Der neue CISO an der FAU

Interview mit Prof. Dr. Michael Tielemann

CISO. Prof. Dr. Michael Tielemann ist der erste, der diese neue Position an der FAU besetzt. Doch was versteckt sich hinter dieser Abkürzung?

Herr Tielemann, Sie sind der neue CISO der FAU. Wo für steht dieses Akronym?

Chief Information Security Officer. Es geht also generell um Informationssicherheit. IT ist in diesem Zusammenhang sicher die größte Herausforderung, Informationssicherheit betrifft auch die analoge Papierwelt.

Welche Aufgaben hat ein CISO?

Es gilt letztendlich die Informationswerte der Universität zu schützen. Das können Laborergebnisse, Forschungsdaten, bevorstehende Publikationen oder Patentschriften sein. Alle Nuggets die eine Universität produziert und die für Dritte interessant sind, da sie einen Wissensvorsprung bedeuten. Ich kümmere mich also darum, dass die Informationen nicht ungewollt abfließen, Datenlecks geschlossen werden, Vertraulichkeit gewahrt wird und die Informationen weiterhin verfügbar bleiben.

Wie sieht Ihre Arbeit konkret aus?

Beispielsweise haben wir als Erstes damit begonnen, Penetrationstests bei etwa 3000 FAU-Geräten zu machen, die alle im Internet erreichbar sind. Wir schauen dabei, ob die Geräte vor Angriffen über bekannte Schwachstellen durch Hacker geschützt sind, und haben schon ein paar Kandidaten entdeckt, bei denen noch Luft nach oben ist, da diese noch nicht so abgesichert sind, wie sie es sein sollten.

Wir werden ferner ein Risikomanagement aufbauen, denn wir müssen die zu schützenden Informationswerte identifizieren und deren Risiken erkennen. Die Verantwortlichen an den Lehrstühlen müssen sich dann überlegen, welche Risiken in ihrer Umgebung existieren. Dies muss rückgemeldet werden, was wiederum die Arbeitsgrundlage für mein weiteres Vorgehen ist. Meine Aufgabe wird auch darin bestehen, diese Risiken zu bewerten, um nach Kritikalität strategische und konkrete Maßnahmen zur Risikoreduzierung zu ergreifen. Alle weiteren Schritte basieren auf dieser Grundlage. Dies kann Aufklärung, aber auch Sensibilisierung und Schulung bis hin zu Aufrüstung oder Abschaltung von Geräten beinhalten.

Wie hilft die FAU ihren Mitarbeitenden diese Änderungen umzusetzen?

Zum einen wird es hoffentlich umsetzbar sein, dass für die Mitarbeitenden der FAU eine verpflichtende Informationssicherheitsschulung aufgesetzt wird. Das könnte zum Beispiel einmal im Jahr ein einstündiger Online-Kurs sein. Zum anderen muss es zentral abgelegte, für jeden erreichbare Policies und Leitlinien geben, die die Mitarbeitenden jederzeit nachlesen können. Es muss dann auch entsprechend kommuniziert werden, dass die Regeln und Vorgaben zur Informationssicherheit existieren und wo sie zu finden sind.

Was ist ihr fachlicher Hintergrund?

Ich habe an der FAU Informatik studiert und darin promoviert. Ein Jahr war ich als Post-Doc in der Schweiz. Danach bin ich dann nach einem kurzen Zwischenstopp bei Philips zur DATEV gewechselt und blieb dort 27 Jahre. Bei der DATEV habe ich viele Projekte zum Thema Datenschutz, IT- und Informationssicherheit, Zertifizierung von Produkten und Sicherheitsprüfungen im Rechenzentrum und TrustCenter begleitet und geleitet. Man kann sagen: Einmal quer durch den Gemüsegarten.

Sind Sie ein Sicherheitsfanatiker?

Kein Fanatiker. Aber ein bisschen paranoid kann man schon werden, wenn man sich sehr intensiv mit dem Thema Sicherheit auseinandersetzt. Man fragt sich ständig, wo steht der Feind? Und wird dabei ein bisschen gaga im Kopf. Wenn man das dann merkt, sollte man ein bisschen langsamer machen.

von Boris Mijat

In der aktuellen Ausgabe finden Sie Artikel zu Renditeverlusten an der Strombörse bei erneuerbaren Energien und wieso dies so ist, zu künstlichem Gewebe aus Spinnenseide, zur Theaterkultur im 17. Jahrhundert, zum dritten Bildungsweg, zur Hochschulhackinggruppe FAUST und den Squirrels, einer eSport-Gruppe, sowie Interviews mit dem neuen Vizepräsident People Prof. Andreas Hirsch und dem neuen FAU-Botschafter Günther Weiss.