CyberCompare Marktkommentar #52: PQC Migration, it-sa, F5

Hallo zusammen,

PHP2Shell, Node2Shell, eMudhra, Brotli Bug etc. Vulnpocalypse: Für einige Kunden ein Non-Event („25.000 Server auf Knopfdruck gepatcht, war in 10 Min vorbei“), für andere Stress Pur und Nahtoderfahrung. Eigentlich wie die it-sa.

Diesmal war ich als Teil meiner persönlichen Longevity-Initiative nur einen Tag auf dem obligatorischen Klassentreffen. Das Team hat mich mit einer Anbieter-Liste in Halle 6 geschickt, damit ich nicht an unserem Mini-Tischchen die Sitzplätze blockiere und den Kolleginnen auf den Geist gehe (offizielle Begründung. „Wir teilen uns dieses Jahr auf“). Deshalb bitte um Entschuldigung an alle, bei denen ich trotz Einladung nicht vorbei gekommen bin.

Gesamteindruck: Respekt. Draußen Kälte, Klagelieder, Arbeitsplatzabbau, Abgesang und Abschiedstöne. Drinnen wärmer als die Tiefkühltruhen belgischer Supermärkte, es wummern bassgedröhnter Optimismus und schwadronierende Verkäufer, gute Stimmung überall. Hier scheint es niemand wirtschaftlich schlecht zu gehen – ganz zuvorderst nicht der Messe Nürnberg.

Im Prinzip kann man es sich als Cybersec-Player nicht leisten, nicht dabei zu sein. Und an der Länge des Standes lässt sich eben auch sehr gut die wahre Größe [des Marketingetats] erkennen, quasi das Äquivalent zur Rolex am Handgelenk.

Wen wundert’s, AI Visibility + Governance stand bei vielen Gesprächen im Fokus. Kostendruck ist insbesondere bei SOC Services immer wieder Thema gewesen und führt zu weiterer Konsolidierung. Interessant: Die SOC-Preise sind so stark gesunken, dass die bestehenden Vertriebskonzepte bei einigen MSSP wanken. 5-stellige Abschlussboni sind schwierig, wenn der Kunde nur noch 5-stellige Summen im Jahr bezahlt. Pen Tests sind stark nachgefragt, aber auch hier bekommt der Kunde immer mehr für’s Geld.

Wie stets gilt: Die Reichen werden reicher, die Armen (= deutsche Startups und kleine Beratungshäuser) haben Arme zum Arbeiten.

Ein paar willkürlich ausgewählte Beobachtungen zu einigen Anbietern, ohne Priorisierung:

• QGroup: Während das SentinelOne DACH Team ja zwischendurch Auflösungserscheinungen gezeigt hat, hat die QGroup mit dem ehemaligen S1 Field CTO Jan Tietze eine On Prem Lösung entwickelt. Die kommt anscheinend nicht nur hierzulande gut an, sondern auch bei Kunden im mittleren Osten, die für digitale Souveränität auch eine höhere Zahlungsbereitschaft haben als der Median der deutschen Einkäufer. Breach Warranty gibt es nicht, aber dafür über den Partner DUAL eine Cyberversicherung ohne Risikoprüfung, wenn der MDR Service gebucht wird
• Devity: Startup für zertifikatsbasiertes OT/IoT Geräte Identity Lifecycle-Mgmt.  aus Paderborn. Ca. 15 MA und auch 15 Kunden, u.a. das BMG. Die PKI kommt im Moment noch von Drittanbietern / OSS, eine eigene CA steht aber auf der Roadmap. Interessanter Use Case: Ablösung Secure Remote Access Gateways
• Jamorie: Kleine Beratung speziell zu Detection Engineering, Regelwartung und SIEM/SOAR Optimierung
• Enclaive: Remote Attestion, vHSM und alles sonst, was man für die Nutzung der Confidential Computing Funktion in Standard Prozessorarchitekturen braucht. => Spannend: Dadurch wird die Nutzung der amerikanischen Hyperscaler und AI Frontiermodels auch für sensibelste Patienten- oder Behördendaten möglich. Ähnlicher Anbieter (Opaque) wurde gerade von Anthropic übernommen

A propos: Anthropic hat Git durch ein eigenes Version Control System (Scion) ersetzt, das für maschinelle Geschwindigkeit ausgelegt ist. Die 25 Millionen Code Downloads und 30.000 Änderungen pro Tag an der Claude-Codebasis sind schlichtweg zuviel. Microsoft will sich von einem Viertel der Belegschaft trennen. Irgendwie haben mich diese beiden Meldungen aufgrund ihrer Konkretheit und Dimensionen mehr beeindruckt als so einiges an Medienlärm der letzten Wochen.

Bisher habe ich mich vor dem Thema PQC Migration weggeduckt, und war damit vermutlich nicht alleine. NIST liefert jetzt eine Guideline dazu. Wir alle haben ja das Problem, dass Daten, die jetzt als sicher geglaubt schlüsselt sind, von Angreifern geklaut und später mit Quantencomputern ausgelesen werden können („harvest now, decrypt later“).  

Was sind jetzt die konkreten To Dos, die man heute umsetzen kann und kein Vermögen kosten? Ohne Anspruch auf akademische Korrektheit:

• Umsetzung von:
• – TLS 1.3 (Perfect Forward Secrecy)
• – AES-256 oder höher
• – SHA-256, SHA-3 oder höher
• Bei eigenbetriebener PKI: Migrationsplan für HSM, TPM, Code Signing Appliances etc., im Idealfall als Bestandteil der üblichen Hardware Updatezyklen. Wer bei Digicert, Sectigo etc. ist, muss sich i.A. erstmal um nichts kümmern
• Bei SW-Neuanschaffungen: Als Kriterium mit aufnehmen, dass Krypto-Algos konfigurierbar (und nicht fest verdrahtet) sind oder PQC bereits berücksichtigt wurde
• Das alles hat den Vorteil, dass es auch funktioniert, ohne Ahnung von Shor’s Algorithmus, Module-Lattice Key Exchange, Entanglement Nodes oder dem tatsächlichen Zeitplan von Quantum Computing zu haben. Im Berater-Speak: No Regret Moves

Wer eine andere Meinung dazu und/oder bereits praktische Erfahrung in der Umstellung hat, wie immer gerne Bescheid geben.

Schwankungen von +/- 10% an einem Tag sind bei Aktien inzwischen ganz normal, aber wenn F5 plötzlich 20% nach unten rauscht, fällt das doch auf. Deshalb ein kurzer Blick in die Bücher:

• Umsatz ~3,4 Mrd. USD/a, damit auf dem Niveau von ZScaler, Okta oder jetzt Proofpoint inkl Varonis (s.u.). Das reine Security-Geschäft ist mit ca. 2 Mrd. in etwa so groß wie Trend Micro und deutlich größer als z.B. Tenable
• Ca. 11% Wachstum ggü. 2025. Für 2027 werden allerdings nur noch 8-9% Wachstum in Aussicht gestellt, die Bestände sind auch schon drastisch angestiegen, der Absatz verlangsamt sich also
• Natürlich helfen die WAF/WAAP gegen AI Bedrohungen und werden auch immer wichtiger
• Wie alle Firewall-Hersteller höchstprofitabel: Free Cash Flow auch nach Abzug von Stock Based Compensation von ~560 Mio. USD, also ca. 15% des Umsatzes. Nettogewinn ~700 Mio.
• Marktkapitalisierung jetzt noch ~19 Mrd., also grob 6x Sales. Zur Kurspflege werden 1,5 Mrd. für Aktien-Rückkäufe freigegeben
• Marketing- und Sales: 29% vom Umsatz. Das ist sogar ziemlich effizient im Vergleich mit anderen . Im Security-Bereich sollen mehr Leute eingestellt werden

Viele von uns kennen Ross Haleliuk (Ventures in Security) – sein Buch „Cyber for Builders“ gibt es jetzt kostenlos als pdf. Einfach + gut zu lesen, insgesamt natürlich durch den US-Markt geprägt. Wer den Newsletter abonniert hat, kann vieles überfliegen oder nochmal darüber schmunzeln („Most security products want to become a single pane of glass, but instead they end up a single glass of pain“).

Und zum Abschluss: Ausführlicher Forensik-Bericht von Stoik (Cyberversicherung) zu ClickFix-Angriff mit Akira Ransomware. Take-Aways: App Control, Freifelder in AD Attributen auf Credentials prüfen, xp_cmdshell bei SQL Servern abschalten, Nutzer mit VM Erstellungsrechten einschränken. Im Prinzip Härtung, Härtung, Härtung.

M&A:

• Proofpoint kauft Varonis für ~6 Mrd. USD, ca. 50% Prämie auf den Kurs vor Bekanntgabe. Damit umsatzmäßig (> 3 Mrd. USD) ein Top 10 Security-Player und im DSPM/DLP Markt der Hauptwettbewerber zu Microsoft und Cyera. O-Ton Marktbegleiter: „Gut für uns, die sind jetzt erstmal ein Jahr mit sich selbst beschäftigt“. Generell ist Datenklassifizierung immer noch eine Aufgabe, die niemand (wirklich absolut niemand) machen will, und die hoffentlich bald zufriedenstellend automatisiert wird
• Upwind (CNAPP) erhält weitere 400 Mio. bei Bewertung von 3,8 Mrd. USD. Umsatz soll sich eigenen Angabne zufolge in den letzten 12 Monaten vervierfacht haben
• Botguard („Blackwall“ WAF/DDoS/Botnet-Protection aus Estland) nimmt 100 Mio. USD auf und wird dabei mit 2,2 Mrd. bewertet. Damit sicher eines der wertvollsten Cybersec-Unternehmen in der EU
• Eine der spannendsten Aufgaben, die ich kenne: &Truth erhält 70 Mio. für formale Software-Absicherung mittels mathematischer Beweise. Falls das funktionieren sollte, können in der Code-Basis Schwachstellen systematisch ausgeschlossen und auch Features nachgewiesen werden („Specification Factory“). Das wäre vermutlich das Ende einiger anderer Cybersecurity-Anbieter
• Workday (HR Software) kauft C1.AI (IGA aus USA)
• Protectt.ai beteiligt sich an AIShield (Bosch Startup aus Indien für AI Security Tests, Guardrails, Runtime Absicherung)
• Infisical (PAM für Agenten) bekommt 40 Mio. von VCs bei einer Bewertung von 600 Mio
• SentinelOne nimmt 1,25 Mrd. USD an Anleihen auf, Sophos 200 Mio.
• Harmonic (Sichere KI Agenten auf Basis SLM, aus UK) erhält weitere 50 Mio. USD

Notizen aus Anbietergesprächen:

HackerOne (Update):

• Natürlich im Auge des Sturms, was Schwachstellen-Tsunami und Bug Bounty AI Slop betrifft
• ~500 MA, ~1300 Kunden, u.a. Beiersdorf, Lufthansa, IKEA, SIX, Helvetia
• Interessant: Headquarter und alle RZ in USA, aber trotzdem KRITIS und z.B. EUDI Wallet als Kunden
• Inzwischen werden nur noch validierte Submissions akzeptiert (mit PoC und unter Berücksichtigung realistischer Security-Maßnahmen). Mit guten Einreichungen erhöht sich der Reputation Score => Damit wird man dann zu lukrativen Challenges eingeladen.
• Trotzdem sind geschätzt 70-80% der Einreichungen nicht verwertbar. Um die Kunden bei der Bewertung zu entlasten, wird dafür ein Triage-Service angeboten
• Liefern auch Code Verbesserungen und bieten Agentic Pentesting als Ergänzung
• Wer eine Nebenbeschäftigung sucht: Von ~100.000 aktiven Bounty-Huntern haben dieses Jahr schon 7 mehr als 1 Mio. US$ verdient. Deutlich bessere Quote als bei Spotify oder als Konferenz-CISO. 

Novastor:

• Backup & Recovery aus der Schweiz mit wesentlicher Tochtergesellschaft in – Achtung – HAMBURG! Es gibt sie noch, die guten Dinge im Leben. Inhabergeführt, ~200 MA weltweit
• Interessanterweise vor ca. 25 Jahren aus einer Ausgründung der Deutschen Telekom hervorgegangen
• ~1000 Kunden, viele davon Arztpraxen o.ä. über Systemhäuser und MSSP, aber auch ca. 200 mittelgroße Kunden wie Stadtwerke oder Krankenhäuser. Deutsche Kunden haben dann die deutsche Gesellschaft als Vertragspartner
• Deutsche Entwicklung + technischer Support, alles in D gehostet
• Wiederherstellungstests und -doku verkauft sich aktuell wohl wie geschnitten Brot
• Konnektoren für gängige Quell- und Zielsysteme. Erfahrung mit Sicherung von großen Datenmengen und energieeffizienter Architektur auch mit Tapes
• Auch preislich attraktiv – also auf jeden Fall einen Blick wert  

Tuta (Tutao):

• Freemail aus Hannover (10 Mio. Privatkunden), aber inzwischen auch ~10k KMU (z.B. Arztpraxen, Steuerkanzleien) für Business-Pakete (Mail, Kalender, Dateispeicher, Integration mit Nextcloud)
• Das Ganze mit gerade mal 50 MA (Hut ab), alle Server in Niedersachsen
• Interessanter Use Case: Ausgewählter Kreis von MA (z.B. Geschäftsführung, Admins) erhalten eine eigene Subdomain
• PQC E2E Verschlüsselung, Anbieter hat keinen Zugriff auf Daten. Eigenentwicklung auf Basis PGP, leider noch nicht kompatibel mit S/MIME (auf Roadmap, wurde mir gesagt – auch wegen absehbarer Forderung, dass Behörden / Unternehmen alle Mails digital signieren müssen) => Aktuell muss mit externen Empfängern muss Passwort ausgetauscht werden

Wie immer gilt: Nichts hier ist KI-generiert. Fragen, Anregungen, Kommentare, Erfahrungsberichte, Themenwünsche und auch gegenläufige Meinungen oder Richtigstellungen gerne per Email. Dito für Abmeldungen vom Verteiler.

Für die Leute, die den Marktkommentar zum ersten Mal weitergeleitet bekommen haben: Hier kann man sich bei Interesse anmelden oder das Archiv entfrosten.

Viele Grüße

Jannis Stemmann