Onyx sammelt 113 Millionen Dollar: KI-Sicherheit wird Infrastruktur

113 Millionen US-Dollar für ein Sicherheitsunternehmen, das erst vier Monate aus der Tarnkappen-Phase heraus ist – das ist die Zahl, um die es diese Woche geht. Das Cybersecurity-Startup Onyx hat am 29. Juli 2026 eine Series-B-Finanzierung über 113 Millionen Dollar bekanntgegeben, angeführt von Bessemer Venture Partners, mit Beteiligung von Cyberstarts, TCV, Conviction, FirstMark, Vintage Investment Partners, QuantumLight und G Squared. Damit kommt Onyx auf eine Gesamtfinanzierung von 153 Millionen Dollar seit der Gründung vor zwei Jahren. Die Bewertung liegt nach Angaben von Calcalistech bei rund 640 Millionen Dollar. Für ein Unternehmen, das seinen Stealth-Modus vor gut vier Monaten verlassen hat, ist das eine bemerkenswerte Summe – und ein Signal, das über Onyx selbst hinausweist.

Was Onyx eigentlich verkauft

Onyx bezeichnet sich selbst nicht als klassisches Security-Startup, sondern als „AI control company“. Das Produkt heißt intern „Secure AI Control Plane“ – eine Kontrollschicht, die quer über alle KI-Agenten in einem Unternehmen liegt. Sie soll Berechtigungen verwalten, Agenten-Aktivitäten überwachen und Risiken erkennen, bevor autonome Systeme Schaden anrichten. Laut der offiziellen Pressemitteilung sichert Onyx bereits mehr als 1,1 Millionen KI-Agenten bei seinen Kunden und inspiziert über 66 Millionen KI-Sessions in Echtzeit. Der Umsatz habe sich seit dem Stealth-Launch vervierfacht.

Das ist erst mal Marketing-Sprache eines Unternehmens, das gerade Geld eingesammelt hat – das gehört dazu und sollte man nicht unkritisch übernehmen. Trotzdem ist die Grundidee nachvollziehbar: Wenn Unternehmen KI-Agenten nicht mehr nur zum Chatten einsetzen, sondern damit Transaktionen ausführen, Systeme konfigurieren oder auf sensible Daten zugreifen lassen, braucht es eine Instanz, die weiß, was ein Agent tun darf – und was er tatsächlich tut. Genau diese Lücke zwischen Erlaubnis und Handlung ist der Markt, den Onyx bespielt.

Die Logik hinter der Bewertung

640 Millionen Dollar Bewertung für ein Unternehmen mit vier Monaten Marktpräsenz wirkt auf den ersten Blick abenteuerlich. Vergleicht man die Runde aber mit dem, was gerade sonst in KI-nahe Infrastruktur fließt, relativiert sich die Zahl. Die Mega-Finanzierungen für KI-Agenten-Plattformen bewegen sich inzwischen in Größenordnungen, die vor zwei Jahren undenkbar gewesen wären, und Investoren wetten dort längst nicht mehr nur auf Produktivitätsversprechen, sondern auf die Infrastruktur darunter.

Onyx selbst rahmt die Runde entsprechend: Es gehe nicht um Marktanteile in einer bestehenden Kategorie, sondern um den Aufbau einer Plattform, die Menschen die Kontrolle behalten lässt, während KI-Agenten mehr Arbeit übernehmen. Das ist die Positionierung, mit der man Investoren überzeugt – Identity- und Access-Management für die Cloud-Welt hat vor zehn Jahren ähnlich geklungen und ist heute Standard-Infrastruktur in jedem größeren Unternehmen. Ob KI-Sicherheit denselben Weg geht, ist offen. Die Wette der Investoren ist jedenfalls eindeutig platziert. Interessant ist dabei, dass Kapital für automatisierte Kontrollsysteme längst nicht mehr nur aus klassischem Wagniskapital kommt: Auch institutionelle Anleger, die inzwischen über algorithmisch gesteuerte Fondsstrukturen in Robotik und Automatisierungsthemen investieren, beobachten solche Kategorien genau, weil sie strukturell auf denselben Trend setzen – Maschinen, die eigenständig handeln, und die Infrastruktur, die diese Maschinen im Griff behält.

Warum klassische Cybersecurity-Tools hier nicht greifen

Der deutsche Tech-Blog BornCity hat bereits bei früheren Onyx-Finanzierungsrunden darauf hingewiesen, dass klassische Cybersicherheits-Werkzeuge für die neuen Bedrohungslagen oft ungeeignet sind. Das ist keine Randbemerkung, sondern der Kern des Problems. Ein Firewall-Regelwerk oder ein klassisches SIEM-System ist darauf ausgelegt, Netzwerkverkehr, Benutzeranmeldungen und bekannte Angriffsmuster zu erkennen. KI-Agenten agieren aber nicht wie klassische Nutzer oder Dienste. Sie treffen eigenständig Entscheidungen, generieren Code, rufen APIs auf und verketten Aktionen, die einzeln harmlos wirken, in Summe aber riskant sein können.

Ein Beispiel, das die Dimension zeigt: Ein Agent mit Zugriff auf ein CRM-System und ein E-Mail-Postfach kann theoretisch selbstständig Kundendaten zusammenführen und versenden – ohne dass ein einzelner Schritt davon nach einem klassischen Sicherheitsvorfall aussieht. Wer so etwas verhindern will, braucht Policy-Modelle, die verstehen, was ein Agent tun darf, und Monitoring, das erkennt, was er tatsächlich tut. Genau das ist die Lücke, in die Onyx mit seiner Kontrollschicht stößt. Ob das Produkt diesem Anspruch technisch gerecht wird, lässt sich von außen kaum überprüfen – die genannten Kennzahlen zu Agenten und Sessions stammen aus der eigenen Kommunikation des Unternehmens.

Wie ein Kontrollausfall in der Praxis aussehen könnte

Um die Tragweite besser einzuordnen, hilft ein hypothetisches, aber plausibles Szenario: Ein mittelständisches Unternehmen setzt mehrere KI-Agenten parallel ein – einen für die Buchhaltung, einen für den Kundensupport, einen für interne IT-Tickets. Jeder Agent bekommt einzeln geprüfte, sinnvolle Berechtigungen. Das Problem entsteht nicht durch einen einzelnen Agenten, sondern durch das Zusammenspiel: Der Support-Agent kann auf Kundendaten zugreifen, der IT-Agent kann Zugriffsrechte anderer Systeme ändern, und wenn beide über eine gemeinsame Schnittstelle kommunizieren, entsteht ein Pfad, den kein einzelnes Team im Blick hatte. Genau solche Verkettungen sind es, die klassische, auf einzelne Systeme fokussierte Sicherheitsprüfungen kaum erfassen. Eine Kontrollschicht, die alle Agenten unternehmensweit sieht, könnte solche Pfade zumindest sichtbar machen, bevor sie zum Problem werden. Ob Onyx oder ein Wettbewerber das tatsächlich leisten kann, ist damit noch nicht bewiesen – aber die Notwendigkeit einer solchen Querschnittssicht wird an diesem Beispiel nachvollziehbar.

Onyx ist nicht allein: Der Markt formiert sich

Wer glaubt, KI-Sicherheit sei eine Nische für ein einzelnes Startup, irrt. Das spanische Unternehmen NeuralTrust hat im gleichen Segment – Sicherheitsplattformen für KI-Agenten – eine Seed-Runde über 20 Millionen Dollar abgeschlossen, nach Angaben von Startbase die bislang größte europäische Cybersecurity-Seed-Runde überhaupt. Zwei Startups, zwei Kontinente, ein Thema: die Absicherung autonomer KI-Systeme wird als eigenständige Kategorie behandelt, nicht als Feature einer größeren Security-Suite.

Das ist der eigentliche Punkt, den die Onyx-Runde belegt. Nicht das Startup an sich ist die Nachricht, sondern die Tatsache, dass sich innerhalb weniger Monate ein ganzes Marktsegment mit eigenem Vokabular – „Control Plane“, „AI control company“ – und eigenen, teils erheblichen Finanzierungsrunden herausbildet. Wenn zwei unabhängige Startups auf unterschiedlichen Kontinenten mit ähnlichen Argumenten ähnlich viel Kapital einsammeln, ist das kein Zufall, sondern ein Marktsignal.

Der Druck, überhaupt eine solche Kontrollschicht zu haben, entsteht dabei nicht nur durch KI-Agenten selbst. Sicherheitsinfrastruktur insgesamt steht derzeit von mehreren Seiten unter Spannung: Während Unternehmen KI-Agenten produktiv einsetzen, geraten etwa im Zahlungsverkehr klassische Verschlüsselungsverfahren durch neue Angriffsszenarien durch Quantencomputer zunehmend unter Druck. Beide Entwicklungen laufen parallel und verstärken sich in der Wahrnehmung von Sicherheitsverantwortlichen gegenseitig: Wer ohnehin schon an mehreren Fronten neue Bedrohungsmodelle bewerten muss, ist eher bereit, in zusätzliche Kontrollinfrastruktur zu investieren, statt auf bestehende Werkzeuge zu vertrauen.

Die politische Dimension: KI-Sicherheit als Staatsaufgabe

Die Verschiebung von KI-Sicherheit in Richtung Infrastruktur zeigt sich nicht nur bei privaten Finanzierungsrunden. Eine Reihe großer Tech-Konzerne – darunter Nvidia, Microsoft, IBM und Palantir – hat sich zu einer Open Secure AI Alliance zusammengeschlossen, die offene KI-Modelle für die Cyberabwehr bereitstellen will. Über die Berichterstattung dazu lässt sich ablesen, dass Sicherheit hier nicht mehr als Produktkategorie, sondern als geteilte Infrastrukturaufgabe verstanden wird, die einzelne Unternehmen allein nicht mehr stemmen wollen oder können.

Parallel dazu laufen milliardenschwere, politisch verhandelte KI-Infrastrukturprojekte in den USA, bei denen Investitionen in KI-Rechenzentren und Modelle angekündigt wurden – Größenordnungen, die man bislang eher von Energie- oder Verkehrsinfrastruktur kannte. Solche Ankündigungen sind politische Absichtserklärungen und keine abgeschlossenen Investitionen, das gehört zur Einordnung dazu. Trotzdem zeigen sie eine Richtung: KI-Rechenleistung, KI-Modelle und KI-Sicherheit werden zunehmend in einem Atemzug genannt, so wie früher Strom, Netze und Regulierung zusammen gedacht wurden.

Compliance ist nur die halbe Wahrheit

Es wäre bequem, die Onyx-Runde als weiteren Beleg für den Compliance-Boom rund um die EU-KI-Verordnung oder NIS2 abzutun. Das greift aber zu kurz. Compliance-Getriebene Sicherheit reagiert auf Vorschriften, die von außen kommen – ein Audit, ein Bußgeldrisiko, eine Zertifizierungspflicht. Die Argumentation hinter Onyx und vergleichbaren Anbietern ist eine andere: Sie behaupten, dass Unternehmen ohne eine Kontrollschicht über ihre KI-Agenten schlicht keine Skalierung erreichen können, weil das operative Risiko sonst zu groß wird.

Das deckt sich mit einer Beobachtung, die sich auch in anderen Bereichen der Finanz- und Enterprise-IT zeigt: Je mehr KI-Agenten reale Entscheidungen treffen, desto mehr rückt die Frage nach Haftung und Kontrolle in den Vordergrund – nicht erst, wenn ein Regulator nachfragt, sondern schon im laufenden Betrieb. Wer heute größere Mengen an Agenten produktiv einsetzt, muss sich fragen, wer eingreifen kann, wenn ein Agent falsch handelt, und wie schnell das geht. Das ist keine Compliance-Frage im engeren Sinn, sondern eine Betriebsfrage – und genau deshalb versucht Onyx, sich als Infrastruktur zu positionieren, nicht als Prüfsiegel. Besonders deutlich wird das im Finanzsektor, wo bereits diskutiert wird, welche konkreten Compliance-Pflichten und Haftungsverhältnisse für Agenten gelten sollen, sobald diese eigenständig Transaktionen auslösen oder Kundenanfragen abschließend bearbeiten. Wenn selbst regulierte Branchen mit vergleichsweise klaren Aufsichtsstrukturen noch offene Fragen zur Haftung von Agenten haben, zeigt das, wie früh diese Entwicklung insgesamt noch steht.

Gegenargumente: Skepsis bleibt angebracht

Bei aller Plausibilität der Grundidee lohnt sich auch der Blick auf die Gegenposition. Die Sicherheitsbranche hat in der Vergangenheit mehrfach Kategorien hervorgebracht, die zunächst als unverzichtbare neue Infrastruktur gefeiert wurden und später in bestehenden Plattformen aufgingen, statt eigenständig zu bleiben. Cloud-Access-Security-Broker etwa galten vor einigen Jahren als eigene, wachstumsstarke Kategorie – heute sind entsprechende Funktionen bei vielen großen Anbietern schlicht ein Modul unter mehreren. Es ist nicht ausgeschlossen, dass es KI-Kontrollschichten ähnlich ergeht: Große Cloud- und Plattformanbieter könnten vergleichbare Funktionen einfach in ihre bestehenden Identity- und Security-Suiten integrieren, sobald der Bedarf klar genug erkennbar ist. Für spezialisierte Startups wie Onyx wäre das ein reales Risiko, unabhängig davon, wie gut das eigene Produkt technisch ist.

Hinzu kommt ein methodisches Problem: Die zentralen Kennzahlen, mit denen Onyx seinen Erfolg belegt – die Zahl gesicherter Agenten, die Menge inspizierter Sessions, die Umsatzentwicklung –, stammen ausschließlich aus eigener Kommunikation. Das ist bei jungen Unternehmen nach einer Finanzierungsrunde üblich, macht die Zahlen aber nicht unabhängig überprüfbar. Wer aus einer einzelnen, gut finanzierten Series-B-Runde auf einen bewiesenen Massenmarkt schließt, überinterpretiert die verfügbaren Daten. Realistischer ist die Einschätzung, dass Investoren hier auf eine plausible, aber noch unbewiesene These setzen – mit entsprechend hohem Risiko, falls sich die Kategorie langsamer entwickelt als erhofft oder von größeren Plattformanbietern übernommen wird.

Was Unternehmen jetzt konkret bedenken sollten

Für IT-Verantwortliche, die überlegen, ob und wann eine dedizierte KI-Sicherheitsschicht sinnvoll ist, lohnt sich ein nüchterner Blick auf drei Fragen. Erstens: Wie viele KI-Agenten laufen bereits produktiv, und auf welche Systeme haben sie tatsächlich Zugriff? Wer das nicht genau beantworten kann, hat ein größeres Problem als die Wahl des richtigen Anbieters. Zweitens: Reicht das bestehende Identity- und Access-Management aus, oder fehlt eine Schicht, die versteht, was ein Agent im Verlauf mehrerer Schritte tut, statt nur einzelne Zugriffe zu prüfen? Drittens: Wer im Unternehmen hat die Befugnis, einen Agenten im Zweifel sofort zu stoppen – und ist dieser Prozess getestet, oder existiert er nur auf Papier?

Diese Fragen lassen sich nicht mit einem einzelnen Produktkauf lösen, egal welcher Anbieter dahintersteht. Aber sie zeigen, warum das Thema gerade jetzt Fahrt aufnimmt: Die Zahl produktiver KI-Agenten wächst schneller als die Governance-Strukturen, die sie eigentlich begleiten sollten. Genau in dieser Lücke bewegen sich Onyx und vergleichbare Anbieter – nicht als Ersatz für interne Prozesse, sondern als Werkzeug, das diese Prozesse überhaupt erst durchsetzbar macht. Praktisch bedeutet das für viele Unternehmen zunächst einen kleinen, aber wichtigen Schritt vor jeder Anbieterentscheidung: eine vollständige Bestandsaufnahme aller aktiv eingesetzten Agenten samt ihrer Berechtigungen. Erst wenn diese Übersicht existiert, lässt sich seriös bewerten, ob eine zusätzliche Kontrollschicht einen messbaren Unterschied macht oder ob die eigentliche Lücke schon vorher in fehlender interner Abstimmung liegt.

Meine Einschätzung: Berechtigte Wette, überzogene Erwartungen

Ich halte die Grundthese für richtig: KI-Sicherheit wird kein Nischenthema für Sicherheitsabteilungen bleiben, sondern zu einer Infrastrukturschicht, ohne die sich autonome KI-Systeme in Unternehmen kaum verantwortungsvoll betreiben lassen. Wer heute Agenten mit echten Berechtigungen ausstattet und keine Instanz hat, die das überwacht, handelt fahrlässig – unabhängig davon, welcher Anbieter am Ende den Zuschlag bekommt.

Skeptisch bin ich bei der Bewertung selbst. 640 Millionen Dollar für ein vier Monate altes Produkt sind eine Wette auf ein Marktsegment, das noch keine belastbaren Umsatzzahlen für die Kategorie insgesamt vorlegen kann – nur einzelne, unternehmenseigene Kennzahlen wie die genannten 1,1 Millionen Agenten und 66 Millionen Sessions. Diese Zahlen stammen direkt von Onyx selbst und sind bislang nicht unabhängig verifiziert. Das muss man nicht als Täuschung werten, aber es ist ein Unterschied zwischen „Onyx wächst schnell“ und „der Markt für KI-Kontrollschichten ist bewiesen groß“. Beides wird in der aktuellen Berichterstattung gerne vermischt.

Was bleibt?

Die eigentlich interessante Frage ist nicht, ob Onyx sein Geld wert ist. Die interessante Frage ist, ob Unternehmen in zwei, drei Jahren eine Kontrollschicht für KI-Agenten für ebenso selbstverständlich halten werden wie heute eine Firewall oder ein Identity-Management-System. Die Finanzierungsrunden von Onyx und NeuralTrust, die Formierung der Open Secure AI Alliance und die politischen KI-Infrastrukturprojekte deuten alle in dieselbe Richtung. Ob daraus ein eigenständiger Milliardenmarkt mit klaren Standards wird oder ob sich die Funktionen am Ende in bestehende Cloud- und Security-Plattformen integrieren, ist noch nicht entschieden. Wer als Unternehmen KI-Agenten produktiv betreibt, sollte diese Frage aber nicht den Anbietern allein überlassen.