Aaron Fulkerson, CEO von OPAQUE – Interviewreihe

Aaron Fulkerson, CEO von OPAQUE, ist ein erfahrener Unternehmer im Bereich Unternehmenssoftware und ein Open-Source-Pionier. Seit mehr als zwei Jahrzehnten baut und skaliert er Technologieplattformen mit den Schwerpunkten Vertrauen, Daten und digitale Transformation. Bevor er 2023 zu OPAQUE kam, gründete er MindTouch und entwickelte es zu einer weit verbreiteten Wissensplattform für Unternehmen, die später von NICE Systems übernommen wurde. Anschließend leitete er die Einführung von ServiceNow Impact, einer der am schnellsten wachsenden Geschäftseinheiten in der Geschichte von ServiceNow. Im Laufe seiner Karriere hat Fulkerson an der Schnittstelle neuer Technologien, Unternehmenssoftware und offener Ökosysteme gearbeitet und mehrere Technologie-Start-ups und Organisationen beraten. In jüngster Zeit ist er zu einem prominenten Verfechter von Confidential AI geworden. Er vertritt die Auffassung, dass Datenschutz, Governance und überprüfbares Vertrauen grundlegende Anforderungen sind, wenn KI-Systeme in kritische Unternehmensabläufe eingebunden werden.

OPAQUE ist ein Unternehmen für Confidential AI, das aus dem renommierten RISELab der University of California, Berkeley hervorgegangen ist. Dasselbe Forschungsumfeld hat auch zur Entstehung von Technologien wie Apache Spark und Databricks beigetragen. Die Plattform des Unternehmens ermöglicht es Organisationen, KI-Modelle, Agenten und Arbeitsabläufe mit hochsensiblen Daten auszuführen und dabei kryptografisch überprüfbare Datenschutz- und Compliance-Garantien aufrechtzuerhalten. Statt Unternehmen zur Wahl zwischen KI-Innovation und Datensicherheit zu zwingen, nutzt OPAQUE Confidential Computing, verschlüsselte Laufzeitumgebungen und eine durch Hardware-Attestierung überprüfte Ausführung. So bleiben sensible Informationen vor, während und nach der KI-Verarbeitung geschützt. Die Technologie richtet sich an stark regulierte Branchen wie Finanzwesen, Versicherungen, Gesundheitswesen und Hightech. Zu den Kunden und Partnern zählen ServiceNow (NOW ), Anthropic, Accenture und weitere Unternehmen, die KI-Projekte aus der Pilotphase in den produktiven Betrieb überführen wollen, ohne proprietäre oder regulierte Daten offenzulegen.

Sie haben im Laufe Ihrer Karriere mehrere Unternehmensplattformen aufgebaut und skaliert. Was hat Sie dazu bewogen, CEO von OPAQUE zu werden und sich in Ihrer nächsten beruflichen Phase auf Vertrauen, Datenschutz und KI-Governance zu konzentrieren?

Ich habe fast zwei Jahrzehnte mit dem Aufbau von Unternehmensplattformen verbracht: zunächst bei MindTouch, das noch heute jährlich von einer Milliarde Nutzern verwendet wird, und dann bei ServiceNow, wo ich das am schnellsten wachsende Produkt des Unternehmens entwickelte. Beide Erfahrungen haben mir dieselbe Lektion vermittelt: Selbst die leistungsfähigste Technologie setzt sich nur durch, wenn die Menschen ihr vertrauen.

Als ich die OPAQUE-Mitgründer Raluca Ada Popa, Ion Stoica und Rishabh Poddar kennenlernte, sah ich eine seltene Kombination aus Talent und Vision. Raluca gehört weltweit zu den führenden Forschenden im Bereich Datenschutz und Sicherheit. Ion hat Databricks mitgegründet. Rishabh entwickelte die zentralen kryptografischen Systeme, die zur Grundlage von OPAQUE wurden.

Am RISELab der UC Berkeley hatten sie etwas geschaffen, das ich sofort als einen für eine ganze Generation bedeutenden Durchbruch erkannte: den kryptografischen Nachweis, dass Daten in jedem KI-Arbeitsablauf durchgehend vertraulich bleiben. Keine Versprechen. Keine Richtlinien. Ein Nachweis.

Ich sah, wohin sich KI entwickelte: zu Agenten, die autonom und mit Maschinengeschwindigkeit über Unternehmenssysteme hinweg handeln. Und ich sah dieselbe Lücke, vor der Vint Cerf seit 30 Jahren warnt: Es fehlt eine Vertrauensebene. Das Internet überlebte ohne sie, weil wir Menschen die Schutzbarriere bildeten. Das von Agenten geprägte Web wird diesen Luxus nicht haben. Das hat mich zu OPAQUE geführt.

MCP, das Model Context Protocol, etabliert sich als gemeinsame Grundlage. Dieser Standard ermöglicht KI-Agenten einen sicheren Zugriff auf Werkzeuge, Anwendungen und Daten. Wie verändert er aus Ihrer Sicht die Bereitstellung und Skalierung agentenbasierter KI in Unternehmen?

MCP ist ein wichtiger Fortschritt für die Bereitstellung und Skalierung agentenbasierter KI. Man kann es sich als universelles Verbindungsstück für KI-Arbeitsabläufe vorstellen. Es standardisiert die Anbindung von Agenten an Werkzeuge, Anwendungen und Daten, baut praktische Hürden ab und beschleunigt Experimente.

Ein standardisierter Zugriff allein macht agentenbasierte KI jedoch weder sicher noch skalierbar. Mit mehr Agenten, Werkzeugen und Datenquellen nimmt die Zahl der Verbindungen zu, und jede neue Integration vergrößert die Angriffsfläche für Datenlecks. Jeder Verbindungspunkt ohne Durchsetzung von Regeln zur Laufzeit ist ein möglicher Weg für die Offenlegung von Daten. Wenn KI-Agenten mit sensiblen Systemen und proprietärer Logik interagieren, reichen die Verschlüsselung gespeicherter Daten und Netzwerkkontrollen nicht aus. Die Sicherheitsgrenze hat sich zur Laufzeit verlagert. Mit dem Wachstum des Ökosystems wird dieser Wandel immer dringlicher.

Die Überprüfbarkeit an diesen entscheidenden Verbindungspunkten wird für Unternehmen unverzichtbar sein. Unternehmen können agentenbasierte KI skalieren, wenn sie einen Zugriff nach dem Muster von MCP mit kryptografischen Nachweisen darüber verbinden, welcher Code wo und unter welcher Richtlinie ausgeführt wurde – vor, während und nach der Ausführung. Zugriff plus Überprüfbarkeit: Diese Kombination ermöglicht den produktiven Einsatz.

Wo sehen Sie heute die größten Lücken bei Sicherheit, Richtliniendurchsetzung und Vertrauen in agentengesteuerten Systemen, während MCP den Zugriff standardisiert?

Wir haben unsere Untersuchung „2026 AI Leak Surface“ abgeschlossen und eine Zusammenfassung unserer Ergebnisse veröffentlicht: „A Dozen Ways Your AI Stack Is Bleeding Data“. Sie geht auf genau dieses Thema ein. Wir haben 46 Wege für die Offenlegung von Daten in acht Kategorien identifiziert. Sie decken die gesamte Vertrauensgrenze der KI ab: Rechen-, Steuerungs- und Anwendungsebene sowie die Übergaben zwischen ihnen. Böswillige Akteure sind dabei noch gar nicht berücksichtigt. Es handelt sich um Szenarien, in denen nichts defekt ist und die Protokolle unauffällig aussehen, das System aber trotzdem Daten preisgibt.

Die größten Lücken liegen nicht beim Zugriff; dafür bietet MCP eine Lösung. Sie liegen in dem, was nach dem Verbindungsaufbau geschieht. Die meisten Organisationen können drei grundlegende Fragen nicht beantworten: Wie verhält sich unsere KI tatsächlich? Wer kontrolliert sie? Und wie können wir nachweisen, dass Richtlinien durchgesetzt wurden?

Unsere Untersuchung zeigte: Grenzen werden konfiguriert, aber nie durchgesetzt. Eine Richtlinie steht in einem Dokument, einer Konfigurationsdatei oder einer Einstellung für die Bereitstellung, schränkt das laufende System aber nicht ein. Ein KI-Assistent für Führungskräfte trägt wesentliche, nicht öffentliche Informationen in eine Kalendereinladung ein. Ein RAG-Copilot gibt einem Junior-Analysten Finanzdaten auf Vorstandsebene weiter. Das SDK eines Anbieters schleust über zwölf Monate unbemerkt zehn Millionen Abfragen aus. In jedem dieser Fälle waren Zugriffskontrollen vorhanden. Trotzdem gelangten Daten nach außen.

Solange Unternehmen die Lücke zwischen konfigurierten und tatsächlich durchgesetzten Richtlinien nicht schließen, standardisiert MCP zwar die Haustür. Das Haus bleibt aber ungeschützt.

Welche neuen Datenschutz- und Compliance-Risiken entstehen typischerweise, wenn KI-Agenten auf sensible Systeme und proprietäre Daten zugreifen – und worauf sind Unternehmen häufig nicht vorbereitet?

Die meisten Unternehmen betrachten Datenschutz im Hinblick auf gespeicherte Daten oder Daten während der Übertragung. Dieses Modell greift bei agentengesteuerten Arbeitsabläufen nicht mehr, denn das größte Risiko ist die Offenlegung von Daten während ihrer Nutzung.

Ein Beispiel: Ein Hersteller von Hochleistungsautos setzt KI an seiner Montagelinie ein. Die Rohdaten wirken harmlos: Sensormesswerte, zeitliche Abläufe und Qualitätsprüfungen. Doch ein LLM kann heute aus solchen beiläufig anfallenden Betriebsdaten proprietäre Fertigungsprozesse rekonstruieren. Was vor fünf Jahren noch Rauschen war, ist heute eine Blaupause für einen Wettbewerber.

Unsere Untersuchung zu KI-Datenlecks dokumentiert dieses Muster in Dutzenden von Szenarien. Werkzeuge für die Betriebstelemetrie erfassen standardmäßig vollständige KI-Nutzdaten. Bei einer europäischen Bank flossen 2,1 Millionen Prompts mit personenbezogenen Informationen in eine US-amerikanische SaaS-Instanz, weil niemand die APM-Standardeinstellungen geändert hatte. Agentenspeicher geben Kontext zwischen Sitzungen weiter. Aufzeichnungen der Gedankenschritte, sogenannte Chain-of-Thought-Traces, legen vollständige Ermittlungsakten auf Observability-Plattformen offen, auf die externe Auftragnehmer zugreifen können. Herkömmliche Compliance-Rahmenwerke wurden nicht dafür entwickelt, solche Datenabflüsse zu erkennen. Sie gingen davon aus, dass Menschen Daten mit menschlicher Geschwindigkeit bewegen.

Warum wird Confidential AI zu einer notwendigen Ergänzung von MCP, und wie löst sie Probleme, die Zugriffsstandards allein nicht lösen können?

MCP regelt, wer worauf und wie zugreifen darf. Confidential AI regelt, was nach der Erteilung des Zugriffs geschieht. Es sind zwei einander ergänzende Ebenen.

Zugriffsstandards allein können eine Kompromittierung zur Laufzeit, Abweichungen von Richtlinien oder eine unbefugte Datennutzung nicht verhindern. Man kann es so betrachten: MCP bietet einen standardisierten Weg, Agenten mit Ihren Systemen zu verbinden. Confidential AI garantiert kryptografisch, dass diese Agenten nach der Anbindung nur autorisierte Handlungen ausführen können – und Sie können das nachweisen.

Confidential AI liefert diese Laufzeitgarantien für Daten, Identität, Code und Kommunikation. Sie bietet überprüfbare Ausführungsnachweise und sorgt dafür, dass Datenschutz und Richtliniendurchsetzung nicht an der Zugriffsgrenze enden, sondern auch dann bestehen bleiben, wenn KI aktiv Schlussfolgerungen zieht, Inhalte erzeugt und handelt. Ohne sie ist MCP ein solides Fundament. Ein Fundament allein macht ein Gebäude aber noch nicht sicher.

Wie sieht überprüfbares Vertrauen in der Praxis aus, wenn ein Unternehmen autonome KI-Agenten für kritische Arbeitsabläufe einsetzt?

Überprüfbares Vertrauen bedeutet, dass ich nachweisen kann, welcher Code wo und unter welcher Richtlinie ausgeführt wurde, auf welche Daten zugegriffen wurde und wie sich das System im Zeitverlauf verhalten hat.

Nehmen wir ein Versicherungsunternehmen, das KI-Agenten zur Bearbeitung von Schreiben mit Schadenersatzforderungen einsetzt. Vor der Ausführung werden die Identität des Agenten und die Integrität der Umgebung durch Hardware-Attestierung überprüft. Während der Ausführung sorgt eine kryptografische Richtlinienbindung innerhalb einer hardwaregestützten vertrauenswürdigen Ausführungsumgebung, einer Trusted Execution Environment (TEE), dafür, dass Daten geschützt bleiben und Richtlinien durchgesetzt werden. Nach der Ausführung entsteht ein manipulationssicheres Prüfprotokoll, das genau festhält, was geschehen ist.

Das Risiko agentengesteuerter Arbeitsabläufe besteht nicht darin, dass ein Agent sich verselbstständigt. Das eigentliche Risiko besteht darin, nicht nachweisen zu können, ob eine Richtlinie durchgesetzt wurde oder sensible Daten während des Agentenbetriebs geschützt blieben – vor, während und nach der Ausführung. Genau das leistet überprüfbares Vertrauen.

Warum versagt die herkömmliche menschliche Aufsicht in agentenbasierten Systemen, und wie sollten Organisationen die Governance in dieser neuen Umgebung überdenken?

Seit Jahrzehnten hatte das Internet eine unsichtbare Schutzbarriere: uns. Menschen lasen Inhalte, klickten absichtlich und handelten nicht stillschweigend über hundert Systeme hinweg gleichzeitig.

Agentenbasierte KI setzt diese Annahmen über Nacht außer Kraft. Agenten arbeiten kontinuierlich, treffen Entscheidungen mit Maschinengeschwindigkeit und lassen sich durch Umgebungen manipulieren, die für Menschen konzipiert sind, von Maschinen aber ausgenutzt werden können. Eine bösartige Webseite muss eine KI nicht so täuschen wie einen Menschen; sie kann ihr einfach Anweisungen geben.

Bei einem Risiko von nur 1 % pro Agent hat ein Netzwerk aus 100 Agenten eine Wahrscheinlichkeit von 63 % für eine Sicherheitsverletzung. Bei 1.000 Agenten steigt sie auf 99,99 %. Menschliche Aufsicht kann mit diesen Zahlen nicht Schritt halten. Die Governance muss von reaktiven Überprüfungen zu Laufzeitgarantien übergehen. Das bedeutet Zero-Trust-Arbeitsabläufe, eine standardmäßige Durchsetzung von Richtlinien und eine überprüfbare Ausführung, die nicht davon abhängt, dass ein Mensch den Fehler im Nachhinein bemerkt.

Welche Sicherheitsfehler beobachten Sie am häufigsten, wenn Unternehmen ohne eingebaute Vertrauensebene mit agentenbasierter KI experimentieren?

Am häufigsten sehe ich, dass Unternehmen Agenten handeln und sich abstimmen lassen, ohne kryptografische Garantien für ihr Verhalten zu haben. Sie vertrauen ihnen sensibles geistiges Eigentum an und hoffen auf das Beste.

Die Folgen sind vorhersehbar. Wir haben die konkreten Muster in unserer Untersuchung zu KI-Datenlecks dokumentiert. Kompromittierungen zur Laufzeit umgehen herkömmliche Schutzmaßnahmen an der Netzwerkgrenze, weil sich der Agent bereits im Netzwerk befindet. Autonome Agentenketten verursachen kaskadenartige Ausfälle: Ein kompromittierter Agent löst einen Dominoeffekt in verbundenen Systemen aus. Proprietäre Logik wird durch beiläufig anfallende Betriebsdaten offengelegt, die niemand überwacht. Agenten können Unternehmensabsichten nicht mehr von bösartigen Eingaben unterscheiden, weil es zur Laufzeit keine überprüfbare Identität oder Richtlinienbindung gibt.

Das sind keine hypothetischen Szenarien. Wir haben 46 Wege erfasst, auf denen Daten die vorgesehenen Kontrollgrenzen verlassen, auch wenn scheinbar nichts defekt ist. KI-Agenten erzeugen und teilen Daten mit Maschinengeschwindigkeit. Ohne überprüfbare Laufzeitschutzmaßnahmen im Arbeitsablauf breiten sich Fehler schneller aus, als ein Sicherheitsteam sie erkennen oder darauf reagieren kann.

Wie bringen führende Organisationen den Einsatz fortschrittlicher KI-Funktionen mit dem Schutz ihrer sensibelsten Datenbestände in Einklang?

Die Organisationen, die es richtig machen, betrachten Datenschutz und Governance als Beschleuniger und nicht als Bremsen. Das ist der Schlüssel.

In der Praxis sehe ich, dass führende Unternehmen fortschrittliche KI-Funktionen mit Confidential-AI-Plattformen kombinieren, die überprüfbare Garantien liefern und nicht nur Compliance-Checklisten. Sie erschließen sensible Daten für KI-Innovationen und gewährleisten zugleich, dass proprietäre Informationen geschützt bleiben, auch wenn Arbeitsabläufe autonom ablaufen.

Früher wurde zwischen Leistungsfähigkeit und Sicherheit abgewogen. Die am schnellsten vorankommenden Organisationen haben diesen vermeintlich notwendigen Kompromiss vollständig verworfen. Sie verankern überprüfbares Vertrauen im Fundament ihrer KI-Strategie und können so ihre wertvollsten Daten nutzen. Ihre Wettbewerber stecken währenddessen noch in der Pilotphase fest und betreiben KI mit bereinigten Datensätzen, die keine nennenswerten Fortschritte ermöglichen.

Wie werden sich Ihrer heutigen Einschätzung nach die Governance-Modelle für Unternehmens-KI in den nächsten Jahren entwickeln, wenn agentenbasierte Systeme von Pilotprojekten in den vollständigen produktiven Betrieb übergehen?

Governance wird sich von Papier zu Nachweisen entwickeln. Einfacher lässt es sich kaum ausdrücken. Frühe Governance-Modelle waren auf menschliche Geschwindigkeit ausgelegt: Richtlinien auf Papier, Genehmigungen vor der Bereitstellung und Überprüfungen, nachdem etwas schiefgegangen war. Agentenbasierte Systeme setzen all diese Annahmen außer Kraft. Sie arbeiten kontinuierlich, handeln autonom und erzeugen kaskadenartige Auswirkungen mit Maschinengeschwindigkeit.

Wir beobachten eine Entwicklung hin zur Überprüfbarkeit zur Laufzeit als neuer Sicherheitsgrenze. Dahinter stehen kryptografische Garantien, die das Verhalten in allen Phasen des Agentenlebenszyklus nachweisen – vor, während und nach der Ausführung. Dasselbe Muster, das wir bei HTTPS gesehen haben, wird zum Standard für den Webverkehr. Niemand diskutiert mehr darüber, ob Webverbindungen verschlüsselt werden sollten. In wenigen Jahren wird auch niemand mehr diskutieren, ob die KI-Ausführung zur Laufzeit überprüft werden sollte. Das wird eine Grundvoraussetzung sein.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten OPAQUE besuchen.