Okta übernimmt den Spezialisten Permiso Security und kauft damit vor allem Wissen über Konten ein, hinter denen kein Mensch sitzt. Auf jede menschliche Identität kommen in Unternehmen inzwischen 109 Maschinenkonten, von simplen Skripten bis zu autonomen KI-Agenten. Die deutsche Zwei-Faktor-Pflicht aus dem BSIG erreicht genau diese Konten nicht.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Okta hat am 30. Juli die Übernahme von Permiso Security unterzeichnet, einem Anbieter, der Bedrohungen über menschliche, maschinelle und agentische Identitäten hinweg erkennt.[1] Der Zukauf bringt mehr als 2.500 Risikosignale aus über 70 angebundenen Partnersystemen mit.
Das Wichtigste in Kürze
- Okta unterzeichnete am 30. Juli den Kauf von Permiso Security, der Abschluss steht im dritten Quartal des Geschäftsjahres 2027 an.
- Einen Preis nennt Okta nicht; TechCrunch beziffert ihn auf knapp 174 Millionen Euro.
- Permiso liefert mehr als 2.500 Risikosignale und mit SandyClaw eine Sandbox für Fähigkeiten und Prompts von KI-Agenten.
- Auf jede menschliche Identität kommen laut Palo Alto Networks 109 Maschinenidentitäten.
Was kauft Okta mit Permiso ein?
Permiso gehört zu den wenigen Anbietern, die Identitäten nicht bloß vergeben, sondern deren Verhalten laufend bewerten. Die Plattform meldet überprivilegierte Zugänge, ungenutzte Berechtigungen, auffälliges Agentenverhalten und Konten mit großer Schadenreichweite. Dazu kommen die Forschungseinheit P0 Labs und SandyClaw, eine Sandbox, in der sich Fähigkeiten und Prompts von KI-Agenten vor dem Einsatz prüfen lassen. Einen Kaufpreis nennt Okta nicht, TechCrunch beziffert ihn auf knapp 174 Millionen Euro, umgerechnet zum Kurs von 0,87 Euro je US-Dollar.
„Permiso erweitert Oktas Identity Security Fabric um erprobte Erkennung und Abwehr von Identitätsbedrohungen“, sagt Ely Kahn, Chief Product Officer bei Okta. Damit reiht sich der Kauf in eine Konsolidierungswelle ein. Schon im September 2025 hatte Okta den Anbieter Axiom Security für privilegierte Zugriffe übernommen. Im Februar 2026 schloss dann Palo Alto Networks die 21,8 Milliarden Euro schwere Übernahme von CyberArk ab. Identität wandert so von der Einzeldisziplin in die großen Sicherheitsplattformen.
Warum greift die Zwei-Faktor-Pflicht bei KI-Agenten nicht?
An der Anmeldemaske bestätigt ein Mensch den zweiten Faktor. Ein KI-Agent weist sich stattdessen über ein Geheimnis aus, über ein Token oder einen Schlüssel, und dieses Geheimnis macht jeden Besitzer für das System zum Agenten. Der zweite Faktor fällt als Schranke damit aus, und übrig bleibt die Frage, ob das Verhalten hinter dem Token noch zum vorgesehenen Zweck passt.
Palo Alto Networks beziffert das Ausmaß im Identity Security Landscape 2026 auf 109 Maschinenidentitäten je menschlicher Identität und erwartet ein weiteres Wachstum um 77 Prozent. Mehr als die Hälfte der befragten Unternehmen setzt das Prinzip der geringsten Rechte bei Dienstkonten nicht durchgängig durch. Wie weit ein einzelner Schlüssel dabei reicht, zeigte im Juli der Generalschlüssel in Azure Cosmos DB. Auch die Schnittstellen dahinter taugen wenig: In einer Untersuchung fiel jeder vierzehnte MCP-Server durch.
Mit Permiso kauft Okta vor allem ein Protokoll darüber, was die eigenen Agenten nachts anstellen. Genau diese Zeile fehlt in fast jedem NIS2-Konzept, das mir bisher untergekommen ist.
— Markus Seyfferth, Chefredakteur Dr. Web
Identität wandert in die großen Plattformen
Was müssen NIS2-pflichtige Unternehmen jetzt prüfen?
Das deutsche BSIG verlangt in Paragraf 30 Absatz 2 Satz 2 Nummer 10 Lösungen zur Multi-Faktor-Authentifizierung oder zur kontinuierlichen Authentifizierung.[2] Das Infopaket des BSI dazu beschreibt durchgehend die Anmeldung von Nutzern, Dienst- und Maschinenkonten kommen darin nicht eigens vor. Für die Haftung folgt daraus: Der Nachweis über KI-Agenten läuft über kontinuierliche Authentifizierung und Protokollierung, nicht über ein Häkchen bei der Zwei-Faktor-Pflicht.
Drei Schritte sind unabhängig vom Zukauf sofort möglich:
- Alle Dienst- und Agentenkonten inventarisieren, dann deren Rechte gegen den tatsächlichen Bedarf abgleichen.
- Dauerhafte Schlüssel durch kurzlebige Token ersetzen und die Rotation erzwingen.
- Das Verhalten der Agenten protokollieren und auf Abweichungen prüfen, statt nur den Zugriff zu erlauben.
Den ersten Punkt sollten Sie zuerst angehen, denn ein Konto ohne Besitzer taucht in keinem Offboarding auf. Für Betreiber in Deutschland zählt zusätzlich der Zeitdruck aus der Meldepflicht, wie zuletzt der spät gemeldete Datenabfluss bei Analog Devices zeigte. Wie viel Geld inzwischen in die Absicherung von Agenten fließt, belegt die 60-Millionen-Runde von Arcade. Die Begriffe dahinter sammelt unser Cybersecurity-Glossar. Die Entwicklung der Agenten selbst begleiten wir in der KI-Rubrik.
Häufige Fragen zur Okta-Übernahme
Warum übernimmt Okta Permiso Security?
Okta deckt bisher vor allem die Vergabe von Identitäten ab. Permiso bewertet laufend deren Verhalten und erkennt überprivilegierte Zugänge, ungenutzte Berechtigungen und auffälliges Agentenverhalten über menschliche, maschinelle und agentische Konten hinweg. Der Abschluss steht im dritten Quartal des Geschäftsjahres 2027 an.
Was kostet die Übernahme von Permiso?
Okta nennt in der Pressemitteilung keinen Kaufpreis und schließt zugleich Auswirkungen auf die Prognose vom 27. Mai 2026 aus. TechCrunch beziffert den überwiegend in bar bezahlten Preis auf knapp 174 Millionen Euro, umgerechnet zum Kurs von 0,87 Euro je US-Dollar.
Warum reicht Zwei-Faktor-Authentifizierung bei KI-Agenten nicht?
Der zweite Faktor setzt einen Menschen voraus, der eine Abfrage bestätigt. Ein KI-Agent weist sich über ein Token oder einen Schlüssel aus, und dieses Geheimnis macht jeden Besitzer für das System zum Agenten. Als Kontrolle bleibt nur die laufende Prüfung des Verhaltens hinter dem Token.
Was verlangt NIS2 in Deutschland zur Authentifizierung?
Paragraf 30 Absatz 2 Satz 2 Nummer 10 BSIG fordert Lösungen zur Multi-Faktor-Authentifizierung oder zur kontinuierlichen Authentifizierung. Das Infopaket des BSI dazu beschreibt die Anmeldung von Nutzern; Dienst- und Maschinenkonten kommen darin nicht eigens vor.
Quellen
[1] Okta: „Okta Signs Definitive Agreement to Acquire Permiso Security“
[2] BSI: „Multi-Faktor-Authentisierung, kontinuierliche Authentifizierung und gesicherte Kommunikation“
Mehr Newshunger?
- Anthropic meldet drei echte Einbrüche: Claudes Testumgebung hatte offenes Internet
- Schluss mit dem OAuth-Klickmarathon: MCP bekommt zentrale Rechteverwaltung
- Fünf neue Prompt-Injection-Angriffe: Wie sich KI-Agenten heimlich umprogrammieren lassen
- NIS2: Die Produktionshalle wird zur Haftungsfalle
- Rückstau bei 300 Sicherheitslücken: Microsoft kommt nicht mehr nach mit den Patches
