Hallo zusammen,
schlechten Tag bei der Arbeit gehabt? Alles relativ. Für den Kyndryl CEO kam die letzten Wochen z.B. viel zusammen:
- Die Börsenaufsicht SEC kündigte eine Buchprüfung an. Deshalb verschob sich nicht nur die Quartalsberichterstattung…
- …sondern es wurden auch (Überraschung!) signifikante Schwächen im Cash Management und anderen „Internal Controls“ festgestellt.
- CFO, Head of Controlling und General Counsel (Chefsyndikus) wurden alle ausgetauscht. Die CHRO hatte schon im Januar das Unternehmen verlassen
- Der Aktienkurs brach am Tag der Veröffentlichung dazu um mehr als die Hälfte ein und liegt damit (auch nach der Erholung) binnen 1 Jahr knapp 70% im Minus. Würde also gut in mein Portfolio passen, das entwickelt sich ähnlich fulminant (mein neuestes Side Hustle ist übrigens, bei Polymarket, Kalshi & Co. auf Cyberangriffe zu wetten).
Anlass genug, mal wieder bei Kyndryl – dem wahrscheinlich immer noch größten Managed Service Provider der Welt – in die Zahlen zu schauen. Diese wurden auch gerade offiziell bestätigt, die Probleme betrafen im Wesentlichen ausstehende Rechnungen von Lieferanten und mangelnde Berichte an den Aufsichtsrat:
- ~15 Mrd. USD Umsatz, ~73.000 MA (davon ca. 7500 im Bereich Cybersecurity, u.a. neues SOC in Indien). Ca. die Hälfte des Umsatzes wird mit Banken & Versicherungen gemacht
- Auftragseingang („Signings“) ist stark gestiegen und liegt über dem Umsatz
- Die ersten Jahre nach der Abspaltung von IBM waren hart: 2023 und 24 sahen jeweils sinkende Umsätze und und Verluste unter dem Strich
- Inzwischen aber wieder profitabel und Free Cash Flow positiv. Das Eigenkapital ist niedrig im Vergleich zur Verschuldung, aber 2025 wieder gewachsen, obwohl sogar Aktien zurückgekauft werden konnten
- Also unter dem Strich klare Entwarnung an alle Kunden, soweit ich das als Laie beurteilen kann.
Keine CISOs, die aktuell nicht mit der Nutzung von KI-Anwendungen in Fachabteilungen kämpfen. Wie kann man das wirklich sicher umsetzen? Hinweise zu praktikablen Ansätzen oder Fehlversuchen mit „Unified AI Defense“ gerne!
Bei den OWASP Risiken von Gen AI Anwendungen ist jedenfalls Prompt Injection auf Platz 1 gelandet. Bei den entsprechenden Risiken von Agentic Applications ist Top 1 zwar mit „Agent Goal Hijack“ betitelt – aber alle 4 Beispiele dafür beschreiben Prompt Injection oder Prompt Override. Mein aktuelles, vermutlich haarsträubend unvollständiges Verständnis:
- Die generativen KI-Modelle, die wir heute nutzen, können grundsätzlich nicht verlässlich zwischen Befehlen und Daten unterscheiden, oder anders ausgedrückt: Zwischen zulässigen und unzulässigen Instruktionen
- Besonders ausgeprägt sind die Risiken bei KI Agenten mit Zugriff auf das Internet (= beliebige Daten, die manipuliert werden können).
- Regelkreise, bei denen ein KI System das andere prüfen soll, funktionieren auch nur mit gewisser Wahrscheinlichkeit. Das wiederum eignet sich also nicht für Anwendungen, bei denen 100% Korrektheit benötigt wird, und ermöglicht Brute Force Angriffe
- Deshalb wird eine Verpackung um die KI-Anwendung benötigt, die Ein- und Ausgaben deterministisch filtert. Ansonsten kommt es früher oder später zu Datenexfiltration, Secret-Diebstahl, unauthorisierten Zugriffen und sonstigen Infosec-Ärgernissen
- Praktische Erfahrungen zur Nutzung von KI Agenten in Produktivsystemen teilt z.B. Palantir (die haben vielleicht niedrige Sympathiewerte, aber auf jeden Fall sensible Kundendaten)
- Was sollte ein Security-Konzept bzw. -Tool für sichere KI Anwendungen demnach berücksichtigen?
- Keine Speicherung von Prompts/Input oder Output bei Modellanbietern, keine Verwendung der eigenen Daten für Modelltraining
- Berechtigungen: API-Keys / SaaS-Tokens o.ä. transaktions-spezifisch, zeitlich begrenzt, widerrufbar, jeweils 1 Agent zugeordnet („intent-based ephemeral acess“)
- Human in the loop für Entscheidungen mit offenkundig hohem Schadensrisiko (z.B. Datenexport, IAM-Änderungen)
- Monitoring von Anomalien in den Zugriffsmustern (z.B. hohes Datenvolumen, hoher Tokenverbrauch)
- Ausführungsumgebung für Agenten isoliert von Produktivumgebungen (Netzwerk, Compute, Storage), wo machbar. Im Idealfall gehärtete Containerumgebung oder Trusted Enclaves mit Workload-Isolierung und erzwungener E2E Verschlüsselung (Speichersicherheit)
- In meiner Wahrnehmung sind neben den Plattform-Playern (inkl. Checkpoint, s.u.) und allen DSPM/DLP-Anbietern auch noch ~30 Startups an der Entwicklung dran, um möglichst viele der o.g. Funktionen aus einer Hand anzubieten
- Vermutlich wird der Finanzsektor als Erstes funktionierende Lösungen etablieren: Hohes Potenzial für Effizienzsteigerungen aufgrund der Transaktionsvolumina (z.B. im Kundenservice, oder bei Scorings der Kreditwürdigkeit), gleichzeitig höchste regulatorische Anforderungen und Zahlungsbereitschaft für Security/Compliance
Zu den allgemeingültigen OWASP Top 10 Risiken hat Tobias Glemser (GF Secuvera) übrigens in der iX 01/26 einen kurzen verständlichen Artikel geschrieben, Kernaussage „Die Welt unsicherer Software ist vergleichsweise stabil kaputt“.
Aber was ist eigentlich der Benchmark für sichere Software? Dazu bin ich in Diskussionsforen auf die NASA Coding Guidelines für flugkritische Systeme gestoßen. Aus der Eingangspassge des Originaltexts: „the existing coding guidelines tend to have little effect on what developers actually do when they write code“. Inzwischen ca. 20 Jahre alt – natürlich auch Teil von MISRA oder der ISO 26262.
Hier einige der Vorgaben aufgeführt (nur, damit ich sie mir besser merken kann – alle anderen kennen sie schon, weiß ich ja). Frappierend dabei: Die Klarheit im absoluten Anspruch (im Gegensatz zu den meisten Cybersecurity-Guidelines). Keine Ausnahmen. Vielleicht helfen uns ja die KI Agenten dabei, das näherungsweise konsequent (😉) und gleichzeitig wirtschaftlich umzusetzen:
- Jeden Tag muss kompiliert und min. 1 statischer SW Test durchgeführt werden
- Alle Compiler Konfigurationsmerkmale müssen jeweils die strengste („most pedantic“) Einstellung sein
- Null Compiler und SAST Warnungen erlaubt
- Null Rekursionen (Goto, Jumps) erlaubt
- Null dynamische Speicherallokation erlaubt
- Null Function Pointers (Indirekter Aufruf anderer Subroutinen über Pointer) erlaubt
- Null Funktionen erlaubt, die nicht auf 1 einzelne Seite Ausdruck passen, und zwar mit exakt 1 Zeile pro Deklaration
- Jede Schleife muss eine festgelegte obere Grenze für die Anzahl der Iterationen haben
Wer Erfahrung damit (oder anderen Coding Vorgaben in der Praxis) hat, gerne Hinweise.
Zu guter Letzt: Beim VDMA gibt es (kostenlos für Mitglieder) eine sehr gute Vorlage für GF-Schulungen im Rahmen der NIS2-Vorgaben. Danke!
M&A:
- Palo Alto übernimmt Koi (eine Art Allowlisting für Fortgeschrittene) für ~400 Mio. USD
- Checkpoint übernimmt 3 andere Firmen: Cyata (AI Governance), Rotate (MDR) und Cyclops (RBVM / CTEM). Zusammen mit der Lakera Akquisition baut Checkpoint damit ein umfassendes Ki-Schutz Portfolio auf
- ZScaler übernimmt SquareX (Enterprise Browser Lösungen, „Browser Detection & Response“, aus Singapur). Name erinnert etwas an den Wettbewerber LayerX
- Sophos kauft Arco (RBVM)
- Proofpoint kauft Acuvity (AI Governance)
- Vega („Security Analytics Mesh“, auch als Federated SIEM bekannt) erhält 120 Mio. Funding bei ~700 Mio. USD Bewertung
- Semperis kauft MightyID (Backup & Recovery speziell für Okta, Ping und Entra ID) und ergänzt damit das bestehende AD Forest Recovery
- Booz Allen Hamilton kauft Defy Security (MSSP aus USA, ca. 100 MA)
Anbieter-Briefings:
Aikido:
- Belgischer DevSec/CNAPP Anbieter über den Software-Lebenszyklus (SAST, DAST + Automated Pen Tests, SCA, CSPM/KSPM, CWP u. AI App Monitoring)
- Also Wettbewerb je nach Modul zu Checkmarx, Snyk, Sonarqube oder Wiz, Orca, XBOW.
- Mehr als 2000 Unternehmenskunden (u.a. Eurostar, Revolut), ca. 200 MA. Offenkundig Rückenwind aufgrund der Diskussionen um Digitale Souveränität
- Inkl. Open Source Lizenz Tracking
- Ausnutzbarkeit wird mittels Erreichbarkeit der Komponenten geprüft, um Schwachstellen zu filtern
- Vorschläge für verbesserten (=sicheren) Code werden direkt eingefügt und müssen vom Entwickler nur noch bestätigt werden
- Cool für mich: Die schrittweise Ausführung der automatisierten Pentests wird nachvollziehbar dargestellt, also welcher Agent was geprüft hat. Auf der Basis dann auch Berichte für Audits o.ä. möglich
- Sehr transparentes Pricing, mittleres Paket ~7 TEUR für 10 Entwickler und 200 Code Repos. Einstiegspakete sind wie üblich kostenlos
- Suchen noch nach Resellern im DACH Raum, bauen auch gerade ein deutschsprachiges Vertriebsteam auf.
- Großen Respekt! Glaube, das wird eine echte europäische Erfolgsgeschichte
Reco.AI:
- Israelisches Startup für SaaS Security (SentinelOne ist ein Investor)
- Ungefähr 100 Unternehmenskunden (u.a. Checkpoint), ca. 10 davon in Europa (z.B. Nestlé)
- (Shadow) App Discovery, App-Block, SSPM, ITDR für ~200 weitverbreitete Applikationen (SAP Hana, Okta, Snowflake, Slack, Docusign, Salesforce, Claude, MS Copilot…)
- Kann checken, ob alle User einer Anwendung tatsächlich MFA nutzen (wenn es seitens App selbst nicht erzwungen werden kann)
- Mit Compliance Checks vs. den gängigen Frameworks (DORA, HIPAA, CIS…)
- AI Discovery + AI Agent Sec fand ich besonders interessant (teilweise aber noch in „Beta“): Findet z.B. MCP Server, Traffic zu Chatbots, Verbindungen von KI Agenten, ungewöhnliche Aktivitäten von Agenten in Datenbanken
- Suchen gerade nach Vertriebsunterstützung für EU => Bei Interesse gerne melden
Group IB:
- Threat Intel (Wettbewerb zu Recorded Future, Crowdstrike, Google/Mandiant). Dazu XDR, IR, Forensik, VM/ASM, Pen Testing. HQ in Singapur, bootstrapped seit > 20 Jahren, profitabel
- > 1000 Unternehmenskunden weltweit, darunter auch z.B. einige Banken in der EU (CTI für kundeneigene SOC-Teams). Daten für EU-Kunden werden in der Hetzner Private Cloud in D gehostet oder kann auch on prem bereitgestellt werden
- TI im Wesentlichen ohne OSINT, sondern auf Basis eigener Analysten
- XDR: Eigenes EDR, NDR, Emailfilter
- Eigenes LLM für Security Use Cases trainiert
- Brand Protection + Takedown Services (z.B. Überwachung gängiger Plattformen auf Fake Accounts)
- Ausbildung von Security Spezialisten für Kunden
- Bauen das Team im DACH Raum weiter aus. Listung beim BSI als APT Responder kommt auch demnächst
Wie immer gilt: Fragen, Anregungen, Kommentare, Erfahrungsberichte, Themenwünsche und auch gegenläufige Meinungen oder Richtigstellungen gerne per Email. Dito für Abmeldungen vom Verteiler.
Für die Leute, die den Marktkommentar zum ersten Mal weitergeleitet bekommen haben: Hier kann man sich bei Interesse anmelden oder durch das Archiv schlendern.
Viele Grüße
Jannis Stemmann
