Pfefferminzia: Mit gerade einmal 18 Jahren sind Sie bereits gefragter Redner zur Cybersicherheit und Gründer Ihres eigenen Unternehmens in diesem Bereich. Wie kamen Sie mit der IT-Branche in Berührung?
Philipp Kalweit: Mit neun Jahren hatte ich den ersten Kontakt mit einem Computer. Es war ein alter Rechner, den ich auseinandergeschraubt habe. Als ich mich mit der Software beschäftigte, interessierte ich mich mehr und mehr für die Funktionsweise dahinter. Und damit wurde eine Leidenschaft geweckt, die heute, zehn Jahre später, noch genauso besteht.
Gab es durch Ihre Familie oder in der Schule eine besondere Förderung Ihres starken Interesses?
Nein, alles was ich seither gelernt habe, habe ich mir durch Ausprobieren selbst beigebracht. Es wurde zu meinem Hobby, das ich letztlich zum Beruf gemacht habe. Die Professionalität nahm zu, je länger ich mich mit der Materie beschäftigte. Vergleichbar vielleicht mit einem Kind, das Fußballspielen erlernt: Es beginnt in der Kreisklasse und nach ein paar Jahren spielt man in der A-Jugend. Wenn man besonders talentiert ist und viel trainiert, schafft man es als Profi in die Bundesliga und vielleicht sogar ins internationale Business.
Warum ist das Thema Informationssicherheit für Sie so spannend?
Ich kann Dinge erreichen, die bei der Programmierung nicht beabsichtigt waren. Denn durch „ein paar Tricks und Kniffe“ und durch das Ausnutzen von Fehlprozessen macht das informationstechnische System eben nicht, was der Entwickler ursprünglich wollte, sondern was der Hacker, in dem Fall ich, erwirken wollte. Und je mehr man sich in die Tiefen begibt, umso mehr Fehler sind zu finden. Es ist doch extrem faszinierend, mehr zu erfahren als andere.
Woher kam der Wunsch, mit 16 ein eigenes IT-Unternehmen zu gründen anstatt das Ganze als Hobby weiterzuführen?
Zum einen hatte ich mir, wie schon gesagt, über die Jahre immer mehr Wissen angeeignet. Mit 14 Jahren hielt ich meinen ersten Vortrag zum Thema Sicherheit auf der Hacker-Konferenz „Chaos Communcation Congress“ vor rund 500 Fachleuten und zwei Jahre später beauftragte mich bereits eine Bundesbehörde mit einem Fachvortrag im Rahmen des BSI-Projektes „Smarte und sichere Informationsgesellschaft“. Dadurch wurden Kunden auf mich aufmerksam. Zum anderen bin ich wohl eher als Unternehmer glücklich als im Angestelltenverhältnis. Zwar wollte ich zunächst keine Mitarbeiter aufgrund der dadurch resultierenden Verantwortung einstellen, doch letztlich ging es aufgrund der Auftragslage nicht anders. Ich konnte mich zum damaligen Zeitpunkt den Projekten nicht in Vollzeit widmen, weil ich ja noch zur Schule ging.
Wie war denn das Unternehmerleben mit dem schulischen vereinbar?
Das war nicht immer leicht. Ein paar Lehrer unterstützten das nicht. Aber andere wiederum halfen mir, indem ich online auf Lehrmaterial zugreifen konnte. Denn wenn ich im Zug unterwegs war, konnte ich schlecht sämtliche Unterlagen dabei haben. Für einen Vortrag vor einer Bundesbehörde beispielsweise wurde ich zunächst nicht von der Schule befreit. Doch nachdem ein paar Hebel in Bewegung gesetzt wurden, konnte ich den Vortrag doch noch halten.
Und Sie mussten sich mit 16 bereits voll geschäftsfähig erklären lassen…
Ja, zunächst war ich als freiberuflicher Sicherheitsberater tätig. Mit der Gründung der Kalweit ITS als GmbH jedoch musste ich diesen Schritt gehen und mir von einem Amtsrichter die volle Geschäftsfähigkeit bescheinigen lassen.
Jetzt sind Sie volljährig und haben das Abi in der Tasche. Wie sieht Ihre Zukunft aus?
Ich hatte ursprünglich einmal den Gedanken, Informatik zu studieren. Das würde ich auch nicht kategorisch für meine Zukunft ausschließen. Doch mittlerweile habe ich 21 Mitarbeiter, einige mit Kindern. Für sie trage ich nun eine gewisse finanzielle Verantwortung. Außerdem herrscht vor allem im Bereich der Informationssicherheit ein tatsächlich doch recht starker Fachkräftemangel, wie kaum in einer anderen Branche. Wohl auch darum sind hier ein Quereinstieg und das erfolgreiche Führen eines Unternehmens so gut möglich.
Ist Ihr Alter im Geschäftsleben ein Problem?
Ja, in gewisser Hinsicht schon. Im Marketingbereich ist es vorteilhaft, jung zu sein, insbesondere wenn das Unternehmen eine junge Zielgruppe definiert hat. In der Branche der IT-Sicherheit dagegen ist es eher hinderlich. Es wird mir mangelndes Fachwissen und zu wenig unternehmerisches Können unterstellt. Aber ich habe gelernt, damit umzugehen und kann meine Zweifler schnell überzeugen, dass sie mit mir den Richtigen an ihrer Seite haben. Unabhängig davon sehe ich mich nicht als „Profi“, sondern meine Unternehmung eher als nächsten Schritt der Professionalisierung, sodass ich einmal dort landen kann, wo meine Kollegen fachlich aktuell stehen. Immerhin ist IT-Sicherheit ein dynamisches Feld, …man lernt nie aus.
Wie genau sehen die Aufträge Ihrer Kunden aus?
Mir ist es wichtig, für Kunden zu arbeiten, deren Produkte oder Dienstleistungen einen Mehrwert liefern und langfristige etwas bedeuten. Beispielsweise haben wir vor kurzem für einen Automobilzulieferer die Steuergeräte überprüft. So etwas macht mich ganz besonders stolz. Denn das ist ein wichtiger Beitrag für die Allgemeinheit. Und wenn ich in ein paar Jahren aus dem Fenster sehe, weiß ich, dass bei einigen der vorbeifahrenden Autos auch wir einen Beitrag zur allgemeinen Verkehrssicherheit erbracht haben. Wir führen ganz klassische Penetrationstests für Kunden durch und beraten sie in Fragen der IT-Sicherheit. Und wir gehen auch noch einen Schritt weiter und beziehen die Schwachstelle Mensch mit ein.
Was bedeutet das?
Dass wir uns beispielsweise mit USB-Sticks den Zugang zu Unternehmen oder Institutionen erschleichen. Dafür werden diese Datenträger gezielt so untergebracht, dass die Mitarbeiter ihn finden, keinen Verdacht schöpfen und nutzen. Manchmal können sie den Stick nicht selbst an ihrem Computer verwenden, weil sie keinen USB-Anschluss haben oder entsprechend geschult wurden. Dann bringen sie ihn zu den Netzwerkadministratoren. Und darüber können wir noch besser in das System eindringen, weil die Administratoren über weitaus mehr Rechte verfügen. Das klingt sicherlich recht skurril, aber mit langen Evaluierungsphasen und guter Konzeption können solche Szenarien tatsächlich einen signifikant-relevanten Mehrwert erwirken.
