Die kurze Antwort
Cyera, ein israelisch gegründetes Datensicherheitsunternehmen mit einer Bewertung von rund 12 Milliarden Dollar, unterzeichnete am 28. Juli 2026 eine Absichtserklärung zum Kauf von Oasis Security für etwa 1 Milliarde Dollar — berichtet als rund 700 Millionen Dollar in bar plus Cyera-Aktien. Oasis, 2022 gegründet, sichert nicht-menschliche Identitäten: die Service-Accounts, Tokens, digitalen Schlüssel und zunehmend KI-Agenten, die sich ohne Person dahinter an Unternehmenssystemen authentifizieren. Oasis läuft als eigene Einheit innerhalb von Cyera und faltet die Identitäts-Governance in Cyeras Datensicherheitsplattform.
Der Deal ist ein Markttell. In dem Moment, in dem Sie einen autonomen Agenten ausliefern, haben Sie eine Identität geschaffen, die sich anmelden, Anmeldedaten tragen und reale Systeme erreichen kann — und die meisten Organisationen können diese Identitäten noch nicht sehen, steuern oder prüfen. Genau diese Lücke ist der Grund, warum Agentenidentität ein Anliegen erster Ordnung für alle ist, die KI-Agenten bauen — kein Problem, das man nach dem Launch nachrüstet.
Was Cyera kauft
Cyera wurde mit Data Security Posture Management bekannt — dem Aufspüren, wo sensible Daten in der Cloud-Landschaft einer Organisation liegen, und deren Klassifizierung. Im Juni 2026 sammelte das Unternehmen rund 600 Millionen Dollar bei einer Bewertung von etwa 12 Milliarden Dollar ein, hat insgesamt rund 2,3 Milliarden Dollar aufgenommen und meldet mehr als 150 Millionen Dollar an jährlich wiederkehrendem Umsatz, bleibt aber weit von der Profitabilität entfernt. Oasis ist die dritte Übernahme des Jahres, nach Ryft und Genie Security, und mit Abstand die größte.
Oasis Security wurde 2022 von Geschäftsführer Danny Brickman und Chief Product Officer Amit Zimerman gegründet und hatte rund 190 Millionen Dollar von Investoren wie Accel, Craft Ventures und Cyberstarts eingesammelt. Die Plattform inventarisiert und reguliert die Anmeldedaten, mit denen sich Maschinen einloggen: Sie kartiert, welche Service-Accounts, APIs, Bots und Workloads existieren und was sie erreichen können, markiert ruhende Konten und zu weit gefasste Berechtigungen und kann diese Anmeldedaten ohne Mensch in der Schleife rotieren oder stilllegen. Mit anderen Worten: Sie tut für Maschinenidentitäten, was Identity-Governance-Werkzeuge längst für Mitarbeitende tun.
Cyera-Chef Yotam Segev bringt die Logik auf den Punkt: „Seine Daten zu kennen reicht nicht, wenn man nicht steuern kann, wer — oder was — sie berührt." Der Plan ist, Oasis' Identitäts-Governance mit Cyeras Datenermittlungs-Engine zu verschmelzen, sodass eine einzige Plattform sowohl „Wo liegen meine sensiblen Daten?" als auch „Welche Menschen und Maschinen können sie erreichen?" beantwortet. Segev verwies auf einen Anstieg der nicht-menschlichen Identitäten in Fortune-500-Unternehmen um fast 500 % in den vergangenen sechs Monaten als Grund, warum sich die beiden Probleme nicht länger getrennt lösen lassen.
Warum ist Agentenidentität plötzlich 1 Mrd. $ wert?
Beginnen wir mit einer Definition, denn der Begriff leistet viel Arbeit. Eine nicht-menschliche Identität (NHI) ist jede Anmeldeinformation, die sich ohne Person dahinter an einem System authentifiziert — ein Service-Account, ein API-Schlüssel, ein OAuth-Token, eine Workload-Identität in einem Kubernetes-Cluster. Diese gab es immer, aber sie waren eine überschaubare Hintergrundpopulation. KI-Agenten verändern die Rechnung. Ein Agent, der eine Änderung plant, Tests laufen lässt und einen Pull Request öffnet, muss sich an Ihrem Repository, Ihren Cloud-APIs und womöglich Ihrer Produktionsdatenbank authentifizieren — und jeder dieser Berührungspunkte ist eine Identität mit einem angehängten Geheimnis.
Die Skalierung hat das leise Problem laut werden lassen. Nicht-menschliche Identitäten übertreffen menschliche in den meisten Unternehmen zahlenmäßig, oft um eine Größenordnung, und der Agenten-Boom beschleunigt diese Kurve — daher Cyeras Angabe eines Anstiegs um fast 500 % in großen Firmen binnen eines halben Jahres. Doch die Governance hat nicht Schritt gehalten: Branchenumfragen im Jahr 2026 fanden wiederholt, dass die meisten Organisationen schwächere Kontrollen auf Maschinen- und Agentenidentitäten anwenden als auf Mitarbeitende und dass nur eine kleine Minderheit eine echte Strategie zu ihrer Steuerung hat. Ein Zugangsschlüssel, der nie abläuft, viel zu breit gefasst ist und von niemandem beobachtet wird, ist genau die Art Einfallstor, die Angreifer schätzen.
Deshalb fließt das Geld. Ein überprivilegierter Agent ist nicht hypothetisch: Er ist ein aktives Token, das Daten lesen kann, die es nie sehen sollte, oder eine Aktion auslöst, die niemand geprüft hat. Ihn abzusichern bedeutet, Geheimnisse als erstklassige Infrastruktur zu behandeln — kurzlebige, eng zugeschnittene Anmeldedaten aus einem verwalteten Speicher wie HashiCorp Vault auszustellen, statt langlebige Schlüssel in den Code zu backen, und zu überwachen, was jede Identität tatsächlich tut. Cyera wettet darauf, dass diese Disziplin zum Standardvorgehen wird — und dass es eine Milliarde Dollar wert ist, das Werkzeug dafür zu besitzen.
Eine Konsolidierungswelle, kein Einzelfall
Der Oasis-Kauf steht nicht allein. Die Sicherheit nicht-menschlicher Identitäten ist zu einer der am schnellsten wachsenden Ecken der Branche geworden, und 2026 sah eine stetige Reihe von Deals und Produktstarts, die genau darauf zielen, während Identitätsanbieter, Datensicherheitsfirmen und Cloud-Provider allesamt daran arbeiten, Maschinen- und Agentenzugriff abzudecken. Wenn Etablierte anfangen, Milliardenpreise für den Zukauf von Fähigkeiten statt deren Eigenentwicklung zu zahlen, ist das meist das Zeichen, dass eine Kategorie von aufkommend zu unverzichtbar übergegangen ist.
Für Teams, die Software bauen, schneidet Konsolidierung nach zwei Seiten. Der Vorteil: Agentenidentität zu steuern wird zunehmend Teil einer Plattform, die Sie vielleicht ohnehin betreiben, statt eines separaten Werkzeugs, das zu bewerten und zu integrieren ist. Die Warnung: Plattformabdeckung ist nicht dasselbe wie gutes Design. Ein Dashboard, das Ihre Maschinenidentitäten inventarisiert, nützt nichts, wenn Ihre Agenten von vornherein darauf ausgelegt waren, breiten, dauerhaften Zugriff anzufordern. Die Kontrollen müssen weiterhin darin eingebaut sein, wie sich der Agent authentifiziert und was er tun darf — und das ist eine Engineering-Entscheidung, die lange getroffen wird, bevor irgendeine Sicherheitsplattform sie sieht.
Was das für KI-Teams im DACH-Raum bedeutet
Für DACH-Teams, die Agenten vor Kunden und in interne Prozesse bringen, lautet die praktische Botschaft, Identität in das Agenten-Design selbst zu falten. Ein Agent sollte sich als eigene, zugeschnittene Identität authentifizieren, nicht mehr Privilegien halten, als die einzelne Aufgabe vor ihm verlangt, und seine Geheimnisse zur Laufzeit aus einem verwalteten Speicher beziehen statt aus einer Konfigurationsdatei oder Umgebungsvariable, die vor Monaten committet wurde. Baut man so, wird eine künftige Sicherheitsprüfung — oder ein künftiger BSI- bzw. DORA-Nachweis — zur Formalität; überspringt man es, häuft man Schulden an, die ein Sicherheitsaudit irgendwann einfordert.
Im EU-Kontext ist dieselbe Ingenieurarbeit zugleich eine Compliance-Anforderung. Die KI-Verordnung (EU AI Act) drängt Anbieter und Betreiber höher-riskanter KI-Systeme zu dokumentierter menschlicher Aufsicht, Protokollierung und Zugriffskontrolle, und die DSGVO (insbesondere Art. 32 zur Sicherheit der Verarbeitung) verlangt seit jeher, dass Sie sagen können, wer — oder was — auf personenbezogene Daten zugegriffen hat. Agentenidentität sauber zu gestalten ist kein paralleler Arbeitsstrang zur NIS2- und AI-Act-Bereitschaft; es ist ein großer Teil davon, wie Sie diese nachweisen.
Nichts davon ist ein Grund, bei Agenten langsamer zu machen. Die Organisationen, die echten Wert aus KI ziehen, sind die, die Agenten in den Produktivbetrieb bringen, nicht die, die in Pilotprojekten feststecken. Der Punkt ist, dass die Teams gewinnen, die die Identität eines Agenten so ernst nehmen wie seine Fähigkeit — denn ein fähiger Agent mit ungesteuertem Zugriff ist kein Vermögenswert, sondern ein Vorfall, der auf ein Datum wartet.
So geben Sie Ihren Agenten eine Identitätsebene
Eine praktische Reihenfolge, die Sie auf jeden Agenten in Ihrer Codebasis oder auf Ihrer Roadmap anwenden können:
- Inventarisieren Sie Ihre nicht-menschlichen Identitäten. Listen Sie jeden Service-Account, API-Schlüssel, jedes Token und jeden Agenten auf, was er erreichen kann und wann er zuletzt genutzt wurde. Sie können nicht steuern, was Sie nie gezählt haben.
- Geben Sie jedem Agenten seine eigene Identität. Lassen Sie Agenten nicht die Anmeldedaten eines Menschen oder einen einzigen geteilten Service-Account nutzen; eine eigene Identität pro Agent macht Protokollierung und Widerruf erst möglich.
- Auf Least Privilege zuschneiden, kurzlebig halten. Gewähren Sie nur den Zugriff, den die Aufgabe braucht, stellen Sie kurzlebige Anmeldedaten aus und bevorzugen Sie einen Zuschnitt pro Anfrage gegenüber stehenden Berechtigungen.
- Zentralisieren Sie Secrets. Beziehen Sie Anmeldedaten zur Laufzeit aus einem verwalteten Secrets-Speicher; committen Sie niemals langlebige Schlüssel in Code, Konfiguration oder Umgebungsdateien.
- Protokollieren und sofort widerrufen können. Zeichnen Sie auf, worauf jeder Agent zugreift, alarmieren Sie bei Anomalien und stellen Sie sicher, dass Sie den Zugriff eines kompromittierten Agenten rotieren oder abschalten können, ohne auf einen Menschen in der Schleife zu warten.
Cyeras Milliarden-Wette ist im Kern eine Wette auf eine Verhaltensänderung: dass es so selbstverständlich wird, das abzusichern, was Maschinen berühren können, wie das, was Menschen berühren können. Die Teams, die heute Agenten bauen, entscheiden, ob sie dieser Kurve voraus sind oder ihr hinterherrennen.
Häufig gestellte Fragen
Was hat Cyera zu Oasis Security angekündigt?
Am 28. Juli 2026 erklärte Cyera, ein israelisch gegründetes Datensicherheitsunternehmen mit einer jüngsten Bewertung von rund 12 Milliarden Dollar, eine Absichtserklärung zur Übernahme von Oasis Security für etwa 1 Milliarde Dollar unterzeichnet zu haben — berichtet als rund 700 Millionen Dollar in bar mit dem Rest in Cyera-Aktien. Oasis, 2022 gegründet, sichert nicht-menschliche Identitäten wie Service-Accounts, Tokens, Schlüssel und KI-Agenten und würde als eigene Einheit innerhalb von Cyera weitergeführt.
Was ist eine nicht-menschliche Identität, und warum ist sie für KI-Agenten wichtig?
Eine nicht-menschliche Identität (NHI) ist jede Maschinenanmeldung, die sich ohne Person dahinter authentifiziert: ein Service-Account, API-Schlüssel, OAuth-Token, eine Workload-Identität oder ein autonomer KI-Agent. Jeder KI-Agent, den Sie einsetzen, wird zu einer oder mehreren NHIs, die sich anmelden, Geheimnisse halten und handeln können. Cyera zufolge sind nicht-menschliche Identitäten in Fortune-500-Unternehmen in sechs Monaten um fast 500 % gewachsen und der am schnellsten wachsende Identitätstyp — weshalb ihre Steuerung dringend geworden ist.
Warum konsolidiert sich Identitätssicherheit 2026 rund um KI-Agenten?
Sobald Unternehmen KI-Agenten in den Produktivbetrieb überführen, authentifizieren sich Agenten an Code-Repositories, Cloud-APIs und Datenbanken genauso wie Mitarbeitende, aber meist mit schwächerer Aufsicht. Anbieter falten die Steuerung nicht-menschlicher Identitäten in umfassendere Daten- und Sicherheitsplattformen, damit eine Kontrollebene sowohl Menschen als auch Maschinen sehen und regeln kann. Der Cyera-Oasis-Deal, Cyeras dritte Übernahme 2026, signalisiert, dass Agentenidentität zu einer erstklassigen Sicherheitskategorie wird.
Was sollten Teams, die KI-Agenten bauen, jetzt tun?
Behandeln Sie jeden Agenten von Tag eins an als Identität. Inventarisieren Sie die Maschinenidentitäten und Geheimnisse, die Ihre Agenten nutzen, vergeben Sie kurzlebige Least-Privilege-Anmeldedaten mit Zuschnitt auf eine einzige Aufgabe, speichern Sie diese in einem verwalteten Secrets-Dienst statt im Code, protokollieren Sie, worauf jeder Agent zugreift, und stellen Sie sicher, dass Sie den Zugriff eines kompromittierten Agenten ohne Mensch in der Schleife widerrufen oder rotieren können. Diese Kontrollen decken sich auch mit den Governance-Erwartungen von SOC 2, DSGVO, NIS2, DORA und KI-Verordnung.
Ändert die Übernahme etwas für aktuelle Kunden?
Die Transaktion ist eine unterzeichnete Absichtserklärung, muss also noch abgeschlossen werden, und Cyera hat erklärt, Oasis werde als eigene Non-Human-Identity-Einheit weiterlaufen. Kurzfristig ist mit Kontinuität zu rechnen, mit einer engeren Integration von Oasis' Identitäts-Governance und Cyeras Datenplattform im Zeitverlauf. Die strategische Erkenntnis wiegt schwerer: Was Maschinen berühren können, abzusichern ist untrennbar davon, die Daten selbst abzusichern.
Quellen
TechCrunch — Cyera agrees to acquire Oasis Security for $1B to safeguard proliferating AI agents, 28. Juli 2026
SiliconANGLE — Cyera to buy nonhuman identity startup Oasis Security for a reported $1B, 28. Juli 2026
BankInfoSecurity — Cyera Bets $1B on Non-Human Identity Security With Oasis Buy, Juli 2026
Globes — Cyera acquires Oasis Security for $1b, 28. Juli 2026