Im Gespräch mit Manu Carus, Authorized OffSec Instructor und CEO der ManufakturIT GmbH

Cyberangriffe werden professioneller, gesetzliche Anforderungen anspruchsvoller und die Verantwortung der Unternehmensleitung wächst rasant. Doch viele Unternehmen behandeln Cybersecurity noch immer als reine IT-Aufgabe. Warum das ein gefährlicher Irrtum ist und weshalb Weiterbildung heute zu den wichtigsten Bausteinen der Unternehmensresilienz gehört, darüber sprechen wir in unserem kommenden Interview mit Manu Carus, Geschäftsführer der Manufaktur IT GmbH.

Als einer der erfahrensten Cybersecurity-Trainer und Berater im deutschsprachigen Raum begleitet Manu Carus seit vielen Jahren Unternehmen, Behörden und Betreiber kritischer Infrastrukturen bei der nachhaltigen Stärkung ihrer Informationssicherheit. Im Interview erläutert er, welche Auswirkungen neue Regulierungen wie NIS2, DORA oder TISAX auf Geschäftsführer und Entscheider haben, weshalb klassische Security-Awareness-Schulungen längst nicht mehr ausreichen und warum Unternehmen künftig auf sogenannte Security Champions setzen sollten – gerade in Zeiten des Fachkräftemangels.

Freuen Sie sich auf spannende Einblicke aus der Praxis, überraschende Denkanstöße und konkrete Empfehlungen, wie Unternehmen ihre Cybersecurity-Strategie zukunftssicher aufstellen können. Denn eines wird deutlich: Nachhaltige Informationssicherheit entsteht nicht allein durch moderne Technologien, sondern vor allem durch Menschen, die Sicherheit verstehen, Verantwortung übernehmen und ihr Wissen kontinuierlich weiterentwickeln.

Ein Interview, das Führungskräfte, IT-Verantwortliche und alle Entscheider, die ihr Unternehmen sicher durch die digitale Zukunft führen möchten, nicht verpassen sollten.

Silicon Valley Europe: Herr Carus, Sie sagen: „Cybersecurity ist kein IT-Problem, sondern eine Managementaufgabe.“ Warum wird dieses Thema Ihrer Meinung nach noch immer zu häufig ausschließlich in der IT-Abteilung verortet?

Manu Carus: Früher wurde Informationssicherheit vor allem als technisches Thema betrachtet: Firewalls, Virenscanner, Server und Netzwerke. Und daher in die IT verortet. Heute wissen wir, dass die größten Risiken organisatorischer Natur sind. Fehlentscheidungen, mangelnde Prozesse und fehlendes Sicherheitsbewusstsein machen selbst die modernste Technik wirkungslos.

Spätestens mit Regulierungen wie NIS2 wird deutlich: Die Verantwortung liegt bei der Geschäftsleitung. Cybersecurity entscheidet heute über Lieferfähigkeit, Reputation, Unternehmenswert und im schlimmsten Fall über das Fortbestehen eines Unternehmens. Deshalb gehört sie in die Vorstandssitzung – und nicht in den Serverraum.

Silicon Valley Europe: Mit Regulierungen wie NIS2, DORA, TISAX oder KRITIS steigen die Anforderungen an Unternehmen erheblich. Welche Verantwortung tragen Geschäftsführer und Vorstände heute konkret, und worauf sollten sie besonders achten?

Manu Carus: Die Zeiten, in denen man Cybersecurity an die IT delegieren konnte, sind vorbei. Geschäftsleitungen müssen Risiken verstehen, Prioritäten setzen und sicherstellen, dass angemessene Schutzmaßnahmen umgesetzt werden.

Dabei geht es nicht darum, dass Geschäftsführer in die Details abtauchen. Ihre Aufgabe besteht darin, Verantwortung zu übernehmen, eine Sicherheitskultur vorzuleben und ausreichende Ressourcen bereitzustellen.

Wer Cybersecurity dabei als Kostenfaktor betrachtet, unterschätzt ihren Wert. Informationssicherheit ist heute ein wesentlicher Bestandteil professioneller Unternehmensführung und macht am Ende den Unterschied, ob Kunden dem Unternehmen vertrauen oder ihr Heil woanders suchen.

Silicon Valley Europe: Viele Unternehmen investieren bereits in Security-Awareness-Schulungen. Sie vertreten jedoch die Auffassung, dass dies allein nicht ausreicht. Wo liegen die Grenzen klassischer Awareness-Programme?

Manu Carus: Awareness ist wichtig, aber nur der Einstieg.

Viele Awareness-Programme konzentrieren sich darauf, Phishing-Mails zu erkennen oder sichere Passwörter zu verwenden. Das reduziert einzelne Risiken, schafft aber keine Sicherheitskompetenz.

Unternehmen benötigen Mitarbeiter, die Risiken verstehen, technische Zusammenhänge einordnen und Sicherheitsaspekte in ihre täglichen Entscheidungen integrieren können. Genau hier beginnt nachhaltige Cybersecurity.

Unser Unternehmen steht dafür ein, Geschäftsführer und Führungskräfte zu schulen und auf die aktuellen Herausforderungen vorzubereiten, sowie aus IT-Kolleginnen und -Kollegen die Security-Experten der Zukunft zu machen. 

Security ist nicht die Angelegenheit eines Sicherheitsbeauftragten, oder der IT. Security betrifft ausnahmslos alle Mitarbeiterinnen und Mitarbeiter. Daher braucht es Trainingsmaßnahmen auf allen Ebenen im Unternehmen, um aus Awareness Kompetenz werden zu lassen. Mit NIS2 beginnt diese Aufgabe am Kopf des Unternehmens.

Silicon Valley Europe: Sie sprechen von sogenannten Security Champions. Was verbirgt sich hinter diesem Konzept, und welchen Mehrwert bieten Security Champions für Unternehmen – insbesondere vor dem Hintergrund des zunehmenden Fachkräftemangels?

Manu Carus: Security Champions sind Mitarbeiter aus unterschiedlichen Fachbereichen, die zusätzlich fundierte Sicherheitskenntnisse erwerben und als Multiplikatoren innerhalb ihrer Teams wirken. Ich meine Vertrieb, Marketing, Controlling, Personal, also eben nicht nur die IT.

Solche Fachkräfte ersetzen dann zwar immer noch keine IT-Sicherheitsabteilung. Sie bilden aber die Brücke zwischen Fachbereich und Security-Team.

Gerade angesichts des Fachkräftemangels ist dieses Modell enorm wertvoll. Unternehmen schaffen internes Know-how, verkürzen Kommunikationswege und integrieren Sicherheit direkt in Projekte und Geschäftsprozesse. Dort, wo sie entstehen und gelebt werden; nicht abseits in einer anderen Kompetenznische.

Ich bin überzeugt, dass nahezu jedes größere Unternehmen künftig ein Netzwerk aus Security Champions aufbauen wird.

Silicon Valley Europe: Cybersecurity entwickelt sich ständig weiter. Welche Bedeutung hat kontinuierliche Weiterbildung im Vergleich zu einmaligen Schulungen, und wie lässt sich eine nachhaltige Lernkultur im Unternehmen etablieren?

Manu Carus: Cybersecurity verändert sich täglich. Neue Angriffsmethoden, neue Technologien und neue gesetzliche Anforderungen lässt Wissen schnell veralten. Halten Sie sich alleine die Disruptionen rund um Künstliche Intelligenz vor Augen!

Deshalb kann Weiterbildung niemals ein einmaliges Projekt sein. Eine Woche "Kurs und fertig" funktioniert nicht. Security Champion wird und bleibt man nur mit fortlaufenden Einsätzen.

Erfolgreiche Unternehmen etablieren eine Lernkultur. Sie investieren kontinuierlich in die Entwicklung ihrer Mitarbeiter und betrachten Weiterbildung als strategischen Prozess – ähnlich wie Qualitätsmanagement oder Innovationsmanagement.

Das erhöht nicht nur die Sicherheit, sondern macht Unternehmen insgesamt anpassungsfähiger und resilienter.

Aus diesem Grund haben wir unser Coaching-Modell entwickelt, mit dem wir Unternehmen über einen langen Zeitraum bei dem Aufbau ihrer Security-Fähigkeiten begleiten. 

Silicon Valley Europe: Die Manufaktur IT GmbH setzt bewusst auf kleine Lerngruppen, intensive Betreuung und praxisnahe Trainings. Was unterscheidet Ihr Ausbildungsansatz von klassischen Schulungsanbietern?

Manu Carus: Wir verstehen uns nicht als kurzfristiger Seminaranbieter, sondern als langfristiger Lernpartner.

Unsere Teilnehmer sollen nicht nur eine Prüfung bestehen, sondern das Gelernte dauerhaft in ihrem beruflichen Alltag anwenden können.

Deshalb arbeiten wir mit kleinen Gruppen, viel Praxis, intensiver persönlicher Betreuung und langfristigem Coaching.

Wir begleiten unsere Teilnehmer häufig über mehrere Monate und stehen ihnen auch zwischen den Trainingstagen als Ansprechpartner zur Verfügung.

Gerade bei anspruchsvollen Zertifizierungen wie CISSP oder OSCP macht diese kontinuierliche Begleitung einen entscheidenden Unterschied.

Im Ergebnis lernen unsere Teilnehmer, Cybersecurity im Alltag zu leben: Risiken zu managen, die richtigen Maßnahmen zu ergreifen und nachhaltige Lösungen umzusetzen. Abteilungsübergreifend. 

Es geht uns weniger um den einmaligen Zertifikatsabschluss, der sicherlich wertvoll für die berufliche Weiterentwicklung ist. Für uns steht im Vordergrund: die Verinnerlichung von Sicherheitsbewusstsein, die alltägliche Anwendung von Prozessen, Standards, Technologien und Best Practices, sowie die unternehmensweite Umsetzung von Business-Resilienz.

Dies funktioniert in einem sich ständig weiter entwickelnden Umfeld nur über weitreichende und regelmäßig stattfindende Weiterbildungsmaßnahmen.

Silicon Valley Europe: Sie sind offizieller Trainer für ISC2 und OffSec und verbinden Managementthemen mit tiefgehender technischer Expertise. Wie wichtig ist es, dass strategische Entscheider und technische Spezialisten ein gemeinsames Verständnis von Cybersecurity entwickeln?

Manu Carus: Extrem wichtig. Viele Missverständnisse entstehen doch erst dadurch, dass Management und Technik unterschiedliche Sprachen sprechen.

Die Geschäftsführung denkt in Risiken, Investitionen und Unternehmenszielen.

Technische Spezialisten denken in Schwachstellen, Protokollen und Angriffsszenarien.

Beide Perspektiven sind richtig – aber sie müssen zusammengeführt werden.

Nur wenn beide Seiten ein gemeinsames Verständnis entwickeln, entstehen tragfähige Sicherheitsstrategien.

Ich arbeite als Sicherheitsberater für Geschäftsführer und für das obere Management. Gleichzeitig teste ich IT-Systeme auf Schwachstellen und setze mich mit Entwicklern und Admins auseinander. Ein solches Bindeglied muss in jedem  Unternehmen zwischen Experten und Führung geschaffen werden, um Angriffe erfolgreich erkennen und abwehren zu können. Unser Weiterbildungsmodell ist genau auf dieses Enablement der Mitarbeiterinnen und Mitarbeiter ausgerichtet.

Silicon Valley Europe: Welche typischen Fehler beobachten Sie in Unternehmen immer wieder, wenn es um den Aufbau einer nachhaltigen Sicherheitsstrategie geht?

Manu Carus: Der häufigste Fehler besteht darin, Cybersecurity als Projekt zu betrachten.

Sicherheit ist kein Zustand, den man irgendwann erreicht.

Sie ist ein kontinuierlicher Verbesserungsprozess.

Weitere typische Fehler sind:

• zu starker Fokus auf Technologie,

• fehlende Unterstützung durch die Geschäftsleitung,

• mangelnde Qualifizierung der Mitarbeiter,

• fehlende Übungen für Sicherheitsvorfälle,

• sowie eine Sicherheitsstrategie, die nicht mit den Unternehmenszielen verknüpft ist.

Silicon Valley Europe: Wenn Sie einem Geschäftsführer heute nur drei konkrete Empfehlungen mit auf den Weg geben dürften, um die Cyberresilienz seines Unternehmens zu stärken – welche wären das?

Manu Carus: Erstens: Machen Sie Cybersecurity zur Chefsache.

Zweitens: Investieren Sie konsequent in die Qualifizierung Ihrer Mitarbeiter. Technologie kann gekauft werden – Kompetenz muss entwickelt werden.

Drittens: Denken Sie in Resilienz statt in Perfektion. Angriffe lassen sich nie vollständig verhindern. Entscheidend ist, wie schnell und professionell ein Unternehmen darauf reagieren kann.

Silicon Valley Europe: Werfen wir zum Abschluss einen Blick in die Zukunft: Welche Entwicklungen werden die Cybersecurity-Landschaft in den kommenden drei bis fünf Jahren besonders prägen, und worauf sollten sich Unternehmen schon heute vorbereiten?

Manu Carus: Künstliche Intelligenz wird Angriffe und Verteidigung gleichermaßen verändern.

Gleichzeitig werden regulatorische Anforderungen weiter steigen. Unternehmen werden ihre Sicherheitsmaßnahmen deutlich stärker nachweisen müssen als heute.

Außerdem wird der Fachkräftemangel bestehen bleiben. Deshalb werden Unternehmen verstärkt auf interne Kompetenzentwicklung, Security Champions und kontinuierliche Weiterbildung setzen.

Ich glaube, dass sich erfolgreiche Unternehmen künftig nicht dadurch unterscheiden, welche Technologie sie einsetzen, sondern wie gut ihre Menschen vorbereitet sind.

Denn am Ende entscheidet nicht die Software über Sicherheit – sondern der Mensch, der sie verantwortungsvoll einsetzt.

In diesem Sinne steht unser Unternehmen als Vordenker für Security Champions, Management Enablement und nachhaltige Cybersecurity-Kompetenz. 

Silicon Valley Europe: Herr Carus, vielen Dank für das interessante Gespräch.