Andrew Johnson, CEO von Yardstik – Interviewreihe

Andrew Johnson, CEO von Yardstik, ist ein erfahrener Technologie‑Executive mit Hintergrund im Skalieren von wachstumsstarken Softwareunternehmen, im Aufbau von Go‑to‑Market‑Organisationen und im Vorantreiben von Unternehmensumsätzen. Er trat Yardstik 2022 als Chief Operating Officer bei, bevor er im Oktober 2024 zum CEO befördert wurde. Zuvor war Johnson Chief Revenue Officer bei Branch, wo er das Unternehmen für Workforce‑Zahlungen durch eine Phase schnellen Wachstums leitete, und verbrachte mehr als fünf Jahre bei Dialpad, unter anderem als Head of Enterprise Sales, wo er den Aufbau der Vertriebsorganisation in den USA und Kanada unterstützte. Früher in seiner Laufbahn hatte er Geschäfts‑ und Partnerentwicklungsrollen bei Compellent Technologies, das 2011 von Dell für etwa $960 million übernommen wurde.

Yardstik ist ein in Minneapolis ansässiges Unternehmen für Workforce‑Trust‑Technologie, das 2020 gegründet wurde und Betrugsprävention, Identitätsverifizierung, Hintergrundprüfungen, Credential‑Verifizierung und kontinuierliche Überwachung von Arbeitskräften über seine Human Trust Platform bereitstellt. Das Unternehmen basiert auf einer API‑first‑Architektur, die es ermöglicht, die Technologie direkt in Bewerber‑Tracking‑Systeme, Human‑Capital‑Management‑Plattformen, Gig‑Marktplätze und andere Workforce‑Anwendungen zu integrieren. Yardstik unterstützt außerdem das Model Context Protocol (MCP), das KI‑Agenten erlaubt, sich mit seiner Trust‑Infrastruktur zu verbinden und Workflows wie Hintergrundprüfungen, Identitätsverifizierung, Credential‑Screening, erneute Prüfungen und Entscheidungen innerhalb KI‑gesteuerter Einstellungs‑ und Onboarding‑Systeme zu automatisieren.

Bevor Sie zu Yardstik kamen, verbrachten Sie mehr als fünf Jahre bei Branch, wo Sie aus erster Hand einen Betrugsring beobachteten, der gestohlene Sozialversicherungsnummern nutzte, um Jobs unter fremden Identitäten zu erhalten. Wie hat diese Erfahrung Ihre Sicht auf Hintergrundprüfungen verändert, und wann haben Sie erkannt, dass die Identitätsverifizierung über eine einmalige Prüfung beim Einstellungsprozess hinausgehen muss?

Als ich bei Branch war, wurde einer unserer größten Kunden von einem Betrugsring aus Venezuela getroffen, ein Problem, das Gig‑Plattformen allgemein betrifft. Sie stehlten amerikanische Sozialversicherungsnummern und verkauften sie an Personen, die keine Berechtigung hatten, in den USA zu arbeiten. Jemand bewarb sich mit einer gestohlenen Identität, begann zu liefern, und alles schien in Ordnung, bis zur Steuersaison, als der eigentliche Inhaber der SSN eine 1099‑Rechnung für Arbeit erhielt, die er nie geleistet hatte. Das war das erste Mal, dass ich Betrug auf der anderen Seite einer Einstellungsentscheidung beobachtete, statt während des Prozesses.

Dieser Moment hat meine Sichtweise grundlegend verändert. Mir wurde klar, wie oft Personen, die eine Hintergrundprüfung bestehen, nicht die Person sind, die die Stelle antritt. Zum Beispiel schließt jemand mit sauberem Führungszeugnis die Prüfung ab, dann übernimmt ein Familienmitglied, das die Prüfung nicht hätte bestehen können, die eigentliche Schicht. Eine Hintergrundprüfung kann das nicht erfassen, weil sie nur den Bewerber auf dem Papier, einmal zu Beginn, betrachtet. Als ich zu Yardstik kam, brachte ich das, was ich bei Branch gelernt hatte, mit und arbeitete mit dem Team zusammen, um den Ansatz der kontinuierlichen Überwachung für unsere Kunden zu entwickeln.

Generative KI hat die Hürde zur Erstellung gefälschter Identitäten, gefälschter Zeugnisse, synthetischer Profile und sogar überzeugender Deepfakes drastisch gesenkt. Welche KI‑gestützten Betrugstechniken entwickeln sich heute am schnellsten, und für welche halten Sie Arbeitgeber am wenigsten vorbereitet?

Der am schnellsten voranschreitende Betrug ist derzeit nicht das auffällige Deepfake‑Video. Es handelt sich um synthetische Identität: eine echte Sozialversicherungsnummer, kombiniert mit einem falschen Namen und einer erfundenen Berufsgeschichte, zu einem scheinbar einwandfreien Profil zusammengefügt, das beim ersten Check sauber wirkt. Ergänzt man das mit KI‑Tools, die einen professionellen Lebenslauf und passende Zeugnisse erzeugen, entsteht ein Bewerber.

Am wenigsten vorbereitet sind Arbeitgeber auf die remote, nie persönlich getroffene Einstellung. Gig‑Plattformen, Remote‑IT‑Rollen, virtuelle Call‑Center. Wenn niemand im Unternehmen diese Person jemals sieht, verschwinden alle Signale, die früher einen Betrüger erkannt haben (ein nervöses Vorstellungsgespräch, ein leicht abweichender Ausweis). Genau dort operieren Betrugsringe für Remote‑Einstellungen, und die meisten Unternehmen betrachten das noch immer als das Problem anderer, bis es sie selbst trifft.

Yardstik hat sich von traditioneller Hintergrundprüfung zu einer umfassenderen Plattform entwickelt, die KI‑Betrugsprävention, Identitätsverifizierung, Credential‑Verifizierung und kontinuierliche Überwachung kombiniert. Welche Rolle spielt KI bei der Verknüpfung dieser Signale, und was kann das System erkennen, das eine konventionelle Hintergrundprüfung nicht kann?

Yardstik begann als Unternehmen für Hintergrundprüfungen, und für die meisten Kunden ist das nach wie vor ein Grundpfeiler unserer Leistungen. Eine Hintergrundprüfung ist jedoch eine Einzelsitzung: Sie wird durchgeführt, liefert ein Ergebnis, und die Daten werden verworfen. Was Betrugsprävention, Identitätsverifizierung, Credential‑Prüfungen und Monitoring zu einer Einheit verbindet, ist, dass wir die Daten nicht verwerfen. Wir führen über die Zeit ein Profil eines Kandidaten und jede neue Prüfung ergänzt dieses, anstatt bei Null zu beginnen.

Das ermöglicht es uns, Dinge zu erkennen, die eine einmalige Prüfung niemals kann. Zum Beispiel hatte ein Kunde von uns wiederholt Betrüger, die versuchten, in Agentenkonten mit Zugriff auf Kundendaten zu gelangen. Da wir dasselbe Gerät oder dieselbe leicht veränderte Identität über mehrere Versuche hinweg sehen konnten, konnten wir eingreifen, bevor es zu einer Screening‑Entscheidung kam. Eine einmalige Prüfung hätte jede dieser Bewerbungen isoliert betrachtet und alle durchgelassen.

Yardstik verwendet Signale wie persönliche Identitätsdaten, Zahlungsaktivitäten sowie Geräte- oder Standortindikatoren, um potenzielle Identitätsbetrügereien aufzudecken. Wie unterscheiden Sie wirklich verdächtiges Verhalten von ungewöhnlichem, aber legitimen Verhalten, insbesondere wenn KI‑Modelle zunehmend für die Bewertung immer komplexerer Muster verantwortlich werden?

Wir versuchen nicht, eine klare Grenze zwischen verdächtig und ungewöhnlich zu ziehen, weil es in den meisten Fällen zum Zeitpunkt der Beobachtung keine solche Grenze gibt. Was wir tun, ist, die Abweichung sichtbar zu machen. Wenn im Antrag einer Person eine Schule angegeben ist und ein Jahr später ein neuer Antrag unter derselben Identität eine andere Schule nennt, ist das einen zweiten Blick wert. Wenn jemand immer von einem iPhone aus beworben hat und plötzlich von einem Android mit einer neuen IP‑Adresse erscheint, gilt das gleiche. Keines davon bedeutet allein Betrug, aber mehrere kombinierte Signale erhöhen das Risikoprofil. Wir sind die Ebene, die markiert, was sich seit dem letzten Kontakt geändert hat, und Arbeitgebern mehr Daten liefert, um fundierte Entscheidungen zu treffen.

Yardstik gibt an, dass etwa einer von 30 Bewerbern die staatliche Ausweisprüfung nicht besteht, während täglich markierte oder doppelte Sozialversicherungsnummern blockiert werden. Welche Erkenntnisse gewinnen Sie aus diesen Daten darüber, wie sich Betrug im Personalwesen entwickelt, und wie viel davon erscheint organisiert statt opportunistisch?

Diese Daten zeigen uns, dass Identitätsbetrug bei Einstellungen kein Randproblem mehr ist. Er ist zu einer Grundkostenkomponente geworden, ähnlich wie Rückbuchungen im Zahlungsverkehr. Ein bedeutender Teil davon wirkt organisiert statt opportunistisch. Opportunistischer Betrug ist meist einmalig: jemand füllt einen Lebenslauf auf, oder manipuliert ein Abschlussdatum. Organisierter Betrug zeigt ein Muster, dieselbe Gerät oder nahezu identische Identität versucht dieselbe Art von Job bei verschiedenen Arbeitgebern, manchmal ändert dabei ein Detail, um zu sehen, was durchkommt. Das habe ich vor Jahren gesehen, als gestohlene SSNs weiterverkauft wurden, und das sehe ich heute noch. Es ist jetzt nur noch automatisiert und läuft mit viel höherem Volumen, weil generative Werkzeuge gefälschte Identitäten günstiger produzieren.

Die Identitätsprüfung umfasst zunehmend staatliche Ausweise, biometrische Daten, Lebendigkeitsprüfungen, Gerätesignale und andere Risikokennzahlen. Da generative Modelle immer besser realistische Dokumente, Gesichter und Stimmen erzeugen können, welche Signale halten Sie für am schwersten zu fälschen?

Alles, was Sie als einzelnes Artefakt erzeugen können – ein Foto, ein Dokument, sogar ein kurzes Video – wird immer leichter überzeugend zu fälschen. Was jedoch schwer zu fälschen bleibt, ist die Konsistenz über die Zeit hinweg, über Orte, die niemand gemeinsam kontrolliert. Eine synthetische Identität kann eine Lebendigkeitsprüfung mit einem ausreichend guten Deep‑Fake bestehen. Viel schwieriger ist es, wenn dieselbe Identität zudem eine passende Gerätegreschichte, ein passendes Standortmuster und einen Arbeitsverlauf hat, der sich über Arbeitgeber und Jahre hinweg wie bei einer echten Person deckt. Darauf beruht wirklich die Idee des kontinuierlichen Monitorings statt eines einzelnen Verifizierungszeitpunkts. Eine herkömmliche Prüfung liefert ein Foto, ein einzelnes Bild, das einmal aufgenommen wurde. Unsere funktioniert eher wie ein Live‑Feed, weil sie darauf ausgelegt ist, zu erkennen, wenn die einzelnen Bilder nicht mehr übereinstimmen.

Kontinuierliches Monitoring stellt einen wesentlichen Wandel dar, von der einmaligen Verifizierung hin zur Bewertung des Vertrauens über den gesamten Lebenszyklus eines Arbeitnehmers. Wie gestalten Sie ein solches System, ohne unnötige Überwachung, Fehlalarme oder Entscheidungen zu erzeugen, die Arbeitnehmer kaum verstehen oder anfechten können?

Überwachung bedeutet, jemanden zu beobachten, der nicht weiß, dass er beobachtet wird. So funktioniert das nicht. Jeder überwachte Arbeitnehmer hat eine schriftliche Einwilligung gegeben, er weiß genau, was geprüft wird, und gesetzlich müssen wir ihm eine Kopie aller gefundenen Ergebnisse sowie eine Möglichkeit zur Anfechtung bereitstellen, falls etwas falsch ist. Das ist nicht optional. Das ist das FCRA.

Der andere Aspekt ist, dass wir die Entscheidung nicht selbst treffen. Wenn bei einer überwachten Person ein Arrest erscheint, ist das ein Hinweis für den Arbeitgeber, der das prüfen muss, kein Urteil. Der ordnungsgemäße Prozess bleibt bestehen. Arbeitgeber müssen den Kandidaten benachrichtigen, ihm die Möglichkeit zur Stellungnahme geben und anschließend eine endgültige Entscheidung treffen. Unsere Aufgabe endet damit, dass wir aufzeigen, dass sich etwas geändert hat; der Arbeitgeber entscheidet, was das bedeutet und was zu tun ist, genauso wie bei einer Prüfung bei der Einstellung. Wir haben das bewusst so konzipiert.

Da Rekrutierung und Personalmanagement zunehmend agentisch werden, wo sollte die Grenze liegen zwischen einem KI‑Agenten, der Vertrauenssignale sammelt und bewertet, und der tatsächlichen, folgenreichen Einstellungsentscheidung?

Ich würde die Grenze dort ziehen, wo das Gesetz sie bereits für uns festlegt. Wir achten darauf, uns nicht als KI‑Unternehmen zu bezeichnen, weil unsere Branche die zwingende Vorgabe hat, dass ein Mensch im Entscheidungsprozess eingebunden sein muss, sobald es um einen Streitfall oder eine nachteilige Entscheidung geht. Ein Agent kann Signale sammeln, bewerten, markieren, was sich geändert hat. Was er jedoch nicht eigenständig entscheiden sollte, ist, ob jemand den Job nicht bekommt oder ihn nicht behält, weil diese Entscheidung einer verantwortlichen Person zugeordnet sein muss, die sie erklären kann, wenn sie angefochten wird.

Wenn die Einstellung von Anfang bis Ende stärker automatisiert wird, denke ich, dass diese Grenze wichtiger wird, nicht weniger. Je einfacher es wird, einem Agenten den gesamten Funnel laufen zu lassen, desto verlockender ist es, ihn auch die abschließende Entscheidung treffen zu lassen. Das Sammeln und Bewerten von Vertrauenssignalen ist genau das, was Software schneller erledigen sollte. Die Entscheidung über den Lebensunterhalt einer Person ist jedoch nichts, das ich überhaupt delegieren würde.

Mit der neuen $30 million Series B, die die Gesamtfinanzierung von Yardstik auf $65 million erhöht, welche Bereiche von KI und Betrugsprävention halten Sie jetzt für die größten Investitionsfelder, und welche technischen Probleme müssen noch gelöst werden, damit die kontinuierliche Identitätsprüfung in viel größerem Maßstab funktioniert?

Wir investieren das neue Kapital in die Teile der Betrugsprävention, die am wenigsten glamourös und am teuersten zu bauen sind. Fahrzeugberichte und OIG‑Ausschluss‑Überwachung. Automatisierte Benachrichtigungen, sobald ein Führerschein, eine Versicherungspolice oder eine Zertifizierung abläuft, anstatt bis zum nächsten Erneuerungszyklus zu warten.

Das technische Problem, das in dieser Branche von niemandem gelöst wurde, ist die Kostenfrage. Viele Länder und Bundesstaaten erheben eigene Gebühren für das Abrufen eines Datensatzes, manchmal über $100 für einen einzelnen Abruf, etwa in New York, und diese Kosten sinken nicht, nur weil man jemanden häufiger prüfen möchte. Die kontinuierliche Verifizierung so erschwinglich zu machen, dass ein Unternehmen mit Tausenden von Gig‑Arbeitern sie monatlich statt einmal im Jahr durchführen kann, ist ebenso ein Problem der Datenbeschaffung und Preisgestaltung wie ein Problem des maschinellen Lernens. Das ist derzeit das, worüber ich am meisten nachdenke.

Es entsteht ein interessanter Wettlauf: KI erleichtert gleichzeitig Identitätsbetrug und liefert Plattformen bessere Werkzeuge zu dessen Erkennung. Wenn sich beide Seiten weiterentwickeln, erwarten Sie, dass der Nachweis, dass jemand wirklich der ist, den er vorgibt zu sein, deutlich schwieriger wird, oder wird KI letztlich die digitale Identität vertrauenswürdiger machen als je zuvor?

Beides ist zutreffend, und ich glaube nicht, dass das eine das andere aufhebt. Unsere Kunden sagen häufig, sie erwarten von uns, dass wir „mit Feuer gegen Feuer kämpfen“ können. Sie wissen, dass wir moderne Lösungen für moderne Probleme benötigen. Meine ehrliche Einschätzung ist, dass digitale Identität für Systeme, die jemanden über Jahre und Plattformen hinweg verfolgen, vertrauenswürdiger wird, während sie für alles, das noch auf einen einzelnen Moment‑Check setzt, weniger vertrauenswürdig ist. Das bedeutet, dass Unternehmen, die jemanden nur einmal verifiziert haben, am stärksten exponiert sein werden, während diejenigen, die langfristig gedacht haben, im Rückblick deutlich klüger dastehen werden, als sie sich heute fühlen.

Vielen Dank für das großartige Interview, Leser, die mehr erfahren möchten, sollten Yardstik besuchen.