Brüssel unterstellt einen Test alle drei Jahre

Eine Wette über 250 Millionen Dollar, dass Testen kein Ereignis ist

Snehal Antani, der Horizon3 im Jahr 2019 gemeinsam mit Anthony Pillitiere gründete, nachdem beide beim Joint Special Operations Command gearbeitet hatten, beschrieb den Meilenstein weniger technisch als im Sinne einer erworbenen Erlaubnis. Das Unternehmen habe den Begriff der KI-Hacker geprägt und sechs Jahre damit verbracht, sich das Recht zu verdienen, die kritischsten Netze eigenständig zu testen. Am 3. August kündigte das Unternehmen eine Serie-E-Runde über 250 Millionen Dollar bei einer Bewertung von mehr als 2 Milliarden Dollar an, angeführt von den bisherigen Investoren NightDragon und NEA, mit Acrew, Blue Cloud Ventures, EDBI, Demeter Group, PSG, SAIC und Sapphire als neuen Beteiligten sowie bestehenden Geldgebern wie Craft Ventures, Prosperity7 Ventures, Qualcomm Ventures, Ridge Ventures und SignalFire.

Die Zahlen hinter der Runde beschreiben eine neu bepreiste Kategorie und nicht bloß ein gut laufendes Unternehmen. Horizon3 berichtet von einem wiederkehrenden Jahresumsatz nahe 100 Millionen Dollar bei einem Wachstum von 120 Prozent gegenüber dem Vorjahr, mehr als 7.000 geschützten Organisationen, vier Kunden aus den Fortune 10 und 310.000 Tests, die in laufenden Produktionsumgebungen durchgeführt wurden. Dave DeWalt, Gründer von NightDragon und früher Chef von FireEye und McAfee, zieht gemeinsam mit NightDragon-Geschäftsführer Morgan Kyauk in den Verwaltungsrat ein. Im Juni eröffnete das Unternehmen ein Büro in Amsterdam und dehnt sich nach Australien und Singapur aus.

Was das europäische Recht tatsächlich verlangt, und wie oft

Die Verordnung über die digitale operationale Resilienz gibt den Takt für genau jene Unternehmen vor, die dieses Produkt am ehesten kaufen. Die Artikel 26 und 27 verlangen von benannten Finanzunternehmen mindestens alle drei Jahre fortgeschrittene Resilienzprüfungen in Form bedrohungsgeleiteter Penetrationstests. Nur als bedeutend eingestufte Unternehmen mit hinreichend reifen Systemen fallen unter diese Pflicht, und die Standards dafür wurden im Einklang mit dem TIBER-EU-Rahmen entwickelt, der am 11. Februar 2025 an die unter DORA erlassenen technischen Regulierungsstandards angepasst wurde.

Zwei Punkte gehören vor jedem Budgetgespräch festgehalten. Erstens unterliegen Finanzunternehmen DORA und nicht NIS2, weil Artikel 4 von NIS2 dem spezielleren Regime den Vortritt lässt, und Unternehmen planen regelmäßig gegen das falsche. Zweitens ist der Takt eine Untergrenze und kein Ziel. DORA gilt seit Januar 2025, ein Dreijahreszyklus legt den ersten vollständigen bedrohungsgeleiteten Test für von Beginn an erfasste Unternehmen damit auf etwa Januar 2028, also rund achtzehn Monate von heute. Das Vereinigte Königreich betreibt für große Institute ein eigenes bedrohungsgeleitetes Verfahren nach vergleichbarer Logik.

Nachweis und Schutzmaßnahme driften auseinander

Hier liegt die Spannung, die diese Finanzierungsrunde sichtbar macht. Ein bedrohungsgeleiteter Penetrationstest ist nachrichtendienstlich gesteuert, wird von erfahrenen Menschen gegen ein abgegrenztes Ziel gefahren und erzeugt ein Dokument, das eine Aufsichtsbehörde zufriedenstellt. Fortlaufendes automatisiertes Testen erzeugt etwas anderes: eine rollierende Messung ausnutzbarer Angriffsfläche. Matt Hartley, Vertriebschef von Horizon3, argumentiert, ein herkömmlicher Einsatz prüfe einmal im Jahr nur zwei oder drei Prozent eines Netzes, während eine autonome Plattform den gesamten Bestand fortlaufend abdecken könne, ohne die Produktion anzuhalten. Das ist die Darstellung eines Anbieters über seinen eigenen Vorteil und sollte so gelesen werden, doch die zugrunde liegende Beobachtung zur Stichprobe ist unter denen, die solche Tests beauftragen, unstrittig.

Das ehrliche Gegengewicht lautet, dass Automatisierung nicht ersetzt, was einen bedrohungsgeleiteten Test wertvoll macht. Solche Tests beruhen auf Erkenntnissen darüber, wer dieses konkrete Institut plausibel angreifen würde und wie, und ein gutes Angriffsteam erfindet Wege, die kein Scanner aufzählt. Beides sind keine Substitute, und wer sein menschliches Angriffsteam abbestellt, weil er eine autonome Plattform gekauft hat, hat beides missverstanden. Wirklich im Wandel ist die Bedeutung des Dreijahresnachweises. Ein Bestehen im Jahr 2028 besagt, dass der Bestand einem abgegrenzten, erkenntnisgeleiteten Angriff an bestimmten Tagen standhielt. Über die tausend Tage davor und danach besagt es nichts, und der Markt hat gerade 250 Millionen Dollar auf die Auffassung gesetzt, dass genau dort die Gefährdung liegt.

Was im nächsten Testzyklus anders laufen sollte

Halten Sie zuerst schriftlich fest, welches Regime Sie bindet und wann Ihr nächster bedrohungsgeleiteter Test fällig ist. Das klingt elementar und wird am häufigsten übersprungen, weil die Zuständigkeit für die Antwort meist zwischen einer Compliance-Funktion, die die Frist kennt, und einer Sicherheitsfunktion, die den Bestand kennt, hängen bleibt. Ist Ihr Haus erfasst und galt DORA für Sie ab Januar 2025, rechnen Sie von Anfang 2028 rückwärts und berücksichtigen Sie, dass Abgrenzung und Bedrohungsanalyse viele Monate vor dem eigentlichen Test beginnen.

Behandeln Sie danach beide Tätigkeiten als getrennte Posten mit getrenntem Zweck. Der regulierte Test ist eine Lieferung mit Termin, einem mit der Aufsicht abgestimmten Umfang und einer Analysephase und gehört als Projekt budgetiert. Fortlaufendes Testen ist eine betriebliche Maßnahme, und die Frage an einen Anbieter lautet nicht, wie viele Funde er liefert, sondern wie schnell ein neu exponiertes System in seinen Ergebnissen erscheint und wie er sich gegenüber laufender Produktion verhält. Fragen Sie auch nach der Fehlerbilanz und nicht nur nach der Zahl störungsfreier Tests. Eine Plattform mit Hunderttausenden Produktionstests hat eine Sicherheitsgeschichte, die genaues Hinsehen verdient, bevor sie Ihren Kernbankbestand berührt.

Weiterlesen: 45.601 Lücken, 171 werden wirklich genutzt  |  Eine Nachricht erreichte die SSH-Schlüssel