Wo die Schweiz einkauft, hat er die Sicherheitsbrille auf
Von der ETH zur Migros: Welche Szenarien den ehemaligen Exzellenz-Stipendiaten der Informatik Marc Himmelberger heute bei der grössten Arbeitgeberin der Schweiz beschäftigen.
«Macht die Migros überhaupt IT?» So naiv erkundigte sich Marc Himmelberger vor einigen Jahren an einem Stand, an dem sich der orange Riese den Informatikstudierenden der ETH Zürich als potenzielle Arbeitgeberin präsentierte. Retrospektiv schmunzelt er über seine damalige Ahnungslosigkeit. Beim Besuch in seinem Büro am Zürcher Limmatplatz erzählt er davon, wie er bei der Migros eingestiegen ist: Fachjargon wie «ROI», «TCO» oder «agile Softwareentwicklung» sei ihm unbekannt gewesen.
«An der ETH erlernst du Grundkonzepte, relativ haltbares Wissen. Dafür bist du nicht auf dem neusten Stand, was beispielsweise die Methodologie der Softwareentwicklungsplanung anbelangt.» Dennoch sei er schnell im Team angekommen. Sein Chef sei ein ETH-Absolvent, dessen Vorgesetzter auch – und dessen Chef ebenfalls. «In der Cybersecurity arbeiten hier etwa 100 Personen, davon gut ein Dutzend ETH-Absolventen, schätze ich.»
«Das Attraktive an der Arbeit für die Migros ist, dass es hier viele spannende Bedrohungsszenarien zu verhindern gilt, die einen grossen Impact für die Schweiz hätten. Man überlege: Welche Auswirkungen hätte es auf die Bevölkerung, wenn man an der Migros-Kasse nicht mehr zahlen könnte? Was passiert, wenn die Logistiksysteme nicht mehr funktionieren und die Migros-Lastwagen nicht mehr rechtzeitig neue Waren in die Läden kriegen?» Die Detailhändlerin sei daher Teil der kritischen Infrastruktur der Schweiz, und das allgemeine Interesse daran, dass alle IT-Systeme sehr stabil und sicher laufen, sei hoch.
Vom Gamen zum Programmieren
Marc Himmelbergers Faszination für die Informatik hat er von seiner Mutter geerbt, die lange in dem Bereich tätig war. «Ohne sie wäre ich mit 13 Jahren nicht auf die Idee gekommen, mir eine Java-Entwicklungsumgebung auf dem PC zu installieren», meint er. Viel gegamt habe er immer. Zur Kryptografie habe ihn schliesslich die Freude an der darunterliegenden Mathematik geführt: «Kryptografie ist sehr präzis und logisch und dennoch sehr fragil. Wenn du nur ein ein ziges Zahnrädchen falsch einstellst, fällt die ganze Maschinerie zusammen. Das finde ich faszinierend.» Umso dankbarer war er, als er aufgrund seiner Leistungen für sein Master-Studium ein Exzellenz-Stipendium erhielt: «Diese Anerkennung hat mir den Freiraum geschenkt, mich voll auf mein Studium zu konzentrieren, und zu sehr viel inspirierendem Austausch geführt.»
© ETH Foundation / Valeriano Di Domenico
«Organisationen sollten möglichst früh auf möglichst sichere Algorithmen umsteigen.»
Weitblick zahlt sich aus
Die Cybersecurity kennt sehr unterschiedliche Jobprofile. Da gibt es die reaktiven Analysten, die Server und Laptops beobachten und auf verdächtige Vorfälle reagieren. «So etwas wie die Feuerwehr», erklärt Marc Himmelberger. Im Gegensatz dazu sei er als Enterprise Security Architect präventiv tätig. Neue IT-Vorhaben, etwa das Verknüpfen zweier Systeme, die neuartige Auswertung von Daten oder den Einsatz von künstlicher Intelligenz, beleuchtet er aus der Sicherheitsperspektive, macht Empfehlungen und prüft am Projektende, wie diese umgesetzt wurden. So garantieren er und sein Team, dass alle Arten von wertvollen Daten – Kundendaten, Informationen aus der Industrie, digitale Unterschriften oder auch geheime Rezepte – sicher sind und dies auch bleiben.
Doch wie viel Sicherheit kann es wirklich geben? Gerade mit Blick auf Zukunftstechnologien wie Quantencomputer, die auf verschiedensten Gebieten einen Gamechanger darstellen dürften, so auch für die Kryptografie und somit die Cybersecurity? Während seiner ersten zwei Jahre bei der Migros beschäftigte sich Marc Himmelberger sehr intensiv mit dem Thema «Quantum Safety», auch «Post Quantum Cryptography» genannt, dem er an der ETH bereits seine Bachelor- und seine Master-Arbeit gewidmet hatte: «Wir wollten intern früh für das Thema sensibilisieren, damit bei künftigen Projekten allen klar ist, was ‹quantensicher› bedeutet und wo wir diesbezüglich hinwollen.»
Marc Himmelberger führt aus: «‹Store now, decrypt later› ist eine Strategie aus der Cyberkriminalität. Die Idee dahinter ist, Daten auf Vorrat zu sammeln, auch wenn diese heute noch sicher verschlüsselt sind. Zu dem Zeitpunkt, an dem es einen genug grossen Quantencomputer gibt, werden die Daten dann entschlüsselt.» Genau deswegen sei es keine geeignete Sicherheitsstrategie, darauf zu setzen, dass es noch Jahre dauern könnte, bis der vieldiskutierte Quantencomputer Realität ist.«Wir sollten möglichst früh auf möglichst sichere Algorithmen umsteigen. Denn je früher eine Organisation umstellt, desto älter sind ihre Daten, die in der Zukunft veröffentlicht werden könnten.»
Jenseits der Bildschirme
Doch manchmal wird es auch ganz handfest in Marc Himmelbergers Arbeitsalltag. Dann steht er etwa im Rahmen einer internen Weiterbildung im Laden und füllt Gestelle auf: «Diese Einblicke sind wichtig, damit wir Sicherheitsexperten nutzerorientiert arbeiten. Beispielsweise damit wir begreifen, dass sich die Filialmitarbeitenden nicht stets per Multi-Faktor-Authentifizierung anmelden können, weil sie nicht immer ihr Mobiltelefon dabeihaben. Solche Dinge muss man auf dem Schirm haben, um vernünftige Vorschläge zu bringen.»
Screenfreie Zeit gibt es auch für Marc Himmelberger selbst. Jeden zweiten Samstag begibt er sich als Mitleiter einer Pfadigruppe nachmittags in den Wald: «Ein super Ausgleich zur Büroarbeit.»
Erfolg Exzellenz-Stipendien
Seit 2007 (Lancierung des Programms) bis 2025:
- 807 herausragende Studierende aus 74 Ländern gefördert
- 249 davon stammen aus der Schweiz und 336 aus weiteren Ländern Europas
