Ransomware-Gruppen sitzen im GlobalProtect-VPN von Palo Alto Networks – die Aktie notiert beim 97-Fachen der erwarteten Gewinne

Das Schloss ist die Einbruchsstelle

Am schwersten zu entdecken ist ein Einbruch über eine Sitzung, die das Gateway des Opfers selbst ausgestellt hat. Am 11. Oktober meldete ReliaQuest, dass Ransomware-Gruppen↗ – darunter Qilin und Settra – die Schwachstelle CVE-2026-0257 ausnutzen: einen Authentifizierungs-Bypass in GlobalProtect und Prisma Access von Palo Alto Networks▲+5.14% — Palo Alto Networks, up 5.14 percent today, um VPN-Sitzungen ohne Zugangsdaten zu öffnen ¹. Der Datenverkehr liest sich wie gewöhnliche Remote-Arbeit, während Cobalt Strike, BloodHound und SharpHound das interne Netz kartieren; Verteidigern wird geraten, nach Verbindungen von Geräten zu fahnden, die auf den Hostnamen „kali“ hören ¹.

Die Neubewertung in Zahlen

Der Markt bezahlt diesen Anbieter wie den Sieger im KI-Sicherheitsgeschäft. Palo Alto schloss am 8. Oktober bei 398,42 Dollar, mit einem Monatsplus von 21,03 Prozent – der S&P 500 kam auf 1,15 Prozent. Bewertet ist die Aktie mit dem 97,06-Fachen der erwarteten Gewinne, während die Sicherheitsbranche im Schnitt bei 55,51 liegt ². Die Papiere haben sich in diesem Jahr wegen der Nachfrage durch KI-Bedrohungen nahezu verdoppelt ⁷.

Fünf Monate offen, drei weitere drohen

Die Schwachstelle ist wählerisch: Sie verlangt Authentication-Override-Cookies und eine bestimmte Zertifikatskonfiguration; Panorama und Cloud NGFW sind nicht betroffen ¹. Aktiv wurde die Lücke trotzdem schnell. Rapid7 registrierte die Ausnutzung am 17. Mai, vier Tage nach der Offenlegung, in Gateways, die entschlüsselte Cookies ohne Signaturprüfung akzeptierten ³; die US-Cyberbehörde CISA nahm die Schwachstelle am 29. Mai in ihren Katalog bekannt ausgenutzter Schwachstellen auf↗ ³. Arctic Wolf führte Einbrüche im Juni, die in einer domänenweiten Verschlüsselung durch Qilin endeten, auf dieselbe Schwachstelle zurück ⁴; mehr als 167.000 GlobalProtect-Instanzen sind im Internet exponiert ⁴. ReliaQuest rechnet mit drei weiteren Monaten, in denen Gruppen und Initial-Access-Broker nach ungepatchten Systemen fahnden – und ein Patch wirft Angreifer nie heraus, die sich vor dem Update Zugang verschafft haben ¹.

Was man für das 97-Fache bekommt

Das vierte Geschäftsquartal erzählte beide Geschichten auf einmal. Der Umsatz erreichte 3,41 Milliarden Dollar, ein Plus von 34 Prozent, und die wiederkehrenden Jahresumsätze (ARR) mit Sicherheitslösungen der nächsten Generation stiegen um 63 Prozent auf 9,10 Milliarden Dollar ⁶. Unterm Strich stand nach US-Rechnungslegung (GAAP) ein Verlust von 282 Millionen Dollar, ein Jahr zuvor hatte Palo Alto noch 254 Millionen Dollar Gewinn ausgewiesen, und der Firmenwert sprang mit dem Vollzug der 25-Milliarden-Dollar-Übernahme von CyberArk von 4,6 auf 22,0 Milliarden Dollar ⁶⁷. Die Umsatzprognose für das Oktober-Quartal von 3,30 bis 3,31 Milliarden Dollar↗ gibt den Boden ab, auf dem die Konsensschätzung von 33,62 Prozent ruht ²⁶.

Die andere Seite des Trades

Aroras Argument hat Substanz: KI-Angriffe, die sich beschleunigen, zwingen die Kunden zum Aufrüsten. Seit dem Mythos-Start mit AnthropicPVT$350B — Anthropic, private, latest valuation $350B hat das Unternehmen mehr als 2.000 Kundenbriefings abgehalten – „das ist ein langfristiger Rückenwind“, so Arora ⁷. Qilin hat die Edge-Geräte aller Anbieter im Visier und stand im zweiten Quartal mit 14 Prozent der Angriffe an der Spitze aller Gruppen ⁵. Doch keiner dieser Punkte bepreist eine zweite Ransomware-Gruppe, die an einem seit fünf Monaten offenen Loch im Flaggschiff-Tor sitzt.

Die Tür, auf die es ankommt

Die nächste Messung liefert der Quartalsbericht: erwartet werden 3,31 Milliarden Dollar Umsatz und 0,97 Dollar je Aktie ². Keine Quelle nennt einen Kundenverlust, der auf diese Schwachstelle zurückgeht, und keine Pflichtveröffentlichung stellt eine Verbindung zu einer Vertragsverlängerung her. Damit ist die Anfälligkeit des Multiples in beide Richtungen unbewiesen. Solange beides ausbleibt, zahlen Aktionäre das 97-Fache für einen Anbieter, dessen Badge-Leser zugleich die Tür ist.