Nico Waisman bringt eine ungewöhnliche Karriere-Erzählung mit: Er sagt, dass er nicht bewusst „in die Cybersecurity“ hineingewählt wurde – vielmehr habe ihn das Feld selbst gefunden. Heute steht er als CISO bei XBOW an der Schnittstelle von Offensive Security und künstlicher Intelligenz. Dabei verbindet er persönliches Hacker-Handwerk mit Führungs- und Sicherheitsaufgaben, die weit über das klassische Pen-Testing hinausgehen.
Sein Weg wirkt wie ein roter Faden aus Neugier, Experimentierfreude und dem Wunsch, Systeme wirklich zu verstehen: nicht nur zu nutzen, sondern zu durchdringen. Und genau daraus entsteht die zentrale Frage, die seine Perspektive prägt: Wie verändert AI-gestützte Offensive Security den Angriffsalltag – und was bedeutet das für Verteidiger?
Vom jungen Hacker zum Selbstlernenden
Waisman ist in Argentinien geboren und lebt dort bis heute. In den 1980er- und frühen 1990er-Jahren gab es für ihn weder formale Angebote, die man heute selbstverständlich „Cybersecurity-Ausbildung“ nennen würde, noch reichhaltige Dokumentationen oder Schulmaterialien. Gerade das machte das Lernen für ihn so spannend.
Er berichtet, dass es kaum verlässliche Unterlagen gab. Stattdessen blieb nur der Weg über Experimentieren und Reverse Engineering: Tagelang an einem Problem arbeiten, verstehen, wie etwas funktioniert, und dann herausfinden, wie man es aushebeln kann. Nicht der schnelle Gewinn oder das Verursachen von Schaden habe ihn angetrieben, sondern der Reiz der Herausforderung.
Erste professionelle Schritte bei Immunity
Auch wenn Waisman keinen klassischen Werdegang über Computer- oder Cybersecurity-Studien beschreibt, gelang ihm der Einstieg ins Berufsleben. Schließlich fand er einen Job im Security-Bereich: Im Jahr 2003 wechselte er zu Immunity als Senior Security Researcher.
Die lange Praxisphase, die er sich zuvor selbst aufgebaut hatte, machte den Unterschied: Er konnte nicht nur Wissen erklären, sondern es auch praktisch demonstrieren. Seine berufliche Entwicklung verlief zudem stark in Richtung Offensive Security. Über die Jahre arbeitete er mit öffentlichen und privaten Kunden zusammen und half dabei, Schwachstellen aufzuspüren und auszunutzen – zunächst vor allem im Umfeld Linux, später auch auf Windows.
Aufstieg in Führung: Produkte, Teams und Konferenzen
Ein Teil seiner Arbeit bei Immunity bestand darin, ein Produkt zu unterstützen, das Penetrationstests erleichtert. In der Erzählung wird deutlich, dass er dabei nicht nur technisches Know-how einsetzte, sondern auch Kommunikations- und Führungsfähigkeiten weiter ausbaute.
Waisman beschreibt, dass er anfangs eher introvertiert gewesen sei, Computer aber für ihn wie einen sicheren Rückzugsraum wirkten. Während seiner Lernphase traf er online viele Gleichgesinnte – und später musste er in Projekten zwangsläufig mit anderen zusammenarbeiten. Dabei entwickelte sich eine entscheidende Dynamik: Sobald Teams aufgebaut werden, übernimmt der Teamaufbauende meist automatisch auch die Rolle des Teamleiters.
Im Laufe der Zeit führte das zu Managementaufgaben: Er leitete sowohl Produktentwicklung als auch Services. In seiner Verantwortung standen zeitweise mehrere Dutzend Pen Tester. Die Kunden kamen dabei bis in den Bereich Fortune 500, darunter mit Fokus auf Anwendungssicherheitstests und Penetrationstests.
GitHub Security Lab: Offensive Fähigkeiten für Open-Source-Risiken
Nach rund 17 Jahren bei Immunity wechselte Waisman im Juni 2019 zu Semmle als Director of Research für Lateinamerika. Kurz darauf wurde Semmle von GitHub übernommen. Bis Ende 2019 wurde Waisman Senior Director im GitHub Security Lab.
Dieser Abschnitt bringt eine klare thematische Erweiterung: Von „nur“ Offensive Security hin zu einer stärkeren Konzentration auf Open-Source-Software. GitHub habe den Sicherheitsfokus dabei zunehmend auch auf die Software-Lieferkette gelegt – mit Risiken für CI/CD-Pipelines.
Waisman half dabei, die Semmle-Technologie CodeQL bei GitHub zu übernehmen und einzubinden. Das Security Lab beschrieb er als Organisation mit dem Ziel, Open Source besser zu schützen – nicht nur auf Entwicklerseite, sondern auch mit Blick auf die Abhängigkeiten, die große Unternehmen und Ökosysteme miteinander verbinden.
Ein weiterer Punkt ist die Kooperation: Anstatt allein nebeneinander zu arbeiten, wurde an einer Allianz gedacht, um Open-Source-Sicherheit gemeinsam voranzutreiben. Das Ergebnis wanderte später in die Linux Foundation und wurde dort als Open Source Security Foundation formal verankert.
Von GitHub zu Lyft: Sicherheitsprogramme im Tempo der Entwickler
Mit der Zeit fehlte Waisman noch ein großer Schritt: der Sprung in den C-Level-Bereich. Er erhielt schließlich eine Gelegenheit, ein Security-Team bei Lyft aufzubauen, mit einer klaren Perspektive: mehr defensiv zu arbeiten, nachdem er viele Jahre fast alles in der offensiven Ecke gemacht hatte.
Im Jahr 2020 wurde er Head of Security and Privacy und innerhalb von zwei Jahren CISO bei Lyft. Die Herausforderung beschreibt er sehr konkret: Lyft betreibt eine Infrastruktur, die jeden Tag Tausende Fahrten ermöglicht. Daraus entsteht ein Spannungsfeld, das für defensive Security besonders schwierig ist: Wie kann man ein Sicherheitsprogramm aufbauen, das mit der Geschwindigkeit der Engineering-Teams Schritt hält, ohne die Arbeit zu bremsen?
Waismans erste Lektion war dabei die Verbindung von Defense und Enablement. Er nutzt dafür eine Analogie aus dem Fußball: Eine gute Defensive soll das Spiel ermöglichen, nicht jede Chance „wegschießen“. Sicherheitsmaßnahmen sollen Teams befähigen, statt nur zu blockieren.
XBOW und AI-gestützte Offensive Security
Nach mehreren Jahren bei Lyft entstand eine neue Idee. Oege de Moor – Gründer von Semmle und später an der Entwicklung von Microsoft Copilot beteiligt – kam mit einem Konzept auf Waisman zu. Die Grundlage war naheliegend: Waisman bringt Expertise aus der Offensive Security mit, de Moor bringt Erfahrung aus dem Open-Source- und AI-Umfeld.
So entstand XBOW. Waisman beschreibt das Unternehmen als Anbieter eines AI-autonomen Produkts, das Penetrationstests durchführen kann: Es soll menschliche Vorgehensweisen nachahmen und das Ganze zugleich im großen Maßstab abbilden.
In diesem Kontext wird auch deutlich, warum AI-gestützte Offensive Security für ihn mehr ist als ein Schlagwort. Er sieht einen realen Wandel: Wenn Angriffsmethoden zunehmend durch AI unterstützt oder automatisiert werden, verschiebt sich der Kosten- und Zeitrahmen – und damit auch die Wahrscheinlichkeit, dass Angriffe „im großen Stil“ möglich werden.
Leadership-Ansatz: Druck filtern und mit Fragen statt Antworten führen
Waisman betont, dass Führung nicht einfach „angeboren“ sei. Er beschreibt vielmehr, dass das Management oft aus der Entwicklung herauskommt: Alter, Aufgaben und Verantwortung drücken einen langsam in Positionen, in denen man Teams strukturiert führen muss.
Als CISO sieht er außerdem eine zweite, weniger technische Dimension: Burnout. Er ordnet das Thema nicht als abstraktes Risiko ein, sondern als Belastung, die auch Security Teams betrifft. Im Zentrum steht dabei ein Dilemma: CISOs tragen Verantwortung für Handlungen anderer – und müssen dabei Security mit Enablement ausbalancieren. Gleichzeitig sind Ressourcen häufig knapp, und jedes Scheitern wird personal sichtbar.
Darum formuliert er einen Führungsauftrag, der über Prozesse hinausgeht: CISOs sollen Druck aufnehmen und als „Filter“ wirken, damit er nicht unverändert auf einzelne Teammitglieder durchschlägt. Zusätzlich legt er Wert auf Empathie und greift ein, wenn Menschen erkennen lassen, dass sie nicht im Gleichgewicht sind.
Auch im Umgang mit Mentoring gibt es für ihn klare Grundprinzipien. Er sagt, er wolle weniger konkrete Anweisungen geben, sondern Menschen so begleiten, dass sie ihre eigenen Antworten finden. Sein Ansatz ist dabei „sokratisch“: Lernen durch Fragen, nicht nur durch fertige Lösungen. Als Vorbild nennt er Dave Aitel, der einmal betont habe, in Security zwischen relevanten Dingen und „Theater“ zu unterscheiden.
Warum Verteidiger bei AI hinterherhinken könnten
Waisman benennt die größte Sorge für ihn persönlich: AI im Angriffsbereich. Er argumentiert, dass Angreifer ebenso wie Verteidiger über Budgets verfügen. Der Unterschied liege aktuell vor allem in der Kostenstruktur: Solange AI zu teuer ist, um bereits jetzt alles im großen Maßstab zu tun, bleibt die Bedrohungssituation begrenzt.
Sein Ausblick ist jedoch klar: Die Kosten werden sinken. Dann sei zu erwarten, dass es für Angreifer wirtschaftlich attraktiver wird, große IP-Bereiche ins Visier zu nehmen – unter Nutzung von autonom anpassbarer Malware in großem Stil. Für Verteidiger bedeute das, dass man sich darauf vorbereiten muss.
Gleichzeitig sieht er auch eine Lernkurve auf beiden Seiten: Attack-Teams übernehmen neue Technologien oft schneller als Defense-Teams. Irgendwann werde es ein Gleichgewicht geben – aber bis dahin erwartet er eine Phase spürbarer Unordnung, also „Chaos“.
Fazit: Von Selbstlernen zu AI-gestützter Offensive Security
Nico Waisman verbindet in seiner Laufbahn drei Perspektiven: das praktische „Handwerk“ des Hackings, die Entwicklung hin zu Führung und defensiver Security sowie die heutige Fokussierung auf AI-gestützte Offensive Security. Besonders prägend sind dabei seine frühen Erfahrungen: Ohne Anleitung lernen, dokumentieren, rückbauen, verstehen und dann testen, ob sich ein System tatsächlich kontrollieren lässt.
Wenn AI nun stärker in Angriffe eingreift, wird daraus nicht nur eine technische Frage, sondern eine organisatorische: Sicherheitsprogramme müssen schneller werden, Teams brauchen Schutz vor Überlastung, und Leadership muss Enablement ermöglichen. Genau an dieser Schnittstelle sieht Waisman den nächsten Schritt – bei XBOW und weit darüber hinaus.
