Cybersecurity – das Geschäft mit der Sicherheit | BNP Paribas Markets

Mai 2022 - Die Einbrecher kamen am helllichten Tage. Kurz nach der Mittagspause, gegen 13:30 Uhr, bekommt ein Angestellter in der Buchhaltung eines Unternehmens eine E-Mail mit einem Anhang. Nichtsahnend öffnet er die Nachricht. Und schon ist es passiert. Während der Angestellte die scheinbar harmlose E-Mail liest, wird im Hintergrund unbemerkt eine Verbindung zu einem Server aufgebaut. Eine Programmdatei initiiert einen Befehl, der wiederum eine Malware herunterlädt. Der Angestellte schüttelt über die nichtssagende E-Mail den Kopf, schliesst und vergisst sie. Ein Fehler. Ein Riesenfehler. Denn die Malware verschafft dem Versender, einem Hacker, nach und nach die vollständige Kontrolle über die Computer des Unternehmens. Tagelang bewegt sich der Eindringling unbemerkt durch das digitale System, sucht nach internen Forschungsergebnissen und Kundendaten. Und er wird fündig. Die Informationen fliessen ab, werden geklaut, auf anderen Servern zwischengelagert und schliesslich im Darknet, im „unsichtbaren“ Teil des Internets, zum Kauf angeboten. Der Diebstahl fällt erst Wochen später auf, eigentlich zufällig. Der Schaden ist im Grunde unermesslich, da das Vertrauen der Kunden in das Unternehmen verloren geht.
So oder ähnlich passiert es jeden Tag. Der Angriff von Hackern auf Computersysteme von Unternehmen und Privatpersonen ist zur Normalität geworden. Beim schweizerischen Zentrum für Cybersicherheit NCSC haben sich die gemeldeten Vorfälle in den zurückliegenden Monaten von rund 300 je Woche auf 800 wöchentlich fast verdreifacht. In Deutschland registrieren die zuständigen Behörden im Schnitt über 100'000 Angriffe am Tag. Das sind keine „Kleinkriminellen“ mehr, die da im Hintergrund agieren, das ist „ein Wirtschaftszweig mit eigenen Wertschöpfungsketten“, sagt das deutsche Bundeskriminalamt (BKA).
Die geklauten Daten werden, wenn vom Täter nicht selbst verwendet, häufig auf illegalen Märkten im Netz, vor allem im Darknet, angeboten. Dort werden auch nicht selten Drogen und Waffen offeriert, oder gar Dienstleistungen zur Begehung von Straftaten. Die Underground-Economy boomt, sagen Kriminologen, und sprechen dabei von der Cyber-Kriminalität, oder auf Englisch auch von Cybercrime.

Es kann jeden treffen
Während Cybercrime sozusagen die „dunkle, illegale Seite“ ist, steht ihr die Cybersecurity als legale Antwort gegenüber. Cybersecurity ist der Schutz von Netzwerken und Daten. Dafür setzen Unternehmen und Staaten auch sogenannte Ethical-Hacker, also ethische Hacker ein, die Systeme schützen, indem sie etwa gezielt Schwachstellen suchen und diese dem Netzbetreiber melden. Sie gehen also ähnlich vor wie Cyber-Kriminelle, nutzen Sicherheitslücken aber nicht für Straftaten, sondern tragen dazu bei, sie zu schliessen. Ein solcher Ethical-Hacker ist Avi Kravitz. „Für uns interessieren sich die Hacker doch gar nicht – das höre ich immer wieder“, sagt Avi Kravitz. Dabei sind es vor allem meist Zufallstreffer, die Hacker auf ein „Opfer“ aufmerksam machen. „Hacker gehen oft nach dem Giesskannenprinzip vor. Es wird einfach ausprobiert. Und dort, wo es am einfachsten ist, wird eingebrochen“, sagt Kravitz. Das zeigt, es kann jeden treffen, jedes Unternehmen, jede Behörde, aber auch jeden privaten Internetnutzer. Selbst dann, wenn er nicht gerade explizit im Internet unterwegs ist. Dafür reicht schon ein internetfähiges Haushaltsgerät. „Zu oft handelt es sich hierbei nämlich um Produkte mit sehr niedrigen Sicherheitsstandards, die permanent eingeschaltet, selten überwacht, schlecht gewartet und dazu noch permanent online sind“, erklärt Kravitz das Problem. Für Hacker ist es ein Leichtes, solche smarten Haushaltsgeräte, auch IoT-Geräte (IoT = Internet of Things) genannt, zu knacken. Über sie bekommen die Eindringlinge dann nicht selten auch Zugriff auf den persönlichen Computer des Gerätebesitzers.

Konstant kräftiges Wachstum
Doch wie kann man sich vor Hackern schützen? Cybersecurity setzt sich mit diesem Problem auseinander. Und es ist klar, es handelt sich hier um einen komplexen Prozess, um einen „Massnahmen-Mix aus Weiterbildung und technischen Massnahmen“, erklärt der Ethical-Hacker Kravitz. Eine einfache Lösung, etwa in Form eines Antiviren-Programms, reicht nicht. Deswegen wundert es nicht, dass sich Angebote rund um die Cybersecurity einer rasant steigenden Nachfrage erfreuen. Nach einer vorläufigen Prognose könnten allein in der Schweiz im zurückliegenden Jahr mit Angeboten rund um die Cybersecurity knapp 800 Millionen Franken umgesetzt worden sein. Im Jahr 2015 lag der Umsatz bei nur rund 440 Millionen Franken. Für die nächsten Jahre rechnen Marktforscher mit einer ungebremsten Fortsetzung des Trends. Für das laufende Jahr etwa rechnet das Marktforschungsunternehmen IDC mit einem Gesamtumsatz der Branche in Deutschland von 6,8 Milliarden Euro, was einen Zuwachs von fast zehn Prozent gegenüber dem Vorjahr bedeuten würde. Für das Jahr 2025 wird dann schliesslich ein Umsatz von 9,5 Milliarden Euro prognostiziert.

Orientierungshilfe für Anleger
Eine Entwicklung, die auch an der Börse auf grosses Interesse stösst. Cybersecurity-Unternehmen gehören seit einiger Zeit zu den Outperformern am Aktienmarkt. Für den Cybersecurity-Laien ist es dabei nicht ganz leicht, die richtige Auswahl zu treffen. Eine mögliche erste Orientierung bieten Exchange Traded Funds (ETFs), die sich auf Cybersecurity-Unternehmen spezialisiert haben. Ihre Zusammensetzung offeriert für interessierte Anleger eine gute Vorauswahl, die als Grundlage für Einzelengagements genutzt werden kann. Diese sind dann natürlich immer mit einem hohen Risiko verbunden. MÄRKTE & ZERTIFIKATE focus stellt eine kleine Auswahl an Unternehmen vor, die in den meisten Cybersecurity-ETFs vertreten sind:

Check Point Software - der Klassiker
Gegründet wurde Check Point Software schon 1993, als IT-Sicherheit noch kein grosses Thema war, in Israel. Bekannt ist Check Point vor allem für seine Firewall- und VPN-Produkte. Laut Unternehmensangaben benutzen alle Fortune-100-Konzerne, also die weltweit 100 umsatzstärksten Firmen, Sicherheitslösungen von Check Point. In den zurückliegenden Jahren wurde das Produktangebot systematisch ausgeweitet. So ist man derzeit vor allem auch bei Sicherheitsfragen in Cloud-Systemen unterwegs, ein stark wachsendes Segment. 2020 hat das Unternehmen einen Umsatz von 2,1 Milliarden Dollar erzielt, 2021 waren es knapp 2,2 Milliarden Dollar, für das laufende Geschäftsjahr liegen die Schätzungen bei rund 2,3 Milliarden Dollar. Es geht also sukzessive aufwärts, auch wenn mit keinen grossen Sprüngen nach oben zu rechnen ist. Fazit: Solide, wenn auch nicht günstig, ist Check Point Software ein Basisinvestment in Sachen Cybersecurity.
Microsoft - aus Not wird Tugend
Weil die Softwareprodukte des Konzerns zu den beliebtesten Zielen von Cyber-Kriminellen gehören, hat sich Microsoft der Entwicklung umfangreicher Sicherheitslösungen gewidmet und gehört heute zu den weltweit führenden Anbietern entsprechender Technologien. Und was nicht selbst entwickelt werden kann, wird dazugekauft. So im zurückliegenden Jahr etwa RiskIQ aus San Francisco. Das Unternehmen stellt Cloud-Software zum Erkennen von Sicherheitsbedrohungen im Internet her. Mithilfe der Software können Kunden nachvollziehen, wie sie in komplexen Unternehmensnetzen angegriffen werden können. Zu den Kunden von RiskIQ zählen unter anderem Meta Platforms (ehemals Facebook), BMW, American Express und U.S. Postal Service. Mit einer Marktkapitalisierung von über zwei Billionen Dollar ist Microsoft das Schwergewicht im Bereich Cybersecurity-Aktien. Im zurückliegenden Geschäftsjahr, das bei Microsoft im Juni endet, hat das Unternehmen einen Umsatz von rund 168 Milliarden Dollar erwirtschaftet, für das laufende Geschäftsjahr rechnen Analysten im Schnitt mit 199 Milliarden Dollar. Ein Teil des Zuwachses dürfte dabei auf das Konto der Cybersecurity-Aktivitäten des Unternehmens gehen. Zuletzt hat Microsoft etwa zehn Milliarden Dollar Umsatz in diesem Segment erwirtschaftet, was einem jährlichen Wachstum von mehr als 40 Prozent entspricht. All das ändert jedoch wenig an der recht hohen Bewertung der Microsoft-Aktien. Kein Schnäppchen, aber dennoch Basisinvestment für Cybersecurity-Anleger.
NortonLifeLock – Sicherheit für den Privatanwender
Deutlich kleiner als Microsoft aber vielleicht nicht weniger bekannt, ist NortonLifeLock. Ursprünglich wurde das Unternehmen 1982 unter dem Namen Symantec gegründet. 2019 fand dann eine Neuausrichtung statt, man konzentriert sich seitdem auf das Geschäft mit Privatkunden. In diesem Rahmen wurde die Marke Symantec an Broadcom verkauft, der Firmenname in NortonLifeLock geändert. Ende 2020 wurde das Privatkundengeschäft noch einmal durch die Übernahme von Avira gestärkt, einem deutschen Hersteller von Antivirensoftware.
Geht man in die Umsatzhistorie, muss man die Neuausrichtung und den Verkauf von Symantec berücksichtigen. Im Geschäftsjahr 2019, das im April 2019 endete, belief sich der Umsatz noch auf fast fünf Milliarden Dollar, 2020 waren es dann nur noch 2,5 Milliarden Dollar. Für das Geschäftsjahr 2022 liegen die Schätzungen bei knapp 2,8 Milliarden Dollar, es geht also sukzessive aufwärts. Die Papiere von NortonLifeLock sind im Vergleich günstig bewertet, wenn auch nicht billig. Fazit: Bei Schwäche einsammeln.
Palo Alto Networks – eine Plattform für den Überblick
Palo Alto Networks wurde 2005 von einem ehemaligen Mitarbeiter von Check Point Software gegründet und war anfangs für Firewall-Systeme bekannt. Seit einigen Jahren führt Nikesh Arora, der zuvor bei Google und Softbank arbeitete, das Unternehmen. Palo Alto Netwroks ist vor allem für Sicherheit in der Cloud und smarte Abwehr von Gefahren bekannt. Das Unternehmen hat unter anderem eine Softwareplattform entwickelt, die die IT-Sicherheitsbemühungen eines Unternehmens oder einer Behörde quasi bündelt und transparent macht. Die Plattform ermöglicht detaillierte Einblicke in den gesamten Datenverkehr und in alle Anwendungen auf der Benutzerebene, und zwar zu allen Zeiten und bei voller Geschwindigkeit des Netzes. Vom Zahlenwerk her entwickelt sich Palo Alto Networks sehr dynamisch. Für das Geschäftsjahr 2021, das im Juli 2021 endete, wurde ein Umsatz von knapp 4,3 Milliarden Dollar gemeldet. Für das laufende Geschäftsjahr rechnen Analysten mit bis zu 5,5 Milliarden Dollar. Das Unternehmen macht derzeit noch keinen Gewinn; der ist, auf Grundlage des Nettoergebnisses, frühestens für 2024/2025 denkbar.
Varonis Systems – dem Verhalten auf der Spur
Varonis Systems hat eine Plattform entwickelt, die Sicherheitslücken in einem Unternehmen erkennt, indem sie unter anderem das Verhalten der Menschen analysiert. Wer hat wo Zugriff? Wo liegen sensible Daten? Wann und von wem werden auffällige E-Mails geöffnet, und und und. Bei Auffälligkeiten schlägt das System Alarm. Vorteil dieser Vorgehensweise: Varonis Systems ist relativ vielseitig einsetzbar und erweiterbar. Varonis Systems verzeichnet, wenn auch auf niedrigem Niveau, ein ordentliches Umsatzwachstum. Für das Geschäftsjahr 2021 wurden 390 Millionen Dollar gemeldet, für das laufende Jahr liegen die Schätzungen bei rund 500 Millionen Dollar und für 2023 bei knapp 600 Millionen Dollar. Das Unternehmen macht noch Verluste, für 2022 etwa wird ein negatives Nettoergebnis von rund 100 Millionen Dollar erwartet.