Chris Wheeler verantwortet als CISO bei Resilience die Informationssicherheit – und bringt dafür eine ungewöhnlich breite Mischung aus Technik, Führung und Unternehmensverständnis mit. Sein Karriereweg beginnt nicht im klassischen Security-Umfeld, sondern in der US Navy: erst als Teilnehmer an anspruchsvollen Cyber-Übungen, später als Menschenführer. Später wechselt er in die Wirtschaft, wo er das militärische Führungsdenken an die Realität komplexer Unternehmen anpasst. In seinem Ansatz spielt Vertrauen als Job die zentrale Rolle: Ohne Vertrauen lässt sich Security kaum strategisch wirksam einbinden.
In diesem Beitrag ordnen wir seine wichtigsten Stationen und Prinzipien ein – von den Lehren der Marine über die Bedeutung von Risikowissen bis hin zu sicheren Enablement-Ansätzen rund um moderne KI.
Von Technik-Neugier zu systematischer Sicherheit
Schon privat hatte Wheeler ein Umfeld, das Neugier auf Technologie begünstigte. Sein Vater arbeitete als IT-Administrator an einer Universität – und Wheeler erinnert sich daran, wie er selbst das gleiche Interesse an unterschiedlichen Systemen mit in die Wiege bekam. Diese frühe Haltung erklärt, warum ihn Cybersecurity von Anfang an nicht nur als Aufgabe, sondern als fortlaufendes Lernen begleitet.
Professionell wurde daraus ein Security-Weg mit mehreren Stationen in Forschung, Analyse und Threat Analytics. Genau diese Kombination aus Denken in Zusammenhängen und datenbasiertem Sicherheitsverständnis prägt auch seine späteren Führungsentscheidungen.
Marine als Führungsschule: „Up or out“
Wheeler trat 2010 in die US Navy ein und blieb sechs Jahre. Die Zeit dort beschreibt er als prägenden Block seiner Entwicklung: Neben dem akademischen Charakter der Naval Academy gehörten vor allem operative Einsätze und Cyber-Trainings dazu. In der damaligen Sprache der Navy wurde dies als „information warfare“ bezeichnet.
Besonders hängen geblieben ist ihm eine Übung: Die Marine musste eine Woche lang verhindern, dass ein NSA-Red-Team in ihre Netzwerke eindringt. Bewertet wurde die Leistung über mehrere Dimensionen, darunter Netzwerkverfügbarkeit, die Fähigkeit, Angriffe zu erkennen, sowie Ergebnisse aus digitaler Forensik.
Doch nicht nur die Technik zog ihn an. In der Navy lernte er auch, wie Führung funktioniert. Ein Grundsatz, den er explizit nennt, lautet sinngemäß: „Es geht vorwärts – oder man geht“ („it’s up or out“). Entscheidend ist dabei weniger der Spruch als die Konsequenz: Wer vorangehen will, führt Teams – und zwar früh. Wheeler berichtet, dass er fast direkt nach dem Studium eine Division mit rund fünfzehn Seeleuten leitete.
Der Sprung in die Wirtschaft: Security als Business-Funktion
Das Business unterscheidet sich klar von der militärischen Logik. Wheeler musste deshalb weniger „lernen, wie man Security macht“, sondern vielmehr, wie man Security in einen Unternehmenskontext übersetzt. Drei Veränderungen wurden dabei besonders deutlich:
- Technologie entwickelt sich mit hoher Geschwindigkeit.
- Netzwerke werden stetig komplexer.
- Security-Führung braucht zusätzlich Analysefähigkeit für Geschäftsfragen.
Ein zentrales Umdenken war dabei organisatorisch. Er stellt klar, dass niemand gleichzeitig in jeder Tiefe IT, Cybersecurity und Geschäftsprozesse vollständig beherrschen kann. Führung bedeutet daher nicht, alles selbst zu tun, sondern zu verstehen, wo man sinnvoll delegiert und wie man Spezialisten befähigt.
Für Wheeler muss eine moderne Security-Führungskraft ein Team aufbauen können: entscheiden, wann man selbst eingreift, und wann man Wissen gezielt weitergibt.
Vertrauen als Job: die wichtigste Persönlichkeitseigenschaft
Wheeler ist überzeugt, dass Vertrauen als Job in der Rolle eines CISO die entscheidende Charaktereigenschaft ist. Dabei meint er Vertrauen nicht als „Nettes Extra“, sondern als Voraussetzung für Wirksamkeit: Security-Ratschläge sind für Geschäftsführung und Fachbereiche nur akzeptabel, wenn der CISO glaubwürdig handelt und das Unternehmen ihm die nötigen Entscheidungen zutraut.
Vertrauen funktioniert dabei beidseitig. Der CISO muss Vertrauen in die Security-Teams haben – und umgekehrt müssen Teams glauben können, dass ihre Führung sie unterstützt, wenn es darauf ankommt.
Gerade weil ein CISO nicht alles wissen kann, braucht es vor allem zwei Dinge: die richtigen Fragen und die richtigen Menschen, an die man sich wendet. Oft ist das – statistisch gesehen – innerhalb des Security-Teams wahrscheinlicher als „irgendwo im Unternehmen“.
Was sich beim Hiring verändert: von Skills zu Zukunftsfähigkeit
Wheeler betont, dass sich der Recruiting-Ansatz verschiebt. Technisches Expertenwissen bleibt wichtig, aber es ist nicht mehr das alleinige Kriterium. Der Grund: Mit generativer KI verändert sich, wie schnell und wie breit Automatisierung genutzt werden kann. Das senkt Hürden und erweitert Möglichkeiten.
Er beschreibt den Effekt bildlich: So wie man zum Programmieren nicht zwingend ein traditionell ausgebildeter Programmierer sein muss, braucht man für Security Operations nicht unbedingt ein formell „qualifizierter Security Engineer“ zu sein.
Stattdessen sucht er nach Menschen, die zukunftsorientiert sind und KI in ihre Arbeitsabläufe sinnvoll integrieren können. Dadurch rückt im Recruiting stärker der Team- und Lernansatz in den Mittelpunkt. In diesem Rahmen gewinnen auch soziale Fähigkeiten und emotionale Intelligenz an Gewicht, weil kohäsive Teams auf gegenseitigem Vertrauen basieren.
Signposts auf dem Weg: Mentoren, Philosophie und Praxis
Wie jede Reise profitieren auch Karrierewege von Wegweisern. Für Wheeler sind das Mentoren und der Rat, den man aus unterschiedlichen Erfahrungen destilliert. Er trennt dabei besonders wertvolle Empfehlungen in zwei Kategorien: philosophische und praktische Ratschläge.
Philosophisch: Mathematik des Berufs verstehen
Der zentrale Gedanke lautet: Wer kein Verständnis der Mathematik des eigenen Berufs hat, kann kein echter Experte sein. Das geht über das bloße Verständnis der IT-Strukturen hinaus und zielt auf die Prinzipien, die Sicherheit beeinflussen.
Wheeler nennt außerdem Risikokalkulation als Lernfeld. Wichtig sei nicht Perfektion, sondern die Fähigkeit, Wahrscheinlichkeiten realistisch zu schätzen, Unsicherheit zu beschreiben und zunehmend die Ergebnisse in finanzielle Begriffe zu übersetzen.
Damit schließt sich der Kreis: Der CISO muss nicht nur Security können, sondern auch eine Business-analytische Rolle einnehmen. Sein Auftrag sei nicht, jede Sicherheitsverletzung zu verhindern – das wäre unrealistisch. Stattdessen geht es darum, Angriffe auf das Wesentliche zu begrenzen und die Kontinuität für das Unternehmen abzusichern.
Praktisch: eigenes Home Lab aufbauen
Der praktische Rat, den Wheeler besonders hervorhebt: ein Home Lab aufzubauen. Das kann heute viele Formen annehmen, nicht nur als klassisches IT-Setup mit Hardware. Der Kern bleibt aber gleich: neugierig sein, ausprobieren und Technologien sowie Prozesse testen, die man später absichern soll.
Auch generative KI-Tools sieht er dabei als Katalysator: Sie ermöglichen es, Konzepte zu simulieren, zu untersuchen und in einer sicheren Umgebung zu erkunden.
Risiko statt Perfektion: warum Empathie zählt
Wheeler beschreibt, dass „traditionelle Security“ bei manchen Menschen ein Perfektionismus-Problem verstärken kann. Das führt dann nicht nur intern zu hohen Hürden, sondern kann auch den Umgang mit Mitarbeitenden und externen Partnern beeinflussen.
Er stellt klar: Risikoentscheidungen lassen sich schlecht treffen, wenn man von absoluten Maßstäben ausgeht – selbst dann, wenn Budget und Ressourcen sehr groß wären. Stattdessen braucht es Entscheidungen, die auf quantitativen oder zumindest finanziell informierten Einschätzungen beruhen.
Für seine Teammitglieder legt er deshalb den Fokus auf persönliches Verhalten: empathische Partnerschaft im Arbeitsalltag, persönliche und berufliche Balance und die Fähigkeit, mit anderen Teams gemeinsam Lösungen zu gestalten. Dazu gehört Zuhören und in manchen Fällen auch Kompromisse. So entsteht eher die Basis, damit Partner Informationen teilen und Probleme frühzeitig ansprechen.
Ein weiterer Punkt ist der Schutz vor Burnout: Er fordert dazu auf, Pausen zu nehmen, Zeit mit Familie zu verbringen und Hobbys einzuplanen. Die Arbeit wird komplexer – aber die menschliche Stabilität muss mitwachsen.
Sturmwetter: agentic KI sicher einführen
Wheeler sieht die Entwicklung hin zu agentic KI mit Sorge – allerdings nicht nur im Sinne von „bösen Akteuren“. Seine Hauptfrage ist, wie Unternehmen neue Technologien mit Tempo einführen können, ohne dabei Sicherheit und Resilienz zu verlieren.
Dabei beobachtet er sowohl Top-down- als auch Bottom-up-Nachfrage: Von Boards und Investoren kommt Druck, aber auch Entwickler sowie Power-User wollen KI einsetzen. Gleichzeitig arbeitet sein Team an einem Security Enablement-Ansatz, der viele seiner Prinzipien integriert: Beschäftigte ernst nehmen, Vertrauen aufbauen, selbst experimentieren und Guardrails auf Basis von Risiko definieren.
Er weist außerdem darauf hin, dass viele Kontrollkategorien trotz neuer Möglichkeiten weiterhin in einer Zero-Trust-Architektur verankert sind. Deshalb erhöhen seine Teams Investitionen in IAM, Data Inventory und Datenkategorisierung sowie Automatisierung über mehrere Bereiche hinweg.
Das Gesamtbild: Security ist Mathematik plus Menschen
Am Ende ist Wheelers Botschaft deutlich: Erfolgreiche Security ist mehr als Technologie. Entscheidend ist das Zusammenspiel aus mathematischem Verständnis der eigenen Disziplin, Security-Prinzipien, Business-Sinn und Empathie für Menschen. Erst daraus entsteht ein Sicherheitsansatz, der nicht nur technisch korrekt ist, sondern auch im Unternehmen funktioniert.
Und genau deshalb bleibt Vertrauen als Job bei ihm kein Schlagwort. Es ist die Arbeitsgrundlage dafür, dass strategische Empfehlungen gehört werden, Teams handlungsfähig bleiben und Security-Entscheidungen belastbar in den Unternehmensalltag übergehen.
