CrowdStrike: KI-Agenten werden zum Angreifer – Unternehmen investieren massiv in Abwehr
Ergebnisbericht für das 2. Geschäftsquartal 2027, 26. August 2026
CrowdStrike hat das nach Aussage von CEO George Kurtz beste Quartal der Unternehmensgeschichte abgeliefert, und die Zahlen stützen diese Einschätzung. Der Netto-Zuwachs an jährlich wiederkehrenden Umsätzen (Net New ARR) erreichte mit 333 Millionen Dollar einen Allzeitrekord, was einem beschleunigten Wachstum von 51 % gegenüber dem Vorjahr entspricht und das obere Ende der Prognose um mehr als 45 Millionen Dollar übertraf. Der gesamte ARR belief sich auf 5,84 Milliarden Dollar, ein Anstieg von über 25 % und das vierte Quartal in Folge mit beschleunigtem Wachstum. Der Gesamtumsatz von 1,47 Milliarden Dollar stieg um 26 %, was das fünfte Quartal in Folge mit einer Wachstumsbeschleunigung markiert. Das Unternehmen hob seinen Ausblick für das Net New ARR-Wachstum im Geschäftsjahr 2027 um 630 Basispunkte auf etwa 34 % am Mittelwert an – ein kumulierter Anstieg von 1.150 Basispunkten gegenüber der ursprünglichen Prognose vom Jahresanfang, was seit Januar einem zusätzlichen ARR-Ausblick von über 100 Millionen Dollar entspricht.
Das „Mythos“-Narrativ findet seine Bestätigung
Investoren hören von CrowdStrike seit dem Frühjahr vom „Mythos-Moment“ – dem Begriff des Unternehmens für den Wendepunkt, an dem Cybersicherheit zur Grundvoraussetzung für die Einführung von KI wurde. In diesem Quartal, so das Management, habe sich diese These in konkreten Zahlen niedergeschlagen. Kurtz beschrieb das aktuelle Umfeld drastisch: „Wir sehen, wie Agenten außer Kontrolle geraten, massenhaft angreifen und ihre Leitplanken verlassen, um autonom Schaden anzurichten. Agenten erweisen sich als fähig zu Datendiebstahl, Berechtigungsänderungen und vollständiger Befehlsgewalt in großem Maßstab, was zu einer Kompromittierung von Organisationen führt.“ Er fügte hinzu, dass „der Agent von heute sowohl Freund als auch Feind ist“ – eine Einordnung, mit der das Unternehmen eine neue Welle von Sicherheitsausgaben rechtfertigt, die unabhängig von traditionellen Endpunkt-Budgets erfolgt.
Das Management betonte, dass es sich hierbei nicht um ein kurzfristiges Phänomen handele. Kurtz argumentierte, dass das AIDR-Produkt (AI Detection and Response) das Kerngeschäft mit EDR langfristig an Größe übertreffen könnte, und verwies auf die Schätzung, dass jeder Mitarbeiter künftig etwa 90 KI-Agenten bedienen werde. CFO Burt Podbere untermauerte die Nachhaltigkeit dieser Entwicklung mit Pipeline-Daten und merkte an, dass das Unternehmen das Quartal mit einer Rekord-Pipeline für das dritte Quartal abgeschlossen habe, was direkt in die aggressive Anhebung der Prognose eingeflossen sei.
AIDR verdreifacht sich sequenziell und nutzt eigenes Preismodell
Die bemerkenswerteste neue Offenlegung betraf die Entwicklung von AIDR, dem KI-Erkennungs- und Reaktionsprodukt von CrowdStrike, dessen ARR gegenüber dem ersten Quartal nahezu verdreifacht wurde. Auf die Frage von Analysten, ob AIDR den Umsatz des EDR-Kerngeschäfts kannibalisiere, stellte Kurtz klar, dass es als separates, inkrementell bepreistes Modul auf demselben Agenten verkauft werde, was er als Grund für die Dynamik bezeichnete: „Es ist separat und inkrementell. Es ist ein weiteres Modul und wird separat berechnet, was wiederum der Grund für das hohe Wachstum ist.“ Bemerkenswert ist, dass CrowdStrike für AIDR bereits eine tokenbasierte Preisgestaltung nutzt. Kunden erhalten ein Basis-Kontingent an Tokens, das auf ihre Umgebung zugeschnitten ist, und können bei Überschreitung zusätzliche Token-Pakete erwerben – alles abrufbar über die Falcon Flex-Lizenzstruktur. Dies ist ein wichtiger Datenpunkt für Investoren, die modellieren wollen, wie nutzungsbasierte Preismodelle den Markt für Cybersicherheitssoftware breiter durchdringen könnten.
Falcon Flex wird zum Standardmodell
Falcon Flex, das verbrauchsbasierte Lizenzmodell des Unternehmens, erreichte einen ARR von 2,29 Milliarden Dollar, was einem Anstieg von 101 % gegenüber dem Vorjahr entspricht. Noch aussagekräftiger für den Wandel im Vertrieb: Alle zehn wertmäßig größten Abschlüsse des Quartals wurden als Flex-Verträge strukturiert, und Neukunden werden direkt mit Flex-Verträgen gewonnen, anstatt später migriert zu werden. Der ARR durch Neukunden mit Flex-Verträgen machte 34 % des Net New ARR im Quartal aus – ein Rekordwert. Kunden, die von Standard-Abonnements auf Flex umstellten, verzeichneten einen durchschnittlichen ARR-Anstieg von mehr als 40 %. Bei bestehenden Flex-Kunden, die ihre Nutzung erneut erweiterten – sogenannte „Re-Flex“-Aktivitäten –, wuchs das Volumen gegenüber dem Vorjahr um das Sechsfache, wobei wiederholte Erweiterungen einen durchschnittlichen ARR-Zuwachs von 53 % gegenüber dem ursprünglichen Vertrag erzielten. Podbere merkte an, dass diese durch Flex getriebene Bündelung nun das primäre Instrument sei, um mehrere Produktlinien in einzelne, größere und längerfristige Verträge zu überführen.
Next-Gen SIEM, Identität und Exposure Management werden zu Milliarden-Franchises
Jenseits der KI-nativen Produkte wachsen die angrenzenden Legacy-Geschäftsbereiche von CrowdStrike mit Raten, die selbst in einem starken Umfeld für Sicherheitsausgaben herausstechen. Der ARR für Next-Gen SIEM überstieg 695 Millionen Dollar (plus 60 % gegenüber dem Vorjahr). Das Management bezeichnete es als das „Betriebssystem des SOC“, da es durch die native Datenverarbeitung einen Vorteil gegenüber Wettbewerbern habe, die eine separate Datenaufnahme erfordern. Der ARR für Identitätslösungen wuchs um 34 % auf über 585 Millionen Dollar. Falcon Shield, das auf die Sicherung von agentenbasierten Drittanbieteranwendungen abzielt, legte um über 185 % zu, und das Produkt für die Sicherheit privilegierter Konten wuchs um mehr als das 35-Fache, wenn auch von einer kleinen Basis aus. Der ARR für Cloud-Sicherheit überstieg 905 Millionen Dollar (plus 29 %), getrieben von der Nachfrage nach Laufzeitschutz für KI-Workloads anstelle statischer Scans. Das Exposure Management, das auf Kurtz’ Anfänge bei Foundstone zurückgeht, beschleunigte sich sequenziell, da KI-gesteuerte Exploits laut Kurtz die „Exploit-Schallmauer“ durchbrochen hätten, was herkömmliche Patch-and-Scan-Tools obsolet mache.
Endpunkt-Sicherheit bleibt das Fundament und beschleunigt sich
Skeptiker betrachteten das EDR-Kerngeschäft von CrowdStrike lange als ausgereifte Basis mit geringem Wachstum, die lediglich neuere Produktlinien stützt. Das Management widersprach dieser Einschätzung in diesem Quartal und wies darauf hin, dass sich der Umsatz im Endpunkt-Bereich das vierte Quartal in Folge beschleunigt habe. Kurtz verwies auf das nach wie vor große Potenzial bei der Ablösung von Altsystemen und merkte an, dass etwa die Hälfte des Marktes noch immer auf veraltete Antiviren-Software setze, die nicht in der Lage sei, bösartige KI-Agenten oder „Shadow AI“-Aktivitäten auf dem Endpunkt zu erkennen. Das Unternehmen legte spezifische Nutzungsmetriken vor, um den KI-Aspekt zu untermauern: Stichproben zeigten in den letzten Monaten ein Wachstum von über 400 % bei der Nutzung von Claude und über 100 % bei der Nutzung benutzerdefinierter agentenbasierter Anwendungen auf überwachten Endpunkten. Dies unterstreicht, warum die Endpunkt-Sicherheit der Einstiegspunkt für die breitere KI-Sicherheitssuite bleibt und kein Relikt der Vergangenheit ist.
Partner-Ökosystem und XM Cyber-Übernahme
Die Partnerinitiative „Project QuiltWorks“ von CrowdStrike, die mehr als 25 Partner umfasst – darunter globale Systemintegratoren, Hyperscaler, Wiederverkäufer und MSPs –, ist mittlerweile mit einem gesamten Vertragsvolumen von fast 400 Millionen Dollar verknüpft. Der durch Systemintegratoren generierte Umsatz wuchs um fast 50 % gegenüber dem Vorjahr, konzentriert auf SIEM-Transformationen und Schwachstellenmanagement. Marktplatz-Transaktionen über AWS, Google und Microsoft erreichten im Quartal ein Volumen von 600 Millionen Dollar (plus über 30 % gegenüber dem Vorjahr), wobei insbesondere der Microsoft-Marktplatz als neu erschlossener Kanal hervorgehoben wurde. Im Bereich Corporate Development bestätigte das Management, dass die Übernahme der Technologie-Assets von XM Cyber voraussichtlich in der zweiten Hälfte des Geschäftsjahres 2027 abgeschlossen sein wird. Es schloss jedoch jegliche ARR- oder Umsatzbeiträge aus dieser Transaktion in der aktuellen Prognose explizit aus – eine konservative Offenlegung, die Investoren bei der Bewertung der angehobenen Prognose berücksichtigen sollten.
Margen und Cashflow wachsen parallel zum Umsatz
Die Wachstumsbeschleunigung ging nicht zulasten der Profitabilität. Das Non-GAAP-Betriebsergebnis erreichte einen Rekordwert von 372 Millionen Dollar (25 % des Umsatzes), ein Anstieg von 46 % gegenüber dem Vorjahr, wobei die operative Marge um 350 Basispunkte zulegte. Der freie Cashflow erreichte einen Rekordwert von 377 Millionen Dollar (26 % des Umsatzes) und lag damit über der eigenen Erwartung von 24,5 %. Für das gesamte Geschäftsjahr prognostiziert das Management eine freie Cashflow-Marge von mindestens 30 %. Die Bruttomarge im Abonnementgeschäft stieg auf 81 % und nähert sich damit dem Zielkorridor von 82 % bis 85 % für das Geschäftsjahr 2029. Der GAAP-Nettogewinn war das dritte Quartal in Folge positiv – ein bescheidener, aber bemerkenswerter Beleg dafür, dass CrowdStrike eine nachhaltige GAAP-Profitabilität anstrebt, anstatt sich ausschließlich auf Non-GAAP-Anpassungen zu verlassen.
Für das Geschäftsjahr 2027 prognostiziert CrowdStrike nun einen ARR von 6,603 bis 6,612 Milliarden Dollar, einen Net New ARR von 1,350 bis 1,359 Milliarden Dollar sowie einen Gesamtumsatz von 5,99 bis 6,011 Milliarden Dollar, was am Mittelwert einem Wachstum von 25 % gegenüber dem Vorjahr entspricht. Der Non-GAAP-Gewinn pro Aktie wird für das Jahr auf 1,25 bis 1,26 Dollar geschätzt (auf split-bereinigter Basis, nach dem kürzlich erfolgten 4-für-1-Aktiensplit). Das Management verwies auf die kommende Falcon Conference, die bereits Anfang August ausverkauft war, als den Ort, an dem weitere Ankündigungen zu KI-Sicherheitsprodukten erwartet werden, ergänzt durch ein Investorenbriefing am 2. September.