Tim Crouch
Gründer und CTO von Global Software AI. CISSP seit 2014.
Sicherheit ist seit mehr als 35 Jahren mein Beruf: zehn Jahre im Nachrichtendienst der U.S. Army mit Top-Secret-Freigabe, danach über 25 Jahre in der IT, in denen ich Sicherheitsprogramme aufgebaut, geführt und verteidigt habe, überwiegend in regulierten Finanzdienstleistungen.
Ich habe GRC bei HSBC Trinkaus, der Deutschen Bank und der Commerzbank verantwortet, nach BAIT, MaRisk, MiFID II, SWIFT und DSGVO, und eine lizenzierte deutsche Investmentgesellschaft in ihren FinTech- und TaxTech-Geschäften beraten. Ich habe ein SaaS-Unternehmen mitgegründet und war dort CISO und CTO bis zum Verkauf an einen Private-Equity-Investor im neunstelligen Bereich. Heute führe ich Global Software AI von Riga aus, entwickle CompylotAI und übernehme daneben anspruchsvolle Sicherheitsmandate.
- 35+ Jahre in der Sicherheit, 25+ in der IT
- CISSP, ISC2, seit 2014
- Riga, Lettland, tätig in ganz Europa
- Englisch (Muttersprache), Deutsch und Russisch (fortgeschritten)
- Banken, alternative Investments, SaaS, Einzelhandel, Hochschulen
- B.S. Information Technology, Excelsior College
Wie ich arbeite
Projektbasierte Beratung ist meine übliche Arbeitsweise. Ein typisches Mandat hat einen klaren Umfang, ein Festhonorar und eine Übergabe am Ende. Zuletzt habe ich für eine lizenzierte deutsche Investmentgesellschaft eine sechsmonatige Sicherheits- und GRC-Integration nach einer Übernahme geleitet: vom CEO beauftragt, umgesetzt und übergeben.
Ich arbeite praktisch mit. Ich habe ein SOC konzipiert und aufgebaut, ein vollständiges Sicherheitsprogramm in sieben Monaten eingeführt, Penetrationstests und deren Behebung geleitet und IAM, MFA, Endpoint-, SIEM- und Cloud-Kontrollen selbst konfiguriert.
Ich sage offen, was eine Kontrolle wert ist, und sage Ihnen auch, wenn eine Anforderung optional ist.
Ausgewählte Ergebnisse
- Alleiniger CISO bis zum neunstelligen Private-Equity-ExitRichtlinienwerk verfasst, Risikoanalysen durchgeführt und die Security Due Diligence des Käufers bei Education Advanced begleitet.
- Ein Sicherheitsprogramm von Grund auf in sieben MonatenRichtlinien, Endpoint-Schutz, SIEM, IAM, MFA, Forensik und Schwachstellenscans bei Sally Beauty Holdings.
- Der erste cloudbasierte Sicherheitsdienst von HSBC DeutschlandDurch Lieferantenprüfung, Auslagerungs-Risikoanalyse und aufsichtsrechtliche Freigabe gebracht.
- Ein lokales Security Operations CenterKonzipiert, aufgebaut und an das europäische SOC in Großbritannien angebunden, um die Reaktion auf Vorfälle zu beschleunigen.
- Betriebskosten um mehr als 40 % gesenktNach einer Integration infolge einer Übernahme: Der übernommene Bereich wurde vom Kosten- zum Profit-Center.
- PCI-DSS-Umfang deutlich reduziertDurch die Entfernung von Kartendaten aus Unternehmenssystemen und -netzen.
Was ich in ein Mandat einbringe
Sicherheitsprogramme mit voller Verantwortung
Strategie, Roadmap, Richtlinienwerk, Kontrollrahmen, Risikoregister, Kennzahlen und Berichte an die Geschäftsleitung, als verantwortliche Person statt als Berater auf Distanz.
Regulatorische und Framework-Readiness
ISO 27001 und SOC 2 bis zum Audit, DSGVO, DORA, MiFID II, MaRisk, BAIT, SWIFT CSP, NIST-CSF-Gap-Analysen und Reduzierung des PCI-DSS-Umfangs.
KI-Sicherheit und Governance
Bedrohungsmodellierung von KI-Systemen, Datenresidenz nach DSGVO und EU AI Act sowie Regeln für die Herkunft von Trainingsdaten, die einer Prüfung standhalten.
Dienstleister- und Auslagerungsrisiken
Due-Diligence-Programme, Bewertungen von Cloud- und Managed-Service-Auslagerungen bis zur aufsichtsrechtlichen Freigabe und Sicherheitsfragebögen aus beiden Perspektiven.
Security Operations und Incident Response
Konzeption und Aufbau von SOCs, SIEM (QRadar, Splunk), grenzüberschreitende Koordination bei Vorfällen, Forensik und Tabletop-Übungen.
Identität, Endpoint und Cloud
IAM, MFA, privilegierte Zugriffe, Joiner-Mover-Leaver-Prozess, Endpoint-Schutz und Prüfung von AWS- und GCP-Kontrollen.
Security Due Diligence bei M&A
Sell-Side-Vorbereitung bis zum neunstelligen Private-Equity-Exit, Buy-Side-Bewertung von Sicherheitslage und Team eines Zielunternehmens und die anschließende Integration.
Investment Management, FinTech und TaxTech
Sicherheits-, GRC- und Integrationsarbeit für eine lizenzierte deutsche Investmentgesellschaft und ihre FinTech- und TaxTech-Geschäfte.
Werdegang
Seit 2025
Gründer und CTO
Global Software AI, Riga
- Entwicklung von CompylotAI: KI-gestützte Compliance-Vorprüfungen für Finanzinstitute in der EU und in Deutschland, mit Dokumentenprüfung nach DSGVO, MaRisk und BAIT.
- Konzeption der Datenresidenz-Architektur in der EU und der Schweiz, damit die Plattform DSGVO und EU AI Act standhält.
- Aufbau eines KI-Kompetenz-Curriculums und einer Lernplattform für Führungskräfte und Entwickler.
2019 bis 2020 und 2025
CTO und Berater
Eine lizenzierte deutsche Investmentgesellschaft
- Beratung von CEO und Gründer zu Technologie, Sicherheit und Datenverarbeitung in den FinTech- und TaxTech-Geschäften des Unternehmens.
- 2025 Rückkehr für ein sechsmonatiges Mandat nach der Übernahme eines TaxTech-Unternehmens: Bewertung von Sicherheit, GRC-Praktiken und Team, anschließend Leitung der Integration.
- Betriebskosten des übernommenen Bereichs um mehr als 40 % gesenkt und das Team auf KI-gestützte Entwicklung umgestellt.
2016 bis 2019
Unabhängiger Berater für Cybersicherheit und GRC
HSBC Trinkaus, Deutsche Bank, Commerzbank, Frankfurt
- Gap-Analyse nach dem NIST Cybersecurity Framework und deutscher Ansprechpartner für den globalen Cybersecurity Maturity Improvement Plan von HSBC.
- Über 20 Sicherheitsprojekte nach DSGVO, BAIT, MaRisk und SWIFT bewertet und Risk, Audit, Legal, Compliance sowie den Vorstand informiert.
- Ein lokales Security Operations Center konzipiert und aufgebaut, angebunden an das europäische SOC.
2014 bis 2016
Director, Enterprise Technology, und Manager, Security Operations
Sally Beauty Holdings, Denton, Texas
- Ein Sicherheitsprogramm in sieben Monaten von Grund auf aufgebaut und geführt.
- Über 75 Projekte mit einem Budget von 4,6 Mio. US-Dollar umgesetzt, alle unter Budget und mit HA/DR von Anfang an eingeplant.
2009 bis 2021
Mitgründer, CISO und CTO
Education Advanced, Tyler, Texas
- Mitgründung eines SaaS-Unternehmens für Schulsoftware (K-12) und Verantwortung für Technologie und Sicherheit bis zum neunstelligen Verkauf an einen Private-Equity-Investor.
- Verantwortlich für die Sicherheit der mandantenfähigen Plattform: Zugriffskontrolle, Verschlüsselung, Logging, Backup, AWS-Migration sowie Penetrationstests und Behebung.
1997 bis 2014
IT-Infrastruktur und Netzwerke, bis zum Director of IT
University of Notre Dame, University of Denver, University of Texas
- Infrastruktur- und Netzwerkrollen an drei Universitäten, jeweils bis in eine Director-Position.
- An der University of Texas verantwortlich für Sicherheitsrichtlinien, Infrastruktur und Compliance (PCI-DSS, HIPAA, FERPA) einer Universität mit mehreren Standorten und ihrer Charter Schools.
- Fünf Jahre im Information Security Board des University of Texas System.
2000 bis 2005
Teamleiter Web-Support, danach IT Director
Compaq für GE Aircraft Engines und Alford Auto Group
Wo meine Laufbahn in der Sicherheit begann
Von 1987 bis 1997 war ich Vernehmungsspezialist im Nachrichtendienst der U.S. Army, mit Top-Secret-Freigabe und Einsätzen auf Russisch und Deutsch. Sicherheit war die Aufgabe: Informationen schützen, Risiken einschätzen und Menschen unter Druck lesen.
Diese Fähigkeit nutze ich bis heute am häufigsten, ob bei einem Sicherheitsvorfall oder in einer Verhandlung über Dienstleisterrisiken: ruhig bleiben, die nächste Frage stellen und bemerken, was nicht gesagt wird.
Frameworks und Werkzeuge
Regulierung und Frameworks
Plattformen und Kontrollen
Lesen Sie, wie ich über KI-Sicherheit denke
Verständliche Zusammenfassungen von NIST, OWASP, ISO/IEC 42001 und EU AI Act, zugeordnet zu den CISSP-Domänen.