58 US-Dollar statt 200.000 US-Dollar: Modellwahl als Kostenfaktor
Cloudflare hat die Vorprüfung eingehender Meldungen aus dem eigenen Bug-Bounty-Programm automatisiert. Ein Bug-Bounty-Programm ist ein Belohnungssystem, über das externe Sicherheitsforscher Schwachstellen melden. Früher sichtete das Unternehmen alle Einsendungen manuell, heute übernimmt das Anthropics Modell Claude Sonnet.
Das Modell prüft Einsendungen auf Dubletten und bewertet, wie wahrscheinlich eine Meldung überhaupt eine menschliche Prüfung wert ist. Kosten laut Chief Security Officer Grant Bourzikas: 58 US-Dollar pro Monat. Der Einsatz von Anthropics spezialisiertem Sicherheitsmodell Mythos hätte für dieselbe Aufgabe rund 200.000 US-Dollar monatlich gekostet.
| Variante | Monatliche Kosten |
|---|---|
| Bug-Bounty-Triage mit Claude Sonnet | 58 US-Dollar |
| Gleiche Aufgabe mit Mythos (Schätzung) | rund 200.000 US-Dollar |
Der praktische Kern dieser Zahl ist weniger spektakulär, als er klingt, aber umso relevanter: Die Aufgabe entscheidet über das Modell, nicht das Prestige des Modells. Wer für Routinearbeiten das teuerste verfügbare Spezialmodell ansetzt, zahlt einen Faktor im vierstelligen Bereich zu viel. Dass sich die Preisspanne bei den Anbietern zusätzlich bewegt, zeigen auch die gesenkten API-Preise bei OpenAI.
Über 200 Agenten, kaum noch Drittanbieter
Die Erfahrung mit der Modellauswahl hat Cloudflare nach eigenen Angaben beim Bau von über 200 autonomen Agenten gesammelt, die interne Sicherheitsaufgaben übernehmen. Autonom heißt hier: Die Programme arbeiten Aufgabenketten selbstständig ab, ohne dass ein Mensch jeden Schritt auslöst.
Das Ergebnis: Fast alle Sicherheitswerkzeuge von Drittanbietern wurden durch eigene Anwendungen ersetzt, ein Teil davon mit KI-Unterstützung entwickelt. Welche Produkte konkret abgelöst wurden, nennt das Unternehmen nicht. Auch zur Fehlerquote der automatisierten Triage im Vergleich zu menschlichen Analysten liegen keine Angaben vor.
Der Sicherheitschef warnt vor der Nachahmung
Bemerkenswert ist die Einschränkung, die Bourzikas selbst mitliefert. Cloudflare sei ein Sicherheitsunternehmen und baue Sicherheitssoftware als Kerngeschäft. Die Rechnung zwischen Kaufen und Selbstbauen sehe für andere Organisationen deshalb völlig anders aus.
„Wir glauben nicht an die SaaSpokalypse. Wir glauben nicht, dass jede Bank auf diesem Planeten anfangen sollte, alle ihre eigenen Softwaresysteme selbst zu bauen.“ (sinngemäße Übersetzung der Aussage von Grant Bourzikas)
Diese Einordnung ist ehrlicher als der übliche Marketing-Reflex und trifft einen wichtigen Punkt. Eigenentwicklung ersetzt kein Fachwissen, sondern verlagert es nach innen. Wer Sicherheitswerkzeuge selbst betreibt, übernimmt auch die Verantwortung für deren Lücken. Dass KI-Systeme in Sicherheitsfragen selbst zum Risiko werden können, zeigte sich zuletzt, als Claude-Modelle in fremde Systeme eindrangen.
Was das für Unternehmen im DACH-Raum bedeutet
Einen direkten Bezug zu Deutschland, Österreich oder der Schweiz gibt es in der Meldung nicht. Die Logik lässt sich trotzdem übertragen. Für den typischen Mittelständler ist der komplette Ausstieg aus Standard-Sicherheitssoftware keine realistische Option, weil das nötige Inhouse-Wissen fehlt.
Interessanter ist die Zwischenstufe. Die Triage-Automatisierung bei Cloudflare ist kein Großprojekt, sondern eine einzelne, klar umrissene Aufgabe, die vorher Personalzeit gefressen hat. Genau solche Einzelfälle lassen sich auch ohne Sicherheitsabteilung von Weltrang identifizieren: repetitive Sortier-, Prüf- und Zuordnungsarbeit, bei der ein günstiges Standardmodell ausreicht.
Der zweite Punkt betrifft die Abhängigkeit vom Anbieter. Wer eine solche Automatisierung an ein einzelnes Modell bindet, sollte den Wechsel von Anfang an mitdenken, inklusive der Frage, welche Daten dabei an welchen Anbieter fließen. Bei Schwachstellenmeldungen ist das keine akademische Überlegung.
Personal: Prompt-Kompetenz vor Berufserfahrung
Bei der KI-gestützten Entwicklung setzt Cloudflare laut Bourzikas teils bewusst auf Berufseinsteiger. Bei Entwicklern mit fünf bis zehn Jahren Erfahrung gehe die Absicht auf dem Weg zur Umsetzung gelegentlich verloren, wenn er beschreibe, was er haben wolle. Ein Hochschulabsolvent mit einem Jahr Erfahrung, aber sehr guten Fähigkeiten beim Formulieren von Prompts, sei für manche Aufgaben passender.
Parallel hat Cloudflare 1.100 Stellen gestrichen. Chief Strategy Officer Stephanie Cohen begründet das damit, dass ein Teil der betroffenen Rollen durch die stärkere Automatisierung und veränderte Formen der Kundeninteraktion keinen Sinn mehr ergebe. Sie rechne damit, dass das Unternehmen langfristig wieder auf den früheren Personalstand komme. Welche Abteilungen betroffen waren, ist nicht bekannt.
Das SaaS-Modell verschiebt sich, statt zu verschwinden
Cohen erwartet, dass sich die Zusammenarbeit zwischen Softwareanbietern und Kunden grundlegend ändert. Statt fertiger Softwarepakete sieht sie Ingenieure, die beim Kunden vor Ort sitzen und dort laufend Software entwickeln, die genau für diesen Kunden funktioniert.
Das ist ein bemerkenswertes Eingeständnis aus dem Lager der Anbieter. Der Wert verschiebt sich von der Lizenz zur Anpassungsleistung. Für Kunden heißt das: Der reine Zugang zu einer Funktion wird billiger und beliebiger, während die individuelle Umsetzung zum eigentlichen Kostenblock wird. Wer diese Anpassungsarbeit mit KI-Werkzeugen selbst leisten kann, verhandelt in dieser Konstellation aus einer deutlich besseren Position.
Zwischen Werkzeug und Geschäftsmodell
Cohen hält KI zugleich für eine Technologie ohne funktionierendes Geschäftsmodell. Das heutige Web lebe von Werbung, während KI-Firmen Milliarden mit Abos verdienen, ohne für die Inhalte zu zahlen, mit denen sie ihre Modelle trainieren und ihre Suchdienste füttern. Cloudflare will sich hier als bezahlter Vermittler zwischen Publishern und KI-Anbietern positionieren, möglicherweise über Mikrozahlungen. Wie dieses Modell technisch und finanziell aufgebaut sein soll, ist offen.
Die naheliegende Kritik daran liegt auf der Hand: Ein Unternehmen, das zwischen Nutzern und Inhalten sitzt und dort eine Zahlstelle errichtet, schafft eine neue Abhängigkeit. Cohen verweist als Gegenargument auf frühere Entscheidungen wie die kostenlose SSL-Verschlüsselung für alle Kunden. Auch das bleibt vorerst ein Versprechen und keine Garantie.