Anfang Mai veröffentlichte Anthropic Mythos, ein KI-Modell, das autonom Schwachstellen finden und vollständige Netzwerkeindringungen durchführen kann. Die erste Reaktion der Sicherheitsbranche war, dass die Branche umgekrempelt würde.
Zwei Wochen später erzählen die Zahlen eine andere Geschichte.
Wichtige Zahlen
Bis zum 21. Mai zeigten drei große Cybersicherheits-ETFs folgende Performance im Mai:
- HACK (Amplify Cybersecurity): +17,27 %, der größte monatliche Anstieg seit der Einführung im November 2014
- BUG (Global X Cybersecurity): +26,14 %, der größte monatliche Anstieg seit der Einführung im Oktober 2019
- CIBR (First Trust NASDAQ): Teilnahme an der Rally
Einzelaktien waren noch dramatischer:
- Fortinet (FTNT): +54,19 %
- CrowdStrike (CRWD): +45,85 %
- Akamai (AKAM): +39,40 %
- Palo Alto Networks (PANW): +37,55 %
- Zscaler (ZS): +33,49 %
- SailPoint (SAIL): +31,17 %
Zwölf Aktien im Portfolio von BUG sind diesen Monat um über 20 % gestiegen.
Warum sich das Drehbuch umkehrte
Vor der Veröffentlichung von Mythos lautete die Markterzählung: Schwachstellenentdeckung ist der Burggraben von Sicherheitsunternehmen, und KI, die diesen Prozess industrialisiert, würde den Graben füllen. Das klang vernünftig, übersah aber die zweite Hälfte – die Verteidiger bekamen auch dieselbe Waffe.
Anthropic gewährte vier US-Unternehmen frühen Zugang zu Mythos: Apple, Amazon, JPMorgan Chase und Palo Alto Networks. Das letztgenannte Unternehmen integrierte Mythos in seinen Produkt-Schwachstellenscan-Prozess und entdeckte in einem Monat 75 Schwachstellen – das Siebenfache der üblichen Rate.
CrowdStrike macht ähnliches. Der Konsens in der Sicherheitsgemeinschaft ist, dass nicht nur Sie Mythos nutzen können, sondern Angreifer früher oder später ihre eigene Version haben werden. Mistral verhandelt bereits mit europäischen Banken über Alternativen, und OpenAI hat GPT-5.5-Cyber an Großbanken wie BBVA gegeben. Das Werkzeug früh zu verdauen bedeutet, sich einen Zeitvorsprung von 3 bis 5 Monaten zu sichern.
Die Reaktion der Unternehmen war direkter: Budgeterhöhungen.
Budgeterhöhungen wurden unterschätzt
Die Testergebnisse des UK AI Security Institute lauteten: „Mythos kann autonom die vollständige Übernahme eines Unternehmensnetzwerks durchführen, mit einer Erfolgsquote von 30 %; menschliche Experten brauchen 20 Stunden für dasselbe.“
Für CIOs ist diese Zahl nicht die Frage, ob man die Sicherheitsabteilung an KI auslagern soll, sondern: „Morgen wird der Feind das verwenden, ich muss jetzt Leute und Geld aufstocken.“
In den Mai-Gewinnaufrufen aller börsennotierten Sicherheitsunternehmen waren die Aussagen der CEOs auffallend ähnlich: Kundenbudgets weiten sich aus, Verlängerungszyklen verlängern sich, und die Upgrade-Raten steigen.
Wie eine Analyse von Benzinga direkt sagte: „AI gets better at finding vulnerabilities. Vulnerability discovery was the moat.“ Der Burggraben ist tatsächlich eingestürzt. Aber die Kunden haben kein Geld gespart, sondern ihre Ausgaben erhöht – die unerwartete zweite Hälfte der Geschichte.
Die Geschichte ist noch nicht zu Ende
Kurzfristig ist es eine Win-Win-Situation: KI-Unternehmen verkaufen Werkzeuge, Sicherheitsunternehmen verkaufen Verteidigung.
Mittelfristig sind zwei Variablen noch ungelöst. Erstens ist Mythos derzeit nur für vier Unternehmen verfügbar. Sobald es auf 50 oder 500 ausgeweitet wird, wird die Kostenkurve der Angreifer zuerst fallen. Ob Cybersicherheitsaktien dann weiter steigen können, ist ungewiss. Zweitens basieren die derzeit hohen Bewertungen auf der Angst der Kunden. Wenn in den nächsten sechs Monaten ein oder zwei groß angelegte Eindringungen auf Mythos-Niveau auftreten, könnten die Bewertungen entweder steigen oder einbrechen – die Wall Street wird mit Geld abstimmen.
Vorerst lautet die Antwort des Marktes: Mythos ist nicht der Todesengel der Cybersicherheit, sondern ihr Stimulans.
Quellen: Claude Mythos Was Supposed To Kill Cyber Stocks: Now Record High - Akamai Technologies, Global X Cybersecurity ETF (Benzinga); Anthropic's Mythos set off a cybersecurity 'hysteria.' Experts say the threat was already here (CNBC); CocoLoop; UK AI Security Institute Mythos Capability Assessment