Wenn E-Mail-Sicherheit zur Standortfrage wird

Eine 5-Millionen-Euro-Runde mit ungewöhnlichem Pitch

xorlab, ein E-Mail-Sicherheitsunternehmen aus Zürich, hat eine Series-A+-Runde über 5 Millionen Euro abgeschlossen, die für die Expansion in die DACH-Region, die Beneluxstaaten und den Norden Europas vorgesehen ist. Das Unternehmen bietet Erkennung und Abwehr von Phishing, Business E-Mail Compromise und Account-Übernahmen, also genau jenen alltäglichen Angriffen, die E-Mail zu einem der am häufigsten ausgenutzten Einfallstore in ein Unternehmensnetzwerk machen.

Spicehaus Partners führte die Runde als bestehender Investor an, begleitet von den weiterhin engagierten Geldgebern Grapha Holding, EquityPitcher Ventures und ZKB Start-up Finance. Die Ankündigung erfolgte am 1. September, und fünf Millionen Euro sind eine bescheidene Summe im Vergleich zu dem, was spätere Finanzierungsrunden von Sicherheits- und KI-Startups anderswo in Europa üblicherweise einbringen. Dass dieselben Investoren erneut Kapital zusagten, statt ein neues Konsortium die Bewertung neu festzulegen, liest sich eher als Vertrauensbeweis in Kontinuität denn als Rettungsaktion.

Wie viel Aufmerksamkeit die Runde verdient, hängt weniger von der Höhe der Summe ab als davon, wofür das Geld eingesetzt wird: der Ausbau eines Produkts, das auf einer einzigen Designentscheidung beruht, die die meisten Anbieter von E-Mail-Sicherheit nicht als echte Wahlmöglichkeit anbieten, nämlich Kunden selbst bestimmen zu lassen, in welcher Jurisdiktion ihre Mails tatsächlich verarbeitet werden. E-Mail bleibt zudem einer der häufigsten Einfallswege für genau jene Vorfälle, die DORA und NIS2 eindämmen sollen, weshalb ein Nischenanbieter, der in diesem Bereich wächst, mehr Aufmerksamkeit verdient als seine Bilanzsumme allein nahelegt. Eine Runde über 5 Millionen Euro kauft keine neue Technologie, sondern vor allem Vertriebskapazität, lokales Personal und die Compliance-Unterlagen, die nötig sind, um in einem neuen Satz nationaler Aufsichtsregime zu verkaufen, unglamouröse Arbeit, die darüber entscheidet, ob der Pitch überhaupt bei Einkaufsabteilungen ankommt.

Die Kundenliste ist das eigentliche Signal

xorlabs bestehende Kundenliste liest sich bereits wie eine Checkliste des regulierten Europas: die Privatbank Julius Baer, der Telekommunikationsanbieter Swisscom, der Vermögensverwalter Vontobel, der Sicherheits- und Wertpapierkonzern Giesecke+Devrient sowie die Forschungsorganisation CERN. Zusammen decken sie genau jene Branchenmischung ab, für die DORA, NIS2 und die DSGVO jeweils geschrieben wurden: Finanzdienstleistungen, kritische Infrastruktur und Organisationen, deren Datenverlust wirklich gravierende Folgen hätte.

Keines davon sind spekulative Referenzkunden. Eine Bank fällt unmittelbar in den Anwendungsbereich von DORA. Ein Telekommunikationsanbieter fällt in den von NIS2. Ein Unternehmen wie Giesecke+Devrient arbeitet mit Währungs-, Identitäts- und Sicherheitstechnologie, wo operative Resilienz und Datenkontrolle bereits Chefsache sind, und CERN betreibt sensible internationale Forschungskommunikation, die viele Regierungen ungern über Infrastruktur laufen sehen, die sie nicht kontrollieren. Die Regulierungsbehörden, die DORA und NIS2 entworfen haben, haben dieses Anliegen nicht aus dem Nichts erfunden, sondern niedergeschrieben, weil Unternehmen wie diese bereits das Konzentrationsrisiko bei einer kleinen Zahl von Nicht-EU-Anbietern beunruhigte, und dieses Risiko ist für keinen dieser fünf Kunden abstrakt, denn eine Bank, ein Telekommunikationsanbieter, ein Sicherheitshersteller und ein physikalisches Forschungslabor sind jeden einzelnen Tag darauf angewiesen, dass E-Mail korrekt und vertraulich funktioniert.

Das Produkt ist genau auf dieses Anliegen zugeschnitten, statt es zu relativieren: Kunden wählen zwischen vollständig lokalem Betrieb mit lokaler Verarbeitung und Speicherung, einem Hybridmodell oder einer Cloud-Option, und in jedem dieser Modi liegen die Rechenzentren in der EU und das Personal, das den Dienst betreut, sitzt in Europa. Dieser Spielraum an Optionen ist wichtig, weil Compliance-Teams zunehmend nicht nur dokumentieren müssen, dass Daten verschlüsselt sind, sondern auch, welches Land mit seinen Gerichten und Nachrichtendiensten theoretisch Zugriff erzwingen könnte.

Was sich diese Woche für EU-Compliance-Verantwortliche geändert hat

Vor dieser Woche konnte ein EU-Compliance-Team bei der Bewertung von E-Mail-Sicherheit die Jurisdiktion des Anbieters vernünftigerweise als Fußnote unter Funktionsvergleich und Preis behandeln. Eine finanzierte, kundengestützte Alternative, die genau auf diese Fußnote zugeschnitten ist, macht es schwerer, sie aus dem Bewertungsbogen zu streichen. Das gilt selbst bei einer kleinen Finanzierungssumme, weil es verändert, was ein Vertriebsteam in einem Due-Diligence-Fragebogen glaubwürdig versprechen kann, und es verschafft kleineren Anbietern eine Vorlage, um regulierte Kunden allein über die Jurisdiktion zu gewinnen, nicht nur, indem sie mehr Phishing-Mails abfangen als der etablierte Anbieter.

xorlab positioniert seinen Pitch ausdrücklich um die Einhaltung von DORA, NIS2 und DSGVO sowie um die Verringerung der Abhängigkeit von US-kontrollierter Infrastruktur und US-Sicherheitsanbietern, ein Rahmen, den das Unternehmen und seine Geldgeber als souverän bezeichnen. Der Geschäftsführer brachte die zugrunde liegende Überzeugung auf den Punkt: Europa brauche eigene Cybersicherheits-Champions, keine europäischen Kopien US-amerikanischer Platzhirsche, eine Aussage, die eine Sorge trifft, die viele europäische Vorstände bereits hegen, nämlich dass Entscheidungen über kritische Infrastruktur, die in Brüssel oder Berlin getroffen werden, weiterhin von Entscheidungen in Washington geprägt sein könnten.

All das macht xorlab nicht automatisch zum Gewinner, und fünf Millionen Euro kaufen keine Marktdominanz in einer Kategorie mit etablierten, gut finanzierten Platzhirschen. Aber es bestätigt, dass Jurisdiktion zu einem Posten geworden ist, für dessen Kontrolle Unternehmen tatsächlich bezahlen, nicht nur zu einer Compliance-Sorge, die man zur Kenntnis nimmt und beiseitelegt, und für eine Branche, die darauf aufbaut, Käufer davon zu überzeugen, dass das nächste Feature am wichtigsten ist, ist das ein grundlegend anderes Verkaufsgespräch.

Warum wir das tun

Wir tun dies für alle, die versuchen, mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns antreibt.

Weiterlesen: Ein Leck, das Ihr DORA-Register nicht erklärt  |  Hugging Face musste um die eigenen Protokolle bitten