David Matalon, CEO und Gründer von Venn – Interview-Serie

David Matalon, CEO und Gründer von Venn, ist ein serieller Unternehmer mit einer langen Erfolgsbilanz im Aufbau sicherer Unternehmens-Technologie-Plattformen. Er hat zuvor OS33, einen frühen Marktführer im Bereich sichere Arbeitsbereiche für Finanzinstitute, und External IT, einen Pionier im Bereich gehostete IT-Dienstleistungen, geleitet. Mit Venn konzentriert er sich darauf, die Sicherheit von Remote-Arbeit neu zu definieren, indem er es Organisationen ermöglicht, Bring-Your-Own-Device- (BYOD-) Modelle ohne Kompromisse bei Compliance oder Kontrolle zu implementieren. Er nutzt dabei seine umfassenden Erfahrungen in Cloud-Infrastruktur, Endgerätesicherheit und regulierten Branchen, um die wachsenden Herausforderungen verteilter Arbeitskräfte anzugehen.

Venn ist eine Cybersicherheits- und Remote-Arbeitsplattform, die darauf ausgelegt ist, Unternehmensdaten auf persönlichen und unverwalteten Geräten durch ihre eigene Blue-Border-Technologie zu schützen. Diese Technologie erstellt eine sichere, verschlüsselte Umgebung auf dem Computer eines Benutzers, in der Arbeitsanwendungen und Daten von persönlichen Aktivitäten isoliert sind. Im Gegensatz zu herkömmlicher virtueller Desktop-Infrastruktur ermöglicht Venn es Anwendungen, lokal mit nativer Leistung zu laufen, während gleichzeitig strenge Datenschutz- und Compliance-Richtlinien durchgesetzt werden. Dies hilft Organisationen, IT-Aufwände zu reduzieren, Remote-Arbeiter schnell einzubinden und die Privatsphäre zu wahren, indem Unternehmens- und persönliche Umgebungen auf demselben Gerät getrennt werden.

Sie haben mehr als zwei Jahrzehnte damit verbracht, Technologien für sichere Remote-Arbeit aufzubauen, von der Gründung von Offyx in den frühen Tagen der Application-Service-Provider bis hin zur Gründung von OS33 und jetzt Venn. Welche Lektionen aus diesen früheren Unternehmen haben Sie dazu gebracht, Venn aufzubauen, und wie haben diese Erfahrungen die Idee hinter Blue Border und Ihre Vision für die Sicherung moderner BYOD-Arbeitskräfte geprägt?

Im Laufe der letzten zwei Jahrzehnte hatte ich die Gelegenheit, Unternehmen in verschiedenen Phasen der Entwicklung von Remote-Arbeit aufzubauen. Bei OS33 haben wir Jahre damit verbracht, sichere Remote-Arbeitsumgebungen durch gehostete Infrastruktur bereitzustellen, die Technologien ähnlich wie virtuelle Desktop-Infrastruktur (VDI) verwendete. Obwohl das Sicherheitsmodell funktionierte, erhielten wir ständig das gleiche Feedback von Kunden: Die Erfahrung, remote gehostete Anwendungen zu verwenden, war oft langsam, komplex zu warten und für Benutzer frustrierend.

Dieses Feedback war ein Wendepunkt. Remote-Hosting führte zu unvermeidlicher Latenz und erforderte erhebliche Infrastruktur, was operative Komplexität für IT-Teams mit sich brachte. Wir begannen, eine einfache Frage zu stellen: Was, wenn man das Hosting aus der Gleichung entfernen könnte? Anstatt Arbeit an einem anderen Ort auszuführen und sie an den Benutzer zu streamen, könnte man Arbeit sicher lokal auf dem Gerät des Benutzers ausführen und gleichzeitig Unternehmensdaten schützen?

Diese Überlegungen führten letztendlich zu Venn und dem Konzept hinter Blue Border. Anstatt Arbeit durch Remote-Hosting und Virtualisierung zu erzwingen, haben wir ein neues Modell entwickelt, das es Unternehmensanwendungen ermöglicht, lokal auf dem Laptop eines Benutzers zu laufen, während Unternehmensdaten verschlüsselt und geschützt bleiben. Selbst auf einem persönlichen Laptop bleibt die Arbeit isoliert und vor persönlichen Aktivitäten geschützt.

Künstliche Intelligenz-Tools verbreiten sich in Unternehmen schneller, als Richtlinien damit Schritt halten können. Warum, aus Ihrer Sicht, haben Governance-Strukturen Schwierigkeiten, mit der AI-Adoption in Organisationen Schritt zu halten?

Governance-Strukturen haben Schwierigkeiten, mit der AI-Adoption Schritt zu halten, weil die Technologie fast über Nacht zu einem alltäglichen Werkzeug wurde. In den letzten Jahren seit ChatGPT explodierte, haben Mitarbeiter AI in ihr Leben und ihre Arbeitsabläufe integriert. Sie warten nicht auf formale IT-Genehmigungszyklen; sie verwenden AI bereits, um schneller zu schreiben, Informationen zu analysieren, Meetings zusammenzufassen oder Code in Sekunden zu generieren. In den meisten Organisationen erfolgen Richtlinienentwicklung, Rechtsprüfung, Sicherheitsvalidierung und IT-Einrichtung auf einem viel langsameren Zeitplan als das Nutzerverhalten. Diese Lücke ist der Bereich, in dem AI-Governance hinterherhinkt.

Das tiefer liegende Problem ist, dass viele Organisationen versuchen, das Kontrollmodell von gestern auf die heutige AI-Realität anzuwenden. Traditionelle Governance wurde um die Genehmigung oder Sperrung einer bekannten Anwendungsmenge herum aufgebaut, aber AI ist nun in Browsern, SaaS-Plattformen und sogar in Betriebssystemen eingebettet. Governance muss sich weiterentwickeln, um nicht nur eine vordefinierte Werkzeugauswahl zu kontrollieren, sondern um Daten zu schützen, wo immer sie sich befinden, die Arbeitsumgebung zu sichern und die Bedingungen zu definieren, unter denen sensible Informationen sicher verwendet werden können.

Viele Unternehmen versuchen, das Problem zu lösen, indem sie generative AI-Tools einschränken oder verbieten. Warum glauben Sie, dass dieser Ansatz in der Praxis scheitert, und welche unbeabsichtigten Sicherheitsrisiken kann er erzeugen?

Verbote scheitern, weil sie die Realität, wie Menschen arbeiten, ignorieren. Mitarbeiter werden AI-Tools verwenden, unabhängig von der offiziellen Genehmigung. Das führt zu Schatten-AI, also unsanctionierter Nutzung von Tools, persönlichen Konten, Copy-Paste-Arbeitsabläufen und browserbasierten Interaktionen, die außerhalb der genehmigten Überwachung stattfinden. Das Unternehmen verliert dann die Sichtbarkeit und setzt seine sensiblen Daten dem Risiko aus.

In vielen Fällen können restriktive Richtlinien das Risiko sogar erhöhen, anstatt es zu senken. Wenn Mitarbeiter diese Tools nicht sicher verwenden können, finden sie oft Umgehungswege. Sensible Unternehmensdaten können in Tools fließen, die von IT- oder Sicherheitsteams nicht überwacht oder kontrolliert werden. Der bessere Ansatz ist nicht das Verbot um des Verbots willen, sondern die Ermöglichung sicherer Nutzung durch Isolation, Datenkontrollen und klare Sicherheitsvorkehrungen, die es dem Unternehmen ermöglichen, voranzukommen, ohne kritische Informationen preiszugeben.

AI-Fähigkeiten werden zunehmend in alltägliche Anwendungen eingebettet, anstatt als separate Tools zu existieren. Wie ändert sich dadurch die Art und Weise, wie Sicherheitsteams über die Überwachung und Kontrolle von Datenexposition nachdenken sollten?

Diese Veränderung ist signifikant, weil sie das alte Denkmodell von “riskanter App versus genehmigter App” durchbricht. Wenn AI in E-Mail, CRM, Konferenztools, Dokumentenbearbeitung und Suchfunktionen eingebettet ist, dann hängt Datenexposition nicht mehr davon ab, ob ein Benutzer ein separates AI-Tool öffnet. Sie ist vielmehr mit den Daten verbunden, die innerhalb der Anwendung zugänglich sind, dem Kontext, den die AI sehen kann, und ob diese Interaktion innerhalb einer sicheren Arbeitsumgebung stattfindet.

Daher müssen Sicherheitsteams sich auf den Schutz der Daten konzentrieren, anstatt auf vollständige Geräte-Sperren. Der Fokus sollte auf der Isolation von Arbeitsitzungen, der Kontrolle von Copy/Paste und Downloads, der Verhinderung von Datenlecks zwischen persönlichen und geschäftlichen Kontexten und der Gewährleistung liegen, dass sensible Informationen innerhalb einer geschützten Umgebung bleiben.

Venns Blue-Border-Technologie isoliert Arbeitsanwendungen und Daten lokal auf dem Gerät eines Benutzers, anstatt auf herkömmliche virtuelle Desktop-Infrastruktur zurückzugreifen. Wie verändert diese Architektur grundlegend das Endgeräte-Sicherheitsmodell für Remote-Arbeit?

Blue Border verändert das Endgeräte-Sicherheitsmodell grundlegend, indem es über die Idee hinausgeht, dass Sicherheit entweder vollständige Gerätekontrolle oder eine virtualisierte Desktop-Umgebung erfordert. Traditionelle VDI sichert Arbeit, indem sie remote gehostet und an den Benutzer gestreamt wird. Blue Border sichert Arbeit direkt auf dem persönlichen Gerät des Benutzers, indem sie eine IT-kontrollierte sichere Umgebung erstellt, in der Anwendungen lokal laufen und Unternehmensdaten isoliert und geschützt bleiben.

Das Ergebnis ist ein anderes Sicherheitsmodell für Remote-Arbeit, bei dem Unternehmen Schutz um die Arbeit selbst herum aufbauen können, ohne dass sie dafür Unternehmensgeräte ausgeben oder Benutzer mit der Latenz und Verzögerung konfrontieren müssen, die mit dem Hosting eines Desktops in der Cloud einhergehen.

Viele Organisationen kämpfen mit dem Gleichgewicht zwischen der Privatsphäre der Mitarbeiter und der Unternehmensüberwachung, wenn Arbeitnehmer persönliche Geräte verwenden. Wie können Sicherheitsteams sensible Daten schützen, ohne den Eindruck von Überwachung zu erwecken?

Der Schlüssel liegt darin, die Arbeit und nicht die persönliche Aktivität zu schützen. Mitarbeiter sind verständlicherweise unwohl, wenn Sicherheitsmaßnahmen in ihre privaten Dateien, Nachrichten, Browser-Verlauf oder persönliche Anwendungen eingreifen könnten. Auf einem BYOD-Gerät zählt Vertrauen. Wenn das Unternehmen nicht klar erklären kann, wo seine Sichtbarkeit beginnt und endet, werden Mitarbeiter das Schlimmste annehmen.

Ein stärkeres Modell ist eines, das eine deutliche Arbeitsumgebung für geschäftliche Aktivitäten erstellt und Sicherheitskontrollen nur innerhalb dieser Grenzen anwendet. Dies gibt der Organisation die Möglichkeit, Unternehmensdaten zu schützen, während sie den Mitarbeitern die Gewissheit gibt, dass ihre persönliche Aktivität nicht überwacht oder gesteuert wird. Privatsphäre und Sicherheit müssen nicht konkurrieren, wenn die Architektur so konzipiert ist, dass sie sie sauber trennt.

Remote-Arbeit und auf Vertragsbasis beschäftigte Teams haben BYOD-Umgebungen fast unvermeidlich gemacht. Welche sind die größten Sicherheitsrisiken, die mit unverwalteten Geräten heute verbunden sind?

Das größte Risiko ist, dass unverwaltete Geräte die Grenze zwischen persönlichen und geschäftlichen Aktivitäten auslöschen. Auf demselben Gerät kann ein Benutzer geschäftliche Anwendungen neben persönlicher E-Mail, Consumer-AI-Tools, Messaging-Apps, Datei-Teilungs-Diensten und nicht vertrauenswürdigen Browser-Erweiterungen haben. Ohne eine sichere Trennungsschicht kann es sehr leicht passieren, dass sensible Daten kopiert, zwischengespeichert, heruntergeladen, als Bildschirmfoto aufgenommen oder durch Kanäle preisgegeben werden, die das Unternehmen nicht kontrolliert. Für Organisationen, die regulierten Daten-Sicherheitsvorschriften unterliegen, ist dies ein enormes Risiko.

Künstliche Intelligenz-Agenten und automatisierte Arbeitsabläufe beginnen, direkt mit Unternehmensanwendungen und Daten zu interagieren. Welche neuen Sicherheitsherausforderungen stellen diese autonomen Systeme dar?

Autonome Systeme stellen ein anderes Risikopotenzial dar, weil sie nicht nur Inhalte generieren, sondern auch handeln können. AI-Agenten, die mit Unternehmenssystemen verbunden sind, können Daten abrufen oder verschieben, Aufzeichnungen aktualisieren, Arbeitsabläufe auslösen oder extern kommunizieren. Das erweitert den Radius eines Fehlers, einer Fehlkonfiguration oder einer Kompromittierung erheblich über das hinaus, was wir bei passiven AI-Assistenten sehen.

Es wirft auch neue Fragen zu Zugriff, Vertrauen und Rechenschaftspflicht auf. Welche Daten darf der Agent zugreifen? Unter welchen Bedingungen kann er handeln? Wie wird diese Aktivität protokolliert, eingeschränkt und überprüft? IT- und Sicherheitsteams müssen AI-Agenten weniger wie Software-Funktionen und mehr wie privilegierte digitale Akteure behandeln. Das bedeutet, Prinzipien wie geringste Privilegien, Segmentierung, Sitzungs-Isolation und starke Prüfbarkeit von Anfang an anzuwenden.

Wenn Organisationen generative künstliche Intelligenz in Produktivitätstools, Kundensupportsysteme und interne Arbeitsabläufe integrieren, welche Arten von sensiblen Datenexpositionen bereiten Ihnen die meisten Sorgen?

Die Verwendung von generativer AI im Arbeitsumfeld hat die Grenze zwischen persönlichen und Unternehmensdaten verwischt. Mitarbeiter greifen oft auf externe Tools zu, während sie mit Unternehmensinformationen arbeiten, was es sehr einfach macht, sensible Daten wie Kundenunterlagen, interne Dokumente, Quellcode oder Finanzinformationen in externe Umgebungen zu übertragen. Wenn Unternehmensdaten durch persönliche Kontexte oder unverwaltete Geräte fließen, verlieren Unternehmen die Sichtbarkeit und Kontrolle darüber, wohin diese Informationen gehen, wie sie gespeichert werden und wer sie letztendlich zugreift. Wenn AI in alltägliche Arbeitsabläufe eingebettet wird, müssen Organisationen diese verwischte Grenze direkt angehen, indem sie sicherstellen, dass Unternehmensdaten auch dann geschützt bleiben, wenn Arbeit auf persönlichen Geräten durchgeführt wird.

Wenn man in die Zukunft blickt, wie sehen Sie die Entwicklung der Endgeräte-Sicherheit, wenn AI-getriebene Arbeitsabläufe in verteilter und Remote-Arbeit häufiger werden?

Endgeräte-Sicherheit muss viel adaptiver, kontextbewusster und arbeitsplatzorientierter werden. In der Vergangenheit basierte die Endgeräte-Sicherheit auf der Annahme, dass es sich um ein verwaltetes Gerät, einen definierten Büro-Perimeter und eine relativ stabile Menge an Geschäftsanwendungen handelte. Die Zukunft ist verteilt, AI-getrieben und zunehmend autonom. Sicherheit muss der Arbeit selbst folgen, wo immer sie stattfindet, ohne davon auszugehen, dass sie die vollständige Kontrolle über das Gerät oder die Blockierung der Produktivität hat.

Das erfolgreiche Modell wird das sein, das eine starke Trennung zwischen Gerät und sensiblen Daten, kontextbewusste Zugriffskontrollen und eine Architektur, die eine klare Grenze zwischen Arbeit und persönlicher Aktivität bewahrt, kombiniert. Organisationen benötigen Umgebungen, in denen Mitarbeiter, Vertragspartner und AI-getriebene Arbeitsabläufe produktiv arbeiten können, aber innerhalb von Kontrollen, die Daten von Natur aus schützen. Die Unternehmen, die erfolgreich sein werden, sind nicht diejenigen, die die AI-Adoption verlangsamen wollen, sondern diejenigen, die eine sichere Adaption im großen Maßstab ermöglichen.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Venn besuchen.