Tarun Thakur, Mitgründer und CEO von Veza – Interview-Serie

Tarun Thakur, Mitgründer und CEO von Veza, ist ein ehemaliger leitender Angestellter bei Data Domain, Veritas und IBM und bringt Jahrzehnte Erfahrung im Aufbau von Unternehmensinfrastrukturunternehmen mit. Er gründete Veza, um die wachsende Krise der Identitätsverwaltung zu bekämpfen, mit dem Fokus auf die Bereitstellung von Klarheit und Kontrolle in komplexen hybriden und cloud-nativen Architekturen.

Veza ist eine Identitäts- und Sicherheitsplattform, die speziell für moderne, mehrere Cloud-Umgebungen entwickelt wurde und es Organisationen ermöglicht, Zugriffsrechte auf Anwendungen, Cloud-Plattformen und Daten-systeme mit unübertroffener Sichtbarkeit und Präzision zu verwalten und durchzusetzen. Mit über 125 Millionen Dollar an Finanzierung, darunter eine Serie-C-Finanzierung von 110 Millionen Dollar, die von Accel mit Beteiligung von Sequoia Capital, GV und Norwest Venture Partners angeführt wird, unterstützt Veza führende Unternehmen wie Blackstone, Autodesk, SoFi, Wynn Resorts (WYNN ) und S&P Global bei der Verhinderung von Sicherheitsverletzungen, der Minderung von Insider-Risiken und der Gewährleistung der Einhaltung von Vorschriften.

Sie haben mehrere Unternehmensinfrastrukturunternehmen erfolgreich gegründet. Was hat Sie dazu bewogen, Veza zu gründen, und wie haben Ihre Erfahrungen bei Datos IO, Data Domain und IBM Research Ihre Vision für Identitäts- und Sicherheitslösungen geprägt?

Jedes Unternehmen, das ich gegründet habe, hat einen grundlegenden blinden Fleck in der Unternehmensinfrastruktur angepackt – Daten-schutz, Widerstandsfähigkeit, Skalierbarkeit. Aber Identität war immer der fehlende Link. Bei Datos IO halfen wir dabei, kritische Daten in cloud-nativen Anwendungen zu schützen, aber wir stießen ständig auf ein tieferes Problem: Wir wussten nicht, wer Zugriff auf welche Daten hatte oder warum. Das ist ein systemisches Versagen – nicht von Speicher oder Rechenleistung, sondern von Zugriffskontrolle.

Ich gründete Veza, weil ich eine Zukunft sah, in der Identität die primäre Angriffsfläche sein würde. Und wir leben in dieser Zukunft jetzt. Die Branche hat 20 Jahre lang so getan, als ob IAM ein Checkbox-Problem wäre. Es ist nicht. Es ist eine kontinuierliche Steuerungsebene. Es ist der Ort, an dem Sicherheit, Compliance und Produktivität alle kollidieren. Unsere Mission ist es, den Zugriff nicht nur sichtbar, sondern auch handhabbar zu machen.

Schauen Sie sich nur die Übernahme von CyberArk durch Palo Alto an. Es ist das klareste Signal der Branche, dass Identität kein Back-Office-Funktion mehr ist – es ist jetzt ein wichtiger Teil der Unternehmenssicherheitsstrategie. Aber selbst mit diesem Deal fehlt der Markt noch immer, was moderne Unternehmen am meisten benötigen: Echtzeit-Einblick in das, was Identitäten können, über alle Anwendungen, Systeme und Datensätze hinweg. Das ist die Lücke, die Veza füllt.

Wir betreten eine neue Ära, in der KI-Agenten nicht nur Werkzeuge, sondern Akteure sind – autonom auf Systeme, Daten und Anwendungen zugreifen. Wie stellt sich diese Veränderung die traditionellen Paradigmen von Identitäts- und Zugriffskontrolle (IAM) in Frage?

IAM wurde für Menschen entwickelt. Agente KI bricht dieses Modell vollständig. Diese sind autonome Entitäten, die Entscheidungen treffen, Ausgaben erzeugen, Workflows auslösen und nachgelagerte Zugriffe auslösen – mit Maschinengeschwindigkeit. Doch die meisten IAM-Tools fragen immer noch: “Welche Gruppe ist diese Identität in?” Das ist lächerlich.

Der Paradigmenwechsel ist dieser: Zugriff wird nicht mehr manuell bereitgestellt – er ist emergent, dynamisch und kontextabhängig. Sie können ihn nicht mit statischen Rollen und veralteten Berechtigungen verwalten. Sie benötigen Echtzeit-Zugriffskontrolle. Sie benötigen Systeme, die verstehen, was ein KI-Agent über alle Systeme hinweg tun kann – und nicht nur, was er theoretisch “erlaubt” ist.

Veza hat sich über die wachsende Risiken nicht-menschlicher Identitäten – KI-Agenten, Service-Konten, Bots – ausgesprochen. Wie unterscheiden Sie zwischen legitimer Automatisierung und riskanter Über-Berechtigung in dynamischen Umgebungen wie DevOps oder Finanzen?

Das ist die 10-Milliarden-Dollar-Frage. Die meisten Organisationen können nicht einmal ihre nicht-menschlichen Identitäten inventarisieren, geschweige denn sie verwalten. Veza dreht das Modell um: Wir beginnen nicht mit der Identität – wir beginnen mit der Aktion. Wer oder was kann diesen S3-Bucket lesen? Wer kann Zeilen in dieser Produktionsdatenbank löschen?

In DevOps oder Finanzen ist Automatisierung unerlässlich. Aber auch Einschränkung ist unerlässlich. Sie benötigen eine feingranulare Sichtbarkeit darauf, was diese Identitäten tun können, und zwar jetzt, nicht das, was ein IAM-Ticket vor sechs Monaten gesagt hat. Und Sie müssen in der Lage sein, es sofort zu stoppen, wenn dieser Zugriff giftig wird. Das ist Veza’s Superkraft.

Wenn Unternehmen KI in kritische Workflows integrieren, wird die Echtzeit-Durchsetzung von Least-Privilege-Zugriff unerlässlich. Können Sie uns durch die Schritte führen, wie Veza diese Granularität über hybride und mehrere Cloud-Infrastrukturen hinweg ermöglicht?

Granularität ohne Automatisierung ist nutzlos. Veza verbindet sich direkt mit der Steuerungsebene – ob es sich um AWS, Salesforce (CRM ), Snowflake oder SAP handelt – und baut einen Graphen aller Berechtigungen, aller Rollen, aller Aktionen, die einer Identität zur Verfügung stehen. Menschlich oder maschinell. On-Premise oder Cloud. Es ist ein einheitliches Zugriffstuch.

Dann schichten wir einen Geschäftskontext ein – wer besitzt die Anwendung, wann wurde sie zuletzt verwendet, ist sie Teil eines kritischen Prozesses. Das ermöglicht es Ihnen, Richtlinien wie diese zu erstellen: “Kein GenAI-Agent kann auf PII zugreifen, es sei denn, es ist explizit genehmigt und protokolliert.” Und wenn etwas gegen diese Regel verstößt, kann Veza alarmieren, widerrufen oder korrigieren – in Echtzeit. Das ist, wie Sie Least-Privilege-Prinzipien auf großem Maßstab durchsetzen.

Sie haben Veza als “Zugriffskontrolle” bezeichnet. Was bedeutet das in praktischen Begriffen, und wie unterscheidet es sich von traditionellen Zugriffskontrolllösungen oder Identitätsverwaltungslösungen?

Zugriffskontrolle bedeutet, zu jedem Zeitpunkt zu wissen, was jede Identität – menschlich oder nicht-menschlich – tun kann, wo und warum. Traditionelle Tools sagen Ihnen, was einem Benutzer zugewiesen wurde. Wir sagen Ihnen, was sie tatsächlich jetzt tun können, und ob das sicher ist.

IGA-Tools führen Governance auf quartalsweise Basis durch. Veza führt Governance kontinuierlich durch. PAM-Tools konzentrieren sich auf einen kleinen Teil der privilegierten Konten. Wir decken jede Identität, jede Anwendung, jede Berechtigung ab. Und wir tun dies mit dem Kontext, um intelligente Entscheidungen zu treffen – nicht nur Log-Lärm.

Wenn wir in die Zukunft von Agentic KI blicken, wie sollten Sicherheitsarchitekturen sich entwickeln, um Schritt zu halten? Welche Fähigkeiten müssen Organisationen heute investieren, um Compliance-Verstöße oder interne Sicherheitsverletzungen morgen zu vermeiden?

Sicherheitsteams müssen aufhören, in Bezug auf Benutzer zu denken, und beginnen, in Bezug auf Aktionen zu denken. KI-Agenten gehen nicht auf und ab. Sie füllen keine Zugriffsanfragen aus. Sie starten, handeln und verschwinden.

Sie benötigen Architekturen, die zugriffsbewusst, in Echtzeit und an der Steuerungsebene sind. Das bedeutet:

• Kontinuierliche Berechtigungsüberwachung
• KI-Verhaltensbaselining
• Autonome Zugriffsrevokation
• Tamper-proof-Auditierbarkeit über alle KI-Interaktionen hinweg

Das ist nicht optional. Jeder KI-Agent ist ein potenzielles Insider-Risiko – und die Compliance-Rahmenwerke holen schnell auf. Wenn Sie nicht erklären können, wer was getan hat und warum, werden Sie Audits scheitern, Vertrauen verlieren oder Schlimmeres.

Veza zählt große Marken wie Autodesk, Blackstone und S&P Global zu seinen Kunden. Welche häufigen Muster oder Fehler sehen Sie sogar bei den reifsten Organisationen, wenn es um Identitätsverwaltung geht?

Der häufigste Fehler? Jemand anderes denkt, es sei sein Problem. IAM wird oft zwischen Sicherheit, IT, Compliance und Ingenieurwesen verwaist. Diese Fragmentierung tötet die Verantwortung.

Ein weiteres Problem ist Rollen-Sprawl – insbesondere in reifen Organisationen. Im Laufe der Zeit entfernt niemand den Zugriff, weil es riskant ist. Stattdessen erhalten Sie maximale Exposition.

Und schließlich denken die meisten Organisationen, dass Zugriffsprüfungen eine Kontrolle sind. Sie sind es nicht. Sie sind ein Pflaster. Die echte Kontrolle ist die Verhinderung von giftigem Zugriff von vornherein. Veza hilft Teams, von detektivischer zu präventiver Arbeit zu wechseln.

Das Unternehmen hat über 125 Millionen Dollar mit Unterstützung von Accel, Sequoia und GV aufgebracht. Was sagt diese Ebene an Investorenunterstützung über die Dringlichkeit der Lösung von Identitätsproblemen in der KI-Ära – und wie planen Sie, diese Dynamik zu nutzen, um Veza’s Auswirkungen zu skalieren?

Es sagt, dass wir ein generationenübergreifendes Problem lösen – und wir es genau zum richtigen Zeitpunkt tun. Identität ist jetzt die Vordertür, die Firewall und der schwächste Link zugleich. Und KI hat diese Tür gerade weit geöffnet.

Unsere Investoren verstehen, dass Veza nicht nur ein weiteres IAM-Tool ist. Wir bauen die Steuerungsebene für den Zugriff im Zeitalter der KI. Wir nutzen diese Dynamik, um die Plattformexpansion zu beschleunigen, unsere Ökosystemintegrationen zu vertiefen und global zu skalieren – insbesondere in regulierten Branchen wie Finanzdienstleistungen, Gesundheitswesen und Regierung.

Sie halten 18 Patente in Daten-Sicherheit, -Speicherung und -Verwaltung. Gibt es Bereiche der Innovation innerhalb von Veza, die Sie glauben, dass sie neue Standards für die Art und Weise setzen werden, wie die Branche Zugriffskontrolle in den nächsten zehn Jahren angeht?

Ja – zwei insbesondere.

Erstens unser Zugriffs-Graph: Es ist ein universelles Modell, das Identitäten mit Berechtigungen und Aktionen über alle Systeme hinweg in Echtzeit abbildet. Das ist grundlegend für Least-Privilege-Prinzipien, KI-Regierung und Insider-Bedrohungs-Erkennung.

Zweitens autonome Remediation. Wir investieren stark in selbstheilende Zugriffsumgebungen – in denen Verletzungen erkannt, kontextualisiert und ohne menschliche Intervention korrigiert werden. Das ist, wie man KI mit KI regiert.

In den nächsten zehn Jahren wird die Zugriffskontrolle von reaktiv zu autonom wechseln. Veza wird der Motor sein, der diesen Wechsel antreibt.

Zum Schluss haben Sie gesagt, “Talent hat keine Grenzen”. Was würden Sie technischen Gründern oder Ingenieuren raten, die heute Next-Generation-Sicherheits- oder KI-Infrastrukturunternehmen aufbauen?

Bauen Sie für die Randfälle, nicht den glücklichen Pfad. Die Zukunft ist chaotisch – multi-Cloud, multi-Agent, multi-polar. Ihre Architektur muss Chaos annehmen.

Zweitens haben Sie keine Angst, heilige Kühe in Frage zu stellen. Die Sicherheitsbranche ist voller veralteter Annahmen – “Just-in-Time-Zugriff ist ausreichend”, “Menschen sind das Problem”, “Audit bedeutet Excel”. Brechen Sie diese Modelle.

Schließlich stellen Sie Menschen ein, die von ersten Prinzipien besessen sind. Tools ändern sich. Paradigmen verschieben sich. Aber Klarheit des Denkens und der Mission gewinnt jeden Zeit. Und ja – Talent hat keine Grenzen. Bauen Sie global, bauen Sie vielfältig und bauen Sie für Auswirkungen.

Und ja – Talent hat keine Grenzen. Bauen Sie global, bauen Sie vielfältig und bauen Sie für Auswirkungen.

Vielen Dank für das großartige Interview, Leser, die mehr erfahren möchten, sollten Veza besuchen.