CSPM 2026: Wiz, Google und die 32-Milliarden-Dollar-Frage

Wer schon einmal in einem Montagmorgen-Review über Cloud-Kosten gesessen hat, weiß: Fehlkonfigurationen sind nicht der spannende Teil der Sicherheitsarbeit – sie sind der langweilige Teil, der immer wieder Produktionssysteme zu Fall bringt. Deshalb ist der CSPM-Markt so relevant, und deshalb führt die bevorstehende Google-Wiz-Transaktion dazu, dass jeder Platform-Lead, mit dem ich spreche, seine 2026er Shortlists gerade noch mit Bleistift statt mit Kugelschreiber schreibt.

Die Kategorie konsolidiert sich rasant, die Summen sind historisch, und die Kaufentscheidung, die Sie in Q4 treffen, wird darüber bestimmen, ob Ihr Compliance-Team im April Nachweise liefert oder das Quartal damit verbringt, über Konnektoren zu streiten.

Was passiert ist

Diese Woche erschien eine Rangliste der zehn führenden Cloud Security Posture Management-Tools für 2026 – und die eigentliche Schlagzeile ist nicht das Ranking selbst, sondern die Unternehmenstransaktion, die alles überlagert. Wie CyberSecurityNews berichtete, hat Google im März 2025 eine Vereinbarung zur Übernahme von Wiz für rund 32 Milliarden US-Dollar bekannt gegeben – beschrieben als der größte Deal in der Geschichte der Sicherheitsbranche. Zum Zeitpunkt der Veröffentlichung durchlief die Transaktion noch die behördliche Prüfung vor dem Abschluss.

Wiz operiert und verkauft während des Prüfzeitraums weiterhin unabhängig, mit erklärter Absicht zur Multicloud-Neutralität unter Google Cloud sowie gemeinsamen Threat-Intelligence-Feeds. Der Rest des Feldes ordnet sich erwartungsgemäß: Microsoft Defender for Cloud punktet bei Azure-zentrischen Umgebungen mit einer kostenlosen Basisstufe, Palo Altos Prisma Cloud deckt das breiteste Code-to-Cloud-Modulset ab, Orca Security trägt die agentenlose Side-Scanning-Flagge mit DSPM-Tiefe, und CrowdStrike ergänzt Falcon Runtime und Endpoint-Telemetrie um Posture-Funktionen.

Das Mittelsegment erzählt seine eigene Konsolidierungsgeschichte. Tenable hat die Ermetic-CIEM-Akquisition in die Tenable One Exposure Platform integriert, zusammen mit Schwachstellenmanagement, Identity und OT. Fortinet hat Lacework und dessen Polygraph-ML-Anomalie-Baseline übernommen und in das breitere Fabric zu aggressiven Preisen eingebettet. Trend Micros Posture-Funktionen sind in Vision One integriert. Check Points CloudGuard setzt auf CloudBots-Automatisierung und Mikrosegmentierung. Rapid7s InsightCloudSec wirbt mit Policy-as-Code-Flexibilität und ansprechenden Preisen für Mid-Market-Konsolidierer.

Zehn Anbieter, vier unabhängig, sechs nun in größere Plattformen eingebettet oder mit ausstehender Übernahme. Dieses Verhältnis allein zeigt, wohin sich die Kategorie entwickelt.

Technische Anatomie

CSPM erfüllt im Kern eine Aufgabe: Cloud-Ressourcen über Konten und Anbieter hinweg kontinuierlich inventarisieren, Konfigurationen gegen Sicherheits- und Compliance-Baselines prüfen und ausnutzbare Schwachstellen aufzeigen. Die 2026er Version dieser Aufgabe hat sich in zwei Punkten verändert, die für Architekturentscheidungen relevant sind.

Erstens ist agentenloses Scanning heute ein Mindeststandard. Wiz hat die Referenzimplementierung mit vollständigem Estate-Scanning in Minuten ohne Workload-Agents geschaffen, und Orcas Side-Scanning-Ansatz hat bewiesen, dass das Muster bis hin zur Datensicherheitsposture skaliert. Wer als Anbieter noch verlangt, dass Sie überall Agents ausrollen, nur um zu sehen, welche Buckets öffentlich sind, verkauft Ihnen ein Produkt von 2021.

Zweitens, und das ist wichtiger, hat sich der Wert von „Liste der Fehlkonfigurationen" zu Angriffspfad-Kontext verschoben. Wizs Security-Graph korreliert Fehlkonfiguration, Identity, Schwachstelle und Netzwerkexposition zu priorisierten Pfaden, die ein echter Angreifer nutzen könnte. Das ist wichtig, weil Cloud-Breaches zunehmend über überprivilegierte Identitäten laufen – nicht nur offene S3-Buckets. Ein CSPM, das zehntausend Findings ausspuckt, ohne anzuzeigen, welche drei davon zu einer Domain-Kompromittierung führen, produziert Rauschen, kein Signal. Die MITRE ATT&CK-Cloud-Matrix spiegelt dieselbe Verschiebung wider: Erster Zugang über Fehlkonfiguration ist nur Schritt eins – der Schaden entsteht durch Identitätsmissbrauch und laterale Bewegung.

Deshalb ist CSPM zunehmend ein Modul innerhalb einer konsolidierten CNAPP, die auch CWPP, DSPM, CIEM, IaC-Scanning und Code-Sicherheit umfasst. Wiz liefert all das. Prisma Cloud liefert all das plus API-Sicherheit und Secrets. Defender for Cloud liefert Posture, Angriffspfad-Analyse, DevOps-Sicherheit und tiefe Entra ID-Integration auf Azure – mit AWS und GCP über Konnektoren. Der reine „Posture-only"-Anbieter ist eine schrumpfende Kategorie.

Meine Einschätzung: Wenn Ihre Shortlist CSPM, CWPP und CIEM noch in drei separate RFPs aufteilt, werden Sie drei überlappende Tools kaufen und drei überlappende On-Call-Rotationen besetzen. Das ist die operative Steuer dafür, den Konsolidierungstrend zu ignorieren.

Wer die Nachteile trägt

Die am stärksten exponierte Gruppe ist derzeit jeder, der kurz davor steht, eine dreijährige Wiz-Verpflichtung ohne Roadmap-Schutzklauseln zu unterzeichnen. Wiz bleibt ein ausgezeichnetes Produkt – das ist nicht die Frage. Die Frage ist, was nach dem Abschluss mit AWS-first- und Azure-first-Kunden passiert, wenn die Anreize von Google und Wiz vollständig übereinstimmen. Neutralität ist eine erklärte Absicht, keine vertragliche Garantie. Bei Produktionsvorfällen nach früheren Sicherheitsübernahmen habe ich erlebt, dass „Neutralität" bedeutet: „Wir unterstützen es noch, nur nicht mit demselben Release-Rhythmus."

Azure-dominante Umgebungen sind am wenigsten betroffen. Die Basisstufe von Defender for Cloud ist kostenlos für native Azure-Posture, und kostenpflichtige Pläne fügen Compliance-Dashboards, Angriffspfad-Analyse und DevOps-Sicherheit hinzu – mit nativer Integration in Entra ID und Defender XDR. Bei einem zehnköpfigen Platform-Team kann der Verzicht auf einen Premium-Multicloud-CSPM-Vertrag ein Budget freisetzen, das dem Gehalt eines Mid-Level-Engineers entspricht. Das ist echtes Geld für einen Mid-Market-Betrieb, kein Rundungsfehler.

AWS-schwere Umgebungen stehen vor der schwierigsten Entscheidung. Die echten Multicloud-Pure-Plays sind Wiz (jetzt unsicher), Orca (unabhängig, stark bei DSPM) und Prisma Cloud (breiteste Abdeckung, aber kreditbasierte Lizenzierung, die sorgfältige Modellierung erfordert). CrowdStrike-Umgebungen, die bereits auf Falcon standardisiert sind, erhalten eine Single-Agent-Runtime-Story, aber die Cloud-native Tiefe bei IaC und Dev-Tooling liegt hinter den Pure-Plays.

Die unbequeme Einschätzung: Fortinet-Lacework- und Tenable-Ermetic-Kunden sollten kritische Fragen zu den Zeitplänen der Konsolen-Konvergenz stellen. Post-Akquisitions-Integrationsarbeit hat eine Tendenz, ein volles Jahr Produkt-Roadmap aufzufressen, und Teams, mit denen ich gearbeitet habe, haben erlebt, wie Features, die ihnen beim Unterzeichnen versprochen wurden, um zwei Verlängerungszyklen verschoben wurden. Gestalten Sie Verträge entsprechend.

Playbook für Security-Teams

Konkrete Maßnahmen für die nächsten 90 Tage, in Prioritätsreihenfolge.

Erstens: Liegt eine Wiz-Verlängerung oder ein neuer Vertrag dieses Quartal auf Ihrem Schreibtisch, fügen Sie Roadmap-Schutzklauseln hinzu. Konkret: garantierte Feature-Parität für AWS- und Azure-Scanning gegenüber GCP für die Vertragslaufzeit sowie eine Exit-Klausel, die an wesentliche Verschlechterung des Multicloud-Supports geknüpft ist. Wizs Mitbewerber werden bei der Deal-Unsicherheit aggressiv Rabatte gewähren. Nutzen Sie das.

Zweitens: Prüfen Sie Ihren Identity Blast Radius, bevor Sie Fehlkonfigurationen auditieren. Cloud-Breaches laufen heute über überprivilegierte Identitäten. Jede CSPM-Shortlist, die kein CIEM enthält – nativ oder über Integration – löst das Problem von gestern. Gleichen Sie Ihre Findings mit dem CISA KEV-Katalog für Cloud-nahe CVEs ab, die aktiv in freier Wildbahn ausgenutzt werden.

Drittens: Konsolidieren Sie bewusst. Wenn Sie bereits Falcon-, Defender- oder Fortinet-Umgebungen betreiben, ist der inkrementelle Aufwand für native Posture-Funktionen in der Regel geringer als ein Best-of-Breed-Pure-Play – und eine Konsole um 2 Uhr nachts schlägt drei. Aber konsolidieren Sie nur, wo das Modul wirklich wettbewerbsfähig ist, nicht nur vorhanden.

Viertens: Modellieren Sie die Lizenzierung, bevor Sie einen Pilot starten. Prisma Clouds kreditbasiertes Modell, Defenders Tier-Vielfalt und Wizs Premium-Preise haben bei Skalierung sehr unterschiedliche Budgetprofile. Lassen Sie sich die Zwölfmonatsrechnung schriftlich geben, bevor der POC beginnt – nicht nachdem die Beschaffung festgelegt ist.

Fünftens: Für Mid-Market-Teams lohnt ein genauer Blick auf InsightCloudSec. Rapid7s Policy-as-Code-Ansatz und ansprechende Preise treffen einen Sweet Spot, den die Enterprise-Pure-Plays ignorieren.

Die wichtigsten Erkenntnisse

• Googles 32-Mrd.-Wiz-Übernahme ist der größte Sicherheitsdeal der Geschichte und befindet sich noch in der behördlichen Prüfung; unterzeichnen Sie mehrjährige Wiz-Verträge nur mit Roadmap-Schutzklauseln.
• CSPM ist heute ein Modul einer konsolidierten CNAPP; der Kauf von Posture-Funktionen isoliert von CIEM und CWPP produziert überlappende Tools und duplizierte On-Call-Kosten.
• Angriffspfad-Kontext schlägt Finding-Volumen; priorisieren Sie Anbieter, deren Graphen Fehlkonfiguration, Identity, Schwachstelle und Exposition in priorisierte Ketten korrelieren.
• Azure-dominante Umgebungen profitieren von den besten Konditionen durch Defender for Clouds kostenlose Basisstufe plus kostenpflichtige Angriffspfad- und DevOps-Module.
• Post-Akquisitions-Integrationsrisiko (Lacework in Fortinet, Ermetic in Tenable, Wiz in Google) ist der größte versteckte Kostenfaktor in 2026er Shortlists.