Daniel Wagner, Leiter Produkt und Technik bei Q2 – Interviewreihe

Daniel Wagner, Leiter Produkt und Technik bei Q2, ist ein erfahrener Technologie‑ und Produktleiter mit einem Hintergrund, der Künstliche Intelligenz, maschinelles Lernen, Datenplattformen, digitales Banking und die Bereitstellung von Unternehmenssoftware umfasst. Bevor er durch die Übernahme von Sensibill zu Q2 kam, verbrachte Wagner mehr als ein Jahrzehnt bei Sensibill und stieg in Führungspositionen auf, darunter Delivery Manager, Delivery Director, Director of Engineering und VP of Engineering. Er leitete Daten‑ und KI‑Teams, die Machine‑Learning‑Projekte entwickelten, beaufsichtigte mobile Lösungen für große Finanzinstitute und führte zuletzt das Engineering einer Kundendatenplattform, die sich auf Datenanreicherung und -einsichten konzentriert. Zu Beginn seiner Karriere war Wagner Mitbegründer und CEO der brasilianischen Niederlassung von Itelios, einem Anwendungsentwicklungsunternehmen, das später von Capgemini übernommen wurde, nachdem er als Software‑Ingenieur gestartet war. Q2 erwarb Sensibill im Jahr 2022, um seine Daten‑ und Machine‑Learning‑Fähigkeiten für Finanzinstitute zu stärken.

Q2 ist ein FinTech‑Unternehmen, das digitale Banking‑ und Kreditlösungen für Banken, Kreditgenossenschaften, FinTech‑Firmen und alternative Finanzanbieter bereitstellt. Seine Plattform deckt das Privat‑, Klein‑ und Geschäfts‑Banking ab, einschließlich digitaler Kunden‑On‑Boarding, Embedded Finance, Relationship Pricing, Risiko‑ und Betrugsmanagement sowie datenbasierte Personalisierung. Q2 integriert zunehmend KI in sein Produktportfolio, darunter Werkzeuge zur Steigerung der Produktivität von Bankmitarbeitern, zur Erkennung betrügerischer Aktivitäten, zur Personalisierung von Kontoinhabererlebnissen und zur Unterstützung von Finanzinstituten bei schnelleren, daten‑gestützten Entscheidungen. Das Unternehmen betreut mehr als 1.000 Finanzinstitute in seinem breiten Portfolio und positioniert seine Technologie als Infrastrukturschicht, die Finanzinstitute dabei unterstützt, ihre digitalen Services zu modernisieren und auszubauen.

Ihre Arbeit bei Q2 konzentrierte sich auf Cyber‑Resilienz und darauf, wie Organisationen sich auf Sicherheitsvorfälle vorbereiten und von ihnen erholen. Da Finanzinstitute beginnen, KI‑Agenten einzusetzen, die Aktionen ausführen können, anstatt nur Informationen zu analysieren, welche neuen Sicherheitsrisiken bereiten Ihnen am meisten Sorgen?

Cybersicherheit und Betrugsbekämpfung adressieren unterschiedliche Aspekte des Problems. Cybersicherheit ist dafür verantwortlich, den „Perimeter zu sichern“, also sicherzustellen, dass der Kontozugriff geschützt ist und die zugrunde liegende Software einwandfrei funktioniert. Meine Arbeit setzt dort an, wenn jemand bereits diesen Perimeter durchdrungen hat, und konzentriert sich darauf, festzustellen, ob die Person das ist, was sie vorgibt zu sein.

Mit dem Aufkommen von KI‑Agenten ist die Person, die durch diese Tür geht, ein delegierter Agent, der im Auftrag einer anderen Person handelt. Das Risiko, das mich am meisten beschäftigt, ist die Prompt‑Injection. Dabei manipuliert ein Betrüger den Agenten eines legitimen Nutzers, sodass dieser Aktionen ausführt, die der Nutzer nie autorisiert hat und die nicht in dessen Interesse liegen. Es ist eine neue Betrugsfront, die schwer zu erkennen sein kann.

Banken haben traditionell Identitäts‑ und Zugriffsmanagement‑Systeme um Personen, Anwendungen und Service‑Accounts herum aufgebaut. Sollte ein KI‑Agent nun als eigenständige Identität behandelt werden, und was würde das in der Praxis bedeuten?

Die klarste Analogie stammt aus dem Business‑Banking, wo delegierter Zugriff bereits ein ausgereiftes Konzept ist. Unternehmen gewähren ihren Mitarbeitern routinemäßig eingeschränkten Zugriff, um bestimmte Aufgaben zu erledigen, etwa Kontostände einzusehen, ohne ihnen die volle Autorität des Kontoinhabers zu übertragen.

Finanzinstitute sollten dasselbe Rahmenwerk auf KI‑Agenten anwenden. Ein Agent sollte so behandelt werden, wie ein Unternehmen einen menschlichen Assistenten behandelt – als eigenständige Identität mit einer klar definierten, begrenzten Rolle. Das bedeutet, von Anfang an ein Identitäts‑ und Zugriffsmanagement rund um eng begrenzte Agenten‑Berechtigungen aufzubauen, anstatt Agenten denselben Status wie dem Kontoinhaber zu verleihen.

Wenn ein KI‑Agent im Auftrag eines Mitarbeiters oder Kunden handelt, wie sollte eine Bank genau bestimmen, auf welche Daten er zugreifen darf, mit welchen Konten er interagieren kann und welche finanziellen Aktionen ihm erlaubt sind?

Beginnen Sie standardmäßig mit Nur‑Lese‑Zugriff. Das Bankwesen verfügt bereits über die Infrastruktur, um dieses Granularitätsniveau zu unterstützen, vor allem, weil das Business‑Banking es seit Jahren verlangt. Finanzinstitute können sehr präzise festlegen, was ein Agent sehen und tun darf.

Das Initiieren einer Transaktion und deren Genehmigung können als separate Berechtigungen behandelt werden, die beide zusätzlich nach Betrag oder Transaktionstyp begrenzt werden können. Viele Institute nutzen bereits Zwei‑Person‑Genehmigungszyklen für Business‑Konten, und dieser Workflow lässt sich natürlich auf Agenten übertragen. Ein Agent kann eine Aktion auslösen, aber die endgültige Genehmigung sollte beim Kontoinhaber verbleiben, sodass eine Person in den Prozess eingebunden bleibt, sobald es über das reine Anzeigen von Informationen hinausgeht.

Der Grundsatz des minimalen Zugriffs wird komplexer, wenn ein Agent Dutzende von Schritten über mehrere Systeme hinweg ausführen muss, um eine Aufgabe zu erledigen. Wie können Finanzinstitute Agenten ausreichend Befugnisse geben, um nützlich zu sein, ohne ihnen übermäßige Berechtigungen zu gewähren?

Ein Agent muss kein Geld bewegen, um nützlich zu sein. Der größte Teil des Mehrwerts, den ein Agent liefert, entsteht durch das Abrufen und Aufbereiten von Informationen, etwa Kontostände prüfen, Ausgaben verfolgen oder Trends erkennen. Das erfordert keine erweiterten Berechtigungen und ist im Wesentlichen der Grund, warum Nutzer sich überhaupt in ihre Konten einloggen. Alles darüber hinaus, etwa Geld zu transferieren oder Kontodaten zu ändern, gehört in eine separate, stärker kontrollierte Berechtigungsebene.

Betrugserkennungssysteme sind darauf ausgelegt, verdächtiges menschliches Verhalten zu identifizieren, etwa ungewöhnliche Logins oder Transaktionsmuster. Wie muss die Betrugserkennung sich weiterentwickeln, wenn legitime KI‑Agenten selbst mit Maschinen‑Geschwindigkeit arbeiten und Verhaltensweisen zeigen, die bei einem menschlichen Nutzer als abnormal gelten würden?

Einige vorhandene Kontrollen basieren stark auf der Transaktionsgeschwindigkeit als Signal. Diese Signale müssen für ein Umfeld, in dem legitime Agenten ebenfalls schnell agieren können, neu kalibriert werden. Dennoch bleiben die meisten unserer Verhaltenssignale, die das normale Verhalten eines bestimmten Nutzers und Zahlungsempfängers analysieren, weiterhin relevant, um Betrug zu erkennen. Finanzinstitute können das Verhalten zusätzlich zur Identitätsprüfung bewerten.

Zukünftig müssen Finanzinstitute die Möglichkeit haben, die Empfindlichkeit der Erkennung je nach Kontext zu erhöhen oder zu verringern und über die nötigen Berechtigungen und Protokollierungen verfügen, um den Agenten eines legitimen Nutzers von einem von einem Betrüger gesteuerten Agenten zu unterscheiden.

Was passiert, wenn ein Angreifer einen KI‑Agenten kompromittiert, seine Anweisungen manipuliert oder ihn zu einer unautorisierten Aktion verleitet? Welche Signale könnten einem Finanzinstitut helfen, eine legitime autonome Handlung von einer kompromittierten zu unterscheiden?

In diesem Szenario führt ein Agent etwas aus, das der Nutzer nie verlangt hat, häufig als Ergebnis einer Prompt‑Injection‑Attacke. Der Erkennungsansatz ändert sich jedoch grundsätzlich nicht. Wir betrachten weiterhin das Verhalten. Eine Aktion, die von den etablierten Mustern eines Nutzers abweicht, ist ein Hinweis, der markiert werden sollte, unabhängig davon, ob ein Mensch oder ein Agent sie initiiert hat.

Geldtransfers stellen einen besonders risikoreichen Anwendungsfall dar. Wo sollten Banken eine zwingende menschliche Genehmigung beibehalten, und gibt es Transaktionstypen oder Geldschwellen, bei denen autonome Agenten Ihrer Meinung nach nicht eigenständig handeln dürfen?

Ja, Grenzen sind notwendig. Wie bereits erwähnt, bietet das Business‑Banking ein Präzedenzbeispiel, das leicht auf KI‑Agenten übertragen werden kann. Temporäre Genehmigungen können einem Agenten erlauben, eine Aktion zu initiieren, doch ein Mensch muss sie noch prüfen und freigeben, bevor sie abgeschlossen wird.

In der Praxis bedeutet das, Schwellenwerte sowohl für den Wert einzelner Überweisungen als auch für die Anzahl der von einem Agenten innerhalb eines bestimmten Zeitraums initiierten Transfers festzulegen. Die zwingende menschliche Genehmigung sollte nicht ausschließlich auf Geldtransfers beschränkt sein. Beispielsweise kann das Ändern von Zahlungsdetails für einen etablierten, vertrauenswürdigen Zahlungsempfänger ebenso riskant sein wie das Überweisen von Geldern.

KI‑Agenten können zunehmend mit anderen von FinTechs, Anbietern, Kunden oder anderen Finanzinstituten betriebenen Agenten interagieren. Wie erweitert das das Risiko von Drittparteien, und wie kann eine Bank Vertrauen aufbauen, wenn sie nicht alle an einem Finanz‑Workflow beteiligten Agenten kontrollieren kann?

Hier lassen sich zwei Szenarien hervorheben. Im ersten Fall gewährt der Nutzer einem Agenten Zugriff auf sein Konto. Dieser Agent handelt im Auftrag des Nutzers und unter dessen Autorität. Wenn der Nutzer zulässt, dass dieser Agent im Rahmen eines Agent‑zu‑Agent‑Protokolls arbeitet und von anderen Agenten gesteuert wird, übernimmt der Nutzer das Risiko. Alles geschieht unter seiner Autorisierung, und die Banken werden ihre Verantwortung nicht ausweiten.

Das Risikoprofil ändert sich, wenn ein Institut einen eigenen, proprietären Agenten speziell für seine Bank entwickelt oder betreibt. In diesem Fall übernimmt das Institut die direkte Verantwortung für das Verhalten dieses Agenten, was sich von der Honorierung delegierter Zugriffe anderer Parteien unterscheidet. Finanzinstitute müssen bei jedem Dritt‑Agenten, den sie in einen Workflow einbinden, Sorgfalt walten lassen, doch ein Teil dieser Verantwortung wird letztlich auf den Endnutzer zurückgeschoben. Der „Kontroll‑Kreislauf“ des Kunden bestimmt, wie weit die Verpflichtungen des Instituts reichen.

Wenn ein autorisierter KI‑Agent eine falsche Entscheidung trifft, die zu einem finanziellen Verlust, einer Datenexposition oder einer betrügerischen Transaktion führt, wie sollte die Verantwortlichkeit zwischen dem Mitarbeiter, der die Aufgabe delegiert hat, dem Finanzinstitut, dem Technologie‑Provider und dem zugrunde liegenden Modell des Agenten aufgeteilt werden?

Reg E, die bundesstaatliche Vorschrift, die den Verbraucherschutz bei elektronischen Transaktionen regelt, gilt hier weiterhin. Sie legt die Haftungsgrenzen für Betrug und die Untersuchungsanforderungen fest, nach denen Banken arbeiten. Aufgrund von Reg E entfällt die Pflicht eines Finanzinstituts, eine strittige Transaktion zu untersuchen, nicht.

Was sich ändert, ist die zugrunde liegende Haftungsfrage. Wenn ein Nutzer bewusst Zugriff an einen Agenten delegiert hat und dieser Agent eine falsche Entscheidung trifft, sieht die Verpflichtung des Instituts, dem Nutzer den entstandenen Verlust zu erstatten, anders aus als bei unbefugtem Betrug durch Dritte.

Im Wesentlichen bedeutet die Delegierung dieser Autorität, dass der Nutzer einen Teil des damit verbundenen Risikos akzeptiert. Das Institut wird nicht die Haftung übernehmen, die dem Kontoinhaber zusteht, nur weil der Fehler von einer Software und nicht von einer Person verursacht wurde.

Mit Blick in die Zukunft, welche Sicherheits‑ und Governance‑Grundlagen sollten Banken und Kreditgenossenschaften noch heute einführen, bevor KI‑Agenten mehr Autonomie über sensitive Daten, Kundenkonten und Finanztransaktionen erhalten?

Die größte Chance besteht darin, das Governance‑Modell, das bereits im Business‑Banking existiert, auf das Privat‑Banking zu übertragen. Business‑Konten verfügen über jahrelange Erfahrung mit granularen Berechtigungen, delegierten Zugriffsrechten und Genehmigungs‑Workflows, die genau für ein solches Szenario entwickelt wurden.

Anstatt ein völlig neues Rahmenwerk für die Agenten‑Governance zu schaffen, sollten Banken und Kreditgenossenschaften das bereits bewährte Vorgehen im Business‑Bereich berücksichtigen und dieselben Kontrollen, Berechtigungsebenen und Genehmigungsstrukturen auf Privatkonten adaptieren.

Vielen Dank für das großartige Interview, Leser, die mehr erfahren möchten, sollten Q2 besuchen.