Dom Richter, Co-Founder bei Mondoo – Interview-Serie

Dom Richter, Co-Founder bei Mondoo, ist ein erfahrener Produktleiter mit tiefgreifender Expertise in moderner Softwareentwicklung, Produktgestaltung und Teamleitung. Mit einer Vergangenheit, die Backend-, Frontend- und Automatisierungstechnologien umfasst, hat er hochleistungsfähige Ingenieursteams durch eine Kultur des Vertrauens, der Experimentierung und der innovationsgetriebenen Entwicklung geführt. Seine Arbeit überschneidet sich mit KI, Cybersicherheit und DevOps, wo er die Zusammenarbeit, kontinuierliches Lernen und die Lieferung von bedeutungsvollem Wert für Endbenutzer betont.

Mondoo ist eine Plattform für Sicherheits- und Compliance-Automatisierung, die Organisationen ermöglicht, ihre Infrastruktur kontinuierlich zu bewerten, zu überwachen und zu sichern, unabhängig davon, ob sie in der Cloud, on-premises oder in hybriden Umgebungen betrieben wird. Durch die Nutzung von Policy-as-Code und maschinellen Lernverfahren hilft Mondoo Teams dabei, Schwachstellen zu identifizieren, Compliance-Standards durchzusetzen und die Sicherheitslage zu verbessern, ohne die Innovation zu behindern. Die Plattform integriert sich nahtlos in moderne DevOps-Workflows, was kontinuierliche Compliance für Unternehmen aller Größen realisierbar macht.

Was hat Sie dazu inspiriert, Mondoo mitzubegründen, und wie hat Ihre Vergangenheit als Hacker und Produktleiter – sowie Ihre Erfahrungen bei Google (GOOGL ), Chef und früheren Start-ups – die Mission des Unternehmens geprägt?

Als ich in den Trenches war und Systeme als Teil meines Jobs als Pen-Tester knackte, fand ich viele leicht vermeidbare Schwachstellen. Gleichzeitig war die Sicherheit oft so sehr auf die Flutung von Benutzern mit Warnungen fokussiert, dass sie den Blick auf das Wesentliche verloren. Damals dachte ich: “Es muss einen einfachen Knopf geben, den ich drücken kann, um diese Dinge zu beheben”.

Ich wechselte dann die Seiten und begann, Systeme zu verteidigen. Ich lernte, wie man Dinge im großen Maßstab mit Automatisierung und Code betreibt. Dies ist nützlich, egal ob man ein kleines Heimnetzwerk oder ein großes Technologieunternehmen betreibt. Die Ideen sind dieselben. Letztendlich war es diese Kombination aus Sicherheit und Plattform-Engineering, die mich dazu motivierte, Mondoo mitzubegründen. Ich wollte einen Unterschied in der Sicherheitslage machen, nicht nur einen weiteren Scanner hinzufügen, der mehr Warnungen generiert. Ich finde es sehr motivierend, zu sehen, wie unsere Kunden ihre Sicherheitslage mit Mondoo schnell verbessern können, nachdem sie jahrelang festgesteckt waren. Mehrere Kunden haben uns gesagt, dass Mondoo ihre offenen Schwachstellen um 60% reduziert hat, was ein großartiges Ergebnis ist. Wir versuchen, diese Zahl auf 100% mit unserer agentischen Schwachstellenverwaltung zu bringen.

Sie haben die Beseitigung – den Prozess der tatsächlichen Behebung von Schwachstellen nach ihrer Entdeckung – als Mythos bezeichnet. Warum glauben Sie, dass die Branche weiterhin stark in Scannen und Berichten investiert, während Teams bei der Durchführung der Behebungen kämpfen?

Dies ist in erster Linie das Ergebnis davon, wie Sicherheits- und Plattform-Teams aufgebaut sind, insbesondere in größeren Organisationen. Wir haben sie lange Zeit als separate Einheiten behandelt, jede mit ihren eigenen Zielen, Tools und Prioritäten. Aber Conways Gesetz beweist, was passiert: Sie liefern Ihre Organisationsstruktur statt das Problem zu lösen. Ich habe gesehen, wie beide Teams mit dem Finger auf den anderen zeigen – oft aus sehr guten Gründen.

Wir erleben jetzt endlich einen Wandel in der Branche, in dem Unternehmen erkennen, dass sie mehr aus der Sicherheit herausholen wollen. Sie wollen keinen Geschäftsblockierer. Sie wollen einen Treiber. Dank der forward-thinking-Führer, die jetzt auftauchen, um die Grenzen zu erweitern, sehen wir endlich einen Wandel in der Branche und in den Lösungen.

Wie können Organisationen die kulturelle Kluft zwischen Sicherheits- und DevOps-Teams überwinden, die oft die Beseitigung verlangsamt?

DevSecOps ist ein guter Anfang; Sie müssen Entwickler und Sicherheit näher zusammenbringen. Sie können cross-funktionale Rollen einstellen, die helfen, die Lücke zu überbrücken, wie z.B. SecOps-Ingenieure oder Plattform-Experten mit Sicherheits-Hintergrund. Es ist auch wichtig, Teams physisch zusammenzubringen. Es ist entscheidend, dass die Führung diese Prozesse fördert und eine Rolle darin spielt. Legen Sie gemeinsame Ziele und Metriken fest und verfolgen Sie diese.

Um Ihre Teams zu unterstützen, möchten Sie dann Tooling und Technologie zusammenbringen. Ich spreche nicht nur davon, Sicherheits-Tickets in Ticket-Systeme zu dumpen. Sie möchten ein gemeinsames Modell erstellen, das beiden Teams gibt, was sie benötigen. Zum Beispiel haben wir festgestellt, dass die Automatisierung von Schwachstellenbehebungen, bei der wir Plattform-Teams genug Kontext und vor allem die spezifische Behebung geben, die sie anwenden müssen, hilft, dass sie viel schneller auf Anfragen reagieren. Je mehr Sie dies mit Automatisierung kombinieren und Änderungsanfragen in Automatisierungssystemen (wie Terraform und Ansible) erstellen, desto einfacher ist es. Sie möchten auch einen guten Kommunikationsweg zurück haben, d.h. es sollte einfach für Plattform-Teams sein, Einwände zu erheben, Ausnahmen zu erhalten und systemische Probleme zu melden. All dies fördert die Zusammenarbeit und überbrückt die Lücke.

Welche Rolle sollten Führungskräfte bei der Schaffung von Verantwortung und Zusammenarbeit bei der Behebung von Sicherheitsproblemen spielen?

Als Führungskräfte haben wir zwei wichtige Beiträge zu den Fähigkeiten unserer Teams: das, was wir kommunizieren, und das, was wir messen. Wenn Führungskräfte nur über die Sammlung von Erkenntnissen und das Hinweisen auf andere Teams als Engpass sprechen, werden ihre Teams dies auf die gleiche Weise behandeln. Wenn sie die Anzahl der Sicherheitsprobleme und nicht ihre Qualität und die ergriffenen Maßnahmen messen, werden Teams dies optimieren.

Wir schaffen die richtigen Bedingungen, indem wir mit anderen Führungskräften über Grenzen hinweg zusammenarbeiten, die gemeinsame Natur dieses Bereichs anerkennen und uns auf gemeinsame Ergebnisse konzentrieren, anstatt auf siloisierte Metriken. Zeit und Zeit wieder sehen wir, dass Führungskräfte, die das gemeinsame Problem gemeinsam angehen, mehr für ihre Teams und mehr für das Unternehmen erreichen, da sie die Ergebnisse vorantreiben, die wichtig sind.

Risikobewertungen werden weit verbreitet eingesetzt, aber oft fehlt es an Kontext, und Warnmüdigkeit überwältigt viele Teams. Wie sollten Organisationen die Priorisierung neu denken, damit die richtigen Probleme behoben werden?

Für eine effektive Priorisierung benötigen Sie Geschäftskontext und technischen Kontext. Geschäftskontext umfasst das Wissen, welche digitalen Vermögenswerte das Licht am Laufen halten und geschützt werden müssen, um den guten Ruf des Unternehmens zu erhalten. Zum Beispiel sind Datenbanken, die private Bilder von Benutzern enthalten, oder Gateways, die den gesamten Web-Traffic verarbeiten, von höherer Priorität als Testsysteme, die nicht mit dem Internet verbunden sind. Wenn wir Sicherheitserkenntnisse betrachten, müssen wir den Geschäftskontext kennen. Wenn Sie “kritisch” auf einer niedrigen Priorität anzeigen, werden Ihre Teams desensibilisiert und nehmen es nicht ernst. Wenn ein Problem wirklich kritisch ist, müssen Sie deutlich machen, warum.

Als nächstes kommt der technische Kontext. Dies bedeutet, das System, seine Konfiguration, Standort, Tags, Apps, Pakete und Benutzer zu kennen. Aber das ist nicht alles. Sie müssen Ihre Sichtweise erweitern. Sie müssen verstehen, wie ein Sicherheitsproblem Ihre kritischen Systeme aussetzen kann, wie sie verbunden und integriert sind, indem Sie nicht nur ein oder zwei einzelne Systeme betrachten, sondern sie als Cluster. Wir müssen auch wissen, wie diese Systeme automatisiert und aufgebaut sind, um schnell zu sagen, wo man hinschauen und wie man das Problem an der Wurzel beheben kann.

Wie können Verteidiger KI verantwortungsvoll einsetzen, um im Wettlauf mit Angreifern, die KI zunehmend als Waffe einsetzen, voranzukommen, ohne neue Risiken zu schaffen?

Der Einsatz von KI multipliziert Ihre Fähigkeit, Schwachstellen zu beheben, und ermöglicht es, dies mit Maschinengeschwindigkeit zu tun. Wenn jedoch KI-Systeme nicht sicher sind, können sie potenziell neue Risiken für die Umgebung einführen. Beim Einsatz von KI-gesteuerten Systemen ist es wichtig, sicherzustellen, dass sie eine sichere und transparente Architektur verwenden und eine gründliche Protokollierung und Ereignisüberwachung ermöglichen. Durch die Einschränkung der Berechtigungen von Agenten auf das, was für die Ausführung der zugewiesenen Aufgaben notwendig ist, können Risiken minimiert werden. Weitere Sicherheitsmechanismen, wie z.B. die Möglichkeit für Benutzer, KI-Systeme zu unterbrechen oder herunterzufahren, wenn notwendig, und regelmäßige Audits der Agenten und ihrer Aktionen, sind auch sehr zu empfehlen.

Welche Sicherheitsmechanismen halten Sie für unerlässlich, wenn Sie der Automatisierung die Fähigkeit geben, in Produktionsumgebungen zu beheben?

Für jede Aktion, die eine Automatisierung ausführen kann, benötigen Sie Sicherheitsmechanismen, um sicherzustellen, dass sie innerhalb ihres erwarteten Umfangs handelt. Wenn Sie einen KI-Agenten erstellen und ihm freien Zugriff auf Ihre gesamte Infrastruktur geben, wird er früher oder später etwas brechen.

Glücklicherweise verstehen wir Sicherheitsmechanismen dank der unermüdlichen Arbeit in der Plattformautomatisierung über die letzten zwei Jahrzehnte wirklich gut. Moderne Automatisierungssysteme haben Einschränkungen, die die Aktionen kontrollieren, die ausgeführt werden können. Bei Mondoo kombinieren wir KI-gesteuerte Behebungen mit gegnerischen Richtlinienframeworks, die ihre Aktionen überprüfen. Jede Behebung wird in Code erstellt, kann getestet, verifiziert und wenn notwendig eingeschränkt werden.

Wie sehen Sie die Balance zwischen menschlich geführter und maschinengesteuerter Behebung in den nächsten fünf Jahren?

Ähnlich wie bei selbstfahrenden Autos werden wir Teams sehen, die maschinengesteuerte Automatisierung in immer mehr Bereichen einsetzen, Schritt für Schritt. Sie werden damit beginnen, sich auf einen Teil des Sicherheitsumfangs zu konzentrieren, wie z.B. Systeme mit niedriger Priorität, und agente Automation dafür einführen, Metriken und Ziele erstellen und dann schrittweise ausrollen. Sobald dies automatisiert ist, erweitern Sie auf andere Bereiche.

Letztendlich sollte der Fokus der Automatisierung auf Bereiche mit großer Skalierbarkeit und vielen Ähnlichkeiten liegen. Diese profitieren am meisten von der Konsistenz, die die Automatisierung bringt. Ich glaube, dass in fünf Jahren alle wichtigen Behebungsmaßnahmen maschinengesteuert sein werden und Systeme eng zwischen Sicherheit und Plattform-Betrieb integriert sein werden.

Was ist Ihre langfristige Vision für die Schwachstellenverwaltung bis zum Ende dieses Jahrzehnts?

Bis zum Ende des Jahrzehnts wird die Schwachstellenverwaltung einen viel stärkeren Fokus auf Automatisierung und Behebung haben. Unsere Aufgabe als Sicherheitsspezialisten wird sich mehr auf die Weiterentwicklung dieser Automatisierung konzentrieren, mit Plattform-Teams an der Sicherung ihrer sich entwickelnden IT-Umgebungen arbeiten. Diese Systeme werden enger integriert sein, Plattform-Automatisierung und agente KI nutzen, um Maßnahmen im großen Maßstab zu ergreifen, während sie sicher und vorhersehbar bleiben.

Für kleinere Sicherheitsteams mit begrenzten Ressourcen, welche praktischen ersten Schritte können sie unternehmen, um die Behebung und Widerstandsfähigkeit zu verbessern?

Beginnen Sie mit der Automatisierung von Patches. Introduzieren Sie die Automatisierung früh – insbesondere wenn Sie begrenzte Ressourcen haben – und integrieren Sie die Sicherheit von Anfang an. Dies ist der einfachste Schritt, der bereits die Exposition gegenüber den automatisierten Scans, die Angreifer nutzen, erheblich verringert.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Mondoo besuchen: Mondoo.