Zielstellung will ich mit unserem Team bei KaitoSec erfüllen.

Warum KaitoSec und nicht irgendetwas anderes

KaitoSec ist auch aus Freundschaft entstanden. Wir kennen uns lange, aktuell sind wir dummerweise nur Jungs, und jeder bringt einen ganz anderen Background mit. Das sind sehr smarte Leute mit viel Erfahrung. Was wir in diesen Melting Pot werfen, funktioniert am Ende auch, und es bringt skalierbaren Nutzen für Menschen, die nicht so tief in den Themen stecken wie wir oder schlicht nicht die Zeit dafür haben.

Der zweite Grund ist das Handwerk selbst. Den Schmerz, den man als Junior Berater oder auch als Senior Consultant kennt, haben wir in Maßnahmen übersetzt, und die stecken jetzt in unserer Lösung. Den Überblick, den ich mir früher mühsam selbst bauen musste, liefert KaitoSec schon mit.

Ich vergleiche das gern mit der Industrie. Erst wurde monotone Fließbandarbeit automatisiert, mit Industrie 4.0 und Vernetzung ging es dann noch einmal auf ein ganz anderes Level. Genau das machen wir jetzt mit den Kernprozessen der Informationssicherheit, die ich als Berater von Hand abgearbeitet habe. Wir automatisieren sie, vernetzen sie miteinander und nutzen dafür natürlich auch neue Technologien, KI eingeschlossen. Damit können Organisationen und ihre Verantwortlichen nachweisbare Sicherheit herstellen, gerade in so wilden Zeiten mit KI-gestützten Angriffen. Dort vorne mit dabei zu sein und meinen Erfahrungsschatz einzubringen, ist für mich der größte Motivator überhaupt. Warum mich das umtreibt, habe ich auch in Resilience made easy aufgeschrieben.

Was ich heute mache

Als CEO bringe ich mein Fachwissen aus über zehn Jahren Informationssicherheit in die konzeptionelle Entwicklung von KaitoSec ein. Mein Schwerpunkt liegt dabei auf der fachlichen Qualität unserer Lösung, der Weiterentwicklung unserer Konzepte und der Frage, wie sich komplexe Anforderungen aus Informationssicherheit, BCM und Resilienz sinnvoll in einer Plattform abbilden lassen.

Dabei tausche ich mich regelmäßig mit Fachexpertinnen und -experten sowie mit Menschen aus meinem beruflichen Netzwerk aus. Gerade dieser fachliche Austausch macht mir an meiner Arbeit besonders viel Spaß: unterschiedliche Perspektiven zusammenzubringen und daraus Lösungen zu entwickeln, die Informationssicherheit für Organisationen verständlicher und handhabbarer machen.

2025 stand ich beim Cybersecurity Summit auf der Main Stage, wo wir über Frauen in der Cybersecurity und Strategien gegen den Fachkräftemangel diskutiert haben.

Mein Rat an alle, die noch zögern

Informationssicherheit fühlt sich am Anfang an wie ein Ozean. Man kann das Ding aber beherrschbar machen. Die grundlegenden Arbeitsschritte und konzeptionellen Grundlagen sind über die Standards hinweg am Ende ziemlich ähnlich. Diese Erkenntnis macht das Thema handhabbarer und nimmt hoffentlich ein bisschen den Schrecken, wenn man gerade erst dazustößt.

Deshalb: Lassen Sie sich nicht erschlagen. Sprechen Sie mit Leuten und stellen Sie Fragen. Ich habe mich früher gern eingeigelt, und das war ein Fehler, den ich niemandem empfehle. Lassen Sie sich auch nicht einschüchtern von jemandem, der vermeintlich mehr weiß. Am Ende kochen alle nur mit Wasser. Manche tun so, als hätten sie ein super Kartendeck in der Hand, und irgendwann stellt sich heraus, dass da gar keine Karten sind.

Es ist völlig in Ordnung zu sagen: Das ist mir gerade zu komplex, hier brauche ich Hilfe. Und zu denen, die dann bereit sind zu helfen, lohnt es sich, den Draht zu halten.

Ein netter Nebeneffekt übrigens: Wer lernt, strategisch, taktisch und operativ zu denken und Governance-Prozesse aufzubauen, versteht, wie Organisationen grundsätzlich gesteuert werden. Überspitzt formuliert: Auch Staaten werden mit ähnlichen Techniken gesteuert. Das kann eine Berufskrankheit sein, wenn man automatisch in diesen Strukturen denkt. Es hilft aber enorm, sich durch Themen zu navigieren, auch im Alltag.

Was Resilienz für mich bedeutet

Resilienz fängt für mich bei einem selbst an. Man braucht eine intrinsische Motivation und muss durch das Unbequeme durchgehen, um Wissen aufzubauen. Das erfordert erstmal individuelle Widerstandsfähigkeit. Dabei muss man auch gut zu sich selbst sein und zu den anderen. Erst dann ist man in der Lage, diese Widerstandsfähigkeit anderen verfügbar zu machen: erst auf individueller Ebene, dann auf Organisationsebene.

Dort geht es darum, zum Kern durchzudringen. Wo ist das potenzielle Einfallstor? Was ist die konkrete Gegenmaßnahme, um das System nachweisbar und nachvollziehbar abzusichern? Methoden gibt es tausende. Am Ende müssen wir die kritischen Prozesse und Assets identifizieren und dort gezielt Maßnahmen ansetzen.

Ich spreche gern in geschichtlichen Bildern. Informationssicherheit ist die Mauer um die Burg, damit keiner eindringt. Business Continuity Management ist die Fähigkeit, richtig schnell zu reagieren, wenn doch jemand durch die Mauer gekommen ist. Die Summe aus beidem ist Resilienz: Widerstandsfähigkeit und Wiederanlauffähigkeit. Und so wie zur Absicherung einer Burg noch viele andere Disziplinen gehören, kommen auch bei uns weitere Pflichten hinzu: die Steuerung der Lieferanten, Datenschutz, KI-Management und einiges mehr.

Organisationen dabei zu helfen, das alles hinzubekommen, ist für mich genau das soziale Engagement, das ich mir damals vorgenommen hatte. Da habe ich richtig Bock drauf.

Wenn Sie sich über Informationssicherheit, BCM oder Resilienz austauschen wollen, schreiben Sie mir gern auf LinkedIn.