Hallo zusammen,<\/p>\n
heute mal wieder ein Potpourri<\/strong> aus zusammenhanglosen Gedanken und Beobachtungen, bei dem mir der semantische Br\u00fcckenbau bisher nicht gelungen ist.<\/p>\n Los geht es mit einem Erfahrungsbericht<\/a> von Alex Chantavy (CEO von SubImage<\/strong>, Cloud Asset Visibility) \u00fcber die ersten Wochen im Inkubator Y Combinator<\/strong>. Ermutigend und gleichzeitig angsteinfl\u00f6\u00dfend f\u00fcr alle, die dar\u00fcber nachdenken, ihren sicheren Job f\u00fcr die Gr\u00fcndung eines Security Startups aufzugeben. Die Sollbruchstelle im Fundingprozess ist der lange Enterprise Sales Zyklus bei Security-Produkten<\/strong>, der im Widerspruch zur Erwartungshaltung von Investoren bzgl. schneller nachgewiesener Traktion steht.<\/p>\n <\/p>\n Kenne ich aus eigener leidvoller Erfahrung: Bei Gr\u00fcndung von CyberCompare habe ich in un\u00fcbertroffener Naivit\u00e4t und als \u201eunforced Error\u201c unserer Konzernmutter-GF eine Mindest-Anzahl Kundenabschl\u00fcsse in unserem ersten Halbjahr zugesagt. Und dann Blut und Wasser geschwitzt, als wir in der ersten SteerCo zwar viele vielversprechende Anbahnungsgespr\u00e4che<\/strong> und warme (virtuelle) H\u00e4ndedr\u00fccke, aber genau 0 Vertragsunterzeichnungen<\/strong> vorzuweisen hatten. An dieser Stelle nochmals unendlich Dank an alle Kunden der ersten Monate (Ihr wisst, wer Ihr seid!)<\/strong>, ohne deren Vertrauen wir direkt wieder als fehlgeschlagenes Experiment im Hinterhof der Schillerh\u00f6he verbuddelt worden w\u00e4ren. Ein nett gemeintes Feedback in der Marktstudie ist eben doch ein anderes Commitment, als eine durch den Einkauf freigegebene Bestellung. Passt auch zu der Beobachtung, dass immer mehr Security Startups von 2nd oder 3rd time Foundern und\/oder mit Seed Investments der gro\u00dfen Plattformen hochgezogen werden.<\/p>\n Bei Heise Security Pro<\/strong> (insgesamt \u00fcbrigens empfehlenswert) bin ich auf einen interessanten Thread zum Thema Cyberangriffs-Fallzahlen gesto\u00dfen. Ansto\u00df dazu war die Diskrepanz zwischen den vom Bitkom proklamierten Sch\u00e4den (O-Ton CISO: \u201eFantastrillionen\u201c) und den Zahlen vom BSI oder T\u00dcV<\/a>, die um Gr\u00f6\u00dfenordnungen niedriger liegen. Einige CISOs berichten von zunehmenden Schwierigkeiten dabei, den Vorstand damit noch f\u00fcr eine Aufstockung des Security-Budgets zu begeistern<\/strong>, selbst wenn enthusiastisch auf die Dunkelziffer verwiesen wird. Aus der Untersuchung des T\u00dcV von ~500 deutschen Unternehmen ging z.B. hervor, dass<\/p>\n <\/p>\n Meine 0,02 EUR dazu: Die besten Zahlen haben Versicherer<\/strong>, denn die haben \u201eSkin in the Game\u201c. Die MunichRe<\/strong> hat z.B. im Jahresbericht f\u00fcr 2025<\/a> zum ersten Mal die Profitabilit\u00e4t der Cybersparte ver\u00f6ffentlicht, diese liegt bei ungef\u00e4hr 3% (bei ~9 Mrd. Umsatz)<\/strong>. Umfasst nach meinem Verst\u00e4ndnis Erstversicherung (\u00fcber z.B. Ergo) und R\u00fcckversicherung. Ich vermute daher, die Pr\u00e4mien sind relativ nah am tats\u00e4chlichen Risiko (also dem durchschnittlich erwartbaren j\u00e4hrlichen Schaden)<\/strong> bei gegebenem Security-Niveau, welches ja vor Angebot einer Police durch den Versicherer eingesch\u00e4tzt wird. Ich denke auch, dass die Frageb\u00f6gen und Risikodialoge der Versicherer grosso modo die wirkungsvollsten Ma\u00dfnahmen pr\u00fcfen. Im Umkehrschluss: Was nicht abgefragt wird, bringt im Zweifelsfall auch keine gro\u00dfe Risikominderung. Die Argumentation \u00fcber Versicherungsdeckungen und Policenh\u00f6he (in Abh\u00e4ngigkeit von Selbstbeteiligung etc.) ist meiner Erfahrung nach auch ein gangbarer Weg, um gg\u00fc. dem CFO eine Budgetanpassung nach oben zu\u00a0rechtfertigen.<\/p>\n <\/p>\n IT Capital Partners<\/strong> bietet mit dem European Sovereign Cloud Compass<\/a><\/strong> einen tiefgehenden Vergleich von 17 Cloud Anbietern hinsichtlich politisch\/rechtlicher und technischer Unabh\u00e4ngigkeitskriterien<\/strong>. Hut ab f\u00fcr die detaillierte Recherche!<\/p>\n In meiner Wahrnehmung gibt es bisher nur bei Bundesbeh\u00f6rden und im Verteidigungssektor eine Zahlungsbereitschaft f\u00fcr diese Angebote. Konzerne pr\u00fcfen vereinzelt in PoCs die Umstellung von Teilbereichen, ggf. auch, um in eine bessere Verhandlungsposition gg\u00fc. den Hyperscalern zu kommen. Es wird aber vermutlich noch einige Jahre dauern, bis das in die Breite der kommunalen Einrichtungen und Unternehmen diffundiert ist.<\/p>\n <\/p>\n Von der CISA<\/strong> kommt eine Direktive f\u00fcr amerikanische Beh\u00f6rden, aus der sich anhand von 4 Kriterien f\u00fcr Schwachstellenpriorisierung und -behebung<\/a><\/strong> pragmatisch KPIs f\u00fcr die eigene Orga ableiten lassen (Danke f\u00fcr den Hinweise, Wolfgang!). Beispiel:<\/p>\n <\/p>\n\n
\n
\n