Studydrive Career to Go Podcast mit Arne Gebhard aus dem Bereich Cyber

Einleitung: Also generell kann man sagen, dass jetzt speziell in diesem Bereich Cyber Strategy & Transformation wir für Kunden die Vogelperspektive annehmen. Also wir schauen von oben auf Unternehmen drauf. Cybersecurity steckt in allen Bereichen eines Unternehmens.

Intro: Career to go – Was macht man in einem bestimmten Job? 

Career to go – Wie wird man fit für die Arbeitswelt? 

Studydrive fragt nach. 

Interview beginnt 

Konstanze: Cybersecurity ist überall, aber wie fühlt es sich an, wenn man beruflich mittendrin steckt und Unternehmen dabei unterstützt, ihre digitale Zukunft sicherzustellen? Genau darum geht es in dieser neuen Folge Career to Go. Herzlich willkommen zum Karriere-Podcast von Studydrive. Mein Name ist Konstanze Marie Teschner. Ich spreche heute mit Arne Gebhard, Senior Consultant im Bereich Cyberstrategy and Transformation bei Deloitte. Arne erzählt, wie er in der Cybersecurity gelandet ist, was ihn an diesem Feld so begeistert und warum sein Job ihn tagtäglich mit völlig unterschiedlichen Branchen, Technologien und Risiken konfrontiert. Außerdem geht es darum, wie strategische Cybersecurity heute funktioniert, welche Skills wirklich zählen und was den Bereich bei Deloitte so spannend macht. Herzlich willkommen, Arne

Arne: Vielen Dank, dass ich da sein darf.

Konstanze: Zur Einstimmung habe ich ein paar Fragen für dich vorbereitet. In der Rubrik zum Kennenlernen, die Fantastischen Vier. Hast du Lust?

Arne: Ja, sehr gerne.

Konstanze: Learning Curve – was hast du in deinem Job zuletzt zum ersten Mal gemacht?

Arne: Ich habe vor Kurzem auf einem Firmenevent das erste Mal in Persona vor knapp 100 Personen einen Vortrag gehalten, eine Präsentation.

Konstanze: Wow, okay. Warst du aufgeregt?

Arne: Ja, schon ein bisschen, ja.

Konstanze: Gameshow – welches ist dein Lieblingsspiel?

Arne: Ich spiele es zwar nicht so häufig, beziehungsweise eigentlich recht selten, aber ich mag Poker – sowohl zum Spielen als auch zum Zuschauen.

Konstanze: Buzzword Bingo – welches Business-Buzzword würdest du am liebsten aus dem Büroalltag streichen?

Arne: Ich denke, ich würde da das Wort „Gamechanger“ nehmen. Das vereinfacht vieles zu sehr.

Konstanze: Ja, ja, das ist richtig. Ich finde, das klingt auch immer so ein bisschen lächerlich irgendwie, dieses Gamechanger. Ich mag das auch nicht so gern.

Arne: Ja.

Konstanze: KI-Hack – stell dir vor, du könntest ChatGPT oder eine andere KI mit nur einem Prompt für einen Tag zu deinem persönlichen Coach machen. Wie würde dieser Prompt lauten?

Arne: Ich würde – weil also das ist eigentlich der Prompt, den ich am allermeisten verwende – alles, was an diesem Tag passiert, sowohl in Gesprächen mit Kollegen, mit Kunden, als auch Dokumente, mit denen ich zu tun habe, zusammenfassen. Das ist eigentlich das, wofür ich die AI am meisten verwende.

Konstanze: Das ist smart. Da nochmal so eine Übersicht zu bekommen, hilft oft. Vielen Dank für die Teilnahme an unserer kleinen Rubrik, sodass wir dich etwas kennenlernen konnten und so eine gute Basis geschaffen haben für unser Interview. Arne, wie ist denn dein Interesse für das Thema Cybersecurity überhaupt entstanden und warum findest du, ist das Feld allgemein so relevant?

Arne: Ich bin dem ganzen Technischen eher zugewandt. Ich habe Wirtschaftsinformatik studiert und wir hatten da einen Professor, der so einen Praktiker-Vortrag angeboten hat, beziehungsweise eine ganze Reihe. Also das waren sechs Vorträge von Freunden von ihm, die er eingeladen hatte, die etwas über ihren Beruf erzählen sollten. Und da war einer dieser Vorträge eben über Cybersecurity im Finanzsektor. Nach diesem Vortrag war ich dann sehr überzeugt von dem Thema und hab mich letztendlich dann auch beworben auf ein Praktikum in diesem Bereich für das Praxissemester, was dann auch anstand. Und wir leben ja in einer Zeit, in der alles digitaler wird. Also das war damals schon zu dem Zeitpunkt so, als ich das Interesse für Cybersecurity so aufgenommen habe, und das ist heute zunehmend der Fall. Und das bedeutet natürlich auch, dass durch mehr Technologie in unserem Leben unsere Leben und auch unser Zusammenleben angreifbarer sind. Und wir sehen ja jetzt zunehmend auch in den Nachrichten, dass Akteure auf dieser Welt das eben nutzen wollen, um unser Zusammenleben zu stören. Und wenn man sich mal Gedanken macht, wo man überall Technologie hat im Leben – also an der Hand oder in Form von einer Smartwatch oder in Gebäuden, die Steuerung von Gebäuden, in Autos, in unserer Hosentasche, in der wir ganz viele Services verwenden – da muss nicht viel passieren, dass unsere Leben, sag ich mal, eine andere Wendung nehmen, als sie eigentlich sollten. Und wir versuchen hier gegenzuwirken und Sicherheit bereitzustellen, dass das eben nicht eintritt, dass unser Leben und unser Zusammenleben eben nicht gestört wird.

Konstanze: In diesem Feld zu arbeiten hat also definitiv einen großen Impact, der sicherlich auch Teil deiner Jobsuche war, die dich dann zu Deloitte gebracht hat. Wie verlief denn der Einstieg bei Deloitte und was hat dich auch in diesem Prozess am meisten überzeugt, dort anzufangen?

Arne: Also ich hatte ja in den letzten beiden Semestern meines Studiums ein Praktikum, also ein Praxissemester, in dem ich mein Praktikum absolviert habe bei einer anderen Firma, und das war im Bereich Cybersecurity, Financial Services. Also die Kunden waren dort Banken, Börsen und Versicherungen. Und ich habe dann im Anschluss ein Werkstudium und meine Bachelorarbeit dort auch gemacht. Und das war halt sehr auf den Bankensektor zugeschnitten. Und irgendwann hat mich dann ein Partner von Deloitte kontaktiert und gesagt: „Hey, lass doch mal sprechen. Vielleicht gäbe es ja auch eine Möglichkeit für dich bei Deloitte.“ Und dann sind wir ins Gespräch gekommen, und das war eben nicht im Bankensektor, sondern im Public Sector. Und ich hab mir das dann angehört, hab mich dann mit Deloitte beschäftigt, mit dem Onlineauftritt von Deloitte, und der Eindruck, den Deloitte auf mich gemacht hat, war jung. Also es macht einen sehr jungen Eindruck und sehr technologieorientiert. Und von außen kann man das ja natürlich dann nicht direkt überprüfen, ob das stimmt. Deswegen habe ich mir dann selber mal einen Eindruck verschafft und bin dann eben nach diesem Jahr bei der anderen Firma zu Deloitte gegangen. Und ich wurde nicht enttäuscht. Die Erwartungen haben sich bestätigt. Also es ist erstaunlich: Wir sind wirklich ein sehr junges Team und wir sind sehr technologieorientiert. Das ist für uns wichtig, da am Puls der Zeit zu bleiben.

Konstanze: Was ist denn die zentrale Aufgabe des Bereichs Cyberstrategy and Transformation bei Deloitte? Also welches Ziel verfolgt ihr mit eurer Arbeit?

Arne: Also generell kann man sagen, dass wir jetzt speziell in diesem Bereich Cyberstrategy and Transformation für Kunden die Vogelperspektive einnehmen. Also wir schauen von oben auf Unternehmen drauf. Cybersecurity steckt in allen Bereichen eines Unternehmens – also von der Geschäftsführung bis hin zum operativen Betrieb, querbeet quasi steckt Cybersecurity drin. Und wir schauen einmal von oben drauf, analysieren Risiken, stellen Schwachstellen fest und kommunizieren das an die Geschäftsführung. Und da sind wir Sprachrohr der Cybersecurity-Abteilung oder der IT-Abteilungen, die involviert sind, hinsichtlich des Managements und können dort natürlich auch Empfehlungen aussprechen.

Konstanze: Dadurch bekommst du bei Deloitte ja ganz unterschiedliche Einblicke in ganz unterschiedliche Unternehmen. Was fasziniert dich besonders an der Arbeit mit euren Kunden?

Arne: Ja, es ist faszinierend zu sehen, wie verschiedene Unternehmen derselben Branche in erster Linie mal mit den Herausforderungen der Informationssicherheit umgehen. Aber dann ist es auch noch interessant, wie Unternehmen anderer Branchen mit dem Thema Informationssicherheit umgehen und wie diese das Thema denken, aus welchen Richtungen die das denken. Hier kann man zum einen sagen, dass natürlich verschiedene Branchen verschieden reguliert sind. Also da gibt es dann so Branchenstandards, nach denen sich die Unternehmen richten müssen, in denen dann Anforderungen an die Cybersecurity formuliert sind, die das Unternehmen dann auch umsetzen muss. Und auf der anderen Seite gibt es auch Branchen, die diese Branchenstandards nicht oder nicht in dem Umfang, wie andere Unternehmen, wie beispielsweise Unternehmen aus der Bankenbranche, umsetzen müssen.

Wenn man da jetzt mal den vereinfachten Vergleich anstrebt und sagt, man vergleicht jetzt mal ein Unternehmen aus der Finanzbranche – irgendwie eine Bank, eine Versicherung oder eine Börse –, die sehr hoch reguliert sind, mit einem Unternehmen aus dem klassischen deutschen Mittelstand, einem produzierenden Gewerbe, vielleicht einem Maschinenhersteller, dann kann man zuerst mal sehen: Da ist die Branchenregulierung nicht dieselbe. Also die Finanzunternehmen, die sind sehr, sehr genau, sehr detailliert reguliert, die haben sehr detaillierte Anforderungen, die sie erfüllen müssen. Und auf der anderen Seite hat man dann quasi den deutschen Mittelstand, den Produzenten von Maschinen, der vielleicht keine branchenspezifische Regulierung hat, beziehungsweise nicht in dem Ausmaß. Und da sieht man dann schon: Diese Unternehmen, die denken das Thema ganz anders, ja. Also zum einen haben die ein anderes Geschäftsmodell – die produzieren physische Dinge. Und die Bank, die leistet einen Dienst, und die Bank muss immer erreichbar sein für Kunden, weil das ist Endkundengeschäft. Also wir alle haben ja Banking in der Hosentasche und möchten auch, dass das immer erreichbar ist. Und auf der anderen Seite haben wir den Maschinenhersteller, der feste Abnehmer hat. Für den ist da vielleicht so eine Erreichbarkeit für den Kunden nicht so hoch priorisiert wie die von der Bank. Für das Unternehmen aus dem Mittelstand zählen dann vielleicht eher Dinge wie: Die Produktionsanlagen müssen gesichert werden oder das Werksgelände muss geschützt werden. Es muss dann Werkschutz geben, der Zaun muss abgegangen werden, es muss dort nach Löchern gesucht werden, und wenn diese gefunden werden, müssen die auch gestopft werden. Und da sieht man: Es gibt einfach diese Grundverschiedenheit zwischen den Unternehmen, wie diese eigentlich dasselbe Thema – in dem Fall Informationssicherheit – denken. Und ich glaub, das macht den Job sehr interessant und sehr abwechslungsreich.

Konstanze: Verstehe. Ich finde es schön, dass wir gerade so praktisch werden. So kann ich’s mir nochmal viel besser vorstellen. Könntest du mir dafür vielleicht ein, zwei typische Situationen aus deinem Arbeitsalltag beschreiben, die gut zeigen, wie unterschiedlich deine Aufgaben auch sein können?

Arne: Ja, definitiv. Also ich kann da jetzt nicht exemplarisch für unsere ganze Abteilung sprechen, weil wir machen tatsächlich sehr vieles Unterschiedliches. Also so gut wie alle Herausforderungen aus dem Informationssicherheitsbereich, Cybersecurity-Bereich, können wir für Kunden lösen. Und ich möchte mal zwei Projekte nennen, an denen ich mitgearbeitet habe oder wie Projekte aussehen können, die wir durchführen.

Eines davon wären Assessments, also Cybersecurity-Assessments, und das ist das, was ich vorhin gemeint habe mit der Vogelperspektive. Da kommt ein Unternehmen zu uns und sagt: Wir würden gern wissen, wie hoch der Reifegrad unserer Cybersecurity im Unternehmen ist. Und dann fragen wir erstmal ab: Okay, welche Bereiche sollen wir dann anschauen? Und dann fertigen wir dafür Fragebögen an. Diese Fragebögen nehmen wir dann, sprechen mit den Verantwortlichen, und diese Fragebögen können alle möglichen Themen haben – von der Netzwerksicherheit, Berechtigungsmanagement, Governance, also ein bunter Blumenstrauß an Themen. Und die Ergebnisse davon analysieren wir und kommunizieren das an das Management. So haben die einen Überblick, dann bekommen die einen Reifegrad. Okay, die Netzwerksicherheit liegt bei einer Reife von 4 von 5 beispielsweise. Und ein anderes Thema hat vielleicht eine 2 von 5, und dann muss man sich dort eben mehr drum kümmern.

Konstanze: Aha, verstehe.

Arne: Das zweite Projekt, das ich als Beispiel mitgebracht habe, wäre eine Implementierung von einem Information Security Management System, also einem ISMS, kurz gesagt. Und das ist die Abbildung der Informationssicherheit auf Dokumentenebene. Es gibt dann beispielsweise eine Richtlinie Netzwerksicherheit. Es gibt dann eine Richtlinie physische Sicherheit. Da möchte ich auf das Zaun-Beispiel zurückgreifen: Da würde dann drinstehen, wie oft ein Wachdienst einen Zaun abzugehen hat, beispielsweise um zu kontrollieren, ob da Löcher im Zaun sind. Oder dort wird auch geregelt, wie lang die Länge eines Passworts sein muss und welche Zeichen dort verwendet werden müssen. Ja, also die Abbildung der Informationssicherheit auf einer Dokumentenebene.

Konstanze: Okay, spannend. Wie du gerade schon gut gesagt hast: Es ist ein bunter Blumenstrauß an Themen und Aufgaben, die ihr da zu bewältigen habt. Du hast dein Team ja auch gerade schon angesprochen – ihr widmet euch da den unterschiedlichsten Aufgabengebieten. Wie ist denn euer Team aufgebaut, um dem auch gerecht zu werden, und was macht die Zusammenarbeit bei euch aus?

Arne: Teamkultur spielt bei uns tatsächlich eine große Rolle. Wir sind ein durchaus sehr großes Team, also wir sind jetzt über ganz Deutschland verteilt ungefähr 500 Leute.

Konstanze: Mhm, krass.

Arne: Wir haben nicht so eine in Stein gemeißelte Teamorganisation. Also wenn man bei uns anfängt, dann kommt man nicht in ein Team und arbeitet dann jahrelang mit demselben Team zusammen, sondern meistens ist das eher so: Man kommt an, und dann gibt es ein Projekt, dann geht man auf das Projekt, dort arbeitet man mit Kollegen zusammen, dann gibt es irgendwann ein neues Projekt und dann arbeitet man mit anderen Kollegen zusammen. Umso wichtiger ist es dann, dass man da irgendwo vielleicht auch eine Konstante hat. Und wir, speziell am Standort München, haben eigentlich schon eine ganz gute Office-Kultur. Also so einige Leute, die mehrmals die Woche ins Office kommen, und dann ergeben sich natürlich auch privatere Veranstaltungen daraus. Ja, also beispielsweise Afterworks, die wir regelmäßig durchführen, oder auch vor Kurzem sind wir zum Beispiel in einer kleineren Gruppe zu einem Basketballspiel gegangen. Also der Kollegenkreis ist dann doch auch teilweise Freundeskreis, und das ist auch echt schön und hilft bei der Arbeit natürlich auch, wenn man mit den Kollegen auch befreundet ist.

Konstanze: Ja, durchaus. Die Erfahrung habe ich auch gemacht. Und die wachsende Größe des Departments zeigt ja eben auch, wie relevant das Thema ist. Und es wird sich in den nächsten Jahren sicherlich nicht weniger werden, sondern noch mehr wachsen. Wie gut, dass ihr da auch zusammenwachst.

Arne: Ja, genau.

Konstanze: Was würdest du sagen – welches Skillset benötigst du in deiner Rolle, und wie technisch ist es auch? Also kannst du programmieren oder muss man programmieren können?

Arne: Ja, ich würde das Skillset zuerst beantworten. Da würde ich sagen: Wir kommen nämlich am Ende dann in die technische Richtung. Die erste und, ich glaube, die wichtigste und grundlegendste Eigenschaft, die man braucht, ist die grundlegenden Höflichkeitsformeln. Ja, erstmal ein netter Mensch zu sein – das ist, glaube ich, das Allererste, sich ordentlich zu verhalten. Das Zweite ist Neugier. Wir sind in einem technischen Umfeld, das bedeutet: Dort passiert viel, den ganzen Tag passieren dort neue Dinge, und wir müssen da am Puls der Zeit bleiben. Und dementsprechend brauchen wir Leute, die von sich aus in Themen einsteigen, diese Themen durchdringen und einen Mehrwert für die Organisation schaffen.

Und das Dritte – und da kommen wir jetzt zu dem Thema, wo das Programmieren mich persönlich geprägt hat – ist meiner Meinung nach eine gewisse Abstraktionsfähigkeit. Das kann man durchs Programmieren lernen. Aber wenn man beispielsweise irgendeinen anderen naturwissenschaftlichen Studiengang absolviert hat, dann hat man das dort auch mitbekommen. Die Abstraktionsfähigkeit ist nicht nur wichtig in diesem Bereich, ein Problem zu abstrahieren und dann abstrakt zu lösen, das wiederum in die Realität zu übersetzen, sondern auch bei Themen wie: Wie stelle ich einen Sachverhalt einem Kunden dar? Diese Sachverhalte, die sind jetzt nicht ganz niedrigschwellig, und da hilft es manchmal, Dinge ein bisschen genereller, vereinfachter darzustellen. Und dafür braucht man definitiv die Abstraktionsfähigkeit.

Konstanze: Und zum zweiten Teil meiner Frage: Kannst du programmieren? Da hast du drumherum geantwortet, oder?

Arne: Also, ich habe es im Studium gelernt. Ich habe es seitdem nicht mehr praktiziert. Wir müssen nicht programmieren in unserer Arbeit. Unsere Arbeit ist eher konzeptioneller Natur im Bereich Cyberstrategy and Transformation. Aber wie gesagt, programmieren zu können hilft. Zum einen die Abstraktionsfähigkeit, aber zum anderen gibt es auch manchmal so Dinge wie: „Ich bekomme eine Aufgabe gestellt, und hier wäre es jetzt gut, ein Excel-Makro schreiben zu können, um die Aufgabe schneller zu lösen.“ Also es hilft auf jeden Fall, programmieren zu können. Das kann man vielseitig anwenden. Nur wir sind halt keine Softwareentwickler. Deswegen ist es kein Muss, nur ein Nice-to-have.

Konstanze: Okay, das war schon mal ein guter Ratschlag. Und da hätte ich gerne vielleicht noch ein, zwei weitere von dir. Also: Was würdest du denn Studierenden oder Berufseinsteiger:innen raten, die sich für den Bereich Cybersecurity interessieren, aber noch gar nicht so genau wissen: Ist das was für sie? Oder wo sollen sie anfangen, sich vielleicht auch darauf vorzubereiten? Wie war das bei dir, oder was kannst du raten?

Arne: Also bei mir war das eher so, dass ich ins kalte Wasser geworfen wurde. Ich hab mich davor nicht vorbereitet. Aber wenn ich jetzt einen Rat geben könnte: Dieses ganze Thema Informationssicherheit aka Cybersecurity – wir sagen eigentlich Informationssicherheit dazu – ist vieles frei verfügbar. Also es gibt dort frei zugängliche Informationssicherheitsstandards, die man sich anschauen kann. Es gibt gute Podcasts zu dem ganzen Thema. Es gibt Dokumentationen zu dem Thema. Also sich vielleicht mal so mit dem Thema beschäftigen und mal ausloten: Ja, ist das etwas, womit ich mich identifizieren kann?

Und dann würde ich sagen: Wenn man das Interesse erlangt hat, dann Hands-on-Experience sammeln. Also sich bewerben für Praktika, für Werkstudentenstellen und mal schauen, ob man auch in der Praxis dieses Thema noch gut findet. Ich würde einfach empfehlen: Wir leben in einer Zeit, in der natürlich solche Plattformen wie LinkedIn sehr groß sind. Da kann man natürlich auch mal hergehen und solchen Leuten auch mal eine Nachricht schreiben: „Hey, wie schaut’s aus? Habt ihr einen Platz für jemanden, der sich interessiert?“ Und dann kann man ja mal schauen.

Konstanze: Vielen Dank. Das waren sehr praktische Ratschläge, die auch niedrigschwellig umgesetzt werden können. Also wirklich erstmal sich einzuarbeiten und mal Erfahrungen zu sammeln – das ist ja so die Basis, die auf jeden Fall jeder bewältigen könnte, um dann für sich auch wirklich festzustellen: Ist das was für mich? Und auch vielen Dank für deine Zeit und dein Engagement hier im Podcast. Es hat mir sehr viel Freude bereitet, dir zuzuhören und zu erfahren, wie ihr diesen wichtigen Bereich bei Deloitte umsetzt.

Arne: Vielen Dank, hat mich auch sehr gefreut.

Konstanze: Liebe Hörerinnen, solltet ihr noch Fragen haben, dürft ihr die gerne stellen an podcast@studydrive.net. Ihr findet alle Informationen natürlich in den Shownotes. Ich freue mich, wenn ihr den Podcast weiterempfehlt und den Kanal abonniert. Vielen Dank für eure Aufmerksamkeit und auf Wiederhören.