Warum wir das nicht selbst bauen

Ein Einwand, den man ernst nehmen sollte

„Dann bauen wir uns das doch einfach selbst — mit LiteLLM für die Redaktion und Presidio für die Erkennung." Dieser Satz fällt in praktisch jedem technischen Gespräch über JiCo, meistens von einem erfahrenen Plattform-Team, das genau weiß, dass es solche Bausteine gibt und grundsätzlich damit umgehen kann. Es ist ein vernünftiger erster Gedanke, kein naiver — und genau deshalb verdient er eine ernsthafte Antwort statt eines reflexartigen „das ist komplizierter, als es aussieht".

Die ernsthafte Antwort bei JiCo lautet: Dieser Weg wurde tatsächlich geprüft, nicht nur erwogen und dann verworfen, weil Eigenbau ins Geschäftsmodell passt. Es gibt eine klare Grundregel, an die sich das Projekt selbst hält: Wo ein bewährtes Standardwerkzeug eine Aufgabe zuverlässig löst, wird es angebunden, nicht nachgebaut. Eigenentwicklung ist teuer, fehleranfällig und bindet Aufmerksamkeit, die an anderer Stelle fehlt — sie lohnt sich nur dort, wo sie einen echten, differenzierenden Unterschied macht.

Was die Prüfung am echten Quelltext ergeben hat

Die Prüfung von LiteLLM ging über das Lesen der Dokumentation hinaus — sie wurde am tatsächlichen Quelltext und im Lauf gegen ein Presidio-Ersatzsystem durchgeführt, nicht nur behauptet. Für die eigentliche Aufgabe der Schwärzung vor dem Modell hält LiteLLM tatsächlich, was die Dokumentation verspricht: Platzhalter werden korrekt aufgelöst, sogar in Tool-Argumenten — also genau in dem Fall, den JiCo braucht, wenn ein Modell einen Werkzeugaufruf mit einem geschwärzten Wert formulieren soll und dieser Wert am Ende wieder in den echten Text zurückverwandelt werden muss.

Für die zweite, mindestens ebenso wichtige Aufgabe — das Anhalten schreibender Aktionen für eine menschliche Freigabe — gilt das nicht. LiteLLMs Werkzeugrechte funktionieren als Allowlist: Ein Werkzeug ist entweder erlaubt oder nicht, aber es gibt keinen eingebauten Mechanismus, der einen konkreten, bereits formulierten Schreibvorgang anhält und einem Menschen zur Einzelfallentscheidung vorlegt. Der zweite geprüfte Kandidat, Bifrost, liefert in seiner frei verfügbaren Fassung weder eine vergleichbare PII-Schutzschicht noch ein vollwertiges MCP-Gateway — beides wäre dort nur in der kommerziellen Enterprise-Variante enthalten, was für den Kern eines Produkts, das gerade Unabhängigkeit von einem einzelnen Anbieter verspricht, die teuerste denkbare Abhängigkeit wäre.

Das Ergebnis dieser Prüfung ist deshalb kein pauschales „gibt es nicht am Markt". Es ist präziser: LiteLLM wurde für die Schwärzung als tragfähig geprüft und bleibt Kandidat. Die Freigabe-Schleuse bleibt Eigenbau — nicht, weil niemand sonst je etwas Ähnliches gebaut hätte, sondern weil die beiden konkret geprüften Bausteine genau diese eine, entscheidende Aufgabe nicht lösen.

Der Satz, der zu weit ging — und die eigene Korrektur

Zu einer ehrlichen Prüfung gehört auch, eigene frühere Aussagen zu korrigieren, wenn sie sich als zu pauschal herausstellen. Ein Satz aus dieser ursprünglichen Prüfung lautete: „Kein Werkzeug am Markt hält schreibende Aktionen für einen Menschen an." Das stimmte für die beiden konkret untersuchten Kandidaten. Es stimmte nicht als Aussage über den gesamten Markt — und genau dort stand der Satz zunächst, an der heikelsten aller möglichen Stellen: in der eigenen internen Leitplanke und im öffentlichen Wettbewerbsvergleich, also genau dort, wo ihn ein sorgfältiger Einkäufer oder ein technisch versierter Partner am ehesten prüfen würde.

Docker MCP Enterprise Gateway tut nämlich genau das: Es hält einen Werkzeugaufruf über eine Regel an und legt ihn dem Client zur Bestätigung vor, fail-closed — kann die Bestätigung nicht eingeholt werden, wird der Aufruf abgewiesen statt durchgelassen. Der Satz wurde korrigiert, an derselben Stelle, an der er zuvor zu breit formuliert war, nicht stillschweigend an anderer Stelle relativiert.

Was aus der Korrektur übrig bleibt — und warum es die eigentliche Abgrenzung ist

Diese Korrektur hat die Abgrenzung nicht geschwächt, sondern präziser und damit belastbarer gemacht. Der Unterschied zu JiCo liegt nicht mehr in der pauschalen Behauptung, dass angehalten wird — das können inzwischen nachweislich auch andere Systeme. Er liegt in der Reihenfolge und der Art, wie es geschieht: geschwärzt vor dem Modell, nicht erst danach gefiltert. Vorgelegt in verständlicher Fachsprache, mit Objekt und konkreter Wirkung, nicht als technischer Parameter, den nur ein Entwickler lesen kann. Entschieden unabhängig vom verwendeten KI-Client, sodass ein Wechsel des Clients die Kontrolle nicht mit sich reißt. Und ausgeführt ausschließlich auf einem Stand, der unmittelbar vor der Ausführung noch einmal geprüft wurde.

Ein Werkzeug wie Docker MCP Enterprise Gateway ist damit kein Baustein, den man für Jira-Freigaben einfach einbauen könnte — es ist ein Wettbewerber mit einem anderen fachlichen Schnitt und einem anderen Zielbild, nicht ein fehlendes Puzzleteil im eigenen System.

Eine Prüfung, die nicht einmalig bleibt

Diese Art von Prüfung ist keine einmalige Übung, die man abhakt und dann vergisst. Der Markt für Werkzeuge rund um KI-Sicherheit bewegt sich schnell, und ein Anbieter, der eine bestimmte Lücke heute nicht schließt, kann sie in einem halben Jahr durchaus geschlossen haben. Die richtige Haltung ist deshalb nicht, einmal eine Liste von Konkurrenten und Bausteinen zu prüfen und diese Liste dann für alle Zeit als gültig zu betrachten, sondern eine Bereitschaft, dieselbe Frage in regelmässigen Abständen erneut zu stellen — und ehrlich zuzugeben, wenn sich eine frühere Einschätzung als überholt herausstellt.

Wer sich einmal auf eine öffentliche Aussage über den Wettbewerb festlegt und sie danach nie wieder überprüft, riskiert genau das, was hier korrigiert werden musste: einen Satz, der im Moment des Schreibens stimmte und ein Jahr später nicht mehr. Die Lehre daraus ist weniger, dass man beim ersten Mal alles richtig machen muss — das gelingt selten vollständig —, sondern dass man bereit sein muss, eine falsch gewordene Aussage genauso öffentlich zu korrigieren, wie sie ursprünglich gemacht wurde.

Die Lehre, die über diesen einen Fall hinausreicht

Ein Eigenbau, der sich mit „das kann niemand sonst" verkauft, hält nur so lange, bis irgendjemand das Gegenteil zeigt — und in einem Markt, der sich schnell bewegt, ist das eine Frage von Monaten, nicht Jahren. Ein Eigenbau, der stattdessen konkret benennt, welche zwei Werkzeuge geprüft wurden und an welcher exakten Stelle sie erwiesenermaßen aufhören, hält deutlich länger. Er hält sogar dann noch, wenn irgendwann ein drittes Werkzeug auftaucht, das mehr kann als die ersten beiden — denn dann lässt sich die neue Lage einfach nachprüfen und der Satz bei Bedarf erneut korrigieren, genau wie beim ersten Mal.