David Matalon, CEO und Gründer von Venn – Interview-Serie

David Matalon, CEO und Gründer von Venn, ist ein serieller Unternehmer mit einer langen Erfolgsbilanz im Aufbau sicherer Unternehmens-Technologieplattformen. Zuvor führte er OS33, einen frühen Marktführer im Bereich sichere Arbeitsbereiche für Finanzunternehmen, und External IT, einen Pionier im Bereich gehostete IT-Dienstleistungen. Mit Venn konzentriert er sich darauf, die Sicherheit von Remote-Arbeit neu zu definieren, indem er es Organisationen ermöglicht, Bring-Your-Own-Device-(BYOD)-Modelle ohne Kompromisse bei Compliance oder Kontrolle zu adoptieren. Er nutzt seine umfassenden Erfahrungen in Cloud-Infrastruktur, Endgerätesicherheit und regulierten Branchen, um die wachsenden Herausforderungen verteilter Arbeitskräfte anzugehen.

Venn ist eine Cybersicherheits- und Remote-Arbeitsplattform, die darauf ausgelegt ist, Unternehmensdaten auf persönlichen und unverwalteten Geräten durch ihre eigene Blue-Border-Technologie zu schützen. Diese Technologie erstellt eine sichere, verschlüsselte Umgebung auf dem Computer eines Benutzers, in der Arbeitsanwendungen und -daten von persönlichen Aktivitäten isoliert sind. Im Gegensatz zu herkömmlicher virtueller Desktop-Infrastruktur ermöglicht Venn es Anwendungen, lokal mit nativer Leistung zu ausgeführt werden, während gleichzeitig strenge Datenschutz- und Compliance-Richtlinien durchgesetzt werden. Dies hilft Organisationen, den IT-Aufwand zu reduzieren, Remote-Arbeiter schnell einzubinden und die Privatsphäre durch die Trennung von Unternehmens- und persönlichen Umgebungen auf dem gleichen Gerät zu wahren.

Sie haben mehr als zwei Jahrzehnte damit verbracht, Technologie für sichere Remote-Arbeit aufzubauen, von der Gründung von Offyx in den frühen Tagen der Anwendungsservice-Provider bis zur Gründung von OS33 und jetzt Venn. Welche Lektionen aus diesen früheren Unternehmen führten Sie dazu, Venn aufzubauen, und wie haben diese Erfahrungen die Idee hinter Blue Border und Ihre Vision für die Sicherung moderner BYOD-Arbeitskräfte geprägt?

In den letzten zwei Jahrzehnten hatte ich die Gelegenheit, Unternehmen in verschiedenen Phasen der Evolution von Remote-Arbeit aufzubauen. Bei OS33 verbrachten wir Jahre damit, sichere Remote-Arbeitsumgebungen durch gehostete Infrastruktur bereitzustellen, die Technologie ähnlich wie virtuelle Desktop-Infrastruktur verwendete. Obwohl das Sicherheitsmodell funktionierte, erhielten wir ständig das gleiche Feedback von Kunden: Die Erfahrung, remote gehostete Anwendungen zu verwenden, war oft langsam, komplex zu warten und frustrierend für die Benutzer.

Dieses Feedback war ein Wendepunkt. Remote-Hosting führte zu unvermeidlicher Latenz und erforderte erhebliche Infrastruktur, was zu operativer Komplexität für IT-Teams führte. Wir begannen, eine einfache Frage zu stellen: Was, wenn Sie das Hosting ganz aus der Gleichung entfernen könnten? Anstatt Arbeit an einem anderen Ort auszuführen und sie an den Benutzer zu streamen, könnten Sie Arbeit sicher lokal auf dem Gerät des Benutzers ausführen und gleichzeitig Unternehmensdaten schützen?

Diese Überlegungen führten letztendlich zu Venn und dem Konzept hinter Blue Border. Anstatt Arbeit durch Remote-Hosting und Virtualisierung zu erzwingen, erstellten wir ein neues Modell, das es Unternehmensanwendungen ermöglicht, lokal auf dem Laptop eines Benutzers zu ausgeführt werden, während Unternehmensdaten verschlüsselt und geschützt bleiben. Selbst auf einem persönlichen Laptop bleibt die Arbeit isoliert und geschützt vor persönlichen Aktivitäten.

Künstliche Intelligenz-Tools verbreiten sich in Unternehmen schneller als Richtlinien sie einholen können. Warum ist es aus Ihrer Sicht so, dass die Governance Schwierigkeiten hat, mit der AI-Adoption in Unternehmen Schritt zu halten?

Die Governance hat Schwierigkeiten, mit der AI-Adoption Schritt zu halten, weil die Technologie fast über Nacht zu einem alltäglichen Werkzeug wurde. In den letzten Jahren seit ChatGPT explodierte, haben Mitarbeiter AI in ihre Lebens- und Arbeitsabläufe integriert. Sie warten nicht auf formale IT-Genehmigungszyklen; sie verwenden bereits AI, um schneller zu schreiben, Informationen zu analysieren, Meetings zusammenzufassen oder Code in Sekunden zu generieren. In den meisten Organisationen erfolgen Richtlinien-Erstellung, Rechtsprüfung, Sicherheitsvalidierung und IT-Einrichtung auf einer viel langsameren Zeitleiste als das Benutzerverhalten. Diese Lücke ist der Bereich, in dem AI-Governance hinterherhinkt.

Das tiefer liegende Problem ist, dass viele Organisationen versuchen, das Kontrollmodell von gestern auf die heutige AI-Realität anzuwenden. Traditionelle Governance wurde um den Schutz einer bekannten Anwendungsmenge herum aufgebaut, aber AI ist nun in Browsern, SaaS-Plattformen und sogar in Betriebssystemen eingebettet. Die Governance muss sich weiterentwickeln und sich von der Kontrolle eines vordefinierten Werkzeugsets lösen und stattdessen darauf konzentrieren, Daten zu schützen, wo immer sie sich befinden, die Arbeitsumgebung zu sichern und die Bedingungen zu definieren, unter denen sensible Informationen sicher verwendet werden können.

Viele Unternehmen versuchen, das Problem zu lösen, indem sie generative AI-Tools einschränken oder verbieten. Warum glauben Sie, dass dieser Ansatz in der Praxis scheitert, und welche unbeabsichtigten Sicherheitsrisiken kann er erzeugen?

Verbote scheitern, weil sie die Realität, wie Menschen arbeiten, ignorieren. Mitarbeiter werden AI-Tools finden, um sie zu verwenden, unabhängig von der offiziellen Genehmigung. Das schafft Schatten-AI oder die ungenehmigte Verwendung von Tools, persönlichen Konten, Copy-Paste-Arbeitsabläufen und browserbasierten Interaktionen, die außerhalb der genehmigten Überwachung stattfinden. Das Unternehmen verliert dann die Sichtbarkeit und setzt seine sensible Daten dem Risiko aus.

In vielen Fällen können restriktive Richtlinien das Risiko eher erhöhen als senken. Wenn Mitarbeiter diese Tools nicht sicher verwenden können, finden sie oft Umgehungswege. Sensible Unternehmensdaten können in Tools fließen, die von IT- oder Sicherheitsteams nicht überwacht oder kontrolliert werden. Der bessere Ansatz ist nicht das Verbot um des Verbots willen, sondern die Ermöglichung sicherer Nutzung durch Isolation, Datenkontrollen und klare Leitlinien, die es dem Unternehmen ermöglichen, voranzukommen, ohne kritische Informationen preiszugeben.

AI-Fähigkeiten werden zunehmend in alltägliche Anwendungen eingebettet, anstatt als eigenständige Tools zu existieren. Wie ändert sich dadurch die Art und Weise, wie Sicherheitsteams über die Überwachung und Kontrolle von Datenexposition nachdenken sollten?

Diese Verschiebung ist erheblich, weil sie das alte Denkmodell von “riskanter App versus genehmigter App” durchbricht. Wenn AI in E-Mail, CRM, Konferenztools, Dokumentenbearbeitung und Suche eingebettet ist, dann hängt die Datenexposition nicht mehr davon ab, ob ein Benutzer ein separates AI-Tool öffnet. Sie ist mit den Daten verbunden, die innerhalb der Anwendung zugänglich sind, dem Kontext, den die AI sehen kann, und ob diese Interaktion innerhalb einer sicheren Arbeitsumgebung stattfindet.

Daher müssen Sicherheitsteams sich auf den Schutz der Daten konzentrieren, anstatt auf vollständige Gerätesperren. Der Fokus sollte auf der Isolation von Arbeitsitzungen, der Kontrolle von Copy/Paste und Downloads, der Verhinderung von Datenlecks zwischen persönlichen und geschäftlichen Kontexten und der Sicherstellung, dass sensible Informationen innerhalb einer geschützten Umgebung bleiben.

Venns Blue-Border-Technologie isoliert Arbeitsanwendungen und -daten lokal auf dem Gerät eines Benutzers, anstatt auf herkömmliche virtuelle Desktop-Infrastruktur zu setzen. Wie verändert diese Architektur grundlegend das Endgerätesicherheitsmodell für Remote-Arbeit?

Blue Border verändert das Endgerätesicherheitsmodell grundlegend, indem es über die Idee hinausgeht, dass Sicherheit entweder vollständige Gerätekontrolle oder Virtualisierung erfordert. Traditionelle VDI sichert Arbeit, indem sie remote gehostet und an den Benutzer gestreamt wird. Blue Border sichert Arbeit direkt auf dem persönlichen Gerät des Benutzers, indem sie eine IT-kontrollierte sichere Umgebung erstellt, in der Anwendungen lokal ausgeführt werden und Unternehmensdaten isoliert und geschützt bleiben.

Das Ergebnis ist ein anderes Sicherheitsmodell für Remote-Arbeit, bei dem Unternehmen Schutz um die Arbeit selbst herum aufbauen können, ohne dass company-eigene Geräte ausgegeben oder Benutzer mit der Verzögerung und Latenz konfrontiert werden, die durch das Hosting eines Desktops in der Cloud entsteht.

Aus architektonischer Sicht verschiebt sich das Modell von der Kontrolle des gesamten Endgeräts oder der Zentralisierung von Sicherheitsprotokollen hin zum Schutz der Arbeitsumgebung, wo sie sich befindet. Blue Border stellt sicher, dass sensible Daten die geschützte, lokale Umgebung nie verlassen und innerhalb dieser Grenze Richtlinien durchsetzt. Es verhindert Datenlecks auf die persönliche Seite des Geräts. Als Ergebnis können Benutzer native Rechen- und Anwendungsleistung genießen und von überall auf der Welt auf ihrem persönlichen Gerät arbeiten, anstatt auf einem company-eigenen Gerät.

Viele Organisationen kämpfen mit der Balance zwischen Mitarbeiter-Privatsphäre und Unternehmensüberwachung, wenn Arbeitnehmer persönliche Geräte verwenden. Wie können Sicherheitsteams sensible Daten schützen, ohne den Eindruck von Überwachung zu erwecken?

Der Schlüssel liegt darin, die Arbeit und nicht die persönliche Aktivität zu schützen. Mitarbeiter sind zu Recht unwohl, wenn Sicherheitsmaßnahmen in ihre privaten Dateien, Nachrichten, Browser-Verlauf oder persönliche Anwendungen eingreifen könnten. Auf einem BYOD-Gerät zählt Vertrauen. Wenn das Unternehmen nicht klar erklären kann, wo seine Sichtbarkeit beginnt und endet, werden Mitarbeiter das Schlimmste annehmen.

Ein stärkeres Modell ist eines, das eine klare Arbeitsumgebung für geschäftliche Aktivitäten schafft und Sicherheitskontrollen nur innerhalb dieser Grenze anwendet. Dies gibt der Organisation die Möglichkeit, Unternehmensdaten zu schützen, während den Mitarbeitern die Gewissheit gegeben wird, dass ihre persönliche Aktivität nicht beobachtet oder gesteuert wird. Datenschutz und Sicherheit müssen nicht konkurrieren, wenn die Architektur so konzipiert ist, dass sie sie sauber trennt.

Remote-Arbeit und auf Vertragsbasis beschäftigte Teams haben BYOD-Umgebungen fast unvermeidlich gemacht. Welche sind die größten Sicherheitsrisiken, die mit unverwalteten Geräten heute verbunden sind?

Das größte Risiko ist, dass unverwaltete Geräte die Grenze zwischen persönlichen und geschäftlichen Aktivitäten auslöschen. Auf dem gleichen Gerät kann ein Benutzer geschäftliche Anwendungen neben persönlicher E-Mail, Consumer-AI-Tools, Messaging-Apps, Dateifreigabediensten und nicht vertrauenswürdigen Browser-Erweiterungen haben. Ohne eine sichere Trennungsebene ist es sehr leicht, sensible Daten zu kopieren, zu cachen, herunterzuladen, als Bildschirmfoto zu erfassen oder durch Kanäle preiszugeben, die das Unternehmen nicht kontrolliert. Für Organisationen, die regulierten Daten-Sicherheitsvorschriften unterliegen, ist dies ein enormes Risiko.

Künstliche Intelligenz-Agenten und automatisierte Workflows beginnen, direkt mit Unternehmensanwendungen und -daten zu interagieren. Welche neuen Sicherheitsherausforderungen stellen diese autonomen Systeme dar?

Autonome Systeme stellen eine andere Klasse von Risiken dar, weil sie nicht nur Inhalte generieren, sondern auch handeln können. AI-Agenten, die mit Unternehmenssystemen verbunden sind, können Daten abrufen oder verschieben, Aufzeichnungen aktualisieren, Workflows auslösen oder extern kommunizieren. Das erweitert den Radius eines Fehlers, einer Fehlkonfiguration oder einer kompromittierten Identität erheblich über das hinaus, was wir bei passiven AI-Assistenten sehen.

Es wirft auch neue Fragen über Zugriff, Vertrauen und Rechenschaftspflicht auf. Welche Daten darf der Agent zugreifen? Unter welchen Bedingungen kann er handeln? Wie wird diese Aktivität protokolliert, eingeschränkt und überprüft? IT- und Sicherheitsteams müssen AI-Agenten weniger wie Software-Funktionen und mehr wie privilegierte digitale Akteure behandeln. Das bedeutet, Prinzipien wie geringste Privilegien, Segmentierung, Sitzungs-Isolation und starke Prüfbarkeit von Anfang an anzuwenden.

Wenn Organisationen generative künstliche Intelligenz in Produktivitätstools, Kunden-Support-Systeme und interne Workflows integrieren, welche Arten von sensitiven Daten-Expositionen bereiten Ihnen die meisten Sorgen?

Die Verwendung von generativer künstlicher Intelligenz im Arbeitsumfeld hat die Grenze zwischen persönlichen und Unternehmensdaten verwischt. Mitarbeiter greifen oft auf externe Tools zu, während sie mit Unternehmensinformationen arbeiten, was es sehr einfach macht, sensible Daten wie Kundenunterlagen, interne Dokumente, Quellcode oder Finanzinformationen in externe Umgebungen zu übertragen. Wenn Unternehmensdaten durch persönliche Kontexte oder unverwaltete Geräte fließen, verlieren Unternehmen die Sichtbarkeit und Kontrolle darüber, wohin diese Informationen gehen, wie sie gespeichert werden und wer sie letztendlich zugreift. Wenn AI in alltägliche Workflows eingebettet wird, müssen Organisationen diese verwischte Grenze direkt angehen, indem sie sicherstellen, dass Unternehmensdaten geschützt bleiben, auch wenn Arbeit auf persönlichen Geräten stattfindet.

Wenn man in die Zukunft blickt, wie sehen Sie die Entwicklung der Endgerätesicherheit, wenn AI-getriebene Workflows in verteilten und Remote-Arbeitskräften immer häufiger werden?

Die Endgerätesicherheit muss viel anpassungsfähiger, kontextbewusster und arbeitsplatzorientierter werden. In der Vergangenheit basierte die Endgerätesicherheit auf der Annahme, dass es sich um ein verwaltetes Gerät, einen definierten Büro-Perimeter und eine relativ stabile Menge an Geschäftsanwendungen handelte. Die Zukunft ist verteilt, AI-getrieben und zunehmend autonom. Die Sicherheit muss der Arbeit selbst folgen, wo immer sie stattfindet, ohne dass eine vollständige Kontrolle über das Gerät oder eine Blockierung der Produktivität angenommen wird.

Das erfolgreiche Modell wird das sein, das eine starke Trennung zwischen Gerät und sensiblen Daten, kontextbewusste Zugriffskontrollen und eine Architektur, die eine klare Grenze zwischen Arbeit und persönlicher Aktivität bewahrt, kombiniert. Organisationen benötigen Umgebungen, in denen Mitarbeiter, Vertragspartner und AI-aktivierte Workflows produktiv arbeiten können, aber innerhalb von Kontrollen, die Daten durch Design schützen. Die Unternehmen, die erfolgreich sein werden, sind nicht diejenigen, die die AI-Adoption verlangsamen, sondern diejenigen, die eine sichere Adaption im großen Maßstab ermöglichen.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Venn besuchen.