CyberCompare Marktkommentar #38: Anthropic vs. Okta et al.; Wo werden unsere Kinder arbeiten?

Hallo zusammen,

die Aktienkurse fast aller börsennotierten Security-Anbieter liegen inzwischen rund 30% unter Allzeithoch/IPO. Hauptgrund: Sorgen um das weitere Wachstum, geschürt durch jüngste Veröffentlichungen von Anthropic zu den Fähigkeiten von Claude Code Security. Dabei ging es um Code Scanning (SCA/SAST) und im weiteren Sinn um Schwachstellenmanagement. Also die verwegene Zielsetzung, mittels KI eben nicht nur Code, sondern sogar sicheren Code zu fabrizieren. Dass Okta oder Cloudflare plötzlich für ausgeprägtes Schwachstellenmanagement stehen, wusste ich noch gar nicht. Die wurden an dem Tag der Pressemitteilung aber besonders ramponiert, zusammen mit dem Rest des Sektors. Mein Take:

• Die Bewertungen waren für mein erzreaktionär-konservativ angestaubtes (Un-)Verständnis seit langem weit überzogen, eine Korrektur nicht überraschend
• Und es ist richtig, dass Szenarien (bis hin zum Citrini Doomsday) eingepreist werden, in denen weniger „Seats“ verkauft werden und/oder sich die Machtverhältnisse so ändern, dass die Margen der SW-Anbieter kollabieren – egal wie niedrig oder hoch, die Eintrittswahrscheinlichkeit dafür ist nicht Null. Wer weiß schon, wie die Welt in 3 Jahren aussieht.
• Irgendwie müssen die Anbieter von Foundation Models und KI Chips ja auch Geld verdienen, während die Endkunden nicht beliebig viel für die Software bezahlen können => Der Kuchen wächst langsamer als die Anzahl der ungeladenen Gäste am Tisch. OpenAI z.B. hat das Ziel, in 5 Jahren 280 Mrd. USD Umsatz zu machen
• Talk is cheap: Obwohl die CEOs der betroffenen Hersteller allesamt empört behaupten, sie würden von KI profitieren, kauft keiner davon die Aktien bei den aktuell ach so günstigen Kursen mit dem eigenen Geld nach
• Claude ist bewiesenermaßen durch das Erfassen von Business Logik und Kontext in der Lage, deutlich mehr ausnutzbare Verwundbarkeiten zu finden, als konventionelle Code Scanner. Das ist also definitiv technischer Fortschritt.

Aber:

• Auch vor LLMs gab es harten Wettbewerb, Open Source Alternativen für Kunden mit ausreichend Kapa + KnowHow, und viele hochkapitalisierte Neugründungen im Security-Markt
• Kunden bezahlen für Zuverlässigkeit in Betrieb und Support – welche CISO will sich nach einem Incident vorwerfen lassen, man hätte doch besser mal eine erprobte Lösung verwendet, anstatt selbst das Rad neu zu erfinden? Jeder Enterprise Sales Profi weiß: Distribution beats features.
• Die Kosten für die Neuentwicklung von Software sind drastisch gefallen. Das gilt aber eben auch für die etablierten Anbieter, nicht nur für Startups oder DevSecOps Teams auf Kundenseite. Was sollte z.B. Snyk oder Aikido davon abhalten, die gleichen Funktionen einzubetten? LLMs gibt es genug. Beispiel: Cisco hat gerade ein Security LLM in Splunk interiert, trainiert auf eigenen Daten, speziell für Mapping auf MITRE und empfohlener Next Action to Take
• Skaleneffekte gelten auch in einer Welt mit generativer KI: Ein Produkt an viele zu verkaufen, ist wirtschaftlicher, als wenn alle ihre eigenen Produkte entwickeln. Cloud-Lösungen sind im Durchschnitt effizienter als der on prem Betrieb einzelner Kunden. Ich könnte mir ja auch Bio-Hühner in den Garten stellen, technologisch kein Ding. Aber die Eier aus dem Supermarkt zu holen, ist bequemer + billiger (laut Business Case, den ChatGPT für mich erstellt hat)
• Ich sehe daher noch nicht, dass selbst programmierte Bastellösungen eine Gefahr für Enterprise Platzhirsche wie Crowdstrike, Fortinet, PAN oder ServiceNow werden, und auch nicht für direkt betroffene Marktführer in den o.g. Segmenten wie Tenable oder Qualys. Anders sieht es aus für z.B. reine AI Pen Test oder Agentic SOC Enhancement Newbies ohne bestehende Kundenbasis
• Hinzu kommt: Gerade einige Security-Hersteller sind ja fortwährend durch eklatante und vermeidbare Schwachstellen auffällig. Denen und uns hilft gründlicheres Schwachstellenmanagement durch KI-Tools also hoffentlich.

Anthropic selbst scheint übrigens auch noch nicht so überzeugt vom Vibe Coding zu sein, sondern lieber auf Cloudflare und Microsoft Defender zu setzen, wie aus dem eigenen Trust Center und einem Bericht von Vectra hervorgeht. Puh!

„Wenn meine Familie nicht hier leben würde, wäre ich schon längst ausgewandert.“ Zitat eines Security-Startup-CEOs, bei dem ich mich ertappt gefühlt habe. Weil ich schon öfter genau den gleichen Gedanken hatte. Wenn man die Nachrichten zu Stellenabbau und Verlagerungen liest, könnte man schnell depressiv werden:

• Der jahrelange Abstieg in der realen Wirtschaftsleistung zeigt Wirkung. Das Handelsblatt berichtet, dass die Arbeitslosigkeit von Informatikern und Ingenieuren hierzulande auf einem 10-Jahres-Hoch ist
• Wo ist die Perspektive auf Besserung?

• • Bei gleicher Qualifikation ist ein Arbeitsplatz in Deutschland für Unternehmen inzwischen teurer als in der Schweiz oder in Dänemark. Beides keine Niedriglohnstandorte, und auch nicht weit weg von uns
  • Die Restrukturierungskosten hier sind pro MA dreimal so hoch wie in den genannten Nachbarländern (Stichwort Kündigungsschutz). Wer will da das Risiko eingehen, neue Jobs bei uns zu schaffen? Geniale Innovationen erfordern meistens eine Phase des Ausprobierens. Wenn niemand mehr Neues wagt, weil das Risiko im Fall des Scheiterns zu groß ist, dann wird auch nichts Nennenswertes mehr erfunden
  •  
  • Cybersecurity als Insel der Glückseligen, was Arbeitsplatzsicherheit angeht? Jeder Arbeitsplatz, der bei uns verloren geht, bedeutet i.A. auch 1-2 Endgeräte weniger. Irgendwann stellt sich die Frage, warum die IT von deutschen Unternehmen unbedingt aus Deutschland gemanagt werden muss, wenn sowieso 80-90% der IT-Nutzer im Ausland sind. Und wenn erstmal die neue CIO in Bulgarien, Polen o.ä. sitzt, dann wird wohl auch das Security-Team gen Osten migriert. Defense als neue Boombranche? Bin mir nicht sicher, wieviele Security-Verkäufer Rheinmetall einstellen wird

Das hohe Ross, auf dem wir in der Vergangenheit mit erhobenem Zeigefinger und selbstmandatiertem ideologischem Erziehungsauftrag durch die Landschaft galoppiert sind, ist inzwischen zu einem alten Ackergaul verschrumpelt, das vom Rest der Welt nur noch müde belächelt wird. Wohlstand durch Wissensvorsprung ist kein gottgegebenes Privileg, sondern muss sich fortlaufend erarbeitet werden. Parasitäre Bürokratie muss man sich leisten können.

• • Kann sich noch jemand an die Zeit erinnern, als ein Ingenieur bei uns gleich viel verdienen konnte, wie einer in den USA? Inzwischen ist es normal, dass gute US-Entwickler Millionen verdienen. Solche Arbeitsplätze gibt es gar nicht bei uns.
  • Aus internen Berechnungen eines mir bekannten Konzerns geht hervor, dass die Produktivität der französischen Kollegen inzwischen über der der Deutschen liegt. In der Generation meiner Eltern waren unsere Nachbarn im Westen noch für joie de vivre (=Rotwein zum zweistündigen Mittagessen und Streiks im Quartalsrhythmus) bekannt und beliebt, nicht für hohe Effizienz. Es ist klar: Wir leben über unsere Verhältnisse
  • In Österreich scheint es ähnlich zu sein. Während OpenClaw sich virulent verbreitet, schreibt der Erfinder Peter Steinberger, warum er zu OpenAI geht: „In den USA sind die meisten Menschen enthusiastisch. In Europa werde ich beschimpft, Leute schreien Regulierung und Verantwortung. Und wenn ich hier wirklich eine Firma baue, dann kann ich mich mit Themen wie Investitionsschutzgesetz, Mitarbeiterbeteiligung und lähmender Arbeitsregulierung abkämpfen. Bei OAI arbeiten die meisten Leute 6-7 Tage die Woche und werden dementsprechend bezahlt. Bei uns ist das illegal.“
• Ich weiß nicht, wie Ihr dazu denkt, Feedback welcome – für mich ist das Fazit: Wenn wir nicht wollen, dass unsere Kinder flächendeckend in’s Ausland ziehen, der Sozialstaat damit endgültig zusammenbricht und wir in einem von Rentnern bevölkerten Museumsdorf vergammeln, dann müssen wir ihnen hier gut bezahlte Arbeitsplätze bieten. Dazu brauchen wir Unternehmen, die bei uns investieren wollen, weil sich das für sie rechnet. Ergo: Bitte wieder mehr Vernunft statt Vorschriften, Verbote, Verwaltung und Versteuerung.

• Drücken wir uns die Daumen, dass wir zusammen einen europäischen Turnaround schaffen. Top Voraussetzungen dafür haben wir: Ein immer noch sehr gutes staatliches Bildungssystem, das allen offensteht. Forschung auf Weltklasse-Niveau. Ein Gesundheitssystem, das pro Kopf 40% weniger kostet, als das amerikanische. Eine wirtschaftliche Substanz, die angefressen, aber nicht aufgebraucht ist. Ein lebenswertes Land (besonders in Küstennähe 😉). Eine funktionierende Demokratie. Fleißige Menschen, die gerne viel arbeiten – wenn es sich für sie lohnt.

Die einzige M&A Schlagzeile, die in den letzten Tagen zu mir durchgedrungen ist: Arctic Wolf kauft Sevco (Exposure Mgmt via outside-in scans).

Anbietergesprächsnotizen:

Knocknoc:

• Australisches Startup (ca. 20 MA) für eine spezielle Lösung: Firewall Management. Ungefähr im selben Spielfeld wie Firemon, Tufin und den SASE Anbietern wie ZScaler (abhängig vom Use Case)
• Ca. 50 Kunden, auch Behörden, kritische Infrastruktur, Pharma, einige davon in EU + Schweiz
• Kann nicht nur Netzwerk-FW, sondern auch WAF, Host FW oder Reverse Proxy Filterregeln übergreifend steuern
• Interessant: Zugriffe können nutzer- und applikationsspezifisch sowie zeitbeschränkt über die FW freigeschaltet werden, werden aber nicht über die Instanz von Knocknoc geroutet. Reduziert also Erreichbarkeit (Exposure) auf dem Network Layer.
• Funktioniert auch für Zugriffe von ungemanagten Geräten
• Das erlaubt dann SSO / MFA für Altsysteme (Nutzer muss sich erstmal bei Knocknoc anmelden, ansonsten sieht er das Zielsystem gar nicht)
• SW kann on prem selbst betrieben oder als SaaS bezogen werden
• Suchen nach Channel Partnern in Europa

Loch.IO:

• US Scale-Up speziell zur Überwachung von Drahtlosverbindungen und -Geräten („Wireless Airspace Defense“)
• Kernfunktion: Erkennung und Analyse (Software defined radio) von Frequenzen zwischen 300 MHz und 6 GHz mittels eigener Hardware, d.h., passiven Sensoren. Auch als Rucksackversion oder getarnt als Kieselstein erhältlich 😉
• Fokus auf OT Umgebungen wie (Flug-)Häfen, Behörden/Verteidigung, Raffinerien, Versorger… auch schon Kunden in der EU
• Kernproblem ja, dass IIoT Geräte oft aufgrund von Defaults/Fehleinstellungen  offene Verbindungen über 4G/5G, Bluetooth o.ä. erlauben => Das wird mit der Lösung erkannt
• Jede Art von Sender im o.g. Frequenzband kann auf wenige Zentimeter genau geortet werden
• Dazu noch sehr spezielle Lösungen für GPS Absicherung oder Drohnen-Jamming
• Insgesamt sehr erfrischender Auftritt – extrem technisch (30 Patente), wenig Marketing und ein Gründer aus Schottland, der die Videocalls aus einem Zimmer voller Antennen, Bücher und Uniformen macht

Halcyon.AI:

• US Anbieter für Ransomware Schutz als Ergänzung zu EDR (Messaging ähnlich Deep Instinct, Bullwall oder Rubrik, aber technisch sehr unterschiedlich)
• ~600 Unternehmenskunden, auch die ersten im DACH Raum
• Spannend: Fängt Schlüsselmaterial während der Ransomware-Verschlüsselung ab, um eine Entschlüsselung zu ermöglichen. Quasi ein MiTM Angriff auf die Malware. Funktioniert wohl darüber, dass Hooks in die Kryptographie-Bibliotheken von Windows gesetzt werden, insb. zur Zufallszahlengenerierung
• Das erklärt dann auch die aktuellen Grenzen: Funktioniert nur bei Windows OS, und auch nicht für ~20% der Ransomware-Varianten, die das eigene Schlüsselmaterial generieren
• Dazu noch verhaltensbasierte Erkennung von Datenexfiltration über Verbindungen des Endpunkts zu bekannter C2-Infrastruktur oder auffällig hohen Volumina
• Muss auf jedem Host installiert werden, Endpunkte benötigen dazu Verbindung zur zentralen SaaS Engine von Halcyon (ggf. über Proxy)
• Hausnummer von jährlich 15-20 EUR/Endpunkt (bei größeren Umgebungen)
• Suchen noch nach Channelpartnern

Wie immer gilt: Fragen, Anregungen, Kommentare, Erfahrungsberichte, Themenwünsche und auch gegenläufige Meinungen oder Richtigstellungen gerne per Email. Dito für Abmeldungen vom Verteiler.

Für die Leute, die den Marktkommentar zum ersten Mal weitergeleitet bekommen haben: Hier kann man sich bei Interesse anmelden oder das Archiv auf die Einhaltung der Löschfristen prüfen.

Viele Grüße

Jannis Stemmann