Agenten eine Identität zu geben ist die billige Hälfte

Vier Tage, zwei Verkäufe, eine Kategorie

Am 30. Juli unterzeichnete Okta eine verbindliche Vereinbarung zur Übernahme von Permiso Security, einem Unternehmen aus Palo Alto, das Bedrohungen über menschliche, nicht-menschliche und agentische Identitäten hinweg in Multi-Cloud-Landschaften erkennt. Okta nannte keine Konditionen. Eine mit dem Vorgang vertraute Person sagte TechCrunch, es seien knapp 200 Millionen Dollar gewesen und fast vollständig in bar, mit einem Abschluss im dritten Geschäftsquartal 2027, das von August bis Oktober dieses Jahres läuft.

Drei Tage zuvor vereinbarte Keyfactor den Kauf von Cofide, der britischen Sechs-Personen-Firma, die den Workload-Identitätsstandard SPIFFE und SPIRE umsetzt, am selben Tag, an dem dieser Standard unter der Linux Foundation quelloffen wurde. Zwei Übernahmen in derselben engen Kategorie innerhalb von vier Tagen sind kein Zufall und auch kein Bieterwettstreit. Es ist das Geräusch etablierter Anbieter, die entscheiden, was Agentenidentität künftig sein wird.

Was knapp 200 Millionen Dollar tatsächlich kaufen

Permiso trat 2022 aus dem Verborgenen hervor, gegründet von Paul Nguyen und Jason Martin, beide frühere Führungskräfte von FireEye. Das Unternehmen hatte rund 29 Millionen Dollar eingesammelt, darunter eine Serie A über 18,5 Millionen Dollar im April 2024 unter Führung von Altimeter Capital. Ein Verkauf für knapp 200 Millionen bringt etwa das Siebenfache des eingesetzten Kapitals zurück. Für ein vier Jahre altes Unternehmen in der heißesten Sicherheitskategorie des Jahres ist das ein achtbares Ergebnis und ein bescheidenes zugleich.

Der eigentliche Hinweis steckt in Oktas eigener Formulierung. Die Transaktion werde voraussichtlich keine Auswirkung auf die am 27. Mai veröffentlichte Prognose haben. Ein Geschäft, das keine Zahlen bewegt, hat kaum Umsatz im Gepäck. Das ist keine Kritik an Permiso, dessen Technik über 2.500 forschungsgestützte Signale bei mehr als 70 Identitätspartnern liest und überprivilegierte Zugriffe, ungenutzte Berechtigungen, auffälliges Agentenverhalten und Aktivitäten mit großem Wirkungsradius in Echtzeit meldet. Es ist eine Aussage darüber, was der Käufer zu kaufen glaubt.

Lesen Sie den Preis als Einordnung. Rund 200 Millionen Dollar zahlt ein etablierter Anbieter für eine Funktion, die er in ein bestehendes Abonnement einfügen will, nicht für ein Geschäft, das er getrennt zu verkaufen gedenkt. Okta hat entschieden, dass Agentenidentität ein Merkmal der Identitätsplattform ist, die Sie ohnehin haben. Wenn Sie seit drei Monaten ein eigenständiges Produkt mit dreijähriger Laufzeit prüfen, hat gerade jemand anderes diese Entscheidung für Sie getroffen.

Authentifizierung, und alles, was danach passiert

Okta ist ein Authentifizierungsunternehmen. Permiso ist Erkennung nach der Authentifizierung: Es beobachtet Identitätsaktivität, nachdem ein Nutzer, ein Dienst oder ein Agent bereits eingelassen wurde. Nimmt man das Geschäft auseinander, hat Okta einen neunstelligen Betrag für das Eingeständnis gezahlt, dass die Authentifizierung eines Agenten fast nichts darüber aussagt, was dieser Agent danach tut. Permisos Forschungsteam P0 Labs und die Sandbox SandyClaw, die nach Lieferkettenangriffen in Agentenfähigkeiten und Prompts sucht, liegen beide auf dieser Seite der Linie.

Genau das gehört in Ihre eigene Beschaffung übernommen. Die meisten Angebote zur Agentenidentität verkaufen derzeit die Vergabehälfte: jedem Agenten eine überprüfbare Identität geben, Anmeldedaten rotieren, Berechtigungen eng fassen. Diese Arbeit ist nötig, und sie ist die billige Hälfte. Die teure Hälfte ist zu wissen, dass Agent Nummer 412 um drei Uhr nachts eine Kundentabelle gelesen hat, die er in sechs Betriebsmonaten nie berührt hat, und ihn in derselben Minute stoppen zu können. Endet ein Angebot bei der Vergabe, haben Sie ein Angebot für eine halbe Kontrolle erhalten.

Das Neutralitätsversprechen hat ein Haltbarkeitsdatum

Permisos Wert entsteht gerade daraus, herstellerübergreifend zu sein. Seine Signale reichen über mehr als 70 Identitätspartner, weshalb es in einer Landschaft funktioniert, die mehrere Identitätsanbieter zugleich betreibt, wie es die meisten größeren europäischen Gruppen nach einem Jahrzehnt der Zukäufe tun. Die Gründer stellten das Geschäft darauf ab, über die von ihnen als neutral bezeichnete Plattform von Okta mehr Organisationen zu erreichen, und Oktas Produktchef Ely Kahn ordnete es als Erweiterung der Bedrohungserkennung ein.

Nehmen Sie das Neutralitätsversprechen ernst und schreiben Sie es dann auf. Die kommerzielle Schwerkraft jeder Übernahme zieht dahin, den eigenen Stack des Käufers am besten zu unterstützen, nicht aus böser Absicht, sondern weil dorthin das Entwicklungsbudget fließt. Wenn Sie neben Okta noch Entra ID, Ping oder ein Altverzeichnis betreiben, ist deren Abdeckung ab jetzt eine Vertragsfrage und keine Produkteigenschaft. Verlangen Sie sie bei der Verlängerung, mit benannten Systemen und einer Supportzusage, solange das Geschäft schwebt und die Antwort noch leichtfällt.

Was vor dem Abschluss im Oktober geklärt sein muss

Drei Dinge gehören in diesem Quartal in Ihre Akte. Erstens frieren Sie Ihre Kategorieentscheidung ein: Unterschreiben Sie in den nächsten zwei Quartalen keinen mehrjährigen Vertrag für ein eigenständiges Agentensicherheitsprodukt, es sei denn, der Anbieter ist groß genug, um Käufer statt Ziel zu sein. Zweitens holen Sie sich als Permiso-Kunde jetzt Roadmap und Preispfad für Ihre Verlängerung schriftlich, denn die Zeit zwischen Unterschrift und Abschluss ist das Fenster, in dem solche Antworten am günstigsten zu bekommen sind. Drittens planen Sie als Okta-Kunde diese Funktion nicht als kostenlos ein; für neunstellige Beträge gekaufte Funktionen bleiben nicht in der Basisstufe.

Es gibt zudem eine Compliance-Kante. Unter NIS2 ist Lieferantensicherheit Ihre Pflicht und nicht die Gefälligkeit Ihres Lieferanten, und nationale Behörden vom BSI bis zur französischen ANSSI sind darin klar geblieben, dass die Pflicht dem Betreiber folgt. Eine Übernahme während der Vertragslaufzeit ändert, wer Ihre Identitätstelemetrie verarbeitet und wo. In den meisten sauber geschriebenen Verträgen ist das ein meldepflichtiger Lieferantenwechsel, und es lohnt sich zu prüfen, ob Ihrer einen Kontrollwechsel als meldepflichtiges Ereignis behandelt und nicht als Fußnote.

Weiterlesen: 16.000 Firmen bündeln ihr Lieferantenrisiko. Sie nicht  |  141.006 Testläufe, drei echte Einbrüche