Hallo zusammen,
zwei Drittel weniger offene Stellen als zu Coronazeiten, berichtet das Handelsblatt (Wutköder für Gen Z: „Die Demut kehrt zurück – aber nicht bei allen“). IT Jobs sind naheliegenderweise besonders hart betroffen.
Bei den sich überschlagenden Neuentwicklungen fühle ich mich manchmal wie ein Orchestermusiker vor 100 Jahren, als Musikaufnahmen für Filme erfunden wurden. Davor war ein Orchestergraben im Kino Standard – s. Zeitungsannonce einer Gewerkschaft anbei, in der 1930 gegen diese menschenverachtende Technik (Grammophone / Schallplatten) protestiert wurde. Mal schauen, wie lange ich noch mitspielen darf, bevor die Superintelligenz mich (und hoffentlich ein paar andere Tröten davor) ersetzt.
Wo wir gerade bei Obsoleszenz sind, folgende These (gerne Bezug nehmen oder widersprechen): Auch Schwachstellenscanning mit kilometerlangen Listen als Output hat ausgedient.
- Wir werden eine Weiterentwicklung dahin sehen, dass nur noch die tatsächlich in der individuellen Kundenumgebung ausnutzbaren Verwundbarkeiten und Fehleinstellungen behandelt werden
- Powered by Gen AI, kontinuierlich getestet mittels Verkettung von Exploits in digitalen Zwillingen der Produktivumgebung, Berücksichtigung von vorsätzlichen / unabsichtlichen Datenleckagen durch Insider und Agents
- Potenzial: Reduzierung der CVE-Listenlänge um > 95% (Visa spricht von 0,03% tatsächlicher Ausnutzbarkeit bei feinkörniger Segmentierung + konsequenter Nutzung phishingresistenter MFA)
- Viele der Problemherde werden direkt automatisiert über virtuelle Patches temporär geheilt, auf den kleinen Rest können sich die VM Teams konzentrieren
- Ideal für MSSP Angebote (SLA auf Basis “Time to validated Remediation”).
- Bietet auch Möglichkeiten für Warranties:
- Ausgleichszahlung, falls Angriff über nicht durch das Tool gemeldete Schwachstelle erfolgt ist, oder
- Gutschrift von Lizenzkosten bei Meldung von False Positives (inzwischen funktioniert die autonome Validierung gut).
90 Tage Retention Standard und (fast) die komplette Sentinel Funktionalität im Defender („ISOC“) gibt es in Zukunft für E5+E7 Nutzer. Damit legt Microsoft die Messlatte wieder ein Stück höher (oder zieht nach, je nach Perspektive).
Das passt zum Meinungsbild eines Security-Profis mit mehr als 500 Incident Response Einsätzen hinter sich, den ich kürzlich im Rahmen meines kleinen Buchprojekts interviewen durfte – hier einige der für mich spannendsten Aussagen:
- 90 Tage Log-Retention sind der Goldstandard. 1 Jahr ist zwar bei einigen Kunden regulatorisch vorgeschrieben, aber aus forensischer Sicht de facto überflüssig, wenn man sich keine Sorgen um staatliche Spionage macht. Das Geld könnte man woanders besser investieren. „Die Zeiten, in denen Angreifer so lange im Netz verharren, sind vorbei“. Bei vielen kleineren Unternehmen oder Behörden liegt der Default heute bei mickrigen 7 Tagen. Das zumindest auf 1 Monat zu erhöhen, wäre ein Riesenfortschritt
- Firewall-Logs fehlen häufig. Für Echtzeit-Angriffserkennung too noisy, aber für Aufklärung im Schadensfall essenziell => Cold Storage
- Backups können nur in 50% der Ransomware-Fälle wiederhergestellt werden. In den anderen Hälfte der Fälle wurde die Wiederherstellung nicht getestet und funktioniert auch nicht, die Kopien sind veraltet, nicht vorhanden, auch verschlüsselt oder verseucht. Wurde so auch in einem anderen Gespräch bestätigt: Teilweise wird erst im Ernstfall festgestellt, dass für diverse Fachanwendungen nie eine Anbindung an das Backup-System erfolgt ist
- MSOC mit Beistellung der Lizenzen durch den Kunden (d.h., ohne Reselling-Marge durch den MSSP) ist aktuell oft ein Verlustgeschäft. Die großen XDR/SIEM-Anbieter versorgen ihre MSSP Partner je nach Projekt gezielt mit Marketingzuschüssen, die damit wiederum in SOC-Ausschreibungen Dumpingpreise anbieten können.
Selten, dass jemand so offen die Diskrepanz zwischen den eigenen (stets positiven) PR-Veröffentlichungen und den echten Schwierigkeiten im Hintergrund anspricht wie Kyle Hanslovan, CEO und Mitgründer von Huntress.
Hintergrund zum Anbieter:
- MXDR für 270.000 KMU aus USA, typischer Kunde hat weniger als 250 MA, Umsatz ca. 500 Mio. USD, d.h. durchschnittlicher Umsatz pro Kunde ~2k USD/Jahr (bei Neuverträgen angeblich ~20k)
- Vor 10 Jahren gestartet, aktuell ~1000 MA, EU Standort in Irland, im DACH Raum bisher kaum bekannt
- ~150 Mio. Funding eingesammelt, Bewertung schätzungsweise um die 3 Mrd. USD.
Takeaways aus dem Podcast:
- „Microsoft and Crowdstrike dominate the market for the Fortune 500”
- Wahrscheinlich gibt es noch 1-2 andere 😉
- Unterschätzt in vielen Diskussionen: Kunden haben bei kleineren EDR-/XDR-Anbietern eine höhere Abhängigkeit von Experten als bei den weit verbreiteten Plattformen. Und für Security-Fachleute stellt sich die Frage, ob man sich wirklich auf einen Nischenanbieter spezialisieren will – wie hoch ist der Marktwert dieses Wissens in 5 Jahren noch? Auch diese Dynamik ist ein Skaleneffekt
- Wettbewerbsintensität im KMU Bereich deutlich geringer, nimmt aber zu
- Die ersten 3 Jahre bootstrapped, geringes Wachstum. Durchbruch kam über VC Investment und Channel Partner:
- Vertrieb an kleine Unternehmen nur über Reseller und MSP wirtschaftlich skalierbar (können einige der Leser vermutlich bestätigen)
- Outside Investment hat anderen Investoren und Mitarbeitern als Bestätigung gedient (einer der wichtigsten Mitgründer kam erst danach an Bord)
- Von Anfang an hochautomatisierte standardisierte Abläufe, seit 4 Jahren auch mit Gen AI
- Natürliche Selektion der Kunden: Deutliche Preiserhöhung für monatlich kündbare Verträge bei Preisreduzierung für min. 12-Monats-Laufzeiten hat dazu geführt, dass die schwächsten Kunden (= schlechte Bonität und Zahlungsmoral, niedrige Priorisierung von Security, geringe Loyalität) abgeschreckt wurden und das Business insgesamt profitabler wurde
Mandiant / Google hat sich mit Umspannwerken befasst, genauer gesagt mit Schutzrelais. Wer bisher wenig mit den technischen Details des Stromnetzbetriebs zu tun hatte (wie ich), findet hier einen gut verständlichen Einstieg. Während die Empfehlungen am Ende auf den ersten Blick generisch-bekannt klingen (z.B. Vermeidung Gruppen-Accounts, Abschaltung ungenutzter Ports + Zugänge), gibt es einige spezifische Besonderheiten in der Umsetzung. Beispiele gefällig? “Test pilot schemes (POTT, DCB, 87L)” oder “Configure BADPASS, ALARM, SETCHG, and similar relay logic bits“. Vorher nie gehört, auch nicht im GICSP. Wieder ein Puzzleteil mehr im Weltbild.
Zum Schluss diesmal kein Happy End, sondern ein absoluter Downer, der mich beim Lesen in ein tiefes Tal der Depressionen gestürzt hat: “Cyber […] currently doesn’t appear as one of the top causes of business interruption insurance losses by either severity or frequency of claims”.
- Einer Auswertung der Allianz zufolge gab es in den letzten 5 Jahren Schäden durch Betriebsunterbrechungen (die versichert waren) von ca. 7 Mrd. USD
- Fast vollständig verursacht durch analoge Gefahren wie Brände, Explosionen, Naturkatastrophen, Maschinenausfälle, Einstürze von Gebäuden, Diebstahl oder Vandalismus
- Wenn ich die Zahlen richtig lese, dann machen IT-Probleme nur ca. 1% der gemeldeten Schadenssumme aus („Kollisionen“ ist noch einzeln aufgeführt als Ursache mit 1%, Cyber nicht)
- Die Erklärung wird auch mitgeliefert: IT kann im Quervergleich mit physischen Betriebsmitteln schnell wieder hergestellt werden
- Jetzt würde ich natürlich als Security-Chefverkäufer reflexhaft argumentieren, dass es ja auch noch Betrug (BEC/BCC), Datendiebstahl, Industriespionage und sonstige Kosten durch Cyberangriffe gibt. Problem nur: Betriebsunterbrechungen sind der größte Faktor bei Cyberschäden, steht im selben Bericht. U.a. machen Unterbrechungen mehr als die Hälfte aller Schäden aus, die durch Ransomware-Angriffe entstehen.
Oh jemine. Da wollte ich endlich auch mal wichtig sein, und dann stiehlt mir der Feuerlöscher in der Ecke die Show.
- Die Cyberversicherungs-Spartenverantwortlichen waren anscheinend von den Ergebnissen Ihrer Kollegen ähnlich angefasst wie ich und haben deshalb auf den letzten Seiten des Berichts ausführlichst erklärt, dass Cyberrisiken sehr wohl sehr relevant sind und wie man sich dagegen gut absichern kann (u.a. BCM-Pläne, Notfallübungen, schnelle Reaktion)
- Datensparsamkeit und DLP werden wichtiger: Die Ransomware-Fälle sind inzwischen mehrheitlich mit Datenexfiltration
- Dann kommt aber gleich die nächste Klatsche: Ransomware bleibt zwar die Hauptursache von IT-induzierten Ausfällen, aber gewöhnliche Störungen („non attack disruptions“) machen je nach Jahr schon 40-50% aus
Die Zahlen zeigen bei nüchterner Betrachtung: Das wahrgenommene Risiko (Allianz Risik Barometer: Cyber auf Top 1) und das tatsächliche Risiko für Unternehmen sind anscheinend komplett unterschiedlich. Das heißt nicht, dass Investitionen in Security sich nicht lohnen. Aber: Betriebsunterbrechung durch Cyberangriff ist quasi der Flugzeugabsturz unter den Todesursachen. Medienwirksam, aber zum Glück selten. Natürlich nur, weil wir alle so gute Arbeit machen! Und für schwierige Board-Diskussionen haben wir ja noch unsere treue Freundin, die Dunkelziffer.
M&A Corner:
- IonQ (QKC) kauft Elisity (Mikrosegmentierung, s. auch Marktkommentar April 2025) für ~1 Mrd. USD
- Armadin (Autonomes Red Teaming at scale, Gründer Kevin Mandia, George Kurtz im Board) holt sich in Series B weitere 250 MIo. $, Bewertung liegt bei dem Zehnfachen davon
- Island (Enterprise Browser, Cyberstarts ist investiert) bekommt weitere 400 Mio. USD @ Valuation > 6 Mrd. USD
- Hadrian (automatisierte Pen Tests von außen auf alle Internet-exposed Assets) erhält weitere 40 Mio. USD
- Sequrio kauft mit PE-Funding Althammer & Kill, Datatree sowie msecure. Ziel ist wohl, einen Verbund von Beratungsunternehmen für Datenschutz, Infosec, Compliance und generell sichere Digitalisierung aufzubauen, inzwischen gehören 6 Firmen dazu. Das Exit-Multiple steigt alleine durch die Größe, dazu kommen Effizienzvorteile in der Admin-Zusammenlegung, Marketing und perspektivisch in der Delivery durch KI
Gespräche mit Anbietern:
Upwind:
- CNAPP aus Israel (Funding > 700 Mio. USD in 4 Jahren, u.a. von Cyberstarts, Bewertung aktuell > 3 Mrd.), also direkter Wettbewerb zu Wiz, Orca, CS, PAN
- Mehr als 300 Kunden, u.a. Siemens, Sixt, Checkpoint
- App Sec: SCA, SBOM, SAST / IaC / Secret Scanning, ASM
- Posture Management: CSPM, KSPM, DSPM, CIEM, Attack Path Mgmt.
- Runtime: CDR, CWPP, DAST, API Events/Logs und natürlich auch Agent Verhaltensüberwachung
- Pricing Modell technische Features: All Inclusive, im Quervergleich oft sehr kompetitiv
- Bieten auch MDR 24/7 für die Plattform an
- Suchen noch nach Channel Partnern im DACH Raum
Cybersense:
- Deutscher Anbieter für Intrusion Detection + Deception, vor ca. 5 Jahren aus Concentrade ausgegründet, vor Kurzem von der Chapters Group (PE) übernommen
- Ca. 100 Kunden, u.a. Bilstein, Uni Düsseldorf, eine Baumarktkette
- Täuschkörper: Fileserver, Backupserver, Datenbanken, ERP mit virtuellen Appliances, Betriebssystemen, Anwendungen auf Basis Infrastruktur und Namens-Konventionen des Kunden. Die Decoy-Server sind dann auch Teil der Domain und Patch-Systeme des Kunden. Typische Größenordnung 1 Decoy / 100 Endgeräte
- Dazu Köder wie Canary-Nutzerkonten und -Credentials, z.B. KeePass Exporte, Passwörter für Network Shares
- Monitoring über on prem Splunk Instanz (soll mittelfristig durch Open Source Systeme abgelöst werden)
- PoC: Setup ~2 Wochen, danach Validierung durch Red Teaming möglich
- (Co-)Managed Betrieb und Überwachung (MDR) möglich
- Wie schon mehrfach erwähnt, sehe ich aktuell erhöhten Nutzen von Deception-Lösungen aufgrund des schlechter werdenden Signal-/Rauschverhältnisses im SOC
Hackuity:
- RBVM Startup aus Frankreich (ca. 40 MA), also Asset- und Schwachstellenaggregation und -deduplizierung und dann Priorisierung
- Somit digital souveräner Wettbewerb zu Brinqa, Vulcan/Tenable, Nucleus, Armis, Axonius…
- Ca. 50 Kunden, alles Konzerne, u.a. Swiss Life, Engie, Banque Postale
- Integrationen mit den gängigen Scannern, CMDB, CTI, ITSM Systemen
- On prem oder SaaS
- Lizenzierung anhand Anzahl Assets, allerdings pauschal für alle Arten
- Auf der Roadmap: Patching
- Suchen noch nach Channel Partnern für den DACH Raum (bisher u.a. Orange, Accenture, CapGemini)
Wie immer gilt: Nichts hier ist KI-generiert. Fragen, Anregungen, Kommentare, Erfahrungsberichte, Themenwünsche und auch gegenläufige Meinungen oder Richtigstellungen gerne per Email. Dito für Abmeldungen vom Verteiler.
Für die Leute, die den Marktkommentar zum ersten Mal weitergeleitet bekommen haben: Hier kann man sich bei Interesse anmelden oder mit dem Archiv-Team einen Betriebsrat gründen.
Viele Grüße
Jannis Stemmann
