# IT/OT-Architekt | Max Kayr > Grüß' dich, ich bin Max. Ich baue Systeme: Zonenkonzepte, Industrial Security und die Software, die mir bei der Arbeit fehlt. URL: https://maxkayr.de/ ## Grüß' dich, ich bin Max. *IT/OT-Architekt* Cool, dass du da bist. Magst du einen Kaffee? Ich bin Berater und baue Systeme. Und du? ## Immer derselbe Beruf. Sieht nur jedes Mal anders aus. *Was ich bisher gemacht habe* Presales Consultant für OT-Netzwerke, Berater für IT/OT-Convergence, Industrial-Security-Experte, Gründer, Programmierer. Auf dem Papier fünf verschiedene Jobs. In Wirklichkeit war es immer derselbe: Ich entwickle Themen. Ich baue Systeme. An Industrial Security reizt mich nicht die Firewall, sondern das Gefüge dahinter: Anlagen, Netze und Menschen, die miteinander reden müssen. Am Programmieren reizt mich nicht der Code, sondern die Architektur. Eine App bauen ist leicht. Fünfzig Apps bauen, die skalieren, ist die Aufgabe. ### Konzernweite Zonenkonzepte *Konzepte* Ein Zonenkonzept, das für alle Werke eines Konzerns gilt und trotzdem in jedem einzelnen anwendbar bleibt. Stahl, Pharma, Chemie, Lebensmittel, Automobil: viele Branchen, dieselbe Frage. Wie legt man konzernweit fest, was womit reden darf, wenn jedes Werk anders gewachsen ist und keines stillstehen kann? Ein konzernweites Zonenkonzept ist kein Netzplan, sondern eine Sprache. Es muss grob genug sein, dass es überall gilt, und genau genug, dass zwei Leute daraus dieselbe Firewall-Regel ableiten. Die Arbeit steckt nicht im Zeichnen, sondern im Festlegen der Begriffe. Ein Konzept, das niemand ohne mich anwenden kann, ist keins. ### Werks-Zonierung bis in die Umsetzung *Konzepte* Rund zehn detaillierte Zonenkonzepte für ein Stahlwerk und seine Schwestergesellschaften, begleitet bis in den Rollout. Nach dem konzernweiten Rahmen kam das Werk. Etwa zehn Anlagen, jede mit eigener Geschichte: gewachsene Netze, Maschinen von Herstellern, die es teilweise nicht mehr gibt, und Instandhalter, die genau wissen, warum eine Leitung dort liegt, wo sie liegt. Ich habe die Konzepte nicht abgegeben, sondern bis in die Umsetzung begleitet. Das ist der Teil, in dem sich zeigt, ob eines funktioniert: wenn jemand mit einem Kabel in der Hand dasteht und fragt, in welche Zone das jetzt gehört. Ein Konzept ist erst fertig, wenn es einmal gegen die Realität gelaufen ist. ### Netzdesign für Produktionsanlagen *Konzepte* Netze für Anlagen, die nicht stehenbleiben dürfen. Der Teil des Berufs, mit dem ich angefangen habe. Angefangen habe ich in der Automatisierungstechnik: Produktionsnetze, Switches, Redundanz. Ein Büronetz darf mal kurz weg sein. Eine Fertigungslinie nicht. Netzdesign in der OT heißt deshalb weniger Bandbreite und mehr Determinismus. Wie lange dauert eine Umschaltung, was passiert bei einem Kabelbruch, und wer merkt es zuerst, die Leitwarte oder die IT? In der Produktion ist Verfügbarkeit kein Ziel, sondern die Voraussetzung. ### Firewall-Reviews *Betrieb* Regelwerke lesen, die über Jahre gewachsen sind, und herausfinden, was davon überhaupt noch jemand braucht. Firewall-Regelwerke wachsen automatisch: Es kommt immer etwas dazu, und weggeworfen wird nichts, weil niemand mehr weiß, wofür die Regel von vor acht Jahren einmal war. Und lieber mal nicht abschalten. Ein Review ist deshalb zur Hälfte Archäologie. Man liest das Regelwerk, hält es gegen das Zonenkonzept und geht dann durch die Fälle, in denen beides nicht zusammenpasst. Meistens mit jemandem, der die Anlage kennt. Notfalls deaktivieren und schauen, wer schreit. ### Migrationen im laufenden Betrieb *Betrieb* Firewall-Migrationen und Switch-Änderungen in der Stahlbranche, bei laufender Produktion. Ein Stahlwerk steht nicht still, damit die IT etwas umbauen kann. Die neue Firewall musste also im laufenden Betrieb rein: jede Regel geprüft, jede Änderung mit einem Rückweg, jede Umschaltung in einem Zeitfenster, das die Produktion vorgibt, nicht wir. Die Technik ist dabei der kleinere Teil. Der größere: mit Instandhaltung, Leitwarte und IT an einem Tisch festzulegen, wann was passiert, und wen man anrufen kann. ### Anomalieerkennung *Betrieb* Ein System, das meldet, wenn im Produktionsnetz etwas passiert, das da nicht hingehört. Anomalieerkennung in der OT klingt nach KI und ist zuerst Fleißarbeit: Man muss wissen, was normal ist, bevor man Abweichung messen kann. In einem Produktionsnetz ist das in der Theorie machbar, weil dort tatsächlich jeden Tag ungefähr dasselbe passiert. Aber woher wissen wir, was denn passieren darf? Worauf alarmieren wir? Was ist *normal*? Abstimmung und zusammen lernen ist das A und O. ### Produktvision und Anforderungen *Produkt* Produktmanagement für eine Firewall-Management-Software: festlegen, was sie können muss und wie das sexy wird. Für einen großen Automatisierungshersteller habe ich Vision und Anforderungen für die Verwaltungssoftware seiner Industrie-Firewalls mitentwickelt. Über mehrere Workshops, bis hin zum Anforderungs- und Design-Dokument. Das ist dieselbe Arbeit wie ein Zonenkonzept, nur ein Stockwerk höher: Man legt fest, wie später gearbeitet wird. Der Unterschied ist, dass ein Produkt diese Entscheidung tausendfach ausliefert und für mehr Szenarien funktionieren muss. ### Vertriebsbefähigung *Produkt* Ein Konzept, mit dem eine Vertriebsorganisation eine Netzwerkmanagement-Software erklären kann, ohne sie zu verkaufen. Vertriebsbefähigung heißt in der Praxis: Die Leute, die mit Kunden reden, sollen verstehen, wofür ein Produkt gut ist. Und ebenso, wofür nicht. Das Zweite fällt meistens hinten runter. Ich habe dafür kein Foliendeck gebaut, sondern die Fälle sortiert. Welche Kundensituation, welche Frage, welche Antwort? In einfacher Sprache und auf den Punkt. ### Schulungen zu IT/OT-Convergence *Produkt* Mehrere Schulungen für den Vertrieb eines großen Automatisierungsherstellers. Zwei Welten, die einander gern für das Problem halten. IT und OT reden unterschiedlich über dieselbe Anlage. Die eine sorgt sich um Patches, die andere darum, dass die Linie läuft. Beide haben recht, und beide halten die andere Seite für das Problem. In den Schulungen ging es deshalb weniger um Technik als um Übersetzung. Was hört ein Instandhalter, wenn jemand „Patch-Zyklus“ sagt? Was hört ein IT-Leiter, wenn jemand sagt, das könne man nicht abschalten? ### Portale, Apps, Dashboards *Software* Kundenprojekte in unserer Softwarefirma, von der Produktentscheidung bis zum Monitoring. Seit 2023 baue ich mit meinem ältesten Freund Software für Kunden: Portale, Apps, Dashboards. Wir machen die ganze Strecke, also Produktdesign, Feature-Design, Code, Betrieb und Monitoring. Das ist bewusst so zugeschnitten. Wer eine Software auch betreibt, entwirft sie anders. ### Interne Tools und Websites *Software* Werkzeuge, die nur ein Team benutzt, und öffentliche Websites, die alle sehen. Interne Werkzeuge zu programmieren, macht richtig viel Spaß. Es gibt keine Zielgruppe, nur konkrete Menschen, die das Tool jeden Tag benutzen und sofort sagen, wenn etwas nicht passt. Das Gleiche gilt für Websites. Die müssen nicht nur gut aussehen und funktionieren. Die müssen auch bedienbar sein. ### Low-Code (Nordcraft) *Software* Tief an Nordcraft beteiligt: im Produktdesign, im Code und in der Dokumentation. An [Nordcraft](https://nordcraft.com), einer Low-Code-Plattform, haben wir nicht nur gebaut, sondern mitentwickelt. Produktdesign, Code und Doku. Eine Plattform zu bauen ist der Fabrik-Fall: Man baut nicht die Anwendung, sondern das, womit andere ihre Anwendungen bauen. Jede Entscheidung wird von allen geerbt, auch die schlechten. Auf Plattformebene ist eine bequeme Abkürzung ein Fehler, mit dem tausende Leute leben müssen. ### Open Source, EU-souverän *Software* Die komplette Firma und Tool-Landschaft auf Open Source umgestellt. Jedes Werkzeug, jeder Server, jede KI. Vor einem Jahr habe ich unsere gesamte Werkzeuglandschaft umgestellt: jedes Tool, jeder Server, jede KI, EU‑souverän. Weil ich wissen will, wo unsere Kundendaten liegen. Das ist unbequem, aber nötig. Man tauscht Komfort gegen Kontrolle und merkt schnell, wie viele Selbstverständlichkeiten daran hängen, dass jemand anders den Betrieb übernimmt. Souveränität ist nicht nur Haltung, sondern eine Betriebsentscheidung mit wirtschaftlichem Impact. ### Vorträge zu Industrial Security *Reden* Mehrere Vorträge auf Kundenveranstaltungen. Unter anderem „Hör mir auf mit Cyber-Security“ und „Hack me baby, one more time“. Die Titel sind kein Witz, sondern die These. Wer im Werk steht, hat von Cyber-Security meistens genug gehört, und zwar von Leuten, die noch nie erlebt haben, was ein Produktionsstillstand kostet. Also fange ich nicht bei der Bedrohungslage an, sondern bei der Anlage. Wenn klar ist, was schiefgehen kann und für wen, redet man über Maßnahmen ganz von allein. Man gewinnt einen Saal nicht mit Zahlen, sondern mit einer Geschichte. ### Vision-Workshops zu Security *Reden* Mehrtägige Vision-Workshop mit einer Vertriebsorganisation, an dessen Ende ein Live-Zeichner ein riesiges Bild gemalt hatte. Mehrere Tage, eine ganze Vertriebsorganisation und die Frage, wohin das Portfolio eigentlich soll. Am Ende hing ein riesiges Bild an der Wand, das ein Live-Zeichner mitgezeichnet hatte. Das Bild war das Ergebnis. Es hat sichtbar gemacht, worüber sich alle einig waren, und vor allem, worüber nicht. Sehr viel mächtiger als ein Foliensatz. ### Schulungen ICS-Security *Reden* Workshop zu Industrial Control Systems und ICS-Security bei einem Automobilhersteller. Für einen Automobilhersteller habe ich ein Workshop- und Schulungskonzept zu ICS‑Security erstellt und die Schulungen gehalten. Mit Menschen, die für die Anlage verantwortlich sind. ## Ja, ich hab mir aufs Hemd gekleckert. Aber ich halte trotzdem einen echt guten Vortrag. *Wie ich arbeite* Professionalität hat sich für mich immer beim Arbeiten gezeigt, nicht am Anzug und nicht an den langen Wörtern. Ich rede geradeaus, und ich bin ein Mensch: Ich mache Fehler. Ich habe schon mehr als einen Vortrag mit Gulasch auf dem Hemd gehalten, weil ich vor meinem Slot wie ein Anfänger in der Kantine war. War trotzdem super. Ich bin aber auch der, der alles noch mal von vorne durchdenkt, wenn es nicht sauber läuft. Mich kannst du am Freitagabend anrufen mit einem Thema, das in deinem Kopf noch wirr ist. Mir kannst du Anforderungen unsortiert hinwerfen. Ich strukturiere das. ## Ich bin der Typ, der ein Wochenende an einer Software schreibt, um seine Woche zu planen. *Was mich antreibt* Vorher hatte ich alles probiert: Excel, Airtable, Notion, Fibery, Trello, Asana, Todoist, Obsidian, Wunderlist, Budibase… und das sind nur die, die mir gerade einfallen. Nichts hat zu meiner Woche gepasst, also habe ich es selbst gebaut. Programmieren war dabei nie das Ziel, immer das Mittel. Irgendwann ist daraus ein zweiter Beruf geworden: seit 2023 eine kleine Softwarefirma mit meinem ältesten Freund. Ich brauche Herausforderungen. Nicht jeden Tag, aber konsequent. Vor einem Jahr habe ich unsere komplette Firma und Tool-Landschaft auf Open Source umgestellt. Jedes Werkzeug, jeder Server, jede KI, EU-souverän. Weil ich wissen will, wo unsere Kundendaten liegen. ## Konzepte schreiben kann ich. Das allein fordert mich nicht mehr. *Wo ich mich sehe* Einen Tisch zu bauen ist langweilig. Eine Fabrik zu entwerfen, die Tische baut, ist spannend. Das ist die Ebene, die mich fordert: festzulegen, wie Konzepte geschrieben werden. In Definitionen und in Software. Mich interessieren Stellen, an denen festgelegt wird, wie gearbeitet wird. Ob das Architektur heißt, Portfolio oder Strategie, ist mir egal. Du hast dir bestimmt schon einen coolen Namen dafür überlegt. ## Sonst sind die nie so nett. *Meine Freunde über mich* > »An Max schätze ich seine direkte, ehrliche Art. Er sagt klar, wenn ihm etwas nicht passt, freut sich aber genauso offen, wenn er etwas gut findet. Auf ihn ist absolut Verlass. Und auch der Spaß mit ihm kommt nicht zu kurz, gerne auch mal mit einem gemütlichen Bier 😉« > > — Franz, Trinkt gerne Bier. > »Viel Machen, wenig Worte, und wenn, dann klar und direkt. Mit Max zusammenarbeiten macht nicht nur Spaß, sondern schafft Klarheit. Er entscheidet, spricht an, strukturiert und, am wichtigsten, sagt auch mal, wenn etwas nicht passt oder in eine falsche Richtung läuft. Entweder man lehnt seine Arbeitsweise als unkonventionell ab, oder, was ich aus eigener Erfahrung sagen kann, man liebt es, mit ihm an den eigenen Zielen und Ergebnissen zu werkeln. Max arbeitet nicht, er erschafft Projekte und verwirklicht Visionen in seinem Fachgebiet.« > > — Chris, Schreibt viel. > »Max weiß immer genau, was er will, und hat seine Ziele fest im Blick. Ich kann jederzeit mit Themen, die mich beschäftigen, zu ihm kommen und ihn um Rat bitten. Er hat immer ein offenes Ohr für mich. Und sein Musikgeschmack ist 1A 🤘« > > — Ben, Glaubt, er hätte guten Musikgeschmack. ## Lebenslauf. *Der Vollständigkeit halber* - **2018 bis heute** — Selbstständig, Beratung und Architektur für IT/OT: Zonenkonzepte, Industrial Security, Workshops und Vorträge - **2018** — Manager Cyber Risk, Deloitte GmbH: Industrial Cyber Security, Presales und Portfolioverantwortung - **2016 bis 2018** — IT Consultant, Computacenter AG: Blueprints, Migrationspläne und Produktionsnetzwerke - **2014 bis 2016** — Presales Consultant, SIEMENS AG: SCALANCE, Netzdesign für Produktionsanlagen, Schulungen für Vertrieb und Endkunden - **2012 bis 2014** — Staatlich geprüfter Industrietechnologe, SIEMENS Technik Akademie: Automatisierungstechnik mit Fokus Prozessdatenverarbeitung, Abschluss 1,11 ## Das steht auf meiner Badehose Nicht erneuert. CCNP Routing & Switching · CCNA Routing & Switching · CISSP Associate · Cisco IoT Manufacturing System Engineer · Siemens Certified Professional for Industrial Networks (Switching & Routing, Wireless LAN) ## Ich arbeite gerne mit … *Mit wem ich gerne arbeite* - Manager:innen, die auch mal Öl an den Schuhen haben, weil sie am Band was nachsehen waren. - Techniker:innen, die mir mit leuchtenden Augen erklären, warum sie mit irgendeiner Nischenlösung, die kein Mensch versteht, zwei Prozent effektiver geworden sind. - Team Leads, die eine halbe Stunde früher da waren, damit der Kaffee zum Workshop schon fertig ist. - Arbeiter:innen, die viele Fehler machen, aber jedes Mal etwas daraus mitnehmen. ## Der Kaffee geht auf mich. *Kontakt* Schreib mir, worum es geht. Ich melde mich, meistens noch am selben Tag.