Continuous Validation: Wie KI den Cybersecurity-Markt neu ordnet

Der Jahres-Pentest hat ein Ablaufdatum

Stellen Sie sich vor, eine Bank würde ihre Tresore nur einmal im Jahr auf Schwachstellen prüfen – die übrigen 364 Tage aber unbeaufsichtigt lassen. Genau so funktionierte Cybersicherheit bei vielen Unternehmen lange Zeit: Einmal jährlich beauftragten sie externe Spezialisten mit einem sogenannten Penetrationstest (Pentest), der die IT-Infrastruktur auf Angriffspunkte abklopfte. Das Ergebnis: ein mehrseitiger Bericht, der oft schon bei Lieferung veraltet war – weil sich Bedrohungen, Softwareversionen und Netzwerktopologien inzwischen täglich verändern.

Dass dieses Modell unter Druck steht, zeigt ein aktueller Finanzierungsvorgang im US-Markt besonders deutlich. Das auf automatisierte Sicherheitsvalidierung spezialisierte Unternehmen Horizon3 schloss eine Series-E-Runde über 250 Millionen US-Dollar ab und erreichte dabei eine Bewertung von zwei Milliarden Dollar. Investoren setzen damit ein klares Signal: Der Markt honoriert den Wechsel vom episodischen Pentest zur dauerhaften, KI-gestützten Validierung – und zwar mit erheblichen Bewertungsaufschlägen.

Warum jährliche Tests strukturell veraltet sind

Um die Dynamik zu verstehen, lohnt ein Blick auf die Ursachen. Drei Faktoren treiben den Wandel gleichzeitig an:

1. Angriffsflächen wachsen schneller als Teams. Cloud-Migrationen, Microservices und Remote-Work haben die Angriffsfläche von Unternehmen in wenigen Jahren vervielfacht. Ein Pentest, der im Januar durchgeführt wurde, kann im März bereits große blinde Flecken aufweisen – weil seitdem neue Services, APIs oder Lieferantenzugänge hinzugekommen sind.

2. KI auf der Angreiferseite beschleunigt das Tempo. Bedrohungsakteure nutzen ihrerseits maschinelles Lernen, um Schwachstellen automatisiert zu scannen und Exploits schneller zu entwickeln. Wer nur einmal jährlich testet, kämpft mit Schachzügen von gestern gegen einen Gegner, der heute spielt.

3. Regulatorischer Druck erzwingt Nachweis – nicht nur Absicht. Rahmenwerke wie NIS2 in der EU oder der US Cybersecurity Executive Order verlangen zunehmend nachweisbare, kontinuierliche Sicherheitskontrollen. Ein jährlicher Bericht reicht als Compliance-Nachweis nicht mehr aus. Das schafft strukturelle Nachfrage nach Lösungen, die laufend Daten liefern.

Nur Bildung, keine Anlageberatung. Small Caps sind hochspekulativ (Totalverlust möglich).