"Die SySS ist nicht Marktbegleiter, sondern Marktführer."

2026 begann mit einer besonderen Neuerung bei der SySS: Wir haben nun zwei Geschäftsführer. Seit mittlerweile fast einem halben Jahr unterstützt Sebastian Nerz Sebastian Schreiber in allen Belangen rund um die Entwicklung und die strategische Ausrichtung der SySS und stellt sicher, dass auch SySS-intern sämtliche Prozesse rundlaufen.

Sebastian Nerz und die SySS kennen sich bereits aus seiner Zeit als Leiter der SySS-Forensik und später als Bereichsleiter Special Operations. Nach mehreren Jahren als Geschäftsführer in anderen Unternehmen ist er nun zurück bei SySS – mit neuen Aufgaben, Zielen und Visionen.

Was ist in den ersten sechs Monaten geschehen? Welche Pläne hat der neue Co-Geschäftsführer? Und was dürfen insbesondere unsere Kunden von ihm erwarten? Im Interview mit dem Pentest Blog gibt er Einblicke in seine ersten 168 Tage und Ausblicke auf die nächsten drei Jahre.

Rolle und Schwerpunkte

Pentest Blog: Sebastian, seit Anfang des Jahres bist Du zurück bei SySS, und zwar in der Position des zweiten Geschäftsführers. Wie definierst Du Deine Rolle? Was sind Deine Schwerpunkte?

Sebastian Nerz: Die SySS hat unglaubliches Potenzial, sie ist ein ganz tolles Unternehmen. Meine Aufgabe ist es, dafür zu sorgen, dass sie dieses Potenzial auch weiter nutzen kann. Das heißt: Ich sorge dafür, dass wir uns an den Stellen, an denen wir uns verbessern können, auch tatsächlich verbessern. Beispielsweise beim Thema KI: Wir müssen das Know-how, das wir haben, auch nutzen und zu unseren Kunden bringen. Wir müssen es noch besser schaffen, unseren Kunden darzustellen, was wir tatsächlich alles können, um sie noch besser beraten zu können.

Pentests und Künstliche Intelligenz

Pentest Blog: Was KI und Pentests angeht, läuft derzeit ja eine kontroverse Diskussion. Die KI-gestützte Hacking-Software „Artemis“ hat im Wettbewerb mit menschlichen Hackern teilweise sogar mehr Schwachstellen gefunden als diese. Was sagst Du Personen, die behaupten, in drei Jahren werde es keine von Menschen durchgeführten Pentests mehr geben?

Sebastian Nerz: Diese Gefahr sehe ich nicht. KI ist ein Tool. Wir brauchen immer einen Menschen, der die KI prüft und ihre Ergebnisse mit anderen Menschen bespricht. Es ist ja nicht so, dass hier KI mit KI spricht, also eine KI Schwachstellen sucht und diese einer Entwickler-KI mitteilt. Wenn es darum geht, Informationssicherheit einzustufen, Schwachstellen zu bewerten, findet dies ja in einem Kontext statt. Die Bewertung muss zum Unternehmen und dessen Strategie passen. Große Schwierigkeiten haben KI-Agenten aktuell beispielsweise noch bei der Bewertung von sehr komplexen Schwachstellen, von Schwachstellenketten, von Schwachstellen, die sich in der Kombination aus vielen unterschiedlichen Softwareapplikationen ergeben. KI reicht auch nicht aus, um Kunden dahingehend zu beraten, an welchen Stellen in ihren Entwicklungsprozessen sie Anpassungen vornehmen sollten, um Schwachstellen in Zukunft vermeiden zu können. Informationssicherheit ist nicht nur das Ausführen eines Tools, sondern vor allem die Frage: Was bedeuten die Funde für das Unternehmen? Wie kritisch sind die Ergebnisse? Welche weiteren Konsequenzen haben sie? Das sind Bereiche, in denen KI aktuell noch sehr, sehr schlecht ist und es meiner Meinung nach auch die nächsten Jahre noch bleiben wird. Für etliche Testgegenstände gibt es aktuell außerdem noch überhaupt keine KI-Modelle. Insgesamt denke ich, dass wir in der Kombination aus einem menschlichen Berater und einer KI die besten Ergebnisse erzielen können. Aus diesem Grund bauen wir unsere Beratungsdienstleistungen weiter aus. Angesichts der Menge an Schwachstellen, die mithilfe von KI jetzt gefunden werden, wird eine Priorisierung immer wichtiger. Die Kunden müssen wissen: Was sollte ich als Erstes angehen? Hier ist dann unsere Expertise gefragt.

Pentest Blog: Was sind Deine weiteren Schwerpunkte?

Sebastian Nerz: Der Ausbau der Kundenbetreuung und der Beratungsdienstleistungen ist mein eigentlicher Schwerpunkt. Auch den Ausbau der internen Prozesse – natürlich ebenfalls mit KI – möchte ich voranbringen.

Sinn und Unsinn von Regulatorik

Pentest Blog: Wir haben mal nachgeschaut: Zeitgleich mit Deinem Antritt Deiner neuen Position sind einige Gesetze bzw. Gesetzesänderungen in Kraft getreten, die den Bereich IT-Sicherheit betreffen:

• Seit dem 6. Dezember 2025 gibt es das IT-Sicherheitsgesetz in Version 3.0, konkret: das NIS-2-Umsetzungsgesetz.
• Bis zum 11. Dezember 2027 müssen Hersteller die Anforderungen des Cyber Resilience Act erfüllen.

Bevor wir in die Details gehen: Wie stehst Du grundsätzlich dazu, dass der Gesetzgeber hier nun stärker eingreift?

Sebastian Nerz: Diese Frage lässt sich nicht eindeutig beantworten. Grundsätzlich bin ich ein Freund davon, regulatorische Frameworks zu schaffen, die Unternehmen eine gewisse Sicherheit dahingehend geben, was sie machen müssen, und auch dahingehend, wann sie sich darauf verlassen können, dass sie genug getan haben. In Bereichen wie der Kritischen Infrastruktur hat der Gesetzgeber ein absolut valides Interesse daran, zu regeln, wie mit Daten umgegangen werden muss. Wir müssen unsere Kritische Infrastruktur schützen. Dabei entstehen relativ hohe Kosten. Daher ist hier der regulatorische Eingriff nötig. Nicht zuletzt sagt der Gesetzgeber damit ja auch, „diese Investitionen sind es mir wert“. Gleichzeitig gibt es Bereiche, in denen ich die Regulation übergriffig finde. Die Meldepflichten für Informationssicherheitsvorfälle beispielsweise sind zeitlich sehr eng gefasst. Was mit diesen Meldungen passiert, ist oft unklar. Werden Lagebilder erstellt, sind sie sinnvoll. Fallen sie in ein schwarzes Loch, nutzen sie niemandem. Auch zu enge Regulationen sind eher kontraproduktiv. Wenn ich Unternehmen das Gefühl gebe, „Ihr schafft es eh nicht, mitzuhalten“, oder wenn Unternehmen eigene Positionen schaffen müssen, die sich nur damit beschäftigen, wie die Regulationen einzuhalten sind, dann entsteht kein Mehrwert in der tatsächlichen Sicherheit. Regulationen müssen so gestaltet werden, dass sie einfach verständlich und leicht umsetzbar sind. Auch Versicherungsdienstleister müssen da beispielsweise mitgenommen werden. Und nicht zuletzt müssen Regulationen immer wieder an die existierenden Standards angepasst werden.

Pentest Blog: Glaubst Du, Regulatorik führt dazu, dass das allgemeine IT-Sicherheitsniveau steigen wird?

Sebastian Nerz: Ja. Wir sehen das zum Beispiel beim Cyber Resilience Act. Man kann darüber streiten, ob er vielleicht an der ein oder anderen Stelle über das Ziel hinausschießt. Aber ich finde es sinnvoll, dass Software, die auf den Markt gebracht wird, bestimmten Sicherheitsanforderungen genügen muss. Denn als Endkunde, die ja oft auch Unternehmen sind, hat man wenig Möglichkeiten, die Sicherheit zu beeinflussen. Man kann sie sicher konfigurieren, man kann sie isolieren oder ähnliches, aber am Ende muss man sich darauf verlassen, dass bei der Herstellung der Software oder der Hardware sauber gearbeitet wurde. Natürlich ist es an der Stelle eine Verbesserung der Sicherheit, wenn Sicherheitsstandards vorgeschrieben sind.

Pentest Blog: Häufig heißt es, Unternehmen seien von den zunehmenden regulatorischen Anforderungen überfordert. Teilst Du diesen Eindruck?

Sebastian Nerz: Zum Teil. Ja, es gibt Unternehmen, die sich an uns wenden und bitten: „Erklärt mir mal den CRA.“ Dann unterstützen wir, zu verstehen: Warum sind sie betroffen, wovon sind sie betroffen, und was müssen sie eigentlich tun? Die meisten Unternehmen, die zu uns kommen, haben aber eigentlich ein sehr gutes Bild davon, was sie tun müssen, und auch vom eigentlichen Stand ihrer Sicherheit. Sie brauchen aber Unterstützung dabei, festzustellen, ob ihre Prozesse gut genug sind, ob sie Schwachstellen in ihrem Produkt haben usw. Außerdem brauchen sie regelmäßige Tests oder Unterstützung dabei, regelmäßig zu testen. Wer eine Soft- oder Hardware entwickelt, braucht externe Unterstützung, wenn es darum geht, deren Sicherheit zu testen. Selber kann man das wegen der eigenen Betriebsblindheit nicht sinnvoll tun.

Kundenbetreuung und Beratung

Pentest Blog: Natürlich ist Gesetzgebung nur ein Faktor, der den Ausbau des Leistungsportfolios der SySS motiviert. Selbstverständlich machen wir auch aus eigenen Beobachtungen und Analysen heraus neue Angebote für unsere Kunden und entwickeln bestehende Angebote weiter. Welche Felder sind Dir mit Blick auf die Bedürfnisse unserer Kunden besonders wichtig?

Sebastian Nerz: Mir ist es wichtig, dass wir unsere Beratungsangebote ausbauen. Außerdem müssen wir Kunden noch besser darstellen, wo wir sie unterstützen können. Die SySS ist sehr viel breiter aufgestellt als viele glauben. Hier müssen wir noch lernen, besser zu kommunizieren, was wir alles können. In den 28 Jahren, die es die SySS jetzt gibt, haben wir unglaublich viel gelernt; dieses Wissen müssen wir noch besser zeigen. Außerdem führen wir neue Angebote ein, um Kunden während ihrer Produktentwicklung kontinuierlicher unterstützen zu können. Vor 15 Jahren war es vielleicht so, dass man bei einem Pentest einmal im Jahr die Systeme angeschaut und sich dann für das nächste Jahr verabredet hat. Wir wollen mit dem Kunden eng und dauerhaft zusammenarbeiten und uns in seine Prozesse integrieren. So können wir kontinuierlich bei der Entwicklungsarbeit, beim Aufbau, bei der Konfiguration etc. unterstützen und überprüfen, ob neue Schwachstellen entstanden sind und ob die alten beseitigt wurden.

Weitere Pläne und Ziele

Pentest Blog: Im ersten halben Jahr in Deiner neuen Funktion hast Du schon vieles angestoßen. Welche weiteren Pläne und Ziele hast Du für die nächsten drei Jahre?

Sebastian Nerz: Die SySS ist ein ganz tolles Unternehmen mit einem gigantischen Potenzial und ich möchte dieses Potenzial heben. Das bedeutet, dass wir unsere Position als Marktführer im Bereich Pentests in Deutschland verteidigen und ausbauen. Die SySS ist nicht Marktbegleiter, sondern Marktführer, und das bedeutet für mich: Sie muss auch marktprägend sein. Ich möchte, dass wir mit den Dienstleistungen, die wir einführen, den Informationssicherheitsmarkt in Deutschland gestalten.