Gründer · Group CEO · Stratege
Strategie · Cyber-Resilienz · Governance · M&A · Technologie
Über 20 Jahre in Technologie, Betrieb, Cybersicherheit und Unternehmensführung — für Organisationen, die ihre Cyber-Resilienz stärken, Governance aufbauen wollen, die im Alltag trägt, international wachsen und sich auf entscheidende Transaktionen vorbereiten.
Strategie zählt erst, wenn sie den Kontakt mit der operativen Realität übersteht.
Christian de Coster — Gründer & Group CEO, Mahoney IT Group
United States · Europe · Asia-PacificStruktur statt Heldentum
Meine Arbeit war selten die Lösung eines einzelnen technischen Problems. Es geht darum, mit einer Organisation zu klären, wohin sie muss, was sie daran hindert, und die Struktur zu bauen, die sie dorthin bringt.
Weiß, wie sich Systeme, Teams und Prozesse unter echtem Betriebsdruck verhalten — weil ich sie selbst betrieben habe.
Kennt Kunden, Kapital, Risiko und Umsetzung — und was es kostet, eine Organisation aufzubauen, die bleibt.
Verbindet Technologie, Cyber-Resilienz, Governance und Geschäftsziele zu einem Betriebsmodell.
Bringt Management, Security, Betrieb, Finanzen und Technologie auf denselben Zielzustand.
“Das Ziel ist nicht, eine Organisation von einem Experten abhängig zu machen. Das Ziel ist Eigentümerschaft, messbare Controls und ein Team, das sie betreiben kann.”
Über 20 Jahre
Eine Liste von Arbeitgebern erklärt wenig. Zwei Dinge erklären das meiste: zu lernen, aus Informationen Entscheidungen zu machen — und das volle Risiko zu tragen, ein Geschäft über Grenzen hinweg aufzubauen.
Stabsfunktion S2
Information ist nichts wert, solange sie nicht strukturiert, bewertet und in eine Entscheidung überführt ist, mit der jemand arbeiten kann. Sammeln, prüfen, gewichten, priorisieren, die Entscheidung vorbereiten — diese Disziplin ist bis heute der Kern meiner Arbeit an Risiko, Governance und Strategie. Und sie ist der Grund, warum ich darauf bestehe, dass Nachweise ein Nebenprodukt der Arbeit sind und keine Übung vor dem Audit.
Selbstständigkeit
Seit 2018 baue und führe ich die Mahoney IT Group: Kunden, Kapital, Risiko, Teams, Technologie, Partnerschaften und internationaler Betrieb — mit dem Ergebnis auf meiner Seite des Tisches. Ein internationales Unternehmen aufzubauen macht nicht jeder. Und wer es getan hat, beurteilt das Unternehmen eines anderen anders.
2018 — Present · Mahoney IT Group
Der Boden darunter
Davor und daneben die Ebenen, die die strategische Arbeit glaubwürdig machen — weil ich jede davon selbst betrieben habe.
Das Ergebnis ist Sprachfähigkeit auf jeder Ebene des Gesprächs:
Internationale Operations
Internationale Logistik, Fracht, Luftfrachtlogistik, Zoll und Export — wo eine Verzögerung kein Ärgernis ist, sondern ein Ausfall.
Nippon Express · Group7 · Fraport Cargo Services · in time Kuriersysteme
Technologie
Windows- und Microsoft-Umgebungen, Active Directory, Windows Server, Netzwerke, ERP, Support, Infrastruktur und IT-Projekte — aus der Praxis.
WETROPA · LDI Rheinland-Pfalz
Führung
Technischer und kaufmännischer Betrieb, Prozessgestaltung, Personal, Reporting, Vertragsverhandlungen und Organisationsentwicklung.
cde GmbH
Transformation
Digitalstrategie, Prozessanalyse, Workflow-Transformation, Dokumentenmanagement, Beschaffung und Arbeit mit der Verwaltungsspitze.
City of Schwalbach am Taunus
Vorträge & Präsenz
Strategie und Governance tragen nur, wenn man sie denen erklären kann, die damit leben müssen — Management, Technik, Prüfer und Kunden im selben Raum. Dort entscheidet sich auch, ob ein Ansatz trägt: eine Institution merkt sehr schnell, ob die Begründung hält.
Vortrag
Deutsche Bundesbank
Deutschland
Die Zentralbank der Bundesrepublik — ein Publikum, das keine Behauptung auf Zuruf annimmt. Genau dieser Maßstab gilt für alles auf dieser Seite: eine Position muss die Rückfrage überstehen.
Dieselbe Session — und anderswo
Cybersicherheit & Cyber-Resilienz
Ich bin kein Compliance-Berater, der Sicherheit über ein Framework entdeckt hat. Die Sicherheitsarbeit kam zuerst — Betrieb, Endpunkte, Identitäten, Vorfälle, Wiederherstellung. Das verändert, was ein Control überhaupt sein darf.
Praxisfelder
Governance-Verständnis
Governance ist kein Stapel Richtlinien. Sie ist die Übersetzung einer Anforderung in Zuständigkeit, einen operativen Prozess, Ausführung, Nachweis, Validierung und eine Entscheidung, die das Management wirklich treffen kann.
Die Kette
Was ein Control in der Praxis wird
“Nachweise sollten das natürliche Ergebnis eines funktionierenden Prozesses sein — nicht etwas, das eine Organisation vor dem Audit rekonstruieren muss.”
Governance muss den Kontakt mit der Realität überstehen.
Framework-Erfahrung
Die wenigsten Organisationen unterliegen einem einzigen Framework — sie unterliegen mehreren gleichzeitig, von verschiedenen Aufsichten und verschiedenen Kunden. Die Aufgabe ist ein Betriebsmodell, das alle beantwortet, statt ein Ordner je Anforderung.
ISMS-Aufbau, Control-Umsetzung, Nachweise und Zertifizierungsreife.
Type-I- und Type-II-Readiness, Control-Mapping und Nachweisaufbau.
Cybersicherheits-Governance, Risikomanagement und Leitungsverantwortung.
IKT-Risiko, operative Resilienz und Drittparteien-Governance.
Abgleich von Sicherheits- und Datenschutz-Controls, wo einschlägig.
Cybersecurity Framework und reifegradorientiertes Control-Design.
Identität, Zugriff und Segmentierung — operativ angewendet, nicht als Etikett.
Datenschutzanforderungen übersetzt in technische und organisatorische Maßnahmen.
Steuerung, Nachweise und Verantwortlichkeit entlang der Lieferkette.
Kontinuitäts- und Wiederanlaufplanung, die getestet wurde statt abgelegt.
Incident-Governance, Eskalation, Meldepflichten und Lessons Learned.
Aufsicht, Nachvollziehbarkeit und Verantwortung für KI-gestützte Prozesse.
Der Fokus liegt auf Readiness, Control-Design, Control-Umsetzung, Control-Mapping, Nachweisführung, Behebung, Audit- und Zertifizierungsvorbereitung. Die unabhängige Zertifizierung oder Attestierung verbleibt bei der jeweiligen Zertifizierungsstelle oder dem Auditor.
Governance im Betrieb
So sieht es aus, wenn eine Governance-Anforderung aufhört, ein Dokument zu sein. Ein Beispiel, durchgängig.
Beispiel-Control: Quartalsweise Prüfung privilegierter Zugriffe
Quartalsweise Prüfung privilegierter Zugriffe.
Automatisch terminiert, nicht erinnert.
Eine benannte Person, keine Abteilung.
Gegen das laufende Verzeichnis durchgeführt.
Mit Begründung und Ablaufdatum erfasst.
Dokumentiert von jemandem mit Verantwortung.
Erzeugt durch die Arbeit, nicht für das Audit.
Das Control meldet seinen eigenen Zustand.
Sichtbar, bevor jemand fragt.
Nichts davon wird zum Jahresende rekonstruiert. Der Nachweis existiert, weil die Arbeit stattgefunden hat.
M&A · Due Diligence · Integration
Erfahrung auf Käufer- und auf Verkäuferseite erzeugt einen anderen Blick auf Cyberrisiko, technische Altlasten, operative Resilienz und die Integration nach der Transaktion.
Käuferseite
Verkäuferseite
“Auf der Käuferseite geht es darum, Risiko zu verstehen, bevor es zum Akquisitionsrisiko wird. Auf der Verkäuferseite geht es darum, Schwächen zu erkennen und zu beheben, bevor sie zu Bewertungsargumenten werden.”
Post-Merger-Integration
Due Diligence findet die Themen. Die Integration entscheidet, ob die Transaktion Wert liefert. Technologie-Integration ist nie nur Technologie — sie bewegt Menschen, Lieferanten, Lizenzen, Verträge, Daten, Controls, Prozesse, Teams, Sicherheit und Governance gleichzeitig.
Umgebung bewerten, Risiken priorisieren, Zielzustand vereinbaren.
Akute Exposition eindämmen und Verantwortung ab dem ersten Tag klären.
Standardisieren, beheben und den Betrieb beider Organisationen angleichen.
Gegen den Zielzustand berichten, Lücken schließen, Ausführung optimieren.
Eine Struktur, die die Transaktion und ihre Beteiligten überdauert.
Was tatsächlich integriert werden muss
Internationale Strategie
Eine Grenze zu überschreiten addiert Anforderungen nicht, es multipliziert sie. Sicherheitserwartungen, Technologiestandards, Regulierung, Datenschutz, Lieferantenabhängigkeiten, Governance-Erwartungen, Anforderungen von Enterprise-Kunden, Datenflüsse und operative Verantwortung überlagern sich — und sind sich selten einig.
Vereinigte Staaten
Sicherheitserwartungen von Enterprise-Kunden, SOC 2, NIST, Beschaffungsanforderungen und branchenspezifische Pflichten.
Europa
ISO-Standards, NIS2, DORA, Datenschutz, Lieferantensteuerung und grenzüberschreitender Betrieb.
Asien-Pazifik
Grenzüberschreitender Technologiebetrieb, Lieferanten, Delivery-Modelle und regionale Komplexität.
Ich habe selbst international aufgebaut und betrieben. Das ist die Perspektive, die ich einbringe: praktische Erfahrung im Betrieb über Regionen hinweg — keine Rechtsberatung für jede Jurisdiktion.
Breite der Erfahrung
Im Verlauf meiner unternehmerischen Tätigkeit haben meine Teams und ich mehr als 3.000 Kundenumgebungen betreut — in Managed IT, MSSP-Services, Cybersicherheit, Beratung und Governance-Vorhaben.
“Der Wert dieser Zahl ist nicht die Zahl. Es ist der Kontakt mit tausenden unterschiedlichen Umgebungen, Technologie-Stacks, Betriebsmodellen, Prioritäten und Reifegraden.”
Strategie braucht Umsetzung
Hinter der strategischen Arbeit steht ein erfahrenes, loyales internationales Team für Cybersicherheit, Betrieb, Governance, Engineering, Umsetzung, Behebung und Support — gestützt auf Mahoney Control als Mess- und Nachweisebene.
Christian
Team
Mahoney Control
Strategie → Umsetzung → Nachweis
“Ich kann den Zielzustand definieren. Mein Team macht daraus den Betriebszustand.”
Hintergrund
Stabsfunktionen S2 / S4
Erfahrung in strukturierten operativen Umgebungen mit Lagebeurteilung, Planung, Logistik und Ressourcenkoordination.
Dieser Hintergrund hat einen Ansatz geprägt, der auf strukturierter Information, Nachvollziehbarkeit, Nachweisen, Verantwortlichkeit und Entscheidungsvorbereitung beruht.
Weitere Details bleiben bewusst offen.
Mahoney Control
Mahoney Control ist die Cyber-Business-Intelligence-Plattform, die aus dieser Methodik entstanden ist. Sie existiert, weil sich in jedem Vorhaben dieselbe Frage wiederholt hat: Wie groß ist der Abstand zwischen dem vereinbarten Zustand und dem, in dem wir tatsächlich sind?
Zielzustand
SOLL
SOLL — was vereinbart, gefordert oder zugesagt wurde.
Betriebszustand
IST
IST — was die Umgebung heute tatsächlich tut.
Die Differenz ist die Arbeit
Zur künstlichen Intelligenz
KI ist für Analyse, Klassifizierung, Korrelation und Automatisierung wirklich nützlich. Sie verkürzt den Weg vom Signal zur Entscheidung.
An dem, was Governance verlangt, ändert sie nichts. Ein Control braucht weiterhin einen Verantwortlichen, einen Ausführungsnachweis und Belege, denen ein Mensch folgen kann. Wo KI zu einer Feststellung beiträgt, muss die Feststellung nachvollziehbar und überprüfbar bleiben — sonst ist sie eine Meinung mit Konfidenzwert.
Vorhaben besprechen
Für Technologie-, Cybersicherheits- und Governance-Vorhaben in den USA erfolgt die Leistungserbringung über die Mahoney IT Group. Das Ziel ist kein weiterer Richtlinienordner — es ist ein belastbares Betriebsmodell, das sich messen, belegen und verbessern lässt.