KI-gestützte Sicherheitsvalidierung: Dauerbewachung statt Jahrespentest

Wenn der Jahrescheck zum Auslaufmodell wird

Stellen Sie sich vor, ein Sicherheitsunternehmen prüft einmal jährlich das Schloss Ihrer Haustür – aber nie die Fenster, den Keller oder die neu eingebaute Terrassentür. Genau so funktionierten klassische Penetrationstests lange Zeit in der Unternehmenswelt: Ein externes Team versuchte einmal im Jahr, in die IT-Infrastruktur einzudringen, dokumentierte die Lücken – und ein Jahr später wiederholte sich das Ritual. In einer Zeit, in der Software alle paar Wochen aktualisiert wird, Cloud-Dienste täglich neue Schnittstellen öffnen und Angreifer zunehmend selbst auf KI-Tools zurückgreifen, ist dieses Modell strukturell überholt.

Der Markt sendet klare Signale: Das US-amerikanische Cybersecurity-Start-up Horizon3 AI schloss eine Series-E-Finanzierungsrunde über 250 Millionen US-Dollar bei einer Bewertung von zwei Milliarden Dollar ab. Das Unternehmen spezialisiert sich auf autonome, KI-gestützte Angriffssimulation – also auf kontinuierliche Tests, die rund um die Uhr laufen, statt einmal jährlich stattfinden. Dass Investoren bereit sind, eine solche Bewertung zu zahlen, spiegelt eine tiefere These wider: Das Modell der „Continuous Security Validation" könnte klassische Pentest-Dienstleister strukturell verdrängen.

Warum jetzt? Drei Kräfte treiben den Wandel

Der Wechsel von periodischen zu kontinuierlichen Sicherheitsprüfungen ist kein Marketingtrend, sondern das Ergebnis von drei sich überlagernden Entwicklungen.

1. KI auf der Angreifer-Seite: Sicherheitsforscher beobachten seit 2023 einen deutlichen Anstieg von automatisierten Angriffskampagnen, die KI-Werkzeuge nutzen, um Schwachstellen schneller zu identifizieren und Phishing-Nachrichten zu personalisieren. Wenn Angreifer rund um die Uhr aktiv sind, verliert ein Jahrestest seinen Schutzwert fast sofort nach Abschluss.

2. Die Explosionsrate neuer Angriffsflächen: Moderne Unternehmen betreiben hybride Cloud-Umgebungen, nutzen Dutzende SaaS-Dienste und binden externe Entwickler via APIs ein. Jede neue Verbindung ist eine potenzielle Schwachstelle. Studien des US-amerikanischen National Institute of Standards and Technology (NIST) zeigen, dass die Zahl der jährlich gemeldeten Schwachstellen (CVEs) seit 2017 nahezu kontinuierlich gestiegen ist – 2023 wurden über 28.000 neue CVEs registriert.

3. Regulatorischer Druck: Frameworks wie die EU-Richtlinie NIS2, die in nationales Recht umzusetzen ist, und der US-amerikanische SEC-Cybersecurity-Disclosure-Standard verlangen von Unternehmen nachweisbare, laufende Sicherheitsmaßnahmen. Ein Jahresbericht reicht für Compliance-Zwecke zunehmend nicht mehr aus.

Das SaaS-Modell und seine Kennzahlen: ARR, NRR und Cash Runway

Für Investoren – insbesondere im Small-Cap-Bereich – ist der Unterschied zwischen einem Dienstleistungsunternehmen und einem SaaS-Anbieter fundamental. Klassische Pentest-Firmen rechnen projektbasiert ab: kein Auftrag, kein Umsatz. SaaS-Anbieter hingegen generieren Annual Recurring Revenue (ARR) – Jahresverträge, die monatlich abgerechnet werden und für Planbarkeit sorgen.

Die entscheidende Kennzahl, um echtes Wachstum von Hype zu unterscheiden, ist die Net Revenue Retention (NRR): Sie misst, wie viel Umsatz ein Unternehmen aus seiner bestehenden Kundenbasis beibehält und ausbaut. Eine NRR über 120 % bedeutet, dass Bestandskunden im Durchschnitt 20 % mehr ausgeben als im Vorjahr – das signalisiert echten Produktwert. Eine NRR unter 100 % hingegen zeigt Kundenverlust, was in einem wachsenden Markt ein kritisches Warnsignal wäre.

Gerade bei nicht-profitablen Wachstumsunternehmen – wie es viele Small Caps im Cybersecurity-Bereich sind – ist außerdem der Cash Runway essenziell: Er gibt an, wie viele Monate ein Unternehmen mit den vorhandenen Kassenbeständen auskommt, bevor es neue Mittel braucht. Verkürzt sich der Runway, steigt das Risiko einer Kapitalerhöhung, die bestehende Aktionäre verwässert.

Ein Analogon aus einem anderen Technologiebereich: Als Cloud-Security-Anbieter wie Zscaler oder CrowdStrike zwischen 2018 und 2022 an den Markt kamen, war die Diskussion ähnlich – hohe Bewertungen, kein Gewinn, aber starkes ARR-Wachstum und NRR-Werte jenseits der 120 %-Marke. Die Investoren, die früh eingestiegen waren, profitierten stark – jene, die ohne Verständnis der Kennzahlen spekulative Small Caps kauften, erlitten zum Teil erhebliche Verluste, als sich die Wachstumsraten normalisierten.

Welche Marktsegmente profitieren – und welche stehen unter Druck

Der Wandel zur kontinuierlichen Sicherheitsvalidierung betrifft verschiedene Marktteilnehmer sehr unterschiedlich.

Für Small-Cap-Anleger liegt die Besonderheit darin, dass viele der aufstrebenden KI-nativen Anbieter noch nicht börsennotiert sind – wie Horizon3 AI selbst. Der IPO-Pfad wird oft über eine weitere Finanzierungsrunde oder einen SPAC-Merger beschritten. Das bedeutet: Die eigentliche Spekulation findet oft in gelisteten Wettbewerbern oder Zulieferern statt, nicht im Unternehmen, das die Schlagzeilen macht.

Was Anleger aus diesem Strukturwandel mitnehmen können

Der Übergang von periodischen Penetrationstests zu dauerhafter, KI-gestützter Sicherheitsvalidierung ist kein vorübergehender Hype, sondern eine strukturell begründete Verschiebung des Marktes. Sie wird durch regulatorischen Druck, veränderte Bedrohungslagen und das SaaS-Modell als Vertriebsmechanismus getragen.

Für Anleger in Small Caps des Cybersecurity-Bereichs gilt dennoch die eiserne Grundregel: Wachstumsstory und Geschäftsmodell sind zwei verschiedene Dinge. ARR-Wachstum, NRR und Cash Runway sind die drei Kennzahlen, die den Unterschied zwischen einem tragfähigen Unternehmen und einem kapitalintensiven Hoffnungsträger markieren. Wer nur die Headline liest und in schlecht kapitalisierte Small Caps investiert, riskiert den Totalverlust – insbesondere dann, wenn eine Kapitalerhöhung zu Verwässerung führt oder der Cash Runway schneller endet als geplant.

Dieser Artikel dient ausschließlich der allgemeinen Finanzbildung und stellt keine Anlageberatung dar. Jede Investitionsentscheidung sollte auf der Grundlage einer eigenständigen Analyse und gegebenenfalls professioneller Beratung getroffen werden.

Wichtige Begriffe auf einen Blick

Penetrationstest (Pentest)

Gezielter, zeitlich begrenzter Versuch autorisierter Experten, in ein IT-System einzudringen, um Sicherheitslücken zu identifizieren. Klassischerweise ein jährlich oder projektbasiert beauftragter Prozess.

Continuous Security Validation

Dauerhaft laufende, automatisierte Simulation von Angriffswegen in der eigenen IT-Infrastruktur. Ziel ist es, neue Schwachstellen zu erkennen, bevor echte Angreifer sie ausnutzen.

Annual Recurring Revenue (ARR)

Annualisierter Jahresumsatz aus aktiven Abonnements oder Dauerverträgen. Zentrale Wachstumskennzahl für SaaS-Unternehmen.

Net Revenue Retention (NRR)

Misst, wie viel Umsatz aus der bestehenden Kundenbasis erhalten und ausgebaut wird. Werte über 100 % signalisieren organisches Wachstum ohne Neukundengewinnung, über 120 % gelten als starkes Qualitätssignal.

Cash Runway

Gibt an, wie viele Monate ein Unternehmen mit den aktuellen Kassenbeständen bei laufender Burn Rate auskommt, bevor neues Kapital benötigt wird.

Verwässerung (Dilution)

Wenn ein Unternehmen neue Aktien ausgibt (Kapitalerhöhung), sinkt der prozentuale Anteil bestehender Aktionäre am Gesamtkapital – ihr Anteilswert wird „verwässert".

CVE (Common Vulnerabilities and Exposures)

Öffentliches Register bekannter Sicherheitslücken in Software und Hardware, gepflegt vom US-amerikanischen NIST. Die Anzahl neu gemeldeter CVEs pro Jahr gilt als Indikator für die Wachstumsrate der Angriffsfläche.

NIS2

EU-Richtlinie zur Netz- und Informationssicherheit (zweite Fassung), die Unternehmen in kritischen Sektoren zu nachweisbaren, laufenden Cybersicherheitsmaßnahmen verpflichtet und damit die Nachfrage nach kontinuierlicher Sicherheitsvalidierung regulatorisch stützt.

⚠️ Wichtiger Hinweis: Dieser Artikel dient ausschließlich Informations- und Bildungszwecken. Er stellt keine Anlageberatung, keine Kaufempfehlung und keine Aufforderung zum Kauf oder Verkauf von Wertpapieren dar. Investitionen in Unternehmen mit geringer Marktkapitalisierung (Small und Micro Caps) — etwa aus den Bereichen KI/Software, Biotech, Rüstung und Raumfahrt, Wasserstoff oder Quantentechnologie — sind mit hohen Risiken verbunden, einschließlich des möglichen Totalverlusts des investierten Kapitals. Vor jeder Anlageentscheidung sollten Sie einen registrierten Finanzberater konsultieren und eine eigene Analyse durchführen. Die Aktienatlas-Redaktion übernimmt keine Verantwortung für Entscheidungen, die auf Grundlage der veröffentlichten Inhalte getroffen werden.

Nur Bildung, keine Anlageberatung. Small Caps sind hochspekulativ (Totalverlust möglich).