# Post-Quantum Strategy: CTO Roadmap for Security

**Podcast:** Becoming CTO Secrets
**Published:** 2026-04-21

## Transcript

Hallo und herzlich willkommen zu Becoming CTO Secrets, eurem Lieblingspodcast rund um die CTO-Rolle.
Ich bin immer noch Philipp Deutscher, externer CTO, CTO-Coach und Gründer der Becoming CTO-Community.
Heute zu Gast im flauschigen Podcast ist Nils Gerhard.
Er ist der CTO der Ultimaco.
Er verantwortet dort Advanced Development sowie die Innovationsstrategie in Bereichen wie Hardware Security Modules, Post-Quantum, Cryptography, das sind auch schwierige Wörter jedes Mal in der Einleitung, und Confidential Computing.
Und mit seiner internationalen Erfahrung über Engineering, Produkt und Business hinweg verbindet er tiefes technologisches Verständnis mit klarer strategischer Ausrichtung.
Und in einem Private Equity getriebenen Umfeld treibt er Innovation dort voran, wo sie echten Impact auf Sicherheit und Geschäftserfolg hat.
Nils, herzlich willkommen.
Vielen Dank, Philipp.
Ich freue mich, dass ich heute da bin und ein bisschen Einblick in mein Leben als CTO geben kann.
Dann wollen wir auch gleich mal einsteigen in den Einblick.
Nils, wenn du heute auf die Zeit als CTO zurückblickst, auf die nächsten fünf bis zehn Jahre blickst, die da vor uns noch liegen, was ist die eine...
Entwicklung im Security-Bereich, die alles verändern wird, die du gerade antizipierst, aber die noch massiv unterschätzt wird?
Eigentlich muss ich sagen, haben wir zwei.
Ich weiß nicht, ob ich mich auf eine festlegen mag heute schon, was wirklich so die prägendste sein wird in der Zukunft, die da kommt.
Wir kommen daher, dass wir in der Cyber Security einige Änderungen durchgemacht haben.
Es fing mit Cloud an, da hat sich das ganze Parameter verschoben.
von On-Prem in die Cloud rein.
Da musste man sich ganz neue Sachen ausdenken.
Wie schützt man das Ganze, wenn das für jemand anders die Infrastruktur betreibt?
Der nächste Schritt war dann, dass Quantencomputer immer relevanter wurden.
Die wurden immer weiter stärker in dem, was sie so können und bedrohen heute die Kryptografie, wie wir sie kennen.
Das heißt, alles, was wir heute benutzen, auch für die Verschlüsselung, die wir jetzt wahrscheinlich gerade, wir beide benutzen, während wir diese Aufnahme machen.
Die basiert auf Technologien, auf Kryptotechnologien, die potenziell von einem Quantencomputer geknackt werden können in ein paar Jahren.
Das heißt, wir haben den nächsten Trend, der wirklich fundamental ändert, wie wir heute denken und wie wir heute Sicherheit betreiben.
Und das bedeutet wirklich, dass die Kryptografie dann auf einem Tag auf einmal nicht mehr funktioniert und wir dann nach vorne raus uns was Neues ausdenken müssen.
Wie machen wir die Systeme sicher?
Und das, was wir, glaube ich, alle noch nicht so richtig umspannen haben, das ist das Thema AI.
Und was AI wirklich da noch bringt an Herausforderungen, nicht nur die Echtzeitfähigkeit der AI, Angriffe zu fahren und zu verteidigen, wird interessant, sondern auch so Aspekte wie, die fundamental die Art und Weise unseres Denkens in der Cybersicherheit ändern, nämlich, dass wir Agenten haben, die für uns Entscheidungen treffen.
wie kann ich das am besten kontrollieren und auch sicher gestalten, dass ich mir AI zunutze machen kann.
Das sind so die wirklichen Herausforderungen, die ich für die nächsten fünf bis zehn Jahre sehe.
Und du siehst auch, dass das Thema Quantum Computing...
Wird das aktuell noch so massiv unterschätzt?
Also natürlich, es ist noch nicht da, deswegen rennen wahrscheinlich die allerwenigsten in vorauseilendem Gehorsam voraus und versuchen das schon zu antizipieren.
Aber man hört auch gerade im Bereich der Verschlüsselung oder auch im Bereich, was jetzt den Bitcoin angeht, hört man ja schon diverse Meldungen, die auf der einen Seite Panik versuchen zu schüren oder auf der anderen Seite versuchen, das richtig einzuordnen.
Wie siehst du das?
Ist da gerade eher Panikmache unterwegs?
Wird das schon noch differenziert betrachtet an den meisten Stellen?
Ich glaube, wir hatten eine ziemlich lange Phase, wo das Thema unterschätzt wurde.
Ich glaube, dass vielfach die Meinung vorherrschte, dass Quantencomputer ja noch fünf bis zehn Jahre entfernt sind, bis sie wirklich in der Lage sind, also auch wirklich Kryptografie zu brechen.
Quantencomputer kann man ja heute schon verwenden, aber die sind eben nicht stark genug, um Kryptografie tatsächlich auch wirklich zu brechen.
Aber gerade mit dem Announcement, was jetzt, ich glaube, letzte Woche rausgekommen ist von Google, dass sie ihre eigene Roadmap für die Quantensicherheit bei Google selber vorziehen auf 2029, da muss man sich schon fragen, sind wir nicht eigentlich schon zu spät?
Denn wer weiß es besser als eine Firma, die Quantencomputer erstellt?
Und wenn die sich selber auferlegen, schneller fertig zu sein, schneller die neue Art der Sicherheit einzuführen, dass sie weiterhin einen Schutz haben.
dann bedeutet das ja, da ist eine reale Bedrohung dahinter.
Die machen das ja nicht einfach nur damit sie eine Umstellung hier machen.
Und deswegen glaube ich, dass wir eher zu spät sind als zu früh, diese Technologie einzuführen.
Und das gilt für alle Unternehmen.
Denn wir haben alle ja nicht nur Sachen, die wir schützen wollen in der Vertraulichkeit, sondern wir haben auch Dinge, wo wir uns überlegen müssen, unsere Identitäten, all das, unsere Verträge, die wir digital signiert haben, was passiert damit?
Es gibt das Risiko, dass all das...
nicht mehr gültig ist in der Zukunft.
Wer verschläbt das gerade komplett?
Ja, so komplett kann man nicht unbedingt sagen.
Also wir haben durchaus einige Kunden, die sich auf dem Gebiet wirklich rechtzeitig darum gekümmert haben und an der Einführung arbeiten, auch an ihren eigenen Produkten arbeiten.
Aber ich glaube, es ist nicht so hoch auf der Agenda von vielen kleinen und mittelständischen Unternehmen, weil es einfach etwas ist, wo man sehr viel Spezialexpertise braucht, wo man...
vielleicht auch viel mit anderen Herstellern arbeitet, viel auf andere Roadmaps angewiesen ist.
Ich glaube, dass da einfach das Thema noch nicht so stark durchgedrungen ist, wie es eigentlich...
Es hat auch noch keinen Impact, glaube ich.
Also das ist für viele...
Der potenzielle Impact ist aktuell noch schwer einzuschätzen.
Es ist natürlich, potenziell steht jede Möglichkeit von Verschlüsselung steht auf dem Prüfstand.
Welchen Impact das aber dann tatsächlich...
im realen Leben haben wird, wer Zugriff hat auf Quantum Cryptography und wer nicht.
Das ist ja auch noch gar nicht sicher.
Also wie können sich denn Unternehmen hier sinnvoll absichern oder sinnvoll anfangen, in diese Richtung zu denken?
Hast du da oder habt ihr da eine Strategie?
Ich glaube, dass viele Organisationen ganz gute Vorlagen gegeben haben.
Das NIST zählt dazu, aber auch das BSI, wenn man auf den deutschen Markt schaut, haben da tatsächlich auch.
Leitfäden rausgebracht.
Was ist denn eigentlich Quantum-Kryptographie?
Was muss man denn da eigentlich machen, um sich zu schützen?
Also ich glaube, das sind gute erste Schritte für Firmen und natürlich können sie auch für Firmen wie uns zukommen und wo wir natürlich auch sehr gerne helfen, die ersten Schritte zusammenzugehen und zu schauen, wie kann man eigentlich in die Welt von Quantum-Kryptographie einsteigen und das für sich nutzbar machen.
Ich glaube einfach, dass bei vielen Firmen wie du schon gesagt hast, selber, das noch nicht so stark auf dem Fokus war, weil natürlich ganz andere Themen relevant sind, vom Umsatz und Geschäftsentwicklung und die ganze geopolitische Lage.
Ich glaube, dass sich das so langsam ändert, weil eben der Horizont, also wann ist so ein Quantencomputer in der Lage, Krypto zu brechen, der wird natürlich deutlich kleiner.
Das heißt, es wird jetzt auch relevant für das Board, was jetzt gerade...
die Firma Leit lenkt und das ist glaube ich eine Sache, wo sich jetzt wirklich in den nächsten wenigen Jahren, also in den nächsten ein, zwei Jahren, diese Umstellungszyklus stark beschleunigen wird.
Was sind die Unternehmen, die sich jetzt anfangen, gerade mit dem Thema zu beschäftigen, während gerade die vielleicht kleinen und mittelständischen Unternehmen das noch gar nicht auf der Agenda haben?
Also mittlerweile kriegen wir Anfragen aus verschiedenen Bereichen.
Also wir haben wirklich große Firmen aus dem S&P 500, aber wir haben eben auch mittlerweile kleinere Firmen, die sagen, wir müssen das Thema für uns angehen.
Also ich würde sagen, die Awareness ist jetzt da, was natürlich immer oder diejenigen, die meistens als erstes agieren, sind die, die stark reguliert sind.
Also die Finanzindustrie beispielsweise hat sicherlich schon früh angefangen zu schauen, wo haben sie denn überall Kryptografie im Einsatz, wie könnten Migrationsszenarien aussehen.
Dann natürlich auch im Government-Bereich, wo ich über sensitive Daten spreche, über klassifizierte Daten spreche.
Auch das spielt natürlich eine Rolle.
Also das sind so die Organisationen, die sich natürlich auch sehr stark bewegen.
Aber wir haben wirklich mittlerweile Kunden aus allen Bereichen.
Von der Satellitenkommunikation bis...
bis in Bereiche rein, wo Firmware-Signaturen gemacht werden.
Also es ist wirklich breit gefächert von Firmen, die heute schon Quantum-Kryptographie einsetzen.
Jetzt hast du eben auch noch das Thema AI Security mit in den Raum geworfen.
Was siehst du da gerade als den größten Angriffsvektor oder die größte Gefahr in dem Bereich?
Das ist eine sehr gute Frage.
Ich glaube, das ist die Geschwindigkeit.
Also die Geschwindigkeit, mit der sich die Technologie verändert, mit der die Möglichkeiten bestehen.
auch potenziell Schwachstellen auszunutzen.
Ich glaube, dass die AI sehr gut darin ist, zu erkennen, was könnte man denn noch an Angriffsszenarien nutzen.
Wenn man so will, kostet das Ganze auch nichts.
Also da brauche ich jetzt nicht zehn Spezialisten hinsetzen, die sich etwas ausdenken, wie so ein Angriff aussehen kann, sondern das machen die Agenten dann schon selbstständig.
Ich glaube, das, was wir da gerade sehen, diese Geschwindigkeit, das ist sehr, sehr schwer zu verteidigen.
Also gerade bei Dingen, wo Wir haben ja mittlerweile eine sehr verteilte Supply Chain.
Wir haben ja ganz oft Firmen, die zuliefern.
Wir haben ganz oft Teile, die in der Cloud laufen.
Wir haben ganz oft Teile, wo verschiedene Tools eingesetzt werden.
Das ist ja nicht nur ein Tool, was jetzt die Firma selber entwickelt hat, sondern wir haben ganz verschiedene Ansatzpunkte.
Und ich glaube, dass es da sehr, sehr viele Möglichkeiten gibt, da auch für eine AI erfolgreiche Angriffe zu fahren.
Du als CTO, du bewegst dich jetzt ja in einem Feld, das ist alles andere als Mainstream, weil da so Themen drin vorkommen, wie Post-Quantum-Cryptographie, Confidential Computing, AI Security.
Wie würdest du deine Rolle in einem Satz beschreiben und wie unterscheidet sich das zu einem, ich sage es jetzt mal so despektierlich, stinknormalen SaaS CTO?
Für mich ist es wichtig, dass Innovation und Geschäft zusammenpassen.
Das ist eigentlich so das, was in einem Satz für mich die Rolle des CTOs ausmacht.
Die Technologien...
So, um zu umspannen und so zu erfassen, dass man daraus dann später auch Geschäft generieren kann und zwar auch rechtzeitig in dem richtigen Time-to-Market.
Das ist das, was, glaube ich, auch die Rolle des CTOs nach vorne raus viel stärker definieren wird.
Also durch diese ganze Schnelllebigkeit, in der wir gerade angekommen sind, ist es einfach wichtig zu gucken, wie kann ich denn in der Zukunft noch das Time-to-Market überhaupt sicherstellen, wenn es um neue Lösungen geht.
Und wenn du jetzt mal, wir haben ja dich angekündigt auch als den CTO von Utimaco.
Die allerwenigsten werden wahrscheinlich Utimaco kennen, auch wenn wir ein sehr nischiger Podcast sind.
Vielleicht kannst du kurz noch beschreiben, was macht ihr bei Utimaco, für was seid ihr bekannt, was ist euer Aufgabenfeld?
Ich beschreibe das immer ganz gerne mit so einem Bild.
Wenn man sich mal so eine Smart City vorstellt, man könnte jetzt mal irgendeine Stadt nehmen, ist eigentlich nicht so wichtig, welche, aber ich nehme da mal ganz gerne als Bild Singapur, weil die sehr weit waren in dieser ganzen Digitalisierung oder Automatisierung.
Wir haben ganz viele Anknüpfungspunkte.
Es fängt an mit selbstfahrenden Autos, mit neuem Internet, möglichst hoher Brandbreite überall.
Es gibt da natürlich Grenzkontrollen, die vollautomatisiert laufen.
Cloud und Fintech-Unternehmen, die dort in den Markt gehen mit neuen Angeboten.
Und wenn man sich das alles mal anschaut, diese ganze kritische Infrastruktur, die digitalisiert wird, dann braucht die einen Vertrauensanker.
Und dieser Vertrauensanker, das ist das, was Ultimaco macht.
Also wir stellen sicher, dass diese kritische Technologie, die jeder von uns jeden Tag benutzt, im täglichen Leben, dass die funktioniert und dass das, was als Basis dafür funktionieren muss, nämlich die Kryptografie.
dass die abgesichert ist über Hardware-Sicherheitsmodule, über Key-Management, über Datenverschlüsselung.
All das stellt die Ultimaco bereit.
Und das Interessante an unserem Geschäft ist eigentlich, dass wenn ich all diese Lösungen wegnehmen würde, so über Nacht, dann würde wahrscheinlich die meisten Leute, die heute in so einer Stadt leben, die würden das merken, im täglichen Leben, weil eben zum Beispiel eine Zahlungsverkehrstransaktion nicht mehr funktioniert.
Oder weil man zum Beispiel nicht mehr durch so eine Grenzkontrolle durchbekommt, die heute voll digitalisiert funktioniert.
Und das ist das, was die Ultimarko auch besonders macht, dass wir einfach diese verschiedenen Bereiche der kritischen Infrastruktur absichern.
Und du hast ja vorhin diese zwei großen gefährlichen Themen mit reingeworfen.
Was macht Ultimarko denn aktuell oder an welchen Baustellen arbeitet ihr, um diese Themen mit anzugehen?
Ich nehme an, ihr seid da, ihr habt das auch auf der Agenda, das ist auch Themen, mit denen ihr euch sehr aktiv auseinandersetzt.
Also Stichwort AI Security, Stichwort Quantum Crypto Coffee.
Ja.
Also erstmal möchte ich dazu sagen, ich finde diese Technologie total spannend und erstmal sehr positiv.
Also ich habe, natürlich kann man Technologie auch immer für etwas Negatives Potenzial benutzen, wie ein Quantencomputer, der dann eben Kryptografie bricht.
Aber eigentlich ist ein Quantencomputer ein super Instrument, eine super Technologie, um uns weiterzubringen.
Die Art und Weise, wie wir heute Computer kennen, wird sich komplett ändern.
eigentlich deterministisch entscheidet, da gibt es viel mehr Möglichkeiten, mit einem Quantencomputer zu arbeiten und zum Beispiel neue Medizin zu entwickeln oder irgendwelche Materialstoffe zu erforschen.
Also erstmal ist ein Quantencomputer etwas Gutes.
Jetzt hat er dieses eine Thema, dass er bestimmte mathematische Probleme tatsächlich schneller lösen kann als ein herkömmlicher Computer.
Dazu zählt zum Beispiel auch das Faktorieren großer Primzahlen, was die Grundlage ist für unsere Kryptografie.
Und das kann der Quantum-Computer sehr gut.
Aber der Quantum-Computer ist kein Generalist.
Also der kann nicht alles besonders gut.
Das heißt, es gibt gewisse Verfahren, die heute sicher sind gegen Quantum-Computer-Angriffe.
Das betrifft zum Beispiel symmetrische Verschlüsselung, das betrifft Hash-basierte Verschlüsselungsverfahren und spezielle Verfahren, die jetzt standardisiert wurden vom NIST und auch adaptiert wurden, also im Prinzip akzeptiert wurden von den meisten Ländern weltweit, die eben Post-Quantum...
sicher sind, also Post-Quantum-Kryptographie, sicher gegen Quantum-Computer-Attacken sind.
Und diese Technologie stellen wir zur Verfügung, dass die Kunden diese neuen Algorithmen, die da bestehen, nutzen können und die Quanten-Computer eben diese Algorithmen nicht mehr brechen können.
Im AI-Bereich ist es ähnlich, also vielleicht lenke ich nochmal ganz kurz darüber, bevor du die Zwischenfrage stellst.
Bei AI ist es ähnlich.
Also erstmal hat AI ja einen super Effizienzgewinn für uns alle geschaffen.
Wir sind, glaube ich, alle sehr überrascht, als die ersten AI-Modelle rauskamen, was eigentlich alles wirklich möglich ist, mit welcher Geschwindigkeit sich das entwickelt und wo wir an Effizienz gewinnen werden in der Programmierung, in der Erstellung von Programmen.
Wir werden vielleicht eigene Programmiersprachen irgendwann sehen für AI, weil die AI einfach in einer anderen Programmiersprache besser programmieren kann.
Vielleicht sehen wir eine ganz neue Generation kommen.
Also erstmal ist das eine sehr coole Sache.
Streng genommen sind es ja auch gar nicht die ersten AI-Modelle gewesen, die jetzt raus, es waren nur die ersten, die dann wirklich weltweites Aussehen erregt haben.
Es gab ja schon davor schon sehr viele, die unter ferner liefen, dann einfach nur stattgefunden haben.
Und selbst in meiner Informatik-Vorlesung, das ist ja schon eine Weile her, hatten wir damals auch schon KI-Vorlesungen.
Also es war nicht so, dass das ein komplett neues Feld ist.
Aber es wurde auf einmal zugänglich für jeden.
Das ist das, was sich geändert hat.
Und das bedeutet natürlich zugänglich für Leute, die damit Angriffe fahren, aber eben auch zugänglich, um damit...
vielleicht die Verteidigung zu verbessern und auch die Antworten, falls man mal eben angegriffen werden sollte und es gibt einen Impact in der Firma, wie reagiere ich da drauf?
Da kann AI auch super helfen, das zu beschleunigen, zu gucken, dass ich eine gewisse Automatisierung da einbaue.
Also das hat nicht alles nur Nachteile.
Wir haben da sehr viele Vorteile auch, um das im Cybersicherheitsbereich sehr vernünftig einzusetzen.
Jetzt mal eine Zwischenfrage Richtung aktuelle geopolitische Spannungen, die es in der Welt gibt und die wahrscheinlich auch nicht weniger werden werden in den nächsten Jahren.
Wirken die aktuell eher als ein Beschleuniger auf das Thema?
AI Security, Quantum Cryptography oder auch die Themenfelder, in denen ihr aktuell schon Produkte verkauft?
Oder ist es dann eher ein Thema, in dem Unternehmen vorsichtiger agieren, weil sie sagen, wir haben gerade ganz andere Probleme, weil unsere Supply Chain angegriffen wird oder was auch immer?
wir können uns jetzt nicht auch nochmal ganz viel Geld und Budget für Security in die Hand nehmen.
Oder läuft das Business genauso stabil weiter, wie es das in der Vergangenheit auch getan haben?
Also in welche Richtung schlägt das Pendel aufgrund der aktuellen geopolitischen Auseinandersetzungen, die wir an vielen Orten jetzt sehen?
Ich glaube, du hast ein paar Fragen in der einen der Einfrage gestellt.
Ich versuche die mal so ein bisschen für mich zu sortieren.
Also die erste Antwort ist...
Die geopolitische Lage hat natürlich eine große Auswirkung und wir fassen das alles ein bisschen zusammen in der souveränen Diskussion.
Also Sovereign Cloud und Sovereign AI und so weiter.
Das sind eigentlich die Stichworte zu diesem Thema.
Das bedeutet so viel wie, dass ich die Kontrolle darüber habe.
wo meine Daten verarbeitet werden, dass ich die Möglichkeit habe, die Daten zu sichern, also zum Beispiel zu verschlüsseln, die Vertraulichkeit sicherzustellen, der Datenintegrität zu schützen, die Verfügbarkeit hochzuhalten und da eben wirklich eine Kontrolle drüber habe.
Und das ist ein Thema, das wird immer stärker kommen.
Also das ist heute schon etwas, wo viele unserer Kunden uns sagen, wir wollen gerne die Daten trennen.
von den Schlüsseln, die diese Daten schützen.
Diese Schlüssel, die die Daten schützen, die wollen wir gerne in unserer Hoheit haben, die wollen wir entweder bei uns selber hosten oder wir wollen den vertrauensvollen Service von der Houtimaco hosten.
Die sollen aber eben nicht direkt mit in der Cloud verwaltet werden.
Die Daten können gerne weiterhin in die Cloud, aber die müssen halt geschützt werden in sicherer Weise.
Und das Ganze wird sogar noch ein bisschen weiter getrieben, wenn man das technisch betrachtet, über das ganze Thema Confidential Computing.
Du hast das vorhin schon kurz erwähnt, aber die Möglichkeit, dass man in einer Cloud das, was man dort ausführt, auch während der Ausführung sichert, also mit verschlüsselten Speicherbereichen arbeitet und so, also wirklich von allen anderen Cloud-Workloads trennt.
Das ist eine Sache, die immer stärker entkommen ist, eben gerade auch wegen der AI.
Wenn ich mir vorstelle, heute, du willst irgendwas mit AI machen, dann fängst du ganz oft in der Cloud an, aber eben ganz oft bei einem Hyperscaler, wo du vielleicht aus bestimmten Gründen, Compliance oder ähnlichen Sachen, gar nicht so einfach AI benutzen kannst.
Und wenn du dann eben sowas nutzt wie Confidential Computing, dann bist du schon wieder auf der sicheren Seite.
Dann hast du die Möglichkeit, die Daten auch während der Ausführung zu schützen.
Alle größeren Cloud-Anbieter, auch die amerikanischen, haben mittlerweile Verfahren entwickelt, wo du selber dein Schlüsselmaterial hosten kannst und die Kontrolle darüber behältst.
Das hat den ganz einfachen Grund, dass du dann eine gewisse Souveränität über deine Daten behältst.
Und das ist eine sehr wichtige eine wichtige Sache, die im Moment unsere Kunden umtreibt, wie kann ich wirklich die Kontrolle darüber behalten, wo meine Daten sind und wie diese Daten geschützt sind in der Vertraulichkeit.
Ja, gerade wenn es Richtung Confidential Computing geht, auch Trusted Execution, Air Security, wie auch immer man das alles nennen möchte, viele reden ja darüber, aber am Ende des Tages, da ist auch, also siehst du da einen großen Gap zwischen dem, was wirklich an Substanz schon da ist, was man lösen kann und wo beginnt dann der Hype?
Oder ist der Hype gar nicht so da und im Endeffekt ist da nur ganz viel Substanz?
Also aus meiner Sicht ist da ganz viel Substanz.
Ich glaube sogar, dass vielleicht, also der Hype war ein bisschen früher, also gerade für Confidential Computing, da gab es mal eine Phase, da wurde das, als es eingeführt wurde, als wirklich die eierlegende Wollmilchsau für die Absicherung der Cloud gepriesen und dann kam AI irgendwann und viel Fokus ist auf AI gegangen.
Und Confidential Computing ist so ein bisschen im Hintergrund geraten.
Nur gerade durch AI wird Confidential Computing jetzt wieder viel relevanter, weil du ja genau eben mit AI Workloads in die Cloud gehen willst.
Und das willst du in sicherer Weise tun.
Und deswegen, ich glaube, dass alle diese Themen eine wirklich große Relevanz und Substanz haben.
Sowohl der Schutz gegen Quanten und Computer attacken, auch wenn es vielleicht erst in fünf Jahren passiert und nicht übermorgen.
Das Thema AI, ich glaube, das sehen wir heute schon.
Da muss man, glaube ich, nicht viel zu sagen.
Da werden wir noch viel komplexere Angriffe sehen und viel schwierige zu verteidigende Angriffe sehen in der Zukunft.
Und dann eben natürlich auch so Themen wie Confidential Computing.
Da gibt es auch noch ein paar andere, die da wirklich Substanz haben und eine Rolle spielen und nicht nur Buzzwords sind.
Ja genau, das wäre natürlich dann die Folgefrage.
Wie viel Buzzword-Bingo ist da dabei?
Woran erkennt man das jetzt?
Also wenn ich mit dir spreche, da höre ich sehr viel Substanz raus.
Auf der anderen Seite sind das auch viele Begrifflichkeiten, die selbst bei Informatik- oder technologieaffinen Menschen nicht immer gleich eine stabile Definition der Begrifflichkeit abrufbar machen.
Confidential Computing vielleicht schon, Trusted Execution, ja, da wird es dann vielleicht schon vage, AI Security kann unwahrscheinlich breit sein.
Also wie erkennt man?
als Außenstehender, der nicht sehr tief in der Branche ist, echte Innovation und kann sie von reinem Buzzword-Bingo abgrenzen?
Als ganz Außenstehender ist es gar nicht so einfach.
Also da bin ich immer froh, dass ich eben schon noch ein Technologieverständnis habe und mir das auch schon mal in Detail angucken kann und sehen kann, was ist denn davon eigentlich wirklich, was hat Substanz und was ist wirklich nur ein Buzzword.
Also nur mal um so ein Beispiel zu geben, wo vielleicht auch mal eher ein bisschen mehr Marketing betrieben wird.
Es gibt solche Dinge wie Quantum Random Number Generators, also Zufallsgeneratoren auf Basis von Quantentechnologie.
Und wenn man da mal näher reinschaut, dann haben die absolut ihre Existenzberechtigung, nur sind sie eben auch nicht sicherer als das, was wir heute schon nutzen.
So, und dann muss man dann eben ein bisschen hinter gucken, hinter die Kulissen und schauen, ist das wirklich was, was meine Sicherheit erhöht oder ist das was, wo ich jetzt vielleicht irgendwie auch nicht unbedingt in die Richtung gehen muss, weil das, was wir heute haben, hat einen ähnlichen Sicherheitsstandard.
Also das sind so ein paar Aspekte, wo man wirklich hinter die Kulissen gucken muss und schauen muss, was ist da wirklich dran an der Technologie.
Was natürlich bei solchen Sachen hilft, da kann ich das gar nicht nur jedem empfehlen.
sich eben die NIST anzuschauen.
Die NIST hat normalerweise sehr fundierte Informationen, weil es einfach eine sehr offene Organisation ist, also auch für externen Input, für wissenschaftlichen Input.
Das Gleiche gilt auch für das BSI.
Also so Leitfäden von BSI zu lesen, das ist sicherlich etwas, wenn man sich informiert will, was wirklich funktioniert und was relevant wird in der Zukunft an Technologie und im Sicherheitsbereich, dann sind das sehr gute Quellen.
Sehr gut.
Mir ist gerade noch, während du erzählst, der Begriff Quantum Secure ist mir auch noch mal in den Sinn gekommen.
Dieses Label Quantum Secure, kann man das heutzutage guten Gewissens verteilen in bestimmten Situationen?
Kann man heutzutage schon mit Sicherheit festlegen, was Quantum Secure ist und was nicht?
Es ist tatsächlich eine schwierige Frage, weil es immer ein bisschen auf den Kontext ankommt.
Es gibt ja immer ein System, das wird irgendwo betrieben.
Wenn das System natürlich in einer Umgebung betrieben wird, wo gewisse Zugänge gesichert sind und so weiter, kann man sagen, das System mit dem Betriebseinsatz oder dem Einsatz dieses Systems, das ist sicher, das ist kontensicher.
Und dann gibt es aber natürlich auch, wenn man eine ganze Firma betrachtet, ganz viele Stellen, an denen man ansetzen muss.
Das fängt mit der Internetverbindung an, wo man vielleicht auch nicht überall direkt einen Einfluss drauf hat.
Was wird denn da jetzt eigentlich verwendet an Verschlüsselungstechnologie?
Also am Ende muss man sagen, muss man da sehr genau hingucken, um zu schauen, weil man wirklich komplett quantum safe ist.
Ich glaube, der wichtige Aspekt ist, dass man für sich selber feststellt, was sind denn die Daten, die ich schützen will?
Was würde denn wirklich passieren, wenn so ein quantum computer Identitäten fälschen kann, Signaturen fälschen kann?
Was würde dann passieren?
Habe ich da einen Schutz dagegen?
Habe ich vielleicht einen Evidence-Log?
Habe ich vielleicht eine Verteilung von Dokumenten?
Das sind so Dinge, wo ich dann eine Risikobewertung machen muss und einfach schauen muss, wo muss ich denn eigentlich ansetzen und zuerst migrieren und wo habe ich vielleicht noch ein bisschen mehr Zeit, weil selbst wenn da was passiert, das vielleicht nicht das Ende der Welt ist, wenn jemand dann einen gewissen E-Mail-Verkehr oder sowas lesen kann.
Also das ist, glaube ich, eine Risikobewertung und dann muss man sich selber eine Roadmap schaffen, die einen dahin führt, vor allem erstmal die Sachen zu schützen, die besonders schützenswert sind.
Ja, absolut richtig.
Welche der Verschlüsselungsmethoden heutzutage sind denn quantum secure?
Oder kann man dieses Label wirklich keinem dieser Verschlüsselungsmethoden anheften?
Doch, also die NIST-Verfahren, die es da gibt, die werden derzeit als quantum sicher gelabelt.
Also das heißt zum Beispiel MLDS-A oder ML-CAM, das sind die Abkürzungen dafür.
Es gibt auch noch andere LMS, XMSS.
Es gibt verschiedene Verfahren, die sind standardisiert.
Und gelten als sicher gegen Quantencomputer-Attacken.
Die kann ich einsetzen, nur muss ich sie eben an ganz verschiedenen Stellen einsetzen.
Und da wird es schwierig.
Und das ist das, also den Ersteinsatz zu finden.
Nehmen wir mal an, wir fangen jetzt mal an mit den Anwendungsfällen, die zum Beispiel lange im Feld sind.
Also wir haben viele Kunden, die gucken auf Firmware-Signing als ersten Einsatzbereich.
Normalerweise die Firmware, die die Kunden rausbringen, zum Beispiel mit Maschinen, die ist natürlich lange im Feld.
Und an dir habe ich natürlich auch eine lange Zeit Möglichkeit, hier mit dem Quantencomputer zum Beispiel in Angriff zu fahren.
Wenn ich die rechtzeitig umstelle, dann habe ich schon mal einen sehr, sehr großen Schritt in Richtung Quantumsicherheit gemacht, auch wenn da vielleicht noch Komponenten in den Maschinen sind, die nicht vollständig quantensicher sind.
Die kann ich aber zum späteren Zeitpunkt zum Beispiel noch updaten.
Ich kann ja ein sicheres Firmware-Update machen.
Ich kann ja diese Maschine in einen sicheren Zustand überführen und kann dann auch eben Funktionalität nachladen.
Also das ist so ein bisschen die Roadmap, die man sich überlegen muss und schauen muss, wo fängt man an, wo setzt man den Anker der Sicherheit an und wie lange braucht man dann wirklich bis alle Punkte Quantumsicherheit sind.
Ist das nicht auch eine trügerische Sicherheit?
Ich glaube, natürlich kann man davon ausgehen, dass...
Quantum Safe ist ja kein absoluter Zustand, sondern er beschreibt erstmal Verfahren, die nach aktuellem Stand sowohl gegen klassische als auch gegen künftige Quantenangriffe als schwer brechbar gelten.
Vielleicht kann man es mal so sagen.
Sie gelten aber auch nur als schwer brechbar, wenn dann Quantum Computing tatsächlich da ist in voller Ausprägung.
Stellen wir auf einmal fest, da ist nichts davon, was wir als Quantum Safe gekennzeichnet haben, ist Quantum Safe.
Ist das ein realistisches Szenario oder ist das genauso Panikmache, wenn man in diese Richtung denkt, wie, ja, Punkt, Fragezeichen.
Mit den Algorithmen, die jetzt standardisiert sind, werden wir eine Sicherheit erreichen.
Natürlich ist diese Sicherheit nicht potenziell für ewig garantiert.
Natürlich kann es neue Verfahren geben, neue Algorithmen geben, neue Ideen, wie man das brechen kann oder zumindest die Sicherheit reduzieren kann, dieser Verfahren.
Aber fürs Erste, aus meiner Sicht, sind das Verfahren, die man gut einsetzen kann, weil sie einfach durch einen langen Standardisierungsprozess und einen sehr offenen Standardisierungsprozess gegangen sind.
Also Wissenschaftler aus allen Bereichen der Welt konnten diese Verfahren einsehen, konnten schauen, konnten Kommentare machen, konnten versuchen, diese Verfahren zu brechen.
Natürlich theoretisch, weil es heute noch keinen Quantencomputer gibt, der stark genug ist, herkömmliche Verfahren zu brechen.
Vielleicht wird es da nochmal andere Verfahren geben in der Kryptoanalyse.
Aber im Moment aus wissenschaftlichen Gesichtspunkten würde ich sagen, haben wir ein Verfahren, was erstmal eine sichere Transition in die Zeit ermöglicht, wo Quantencomputer stark genug werden, herkömmliche Krypto zu brechen.
Wie gehst du jetzt als CTO von Ultimaco damit um?
Also es ist ja an der Schnittmenge von Cutting Edge Technology.
Auch ein bisschen in die Glaskugel gucken, in welche Richtung sich das entwickeln wird.
Gleichzeitig habt ihr eine bestehende Kundenlandschaft und Produktlandschaft, die ihr natürlich irgendwo befriedigen wollt, bespielen wollt.
Ihr wollt ganz viel Innovation machen.
Wie bewegt man sich in einem solchen Umfeld?
Und dann kommt natürlich noch die Business-Seite mit dazu.
Private Equity hat gegebenenfalls auch noch ein paar Verlautbarungen oder ein paar Erwartungshaltungen.
Wie geht man damit um in diesem Spannungsfeld?
Ganz am Anfang muss man sagen, dass wir von Anfang an gesagt haben, dass wenn Quantencomputer in der Lage sind, Kryptografie zu brechen, es alle Firmen betrifft in der Welt.
Es gibt glaube ich niemanden, der so abgenabelt ist, dass es ihnen...
gar nicht betrifft.
Das betrifft, das heißt also die Größe ist schon mal da, es gibt dort einen Markt.
Also wenn Quantencomputer sich entwickeln und das tun sie ja derzeit und da gibt es ja mittlerweile wirklich viele Nachrichten drüber, was sich da alles so tut, wie viel Qubits man schafft, wie man Fehlerkorrektur macht und so weiter und dass es auch wirklich teilweise in der Cloud verfügbar gemacht wird, die ersten Quantencomputer.
All das deutet ihr darauf hin, da gibt es tatsächlich Fortschritte.
Das heißt, wir adressieren erstmal einen Riesenmarkt, weil es alle betrifft.
Und wir wissen, dass Kryptografie, gerade Kryptografie, sehr lange braucht, geändert zu werden.
Weil die Vergangenheit einfach gezeigt hat, dass man Verfahren, die man in der Vergangenheit benutzt hat, wenn man die ausbauen will, die aber überall verfügbar sind und die auch Interoperabilität garantieren, dass es nicht einfach ist.
die eben innerhalb von einem Jahr auszubauen.
Ein gutes Beispiel ist das.
Wir haben da lange als Verfahren das benutzt, um Zahlungsverkehrstransaktionen abzusichern.
Und ich würde sagen, das ist wahrscheinlich jetzt noch in gewissen Systemen im Einsatz, obwohl es schon lange nicht mehr als sicher gilt.
Einfach weil durch die Kompatibilitätsthemen und so weiter Austausch von Kryptografie extrem schwierig ist.
Und dann haben wir gesagt, naja, wenn wir jetzt nochmal den Horizont von zehn Jahren anlegen, selbst wenn es 15 Jahre am Ende sind, dann müssen die Firmen jetzt eigentlich anfangen.
Und dann haben wir relativ rechtzeitig angefangen, auch noch vor der Standardisierung diese Algorithmen einzuführen, weil wir wirklich erste Kunden hatten, die auch Interesse hatten, mit uns da zu arbeiten auf dem Gebiet.
Und dann hat uns natürlich auch NIST unterstützt.
Irgendwann kamen die Daten raus für die Migration der wichtigen, der kritischen Prozesse bis 2030.
Alle Prozesse sollen mehr oder weniger umgestellt sein auf quantumsichere Verfahren bei 2035.
Das wurde dann wieder von der EU übernommen.
Im Prinzip sind diese ganzen Organisationen dann durch das Setzen dieser Daten haben da nochmal mit reingespielt im Positiven.
Und jetzt haben wir wirklich eine Situation, wo eigentlich jede Firma die Notwendigkeit hat, sich selbst zu überprüfen.
Und zu schauen, wo sie es einsetzen müssen.
Und das ist natürlich für uns eine super Voraussetzung.
Wir haben die Referenzen, wir haben die Implementierung und der Markt, der ist im Prinzip eigentlich fast unlimitiert in dem Bereich.
Wie wahrscheinlich, also ja, die Gefahr von Quantencomputer, sind wir jetzt schon ein bisschen drauf eingegangen.
Ich frage mich, wie groß diese reale Gefahr dann später wirklich sein wird.
Also natürlich werden zuerst, wer wird zuerst Zugriff auf Quantencomputer haben?
Das sind Staaten, das sind große Tech-Konzerne.
Danach wird es dann schrittweise gehen Richtung Forschung, Richtung Industrie.
Es wird noch eine sehr lange Zeit dauern, bis normale Unternehmen, Otto-Normalverbraucher auf so etwas in dieser Form Zugriff haben wird.
So zumindest mal meine These.
Heißt natürlich gibt es...
Rogue-Player auch im Bereich der Staaten, vielleicht auch aber im Bereich der Tech-Konzerne, aber es wird ja nicht der kleine Script-Kiddy um die Ecke oder der Hacker aus Nigeria oder der Scammer aus Nigeria dann sein, der darauf Zugriff hat und jetzt hier Dienste exposed.
Schränkt das dann nicht auch den Markt ein der potenziellen Kunden, die sich für sowas interessieren, weil ein Unternehmen, das SaaS-Dienste anbietet an B2B, B2C, was auch immer, hat vielleicht gar nicht die Notwendigkeit, sich darüber aktuell Gedanken zu machen.
Ja, vielleicht zwei Antworten darauf.
Also wenn es eine Technologie gibt, auch wenn die vielleicht in den Händen sind, wo vielleicht ein staatlicher Aktor andere Interessen hat und vielleicht nicht eine kleine und mittelständische Firma angreift im ersten Schritt, dann bedeutet das ja trotzdem, dass meine Sicherheit eigentlich nicht mehr gewährleistet ist.
Also wenn ich jetzt irgendwann mal einen Fall hätte, wo ich einen Vertrag, der digital signiert ist, und jemand irgendwo auf der Welt wurde bewiesen, dass eine RSA-Technologie nicht mehr sicher ist, wie soll denn das Gericht dann entscheiden?
Soll das Gericht dann sagen, ja, aber der Vertrag, der ist sicherlich sicher, weil sie hat bestimmt keiner angegriffen?
Oder würde das Gericht dann sagen, naja, im Zweifelsfall gibt es natürlich auch eine Möglichkeit, dass jemand da die Unterschrift gefälscht hat beispielsweise oder die Identität gefälscht hat.
Und da würde ich einfach sagen, erst mal, sobald es nachgewiesen ist, dass ein Quantencomputer das kann, haben wir schon die Situation, dass wir eigentlich alle agieren müssen.
Das ist der eine Punkt.
Der zweite Punkt ist, der Quantencomputer ist ja nicht alleine da, Krypto zu brechen.
dann würde es wahrscheinlich ein sehr eingeschränkter Markt sein im ersten Schritt.
Aber ein Quantencomputer hat ja unglaubliche Vorzüge, was so Materialforschung angeht und was potenziell Heilung von Krankheiten angeht, Finden von Medikamenten und ähnlichen Sachen.
Also wirklich einen wissenschaftlichen Ansatz.
Und da werden Milliarden reingepumpt in den Markt, in den Aufbau von Quantencomputern.
Und das wird irgendwann demokratisiert werden, so wie das Web halt auch.
Das kommt vielleicht etwas später, aber es wird kommen.
Und dann hat man vielleicht noch drei Jahre Zeit.
dann ist es in den Händen von bestimmten Firmen.
Aber irgendwann wird es als Cloud Service verfügbar sein.
Also aus meiner Sicht, je schneller dann die Entwicklungszyklen werden, desto mehr Leute werden Zugriff bekommen und desto eher wird es am Ende ein Risiko für alle.
Ich habe jetzt interessanterweise auch die Meinung schon gehört, dass man sich jetzt gar nicht so viel Sorgen machen muss um die Quantentechnologie und auch das, was sie mit Kryptografie macht.
Ja, sie wird Kryptografie brechen, aber im gleichen Atemzug hast du natürlich nochmal viel stärkere Rechenleistung oder eine andere Form von Rechenleistung zur Hand, um nochmal viel sicherere Verschlüsselungen bauen zu können.
So im Endeffekt, der Markt wird das alles selber regeln in diesem Moment.
Was denkst du über so eine Haltung oder über so eine Aussage?
Ich glaube, dass du hier in diesem Fall schon eine gewisse Regulatorik brauchst und gewisse Deadlines.
Also dass jemand jetzt antizipiert, dass wir in zehn Jahren den Quantencomputer haben und dann freiwillig handelt.
Da muss man schon gucken, dass man da schaut, dass man da Zeitlinien setzt, dass Firmen dann eben auch anfangen zu agieren und sich anzuschauen, wie ihre Krypto aufgebaut ist.
Ich glaube, dass du das nicht komplett dem Markt überlassen kannst.
Bis zum größten Grad natürlich schon, weil wenn es so Themen sind, die man dann auch wirklich beeinflussen kann.
Hier ist ja ein sehr langfristiges Thema und auch noch ein Thema, was ein bisschen unsicher ist.
Kommt das jetzt 2030?
Kommt es 2032?
Ich bin mir relativ sicher, dass es kommt.
Die Frage ist halt, in welchem Jahr das kommt und wie will man das?
den Firmen überlassen, wer sich jetzt da bereit macht für 2030 und wer für 1933.
Und am Ende hängt ja auch alles zusammen.
Ich habe auf der RSA jetzt nochmal öfter gehört, Trust is a new currency.
Das heißt, wenn ich jetzt in diesem ganzen Setup von Cyber-Sicherheit mal angucke, wer da eigentlich alles zusammenhängt, von der Supply Chain, wer da alles mit Tools anbietet, die dann wiederum benutzt werden im Cyber-Sicherheitsbereich, dann ist es ja wichtig, dass alle zur gleichen Zeit auch sicher sind.
Es bringt mir ja wenig, wenn ich jetzt die Hälfte meiner eigenen Prozesse angepasst habe, aber meine ganzen Zulieferer, die haben halt gesagt zu dem Thema, naja, wir dachten, wir hätten noch ein bisschen mehr Zeit.
Dann habe ich ja das Thema mir trotzdem eingefangen.
Und am Ende ist es da schon wichtig, dass man sich ein gemeinsames Ziel setzt, weil es einfach alle betrifft.
Es betrifft nicht nur eine bestimmte Branche, es betrifft nicht nur eine Firma, es betrifft nicht nur eine bestimmte Technologie, es betrifft viel mehr.
Und ich glaube, da ist ganz ohne Regulatorik.
lässt sich das Thema nicht adressieren.
Wie triffst du denn dann Entscheidungen?
Im Tagesgeschäft, welche Innovationen jetzt wirklich relevant sind und umgesetzt werden sollen, gerade in einem Umfeld mit begrenzten Gesamt.
Ich glaube, das vergisst man immer mal wieder, wenn über Innovationen geredet wird, dass die Ressourcen in Unternehmen immer noch begrenzt sind und dass sie auch nicht in freien Radikalen da ständig rumschweben und darauf warten, utilized zu werden.
Also wie triffst du in diesem Kosmos Entscheidungen darüber, welche Innovationen auch in diesen Bereichen, die wir jetzt besprochen haben, wirkliche Relevanz haben und angegangen werden sollen?
Also aus meiner Sicht ist es das Wichtigste zu schauen und sich zu überlegen, wie kann das Ganze skalieren?
Wie viele Leute betrifft es am Ende?
Ich habe oftmals Technologien gesehen, die sind super spannend als Technologie.
Nehmen wir mal als Beispiel homomorphe Verschlüsselung.
Das ist total spannend.
Da kann man auf verschlüsselten Daten arbeiten und keiner sieht diese Daten, kriegt aber trotzdem die Antworten, die er haben möchte aus einem Datensatz.
Ist aber etwas, was man heute kommerziell sehr, sehr, sehr schwer...
realisieren kann, also wo die Skalierung heute zumindest nicht so gegeben ist, wie zum Beispiel in anderen Bereichen, wie jetzt Post-Quantum-Kryptographie als ein Beispiel oder auch im AI-Bereich.
Und das ist immer eines der wichtigsten Kriterien für mich, wo ich sage, man muss halt gucken, wie kann das später mal skalieren und wie wächst die Kundenbasis hintendran.
Und dann ist es natürlich auch so, zu gucken, wie passt es zu der Firma selber, also wie passt es dazu.
was wir, sagen wir mal, anbieten, zum Beispiel als Ultimaco.
Für uns ist das dann Teil dieser, was ich ja vorhin gesagt habe, Root of Trust, dieser Vertrauensbasis, die wir schaffen für alle digitalen Services.
Da passt dieses Thema hervorragend rein.
Und es hat die richtige Marktbreite.
Also das sind so die wichtigen Entscheidungskriterien.
Und dann gibt es natürlich so ein bisschen zu beurteilen, was ist kurzfristig davon und was ist langfristig.
Also gerade im PE-Kontext ist es auch immer wichtig, dass man kurzfristig einen Proofpoint hat.
Vielleicht den ersten Kunden, vielleicht den ersten Umsatz, den ersten guten Use Case dafür, dass man auch sieht, das kann kurzfristig auch beitragen zum Wachstum und zum Erfolg.
Und dann natürlich der langfristige Aspekt.
Wie kann ich mich da rechtzeitig positionieren?
Also die Frage geht jetzt in die Richtung deiner Interpretation der CTO-Rolle.
Ich erlebe ganz viele CTOs, die sind von der...
Reinen Technologie oder von der Implementierung sind sie sehr weit weg.
Gerade in größeren Unternehmen, die vielleicht schon Enterprise-Charakter haben, dann geht es viel über Politik, es geht viel über Organisationsdesign.
Natürlich hat man irgendwo vielleicht noch einen Technologie-Background und versteht das.
Du bist jetzt aber in einem Bereich unterwegs, der eine viel tiefere technische und fachliche Expertise benötigt.
Nimmst du das auch so wahr?
Und nimmst du das auch so wahr, dass gar nicht so viele deinen Job eigentlich machen könnten, weil sie gar nicht diese Expertise haben?
Oder ist es sogar vielleicht so, dass es so, ja, vielleicht bräuchte es gar nicht diese ganze In-Depth-Expertise, sondern auch ein normaler CTO könnte ein Unternehmen wie Utimaco anführen.
Wie siehst du das?
Ich glaube, über die Zeit hat es sich so ein bisschen entwickelt, die Rolle des CTOs.
Also es war früher...
Sehr viel techniklastiger, sehr viel stärker, dass man da überinvolviert ist.
Darunter viele Business-Aspekte kamen mit dazu über die Zeit.
Und ich glaube, das nächste, was wichtig ist für die CTO-Rolle, ist eigentlich, dieses Time-to-Market zu adressieren.
Weil diese Beschleunigung, die wir derzeit erleben, also auch was AI beiträgt, das ist etwas, was wir als aus CTO-Sicht...
managen können müssen nach vorne raus.
Also wenn der AI Software schreiben kann, Business-Modelle kopieren kann in wirklich Stunden und nicht von Wochen oder Monaten, die man eigentlich für sowas gebraucht hat in der Vergangenheit.
Ich glaube, das ist die neue Herausforderung vom CTO.
Wend noch mal zurück auf die Frage so ein bisschen stärker, wie viel Technik braucht man noch?
Also ich glaube, es ist schon gut zu verstehen, was hinter der Technik steckt, damit man sieht, wie diese Technik skalieren kann, wo man selber reinpasst als Firma.
Und wo man dann am Ende auch den Markt bedient und wo die Kundenprobleme sind, die man lösen möchte.
Ich glaube, das ist weiterhin wichtig.
Und das ist wahrscheinlich auch wichtig für fast alle CTOs.
Aber was ich natürlich sagen muss, ist, man muss natürlich das nicht alles selber wissen.
Man hat natürlich auch Kollegen, mit denen man arbeitet und die einem auch über das Detail erklären können.
Wichtig ist, dass man die Zusammenhänge versteht.
Dass man einfach sieht, wie zum Beispiel jetzt langsam das Thema AI.
und Post-Quantum-Computing oder Post-Quantum-Kryptographie irgendwie zusammenhängen.
AI generiert unglaublich viele Mengen an Daten.
Was mache ich denn, wenn ich so ein Modell schützen will?
Was mache ich denn, wenn ich die Trainingsdaten schützen will?
Das Ganze muss ja auch Post-Quantum abgesichert werden.
Solche Zusammenhänge zu verstehen und dann zu gucken, was entsteht daraus?
Was brauchen die Kunden dort an Unterstützung in ihrem Geschäft?
Das ist das Wichtigste, glaube ich, was ein CTO heute erkennen muss.
Aber es ist nicht unwichtig, auch zu verstehen, was in den Technologien steckt, um auch mal zu entlarven, wo eben nur das Buzzword verwendet wird, was wir vorher besprochen haben.
Du hast jetzt eben auch nochmal in der Frage davor, jetzt hattest du nochmal das Thema Private Equity aufgegriffen.
In einem solchen Unternehmen, was Private Equity geführt ist, wie verändert das die Rolle des CTO?
Oder wird sie dadurch gar nicht verändert oder beeinflusst?
Also ich denke, sie wird auf jeden Fall durch PE, durch einen PE, der natürlich Wachstum sehr stark in den Vordergrund stellt, das ist natürlich ein wichtiger Punkt und natürlich hat das einen Einfluss auch auf die Rolle des CTOs.
Es sollte aber irgendwie auch in jedem Unternehmen so sein eigentlich.
Also auch in Unternehmen, die vielleicht nicht PE geführt sind.
Denn Wachstum spielt einfach eine entscheidende Rolle.
Und weiter zu machen mit neuen Ideen, neues Geschäft zu generieren, Das sollte eigentlich im Interesse jeder Firma sein.
Technologie spielt eine immer größere Rolle in der heutigen Zeit.
Und deswegen würde ich jetzt sagen, so unterschiedlich sollte es gar nicht sein.
Aber natürlich hat ein PE ein klares Interesse, Wachstum.
Und diesen Wachstum, den kann man natürlich gut unterstützen mit Technologien, wenn man rechtzeitig am Markt ist, wenn man die neuen Trends entdeckt, wenn man sieht, was skaliert, was zu einem passt.
was man umsetzen kann, wo man vielleicht auch einen effizienten Weg findet, vielleicht auch mit Partnern einen Weg findet, gemeinschaftlich in den Markt zu gehen.
Das sind, glaube ich, so wichtige Aspekte, die der PE natürlich mit reinbringt.
Aber aus meiner Sicht sollte das in einer nicht PE-geführten Firma genau das Gleiche sein, weil es eben darum geht, zu schauen, dass man mit der Firma wächst und sich eben auch neue Gebiete erschließt.
Ja, vielleicht kann man das ja so formulieren, dass ein Private Equity-geführtes Unternehmen eine aggressivere Wachstumserwartung hat, die dann von Private Equity getrieben wird.
Das würde ich zumindest mal so die Unterscheidung machen, weil grundsätzlich hast du ja recht, alle Unternehmen haben wahrscheinlich einen Wachstumsanspruch und treiben den voran, weil Private Equity...
Die sitzen ja nicht direkt im Unternehmen, die sitzen so ein bisschen außenrum, obendrauf, aber massieren die Erwartungshaltung da noch mit ein.
Also was ich noch dazu sagen wollte, also wenn man das jetzt zum Beispiel so vergleicht mit einem zum Beispiel familiengeführten Unternehmen, da hat man vielleicht mehr Möglichkeiten etwas langfristiger zu denken, vielleicht über bestimmte Grenzen hinaus.
Aber ich sage mal so, das ist auch nicht unbedingt so gegeben, weil jede Unternehmung natürlich auch Umsatzziele hat.
Und zwar konkrete und kurzfristige Umsatzziele und die gilt es zu erreichen.
Das heißt, man hat auch als CTO so ein gewisses Spagat zu machen.
Man muss schon schauen, was man als CTO beeinflussen kann, um tatsächlich das Geschäft abzusichern, das Geschäft, was man heute macht und dann gleichzeitig den Grundstein zu legen für das Geschäft morgen.
Also das ist so ein bisschen, muss man beide Sachen betrachten und der PE braucht beides.
Der PE braucht den Erfolg jetzt und in der Zukunft.
Innovationsmanagement in den Unternehmen, vielleicht auch bei euch.
Ich meine, die Erwartungshaltung ist immer groß.
Es soll Innovation geben.
Und die Erwartung ist immer, ja, ich mache mal jetzt ein Innovationsprojekt und damit mache ich jetzt im ersten Quartal 10 Millionen und im zweiten Quartal dann gleich 100 Millionen.
Das ist ja nicht die Realität.
In der Realität hast du eine ganze Menge an Innovationsbalance, die du fliegen lässt.
Die 99 Prozent, oder vielleicht nicht ganz so viele, aber neun von zehn gehen mit Sicherheit den Bach runter und eins davon fängt dann an zu fliegen.
natürlich in der Schnittmenge von, ja, wir wollen aber Umsatz und Wachstum jetzt, ist das ja ein Widerspruch zu, wir bauen jetzt potenzielle Moonshots für die Zukunft.
Wie navigierst du das?
Ich glaube, es ist auch nicht, also natürlich gibt es immer Themen, die vielleicht nicht so abheben, wie man das denkt.
Aber es heißt ja nicht, dass diese Themen ein kompletter Vielschlag sind.
Man nutzt das natürlich trotzdem für Marketing.
Man positioniert sich und es hat natürlich auch damit zu tun, wie viel Innovation man treibt an Firma.
wie man zum Beispiel die Valuation dann am Ende hinbekommt, auch in so einem Verkaufsprozess.
Also deswegen bin ich da gar nicht so dogmatisch, würde ich mal sagen, zu sagen, die Sachen, die da fehlgeschlagen sind, die haben vielleicht nicht beigetragen zum Erfolg.
Die tragen durchaus auch bei zum Erfolg.
Natürlich sind es die paar Moonshots...
Jetzt haben sie keinen Umsatz gemacht und haben erst mal nur Geld versenkt.
Hat man vielleicht Geld versenkt, hat aber vielleicht einen Grundstein gelegt, hat vielleicht geschaut, dass...
Dass man danach in den richtigen Weg einbiegt, hat vielleicht aber auch ein bisschen gezeigt, dass man in der Lage ist, eben verschiedenste MVPs und neue Themen auch in der Firma gleichzeitig zu entwickeln.
Das ist ja eine wichtige Eigenschaft.
Wenn man das nicht hat und nicht kann, dann bleibt man zurück.
Gratis Time to Market, was ich ja vorhin erwähnt habe, das wird immer wichtiger.
Und das heißt, man muss immer schneller werden, zu verproben, ob diese Innovationen passen.
Wann ist denn dann ein Tech-Projekt für dich ein Erfolg und wann nicht?
Also scheitern muss erlaubt sein, das ist glaube ich auch, ist uns allen klar, wenn es um Innovationsmanagement geht, ansonsten brauchen wir das gar nicht erst anpacken und ja, man lernt auch aus den Fehlern, aber wann ist ein Tech-Projekt dann ein Erfolg und wann kannst du ganz klar sagen, nee, das war nichts?
Also ein Tech-Projekt ist ein Erfolg, wenn es Umsatz bringt und substanziell zum Firmenerfolg, zum Wachstum beidreht.
aus meiner Sicht.
Und das passiert dann, wenn man das überphasen kann in die normale Organisation.
Es wird ein Produkt, es wird eine Lösung, es wird ein Service für den Kunden.
Das ist auf jeden Fall eines der wichtigsten Erfolgskriterien.
Aber ist das nicht gerade ein Widerspruch zu dem, was du vorher gesagt hast?
Weil du hast ja gesagt, auch wenn mein Projekt fehlschlägt, ist es ja nicht gerade ein Misserfolg, wenn man daraus die richtigen...
Ableitungen oder die richtigen Kenntnisse hat für die Zukunft.
Und deswegen war ja die Folgefrage auch, wann ist es denn dann ein Nicht-Erfolg, wenn das reine Scheitern eines Innovationsprojekts, was jetzt keinen Umsatz bringt, noch keinen Misserfolg automatisch definiert?
Ich glaube, der Unterschied für mich war so ein bisschen diese Idee des Moonshots.
Also wie trage ich wirklich zum Wachstum und zu der großen Firmenentwicklung bei?
Das ist das, wo ich sage, da hast du natürlich einen anderen Erfolgskarakter.
Das ist natürlich das Projekt, was du immer als Aushängeschild nimmst.
Post-Quantum-Kryptographie in unserem Fall.
Rechtzeitig angefangen, großer Markt adressiert, sehr schnell gewonnen.
Das sind so die Erfolgsstories natürlich, die wichtig sind, weil sie wirklich zum Geschäft beitragen.
Aber trotzdem, sich mit Technologien zu beschäftigen, die vielleicht dann für einen nicht so relevant sind.
Nehmen wir homomorphische Verschlüsselung als ein Beispiel, weil ich es vorhin erwähnt habe.
Man darf sowas eben nicht vernachlässigen.
Was wäre denn, wenn diese Technologie nur einfach später kommt?
Und vielleicht einfach noch, das war noch nicht die richtige Zeit.
Vielleicht haben wir in zehn Jahren die richtigen Computerinfrastrukturen, das homomorphische Verschlüsselung auf einmal funktioniert und dann haben wir einen großen Markt.
Also da würde ich jetzt nicht sagen, dass wenn man sich damit beschäftigt, schaut, wie man das abbilden kann und irgendwann rausfindet, dass es jetzt nicht funktioniert und dass das kein Geschäft für einen ist, was genug groß wächst.
dann kann man das einstellen.
Aber es ist nicht unbedingt ein Misserfolg.
Es kann halt später mal zu einem Erfolg führen.
Ich gebe dir mal ein Beispiel aus meiner Vergangenheit.
Wir haben vor ganz, ganz vielen Jahren, das war noch vor Ruti Marco, haben wir mal eine Maschine für uns selber designt.
Die haben wir wirklich produziert und die haben auch wirklich Karten ausgespuckt.
Kreditkarten, richtige, echte Kreditkarten mit Chip-Personalisierung und allem drum und dran.
Bilddruck drauf.
Da haben wir richtig, richtig gute Sachen gemacht.
Richtig, wie so ein, musst du dir auch vorstellen, wie so ein Geldausgabeautomat.
So hat das Ding funktioniert.
So, und das haben wir aber zu einer Zeit auf den Markt gebracht, wo viele Leute Interesse daran hatten, aber es kam nie so richtig zum Projekt.
Da haben wir gesagt, okay, das ist vielleicht nicht interessant genug, jetzt zu kommerzialisieren, weil das Kommerzialisieren von so einer Technologie, das kostet natürlich Geld, da ist viel Maschine dahinter, da ist viel Technologie dahinter, Service, Netzwerk und so weiter.
Und dann haben wir das erstmal geparkt, das Thema.
Aber wir haben erstens relativ viel gelernt dadurch, also auch was so Personalisierung angeht, in Echtzeit und so.
Aber jetzt heute zum Beispiel, es war echt lustig zu sehen, steht so eine Maschine für die Ausgabe von solchen Karten am Münchner Flughafen.
Und das ist dann manchmal einfach so, dass ich vielleicht auch nicht die richtige Zeit erwischt habe.
Also deswegen ist es immer so schwer zu sagen, was ist denn da wirklich ein Misserfolg bei solchen Projekten.
Es kann sein, dass es nicht ein Erfolg ist im Sinne von, ich schaffe direkten Firmenwachstum oder ich schaffe direkten Umsatzbeitrag.
Aber es kann sein, dass ich eine Grundlage lege, die mir in der Zukunft ein Riesenwachstum beschert.
Also deswegen bin ich da so vorsichtig zu sagen, was ist Erfolg und was ist Erfolg.
Wir können uns natürlich darauf einigen, dass so ein...
so ein Moonshot, so ein Ten-Time-Thema natürlich immer was mit Umsatz zu tun hat.
Das ist klar.
Umsatz und Wachstum sind die Kernaspekte.
Ja, absolut.
Und trotz allem ist es keine Garantie dafür, nur weil man jetzt ein bisschen Zeit in eine neue Technologie gesteckt hat oder in etwas, von dem man gedacht hat, es würde funktionieren.
Und man ist dem Markt voraus, dass man dann später wirklich davon noch profitieren kann.
Also mir ist dann, während du erzählt hast, ein völlig verrücktes Beispiel noch eingefallen, das Thema Second Life war vor 20 Jahren mal ein großer Hype.
Alle dachten, das ist the next big thing.
hat ungefähr ein paar Wochen gehalten.
Dann ist das Thema den Bach runtergegangen.
Ich glaube, ich weiß nicht, ob das Unternehmen überhaupt noch existiert, dass das Second Life gemacht hat, ob sie davon irgendwann profitieren werden, dass sie die Ersten an dem Markt waren, wo der Markt noch nicht so weit ist.
20 Jahre später übrigens warten wir immer noch auf sowas wie Second Life, das wirklich funktioniert.
Das wäre so ein Gegenbeispiel zu dem, was du gesagt hast.
Aber natürlich hast du prinzipiell recht.
Das kann sich natürlich auszahlen.
Es gibt aber auch keine Garantie, dass es sich dann irgendwann auszahlt.
Das ist natürlich...
auch der andere Teil der Wahrheit.
Absolut, aber man muss ja auch überlegen, das Gleiche hat man ja auch für sein ganz normales Produktportfolio.
Wenn ich das nicht in geeigneter Weise weiterentwickele und da Innovation betreibe, die richtigen Features unterstütze, dann wird das vielleicht irgendwann obsolet oder wird nicht mehr interessant genug für den Endkunden sein.
Also im Prinzip geht das in die gleiche Richtung.
Du musst schon die richtigen Entscheidungen treffen und musst halt immer wieder messen, funktioniert es oder funktioniert es nicht.
Und dann eben auch sich zu überlegen, wenn etwas nicht funktioniert, wie kann ich korrigieren?
Wie kann ich mich dann auch von einem Thema verabschieden, ohne dass ich groß Tränen vergieße und sage, das war aber so ein schönes Thema, da würde ich jetzt gerne noch ein bisschen weitermachen und vielleicht kriegen wir das doch noch hin.
Aber dann auch die Entscheidung zu treffen, ganz klar, wir machen das Thema nicht mehr.
Wir machen ein anderes Thema, weil es sieht nicht so aus, als würden wir es skalieren können, wie wir es brauchen, um das erfolgreich zu machen.
Was treibt dich denn an, so ganz persönlich, dich mit so komplexen Themen wie?
Security wie Kryptografie auseinanderzusetzen, unabhängig von deiner Rolle als CTO bei Ultimaco.
Also ich spüre zumindest, da ist ein tiefergehendes Verständnis dafür da.
Das nimmt man sich nicht nur so nebenbei mit, weil man jetzt gerade der CTO von einem Technologieunternehmen ist, das sich damit beschäftigt.
Das sind so Technologien, die halt überall eine Rolle spielen.
Das ist eigentlich das, was mich immer so ein bisschen getrieben hat.
Also welchen Impact haben die Lösungen, die wir kreieren für den Markt?
Und wenn man sie, wie ich ja vorhin gesagt habe, wegdenken würde, dann würden bestimmte Dinge nicht mehr funktionieren, die kritisch sind heute, die man braucht.
Und daher spielt Kryptografie halt überall eine Rolle.
Der Schutz von Daten, das ist eine der fundamentalen Sachen.
Und wenn ich mir jetzt überlege, ich hatte gerade nochmal einen ganz interessanten Vortrag auf der RSA gehört, es gibt ja auch verschiedene Aspekte, die da eine Rolle spielen.
Also ich habe Integrationsschutz, ich habe Vertraulichkeit und ich habe Verfügbarkeit.
Und eigentlich hängt das alles zusammen.
Meistens redet man nur über Vertraulichkeit und Verfügbarkeit.
Aber wenn die Integrität beispielsweise nicht sichergestellt ist der Daten, habe ich dann wirklich noch Verfügbarkeit oder habe ich dann wirklich noch den Aspekt der Vertraulichkeit?
Macht der dann überhaupt noch Sinn, wenn die Daten vielleicht in einer Weise gar nicht mehr in der Integrität geschützt waren?
Und wenn ich mir das angucke, wie ich sowas mache heute, dann spielt Kryptografie da überall eine Rolle.
Und das ist das, was mich an dem Thema begeistert.
Aber es ist nur ein Teil von Cybersicherheit.
Es gibt auch noch durchaus andere Themen.
Dieses ganze Thema.
Identitäten, Secrets Management, das wird nochmal ganz groß werden aus meiner Sicht, weil es einfach unglaublich viele Agenten geben wird.
Statistiken sagen so um und bei 80 mal so viele wie wir heute Identitäten haben für Maschinen und für Menschen.
Und wenn ich mir das angucke, dann muss ja jede dieser Identitäten eine Berechtigung haben.
muss vielleicht auch eine temporäre Berechtigung haben.
Und dieses ganze Management dahinter, das wird für mich im AI-Bereich aus meiner Sicht noch ein Riesenthema werden.
Wie mache ich das?
Wie schaffe ich das, die Agenten zu befähigen, zu berechtigen, aber auch zu kontrollieren, wenn sie Zugriffe machen, wenn sie Entscheidungen für mich treffen?
Das ist so ein bisschen das Thema, wo ich einfach sage, es macht einfach Spaß, sich damit zu beschäftigen und zu überlegen, was das für eine Auswirkung haben kann.
Ja und wenn wir ehrlich sind, wie viele CTOs verstehen denn wirklich die Technologien, über die sie sprechen?
Gerade wenn wir über die Themen AI und Security sehen?
Fragezeichen?
Ja, am Ende des Tages musst du ja nicht alles verstehen.
Also das, um einfach nochmal zu sagen, es ist wichtig, dass du die Basis verstehst, wie funktioniert die Technologie dahinter.
Ob du jetzt ein RSA irgendwie berechnen kannst oder programmieren kannst, das ist sicherlich nicht entscheidend für einen CTO.
Aber wichtig ist zu verstehen, was macht die Technologien unterschiedlich.
in einen Algorithmus vom anderen Algorithmus.
Was ist die Kundenpräferenz und warum?
Also Hash-basierte Algorithmen gelten heute als potenziell sicherer, als lattice-basierte Algorithmen, also weil es einfach schon länger diese Algorithmen gibt, weil sie schon länger erforscht werden.
Also solche Dinge zu verstehen ist wichtig, damit man den Kunden vernünftig betrachten kann.
Aber dafür muss man nicht jedes kleine Detail verstehen, wie diese Algorithmen funktionieren beispielsweise.
Und deswegen glaube ich auch, ein CTO hat ja normalerweise auch ein wirklich gutes Team um sich rum.
um dann eben solche Sachen auch mal im Detail zu diskutieren.
Aber wichtig für einen CTO ist, immer auf ein Level zu gehen, zu schauen, wie ist der Impact dieser Technologie in den nächsten ein Jahren, zwei Jahren, fünf Jahren und was kann ich da für die Firma draus bauen.
Und wenn du heute nochmal neu starten würdest als CTO, was würdest du konkret anders machen?
Das ist eine gute Frage.
Was würde ich konkret anders machen?
Also ich glaube...
den Fokus, wie ich die Kommunikation auch was Technologie angeht, aufsetzen würde.
Ich glaube, das wäre etwas, da hätte ich am Anfang meiner Karriere schon durchaus ein paar Dinge anders gemacht.
Einfach die Information, auch was Technologie ausmacht, noch anders aufbereitet.
Auch was so zum Beispiel Diskussionen mit dem Board und den Entscheidern angeht.
Da habe ich doch auch schon viel an der Art der Kommunikation geändert, weil es einfach wichtig ist, Technologie.
nicht nur als Technologie darzustellen und zu erklären, wie sie funktioniert, sondern vielmehr darin zu verankern, was wird man damit erreichen, was ist das Problem der Kunden, was kann ich damit lösen, was kann diese Technologie machen, wie kann diese Technologie wachsen.
Ich glaube, das ist der wichtige Punkt.
Und diese Art der Kommunikation zu schaffen, dass man eben über Technologie spricht, aber über das, was sie aus geschäftlicher Sicht eigentlich erreicht.
Das ist, glaube ich, eine Sache, die hätte ich schon früher einführen können.
Das ist etwas, das ich jetzt natürlich mache, aber wie gesagt, das ist etwas, was wichtig ist, damit Technologie auch Verständnis kreiert.
Sehr gut.
Und als letzte Frage für heute, bevor wir zu dem Rapid-Fire-Fragen-Teil kommen.
Du hast ja bestimmt auch ambitionierte Engineers in der Company.
Vielleicht ist sogar der eine oder andere mal zu dir gekommen und hat sich gefragt, was er auch CTO werden will.
Welchen Rat würdest du denen geben?
diejenigen, die CTO werden, wollen, aber noch nicht wissen, wie sie den nächsten Schritt machen oder den ersten Schritt machen?
Ich glaube, ein Rat bringt gar nicht unbedingt so viel.
Ich glaube, wenn jemand wirklich das Potenzial und Interesse daran hat, dann muss man ihn in eine Rolle bringen, wo er sich darauf wirklich hin entwickeln kann.
Das heißt, Sie oder Ihnen in eine Rolle versetzen, ein Team zu führen, ein bestimmtes Projekt mit Sichtbarkeit zu managen und dann eben auch die Möglichkeit zu haben, sich auszutauschen mit dem Executive Management.
Siehst du das als die Aufgabe, dass man ihn in die Rolle bringen muss, dass er das tut?
Weil ich habe, ich tatsächlich, wenn ich diese Frage gestellt bekomme, ich sage immer, schnapp dir Verantwortung.
Such dir irgendein Projekt, was irgendwo keiner anfassen will, irgendein Thema, wo, keine Ahnung, geh zu deinem Chef, der hat bestimmt tausend Sachen, die auf seinem Schreibtisch liegen, die er froh wäre, abgeben zu können, aber es kommt keiner.
frag nach genau den Dingen und nimm dir Verantwortung und mach einfach so.
Also das ist ja dann weniger deine Verantwortung als CTO dann zu gucken, wie kannst du den in eine Rolle bringen, sondern es ist dann so, es ist ja deine Verantwortung als ambitionierter Ingenieur, dir so viel Verantwortung zu ziehen und daran zu wachsen und zwar mehr als nur das, was du in deinem Job eigentlich machen solltest.
Ich glaube, also wovon ich ausgegangen bin, ist, dass die Person ja gerade auf mich zugekommen ist.
Also sich sozusagen gesagt hat, Mensch, ich hätte Lust dazu, ich würde mich gerne in die Richtung entwickeln und ich gehe natürlich auch von der Ausdauer, dass die Person Ideen hat, wie sie das tut.
Also deswegen nur so ein bisschen die Türen zu öffnen und zu sagen, hört mal auf, natürlich liegt es an der Person selber, da hast du vollkommen recht.
Also da jetzt einfach nur, sagen wir mal, den roten Teppich auszurollen, das ist nicht die Lösung des Themas.
Aber wenn jemand auf mich zukommt und sagt, folgendes stelle ich mir vor, ich würde mich da gerne hin entwickeln, was wäre denn so dein Ratschlag?
Dann würde ich sagen, Mensch, der Ratschlag ist doch eher, zeig, wie du das kannst.
Versuch dir die Erfahrung auch zu holen.
Und die Erfahrung sammelst du vor allem natürlich in der C-Level-Kommunikation.
Wie stelle ich Themen dar?
Und um das erstmal zu erreichen, also die Sichtbarkeit zu finden, da kann man natürlich Türen öffnen und kann man auch sagen, Mensch, da gibt es jemanden, der hat ein gutes Thema, der das so aufbereitet.
Jetzt kann die Person das auch selber vorstellen.
Er kriegt da einfach mehr Sichtbarkeit und mehr Feedback auch direkt.
Das heißt ja nicht, dass die Person dann auch morgen CTO wird, aber einfach um so ein bisschen die Möglichkeit zu bieten, da auch Sichtbarkeit zu bekommen und sich auch selber an Sachen auszuprobieren.
Sehr gut.
Wie es so schön Tradition ist, schon seit geraumer Zeit hier im Podcast, beenden wir das immer mit einer Runde von Rapid-Fire-Fragen, kurze, knackige Fragen und hoffentlich genauso knackige Antworten.
Hast du Lust, hast du noch ein paar Minuten, bevor wir uns verabschieden?
Sehr schön.
Dann, was ist denn die größte oder biggest misconception über Security?
Ich glaube, das ist die Annahme, dass man selber sich vor allen Einbruchsversuchen schützen kann.
Ich glaube, man muss sich vorbereiten, darauf auch einen Einbruch zu haben oder ein Incident zu haben.
Und dann ist der Plan, wie man da wieder rauskommt, mindestens so wichtig, wie der Schutz dagegen.
Also eigentlich dann, es gibt keine hundertprozentige Sicherheit.
Genau.
Okay.
Dann Build versus Buy versus Partner.
Was ist so deine Default-Entscheidung oder gibt es da keine?
Wenn strategisch.
Bild.
Wenn nicht strategisches Thema, dann ist Partnering und bei.
Sehr gut.
Ich sehe übrigens gerade eine ganze Menge Startups, die anfangen, die nochmal sehr viel mehr selber bauen, als sie das vielleicht noch vor fünf, sechs Jahren gemacht haben.
Die jetzt auch anfangen, ihr eigenes CRM zu bauen und so, anstatt auf die Großen zurückzugreifen, weil es so verdammt einfach ist, mit den heutigen Tools genau das zu tun.
Das aber nur nebenbei.
AI, Chance oder Risiko?
Eine Chance.
Sehr gut.
Also einfach vielleicht, um das nur zu erweitern, AI ist einfach da.
Also AI können wir nicht mehr wegdenken.
Deswegen begreife ich das absolut als Chance.
Also mit allen Risiken, die da vielleicht mit einhergehen.
Aber in erster Linie ist erstmal eine Chance für uns, AI wirklich nützlich zu machen.
Sehr gut.
Und eine Sache, die CTOs aufhören sollten zu tun?
Nicht mehr der bottleneck zu sein.
Sind sie das in deiner Erfahrung nach meistens?
Einmal so sind sie es.
Und eine Sache, die CTOs unbedingt tun sollten oder erstarten sollten zu tun?
Möglichst viel über Teamgrenzen auch hinweg, die Leute zusammenzubringen und zu schauen, dass man darüber eine Lösung kreiert und ein Augenmerk drauflegen, Time to Market.
Time to Market wird aus meiner Sicht mit der ganzen AR-Entwicklung eine der wichtigsten Herausforderungen für den CTO.
Nils, vielen lieben Dank.
War mir ein Fest, heute mit dir zusammenzusitzen und hier über sehr wichtige Themen zu sprechen.
Themen, die definitiv nicht zu meiner Kernexpertise gehören.
Aber deswegen habe ich dich ja auch mit hier reingebracht und du hast uns, glaube ich, sehr gut Antworten gegeben auf die nicht immer ganz so guten Fragen.
Von daher vielen lieben Dank schon mal dafür.
Und genau, vielleicht werden wir sehr viel schneller eingeholt mit dem Thema Quantum Cryptography.
Ich stolper heute noch hundertmal über das Wort.
Und dann laden wir dich wieder ein und dann kannst du uns helfen, das nochmal besser zu einzuordnen und zu verstehen.
Nils, vielen lieben Dank.
Vielen Dank dir, Philipp.
Wir werden das Thema auf jeden Fall noch erleben, also du kannst die Folge schon mal planen in ein paar Jahren.
Das machen wir.
Sehr schön.
Mach's gut.
Ciao, ciao.
Danke dir.
Tschüss.