Howard Ting, CEO von Opal Security – Interview-Serie

Howard Ting, CEO von Opal Security, ist ein erfahrener Cyber-Sicherheits- und Technologie-Executive, der Opal Security seit November 2025 leitet. Vor dieser Rolle war er als Executive in Residence bei Greylock tätig und verbrachte über fünf Jahre bei Cyberhaven als CEO und Aufsichtsratsmitglied, wo er das Unternehmen bei seiner Mission, Daten zu schützen und sichere Innovation zu ermöglichen, führte. Sein Hintergrund umfasst strategische Marketing-Führungspositionen bei Redis Labs und Zscaler sowie Senior-Marketing- und Produktrollen bei Nutanix, Palo Alto Networks (PANW ), Cisco (via Securent), Microsoft (MSFT ), RSA Security und frühe Erfahrungen im Bereich M&A bei Banc of America Securities. Diese Kombination aus operativer Führung, Go-to-Market-Expertise und tiefem Cyber-Sicherheits-Know-how stellt ihn einzigartig an der Spitze eines schnell wachsenden Sicherheits-Plattform-Unternehmens dar.

Opal Security ist ein modernes, identitätszentriertes Zugriffsmanagement-Unternehmen, das Unternehmen eine zentrale Plattform bietet, um zu regeln und zu sichern, wer Zugriff auf was in Cloud-, SaaS- und internen Systemen hat. Die Plattform bietet einheitliche Sichtbarkeit in Identität und Zugriffspfaden, unterstützt Selbstbedienungs- und Just-in-Time-Zugriffs-Workflows und automatisiert Zugriffs-Prüfungen, um Least-Privilege-Richtlinien im großen Maßstab durchzusetzen, was Organisationen hilft, Risiken zu reduzieren und die Einhaltung von Vorschriften in dynamischen Umgebungen zu verbessern, die menschliche Benutzer, Service-Konten und KI-Agents umfassen.

Sie sind kürzlich in die Rolle des CEO bei Opal Security eingetreten, nachdem Sie Cyberhaven durch erhebliches Wachstum geführt und Senior-Rollen bei Unternehmen wie Palo Alto Networks, Nutanix, Cisco, RSA Security, Redis und Microsoft innegehabt haben. Was hat Sie zu Opal in diesem Moment Ihrer Karriere gezogen, und wie prägt Ihre vorherige Erfahrung Ihre Überlegungen zu Zugriff, Identität und KI-nativer Sicherheit?

Zugriffs-Management wird überall schwieriger. Mehr Identitäten, mehr Maschinen, mehr Automatisierung – und der bedeutungsvolle Zugriff entsteht zunehmend innerhalb von Engineering- und Cloud-Workflows, nicht in traditionellem IT. Standard-IAM- und IGA-Tools wurden nicht für all dies entwickelt, und identitätsgetriebene Bedrohungen warten nicht darauf, dass sie aufholen.

Das hat mich zu Opal gezogen. Das Ausmaß dieses Problems ist massiv, und Opal ist bereits auf dem Weg, wohin der Markt geht. Ich habe Versionen dieses Musters zuvor gesehen. Bei RSA, Palo Alto Networks und Cyberhaven habe ich die Multi-Faktor-, Next-Generation-Firewall- und Data-Lineage-Revolutionen in Echtzeit beobachtet, und die Dynamiken hier sind verblüffend ähnlich: ein kategoriedefinierendes Problem, das schneller beschleunigt, als die meisten Anbieter reagieren können, mit einem engen Zeitfenster für das richtige Team, um es zu besitzen.

Opal hat dieses Team. Die technische und produktspezifische Grundlage ist stark, und die Kundenliste, die durch direkte und fokussierte Arbeit aufgebaut wurde, spricht für sich. Jedes Kunden-Gespräch, das ich geführt habe, hat das gleiche Signal bestätigt: Dieses Problem beschleunigt, und Opal löst es.

Was ich aus dem Aufbau und der Skalierung von Teams in Unternehmen gelernt habe, ist, dass die Ausführung radikal einfacher wird, wenn Produkt, Technik und Go-to-Market den gleichen Grad an Kundenfokus teilen. Wenn jeder das gleiche Problem und die gleiche Chance sieht, bewegt man sich schnell ohne Präzision zu verlieren. Opal hat bereits diese Grundlage. Meine Aufgabe ist, darauf aufzubauen – und sicherzustellen, dass unsere Kunden die volle Kraft dieses Teams hinter sich spüren, wenn wir skaliert werden.

Als jemand, der jahrelang in den Bereichen Identität, Cloud-Infrastruktur und Unternehmenssicherheit gearbeitet hat, wo brechen traditionelle Zugriffs-Kontroll-Modelle zusammen, wenn Organisationen AI tiefer in ihre Systeme integrieren?

Die ehrliche Antwort ist, dass die meisten traditionellen Zugriffs-Kontroll-Modelle entwickelt wurden, um Authentifizierung zu lösen – und für Menschen ist dieses Problem größtenteils gelöst. IDPs und moderne Authentifizierungsmethoden behandeln “Wer sind Sie?” vernünftig. Für nicht-menschliche Identitäten bekommen API-Schlüssel und Secrets-Management Sie teilweise dorthin. Aber Autorisierung – “Was sollten Sie dürfen, und für wie lange?” – bleibt tief ungelöst für sowohl Menschen als auch Maschinen, und das ist, wo das echte Risiko lebt.

Was dies verschärft, ist, dass Engineering-Teams nun durch Automatisierung, Infrastruktur-as-Code und KI-gestützte Tooling operieren, die neue Berechtigungen als Teil der täglichen Entwicklung erzeugen. Der Zugriff ändert sich nicht mehr langsam durch IT-Workflows – er wird programmgemäß erstellt, geändert und erweitert, oft ohne dass jemand überprüft, was gerade gewährt wurde. Das Ergebnis ist eine wachsende Ausdehnung von überberechtigten Konten, fragmentierten Privileg-Tools und Governance, die teuer, reaktiv und größtenteils blind für das, was tatsächlich passiert, ist.

Und ich werde direkt über etwas anderes sprechen: Es gibt eine enorme Menge an AI-Washing in diesem Markt. Anbieter sind dabei, “AI” an Legacy-Architekturen anzuhängen, was eine kritische Realität für Käufer verschleiert – ein durchführbares, validiertes Sicherheits- und Governance-Framework für KI-Agents existiert noch nicht. Die Hype überholt die tatsächlichen Kontrollen, und diese Lücke ist, wo echte Exposition aufgebaut wird.

Das macht Opals Ansatz anders. Anstatt Governance auf Workflows nachträglich zu montieren, modelliert Opal den Zugriff direkt aus den Systemen, die Ingenieure bereits verwenden, wendet Richtlinien in Echtzeit an und gibt Sicherheitsteams eine Möglichkeit, Autorisierungsentscheidungen zu leiten, ohne Reibung zu erzeugen. Wenn Governance natürlich in die Art und Weise, wie Ingenieure tatsächlich arbeiten, passt, hört es auf, ein Blockierer zu sein und wird zu einer Infrastruktur, der man vertrauen kann.

Opal konzentriert sich auf die Verwaltung dessen, wer und was Zugriff auf sensible Systeme in modernen, cloud-nativen Umgebungen haben kann. Welche Sicherheitsprobleme werden von Unternehmen, die mit KI-Agents und automatisierten Workflows arbeiten, am meisten unterschätzt?

Die am meisten unterschätzten Probleme sind nicht eigentlich neu. Sie sind die, die über Jahre hinweg um menschliche Identitäten stillschweigend angesammelt haben. Grundlegende Governance-Hygiene wie Joiner/Mover/Leaver-Workflows, Just-in-Time-Zugriff und Benutzer-Zugriffs-Prüfungen wurde bei den meisten Organisationen übersehen oder zusammengeflickt. Compliance-Verpflichtungen wie SOX sind nicht verschwunden, sie sind nur schwieriger zu erfüllen, da Umgebungen komplexer werden. Nichts davon ist glamourös, aber es ist genau die Grundlage, die bricht, wenn man KI-Agents darauf aufbaut.

Organisationen integrieren KI, um Workflows zu straffen und monotone Aufgaben zu eliminieren, aber dabei führen sie nicht-menschliche Identitäten ein, die Zugriffsbeziehungen in Weisen multiplizieren, die bestehende Tools nicht entwickelt wurden, um zu handhaben. Das Ergebnis ist ein chaotisches Netz, in dem menschlicher Zugriff bereits unzureichend geregelt war und maschineller Zugriff jetzt mit noch weniger Sichtbarkeit expandiert. Zugriffsentscheidungen müssen erklärbar, zeitgebunden, an tatsächliche Nutzung geknüpft und kontinuierlich überwacht werden, aber die meisten Teams verlassen sich immer noch auf statische, einheitsweise Systeme, die nichts davon liefern können. Währenddessen erzeugen Coding-Agents Code mit eingebetteten Berechtigungen, interagieren direkt mit Infrastruktur und operieren mit Zugriff, den niemand durch eine traditionelle Sicherheitslinse überprüft – eine Compliance- und Sicherheits-Exposition, die die meisten Organisationen noch nicht einmal begonnen haben, zu skizzieren.

Unternehmen, die mit KI-Agents arbeiten, neigen dazu, sich auf die Neuheit der Technologie zu konzentrieren, während sie unterschätzen, wie schnell Zugriffs-Sprawl und unsichtbare Berechtigungen zu einer ernsthaften Haftung werden – insbesondere, wenn die menschliche Identitätsgrundlage darunter bereits fragil war.

Sie haben die Sicherheit über mehrere Generationen von Infrastruktur hinweg beobachtet. Was ändert sich grundlegend, wenn maschinelle Identitäten und KI-Agents menschliche Benutzer überzahlen?

Wenn maschinelle Identitäten menschliche Benutzer überzahlen, wird es zunehmend schwierig, zu überwachen, wer Zugriff auf was hat. Traditionelles IAM wurde nicht für diese Realität entwickelt, und die meisten HR- und IAM-Plattformen bieten nur teilweise Sichtbarkeit, insbesondere, wenn die Identitätsüberwachung über ein einzelnes Team hinausgeht. Um diese Arten von Identitäten erfolgreich zu überwachen, müssen wir KI-Agents klare Eigentümerschaft, umfangreiche Berechtigungen und volle Prüfbarkeit von Anfang an geben. Opal Security behandelt dies, indem es Menschen, Dienste und Agents innerhalb eines einzigen Rahmens modelliert, anstatt sie als separate Entitäten zu behandeln.

Prüfer erwarten nun, menschliches und agantisches Verhalten Seite an Seite zu überprüfen, wenn sie Zugriffs-Prüfungen analysieren. Agents erben in der Regel die Berechtigungssätze der Benutzer, die sie bereitstellen, aber bestimmte Anwendungsfälle erfordern Agents, die als Service-Konten mit benutzerdefinierten (in der Regel heruntergeskalten) Berechtigungssätzen identifiziert werden.

KI ist zunehmend sowohl eine Angriffsfläche als auch ein Verteidigungsinstrument. Aus Ihrer Perspektive, wo verbessert KI Sicherheits-Ergebnisse heute bedeutend, und wo führt sie noch neue Risiken ein?

KI ist ein immens mächtiges Werkzeug, das die Grundlage unseres Produkts bildet. Opal Security verwendet KI, um unregelmäßigen Zugriff über Organisationen hinweg zu überwachen, zu erkennen und zu verhindern. KI ändert auch die Identitätssicherheit, da sie Akteure einführt, die nicht nur authentifizieren und Aufgaben ausführen – sie begründen, passen sich an und handeln autonom. Traditionelle Identitätssysteme wurden für Menschen und statische Service-Konten entwickelt, bei denen der Zugriff langsam änderte und die Absicht relativ vorhersehbar war.

Aber KI-Agents brechen dieses Modell. Das Risiko ist der Verlust von Sichtbarkeit und Rechenschaftspflicht. Agents können dynamisch starten und herunterfahren, Berechtigungen über Systeme hinweg ketten und im Namen von Benutzern, anderen Agents oder sich selbst handeln. Keine gesicherten Ressourcen werden “durchbrochen”, aber sensible Aktionen können dennoch auftreten, weil alles technisch autorisiert war. Das ist die neue Bedrohungsfläche. Der Weg, dies zu bewältigen, ist durch eine einheitliche, intelligente Plattform, die alle Entitätstypen durch Kontext, Verhalten und kontinuierliche Anpassung versteht und sichert.

Diese einheitliche Sicht bildet die Grundlage für Sicherheit – man kann nicht schützen, was man nicht sehen oder verstehen kann. Bei Opal glauben wir daran, jedes Verhältnis zu verstehen. Es reicht nicht aus, zu wissen, wer im System ist. Man muss wissen, wer mit wem verbunden ist und warum.

Wie sollten Sicherheitsteams least-privilege-Zugriff in der Praxis umdenken, nicht nur in Theorie, wenn KI-Coding-Agents und automatisierte Systeme innerhalb von Organisationen umfassendere Berechtigungen erhalten?

Modernes Identitäts-Zugriffs-Management muss menschliche und maschinelle Identitäten gleich behandeln, damit Unternehmen die Sichtbarkeit, Automatisierung und Vertrauen haben, die erforderlich sind, um sicher im KI-Zeitalter zu skaliert werden. In der Praxis bedeutet dies, Berechtigungen nur dann zu gewähren, wenn sie benötigt werden, und den Zugriff kontinuierlich zu überprüfen und anzupassen, wenn Aufgaben oder Rollen ändern. Automatisierte Überwachung und risikobasierte Kontrollen werden unerlässlich, um sicherzustellen, dass KI-Tools effizient arbeiten können, ohne unnötige Sicherheits-Exposition zu erzeugen.

Es ist hilfreich, JIT standardmäßig für Agents zu aktivieren, aber es reibungslos zu machen: automatisch bestimmte Ressourcen genehmigen, wenn angebracht, oder, wenn der Benutzer in einer Umgebung arbeitet, in der alle Daten sensitiv sind, die Nutzung auf sandboxed-VMs beschränken.

Obwohl neue Einschränkungen für die Nutzung von Agents möglicherweise Benutzer verärgern könnten, indem sie sie verlangsamen, ist es wichtig, den Benutzern dort zu begegnen, wo sie sind. Mit Opal bedeutet dies, dass Zugriffsanfragen in Slack eingereicht und genehmigt werden können und IaaC-Strategien, einschließlich Terraform, verwendet werden können, um Zugriffs-Gewährungen, Widerrufe und zeitgebundene Zugriffe zu automatisieren.

Basierend auf Ihrer Erfahrung im Skalieren von Sicherheitsunternehmen, welche Signale deuten darauf hin, dass die Zugriffs-Kontrollen einer Organisation nicht mehr mit der Art und Weise übereinstimmen, wie das Unternehmen tatsächlich operiert?

Organisationen können erkennen, dass ihre Zugriffs-Kontrollen aus dem Gleichgewicht sind, wenn der Zugriff hinter der Realität zurückbleibt. Dies kann sich als übermäßige oder veraltete Berechtigungen, manuelle Engpässe durch Legacy-Systeme oder die Einführung von KI-Systemen ohne aktualisierte Richtlinien zur Überwachung nicht-menschlicher Identitäten äußern. Ein weiteres deutliches Zeichen ist die Zunahme von Sicherheitsvorfällen oder Beinahe-Vorfällen, bei denen überberechtigte Konten oder schlecht geregeltere Identitäten der Schuldige sind.

Komplexe Sailpoint-Implementierungen, die auf einem Team von Beratern basieren, sowie die Überwachung des Zugriffs in Tabellen war in der Ära vor Agents nicht effizient und wird noch mehr unter der Geschwindigkeit und Komplexität von Agents zusammenbrechen. Opal liefert eine einzige Plattform, die Sicherheit, IT und Auditoren bedient. Wir stellen fest, dass RBAC brüchig ist und selten ein dauerhafter Zustand ist, sodass erfolgreiche Teams mit JIT beginnen und dann zu persona-basiertem Zugriff (mit Flexibilität und Nachverfolgung über die Zeit) übergehen, sodass Terraform-Konfigurationen versioniert, bereitgestellt oder zurückgesetzt werden können, wenn erforderlich.

Aus einer Führungs-Perspektive, wie balancieren Sie Innovations-Geschwindigkeit mit der Disziplin, die erforderlich ist, um Vertrauen in Sicherheits-Produkte aufzubauen?

Ich habe gelernt, dass großartige Unternehmen diszipliniert bleiben, wenn es um die Grundlagen geht, auch wenn sie schnell wachsen. Diese Grundlagen umfassen klare Prioritäten, transparente Kommunikation und die Bereitschaft, harte Kompromisse einzugehen. Innovation ist immer noch wichtig, aber sie muss auf Rigor basieren: starke Standardwerte, sorgfältiges Bedrohungs-Modellieren und Rechenschaftspflicht für Ergebnisse. Diese Entscheidungen bewusst zu treffen, ermöglicht es Ihnen, schnell zu bewegen, ohne Vertrauen zu gefährden, und im Laufe der Zeit wird diese Disziplin tatsächlich zu einem Wettbewerbsvorteil.

Was glauben Sie, dass Sicherheits-Führer am meisten falsch verstehen, wenn es darum geht, sich auf eine Zukunft vorzubereiten, die von autonomen Systemen und nicht von menschlich gesteuerten Zugriffen dominiert wird?

Was Sicherheits-Führer am häufigsten unterschätzen, ist die Komplexität der Verwaltung verschiedener Arten von Identitäten. Unternehmen sind so sehr darauf bedacht, voranzukommen und auf dem neuesten Stand der Technologie zu bleiben, dass Sicherheitsmaßnahmen oft außer Acht gelassen werden. KI-gesteuerte Workflows werden oft ohne klare Eigentümerschaft eingeführt, was Organisationen mit blinden Flecken zurücklässt, in denen nicht-menschliche Identitäten stillschweigend Zugriff ansammeln, außerhalb traditioneller Kontrollen operieren und neue Gelegenheiten für teure Fehler oder Bedrohungen schaffen. Die Vorbereitung auf diese Zukunft erfordert, Identität als dynamische, kontinuierlich geregelter Schicht zu behandeln.

Wenn Unternehmen wachsen, sollten Sicherheitsteams die Richtlinien für die Nutzung von Agents besitzen und bestimmen, wie, ob und wo der Zugriff von Agents auf den menschlichen Aufruf beschränkt wird. Alle Prozesse, die zuvor auf menschliche Teams aufgelagert wurden, werden einfach unter dem Umfang und der Ephemeralität von Agents zusammenbrechen: Automatisierung ist der einzige Weg, um das Anfrage-Volumen zu bewältigen.

Blickt man in die Zukunft, was sieht “gute Sicherheits-Hygiene” in einer Umgebung aus, in der KI-Systeme kontinuierlich Zugriff erstellen, ändern und anfordern?

Gute Sicherheits-Hygiene ist daran, KI zu nutzen, um Sicherheit zu skalieren, während man genug Überwachung und Disziplin aufrechterhält, um sicherzustellen, dass nichts durch die Lücken fällt. KI wird nicht verschwinden, also müssen Unternehmen, ob sie einen Anbieter wie Opal verwenden oder intern verwalten, akzeptieren, dass der Zugriff nicht mehr statisch ist. Wenn KI-Systeme kontinuierlich Zugriff erstellen, ändern und anfordern, muss die Sicherheit von einmaligen Genehmigungen zu kontinuierlicher Überwachung wechseln. Das bedeutet, den Zugriff als kontinuierlichen Lebenszyklus und nicht als einmaliges Häkchen zu behandeln.

Unternehmen werden auch aktiv KI als Teil ihrer Verteidigung einsetzen müssen. Automatisierung kann Teams helfen, mit dem Umfang und der Geschwindigkeit von Zugriffs-Änderungen Schritt zu halten, aber sie muss mit klaren Schutzschilden, Sichtbarkeit in Delegationsketten und menschlicher Rechenschaftspflicht gepaart werden, wenn etwas schiefgeht. Es ist wichtig, Erklärbarkeitssignale zu übermitteln: Shapley-Werte und Merkmalskoeffizienten für traditionelle ML-Modelle und zusätzliche Kontext oder detaillierte Rechtfertigungen von LLMs. Ohne diese Nuancen ist es ein Kampf, eine Kette des Vertrauens für den Zugriff auf sensible Geschäftsressourcen aufrechtzuerhalten.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Opal Security besuchen.