Der Deal, den Bank of America gerade gemacht hat

Bank of America teilte am 30. Juli 2026 mit, dass sie MDSec Consulting Limited übernehmen wird, ein britisches Informationssicherheits-Beratungsunternehmen mit Sitz in Macclesfield, England, im Nordwesten des Landes nahe Manchester und Chester. MDSec beschäftigt rund 65 hochtechnische Spezialistinnen und Spezialisten in den Bereichen Penetrationstests, Red-Team-Einsätze, Angreifer-Simulation und Bedrohungsforschung. Finanzielle Details nannte Bank of America nicht; der Abschluss wird für das vierte Quartal 2026 erwartet, vorbehaltlich behördlicher Genehmigung. Die eigene Pressestelle der Bank bezeichnete es als den ersten Zukauf des Unternehmens seit fünf Jahren.

Bank of Americas Chief Information Security Officer Kris Fador begründete den Deal mit dem Ruf des Zielunternehmens: "Wir bewundern die außergewöhnlichen Fähigkeiten des MDSec-Teams seit Langem und freuen uns, dass Bank of America und ihre Kunden künftig noch stärker von ihrer Arbeit profitieren werden." MDSec-Mitgründer Dominic Chell beschrieb den Schritt aus Sicht des verkauften Unternehmens als ebenso kulturelle wie finanzielle Passung: "Der Anschluss an eines der weltweit führenden Finanzinstitute, das unsere Kultur aus Innovation und technischer Exzellenz teilt, gibt uns eine unglaubliche Chance."

Gekaufte statt aufgebaute Red-Team-Kompetenz

Große regulierte Banken haben Offensive-Security-Tests, also das gezielte Beauftragen von Spezialisten, die eigenen Systeme anzugreifen, bevor es Kriminelle tun, historisch als projektbezogen einzukaufende Dienstleistung oder als intern langsam wachsende Fähigkeit behandelt. Bank of America betreibt bereits ein umfangreiches Cyber-Bedrohungszentrum im nahen Chester mit mehr als 1.400 Beschäftigten in der Region - die Bank startet also nicht bei null. Neu ist die Methode: Statt Stellen auszuschreiben oder ein weiteres Jahr interner Ausbildung zu investieren, kaufte die Bank ein etabliertes Red Team mitsamt Kundenbeziehungen, Forschungspipeline und Ruf.

Genau diese Entscheidung ist das eigentliche Signal. Eine Pentest- und Red-Team-Kultur, also der Instinkt, wie ein Angreifer zu denken statt nur bekannte Schwachstellen zu flicken, lässt sich in einer großen, wenig risikofreudigen Institution auf normalem Einstellungstempo nur schwer aufbauen. Die Übernahme einer Firma wie MDSec kauft jahrelang angesammeltes Angreiferdenken in einer einzigen Transaktion - und zwar fertig ausgebildet statt halb trainiert. Dass ein Institut, das fünf Jahre lang keinen Zukauf tätigte, seinen ersten Deal ausgerechnet in Offensive-Security-Talent investierte statt in ein Produkt, eine Plattform oder eine Marktposition, zeigt deutlich, welche Fähigkeit die Bank bei sich selbst als unzureichend einschätzte.

Der KI-Druck, der die Messlatte für Pentests anhebt

Hintergrund dieses Deals ist eine Verschiebung dessen, wozu Angreifer fähig sind. KI-gestützte Werkzeuge senken die Kosten für das Aufspüren von Schwachstellen, automatisieren Aufklärungsarbeit und erzeugen überzeugendes Social-Engineering-Material in einem Umfang, der das übersteigt, worauf die meisten internen Sicherheitsteams noch vor zwei Jahren testeten. SecurityWeek und andere Medien, die über den MDSec-Deal berichteten, ordneten ihn in eine breitere Welle ein, in der Banken und Finanzinstitute ihre Cyberabwehr neu bewerten, während Angriffswerkzeuge günstiger und schneller einsetzbar werden. Interne Penetrationstests, die gegen einen einzelnen menschlichen Angreifer "gut genug" waren, sind eine schwächere Hürde gegen Werkzeuge, die Angriffsvarianten fortlaufend durchspielen können.

Deshalb liest sich dieser Deal als mehr als eine einmalige Einstellung. Ein eigenes, jederzeit verfügbares Red Team zu besitzen statt jährlich eines für einen einzelnen Einsatz zu beauftragen, erlaubt es einer Institution, fortlaufend gegen eine sich wandelnde Bedrohung zu testen, statt einmal im Jahr eine Momentaufnahme der eigenen Abwehr zu machen und zu hoffen, dass die Lücke zwischen den Tests nicht ins Gewicht fällt. Für jede Organisation, deren Sicherheitstests noch auf einem jährlichen oder halbjährlichen Zyklus laufen, ist das KI-getriebene Tempo der Angriffsentwicklung das Argument, Offensive-Security-Tests von einer periodischen Prüfung zu einer ständigen internen Fähigkeit zu machen.

Was das für spezialisierte Sicherheitsfirmen und ihre Konkurrenten bedeutet

Am nützlichsten liest sich dieser Deal nicht als Einzeltransaktion, sondern als früher Datenpunkt eines Musters, das sich wahrscheinlich wiederholen wird. Große regulierte Institutionen - Banken, Versicherer und die Finanzmarktinfrastruktur um sie herum - stehen unter demselben Wettbewerbs- und Regulierungsdruck, auf den Bank of America hier reagiert; die deutsche Finanzaufsicht BaFin verlangt von Banken hierzulande ebenso robuste, laufend getestete IT-Sicherheit, und kaum eine Institution kann eine ausgereifte Offensive-Security-Kultur intern in einem Tempo aufbauen, das mit der Entwicklung der Angreiferwerkzeuge mithält. Die Übernahme einer etablierten spezialisierte Pentest- oder Red-Team-Firma samt Methodik, leitenden Forschenden und Kundenvertrauen ist schneller als jede Einzeleinstellung. Eigentümer mittelständischer MSSPs und europäischer spezialisierte Sicherheitsberatungen sollten diesen Deal als Signal verstehen, dass sie ein plausibles Übernahmeziel für einen großen regulierten Käufer sind - nicht ein hypothetisches.

Die andere Seite dieses Signals richtet sich an CISOs konkurrierender Institute. Wird Offensive-Security-Kompetenz zu etwas, das gleichrangige Banken und Versicherer vollständig besitzen statt gelegentlich zu mieten, steigt für alle in dieser Vergleichsgruppe die interne Messlatte für "wir testen unsere eigene Abwehr angemessen". Ein CISO, dessen Organisation Penetrationstests noch als jährliche Compliance-Übung behandelt, sollte damit rechnen, dass dieser Vergleich unbequemer wird, je mehr Institute der Branche die Fähigkeit intern aufbauen.

Weiterlesen: Nvidias 3-Milliarden-Wette gilt Netzstrom, nicht Chips  |  Londons Robotaxi läuft künftig über eine Firma