NEXGAP® Branchen02 / 04 · Hedgefonds, Asset Manager & Investment BankingPoint-in-Time · je Emittent und Portfolio
Branche · Kapitalmarkt

Cyberrisiko ist Marktrisiko.Sehen Sie es, bevor es im Kurs steht.

Cyber ist das größte Geschäftsrisiko der Unternehmen, in die Sie investieren, und in den meisten Modellen noch eine Fußnote. NEXGAP bewertet es laufend je Emittent und Portfolio und prüft vor einer Transaktion, was Sie wirklich mitkaufen. Ihre Analysten erhalten die Einordnung, Ihre Modelle die Daten.

Kurs und Cyber-Signal je Emittent · Beispieldaten
KursSignalstärkeSignal mit Zeitstempel
Lage in Zahlen

Cyberrisiko steht im Kurs. Nur oft zu spät.

Cyber ist das größte Geschäftsrisiko der Unternehmen, in die Sie investieren. Der Markt preist es trotzdem meist erst ein, wenn die Pflichtmeldung kommt. Die Signale davor liegen im Untergrund, in der Angriffsfläche und in den Lieferketten.

KursErstes SignalPflichtmeldung250 Handelstage
Schematische Darstellung · Untergrundaktivität (unten) und Kursverlauf eines EmittentenRuhige Lage
  • 42%

    der befragten Unternehmen nennen Cyber als größtes Geschäftsrisiko. Platz eins im fünften Jahr in Folge, höchster Wert bisher.

    Allianz Risk Barometer 2026 ↗
  • −4,9%

    Minderrendite gegenüber dem Markt 250 Handelstage nach einem erheblichen Cybervorfall. Untersucht wurden Unternehmen aus dem Russell 3000.

    ISS-Corporate, 2026 ↗
  • −8,5%

    Spitzenwert der Minderrendite bei Finanz- und Bankwerten. Sie stellen 30 Prozent der untersuchten Vorfälle.

    ISS-Corporate, 2026 ↗
  • −3,1%

    durchschnittliche Kursreaktion rund um eine Meldung nach Item 1.05 im Form 8-K. Bei Small Caps unter 2 Mrd. USD sind es −7,5 Prozent.

    arXiv 2512.06144, 2025 ↗
  • 328-Ks

    Cyber-Meldungen per Form 8-K im Jahr 2025, nach 64 im Jahr 2023. Weniger Meldungen bedeuten nicht weniger Vorfälle.

    Board Cybersecurity, 2026 ↗
  • 2.773Org.

    traf eine einzige Schwachstelle in der Dateitransfer-Software MOVEit, mit Daten von über 95 Millionen Menschen. Klumpenrisiko in Reinform.

    Emsisoft ↗
Blinde Flecken

Sechs Lücken im Research. Und was sie kosten.

Cyberrisiko ist in den meisten Modellen, Kreditanalysen und Due-Diligence-Prozessen noch eine Fußnote. Diese sechs Lücken sehen wir bei Fonds, Research-Teams und Transaktionsberatern immer wieder.

UntergrundEmittentMarkt
Lücke 01Ratings sehen die Fassade

Outside-in-Scores bewerten, wie ein Emittent von außen aussieht. Ob Zugänge zu seinen Systemen schon gehandelt werden, sehen sie nicht.

  • Angebotene Zugänge und Zugangsdaten im Untergrund
  • Erpresserseiten und Ankündigungen von Leaks
  • Ausgenutzte Schwachstellen in eingesetzter Software
  • Abgleich mit Angaben in 10-K Item 1C und Jahresbericht
FolgeFehlbewertung. Ein guter Score und ein bereits kompromittiertes Netz schließen sich nicht aus.
Lücke 02Meldungen kommen spät

Das 8-K kommt erst nach der Prüfung der Wesentlichkeit. In Europa werden Cybervorfälle selten ad hoc gemeldet.

  • Item 1.05: vier Werktage nach Feststellung der Wesentlichkeit
  • Ad-hoc-Pflicht nach Art. 17 MAR, mit Möglichkeit zum Aufschub
  • Nachträge per 8-K/A, oft Wochen später
  • Vorfälle bei Dienstleistern ohne eigene Meldung
FolgeÜberraschung. Wer erst auf die Meldung reagiert, handelt mit dem Rest des Marktes. Studie ↗
Lücke 03Klumpen im Portfolio

Viele Positionen hängen an denselben Dienstleistern und derselben Software. Fällt einer aus, trifft es mehrere Werte gleichzeitig.

  • Gemeinsame IT-, Cloud- und Zahlungsdienstleister
  • Verbreitete Software mit aktiv ausgenutzten Lücken
  • Kampagnen gegen ganze Sektoren
  • Zweite Reihe: Zulieferer und Kunden betroffener Emittenten
FolgeKlumpenrisiko. Bei MOVEit waren es 2.773 Organisationen über eine einzige Software. Emsisoft ↗
Lücke 04Befunde nach dem Closing

Cyberrisiken eines Zielunternehmens zeigen sich oft erst nach der Übernahme, wenn Kaufpreis und Garantien feststehen.

  • Laufende Kompromittierung, die mit übernommen wird
  • Geleakte Daten und offene Erpressungen
  • Altlasten in Tochtergesellschaften und Carve-outs
  • Garantien ohne belastbare Faktenbasis
FolgePreis und Haftung. 53 Prozent der Befragten erlebten, dass ein Cyberproblem einen Deal gefährdete. Forescout ↗
Lücke 05Daten ohne Zeitstempel

Ohne Point-in-Time-Historie, sauberes Mapping und geklärte Herkunft lassen sich alternative Daten weder backtesten noch freigeben.

  • Überschriebene Historie und Look-ahead-Bias
  • Fehlende Zuordnung zu FIGI, ISIN, CUSIP und LEI
  • Unklare Herkunft, die Compliance nicht freigibt
  • Rohsignale ohne Einordnung
FolgeKein Backtest, keine Freigabe. Das Signal bleibt im Pilotprojekt stecken.
Lücke 06Das eigene Haus

Fonds sind selbst Ziel. Zugänge, Mitarbeitende und Dienstleister des eigenen Hauses stehen im Visier.

  • Voice-Phishing gegen Mitarbeitende und Helpdesk
  • Zugangsdaten aus Infostealer-Infektionen
  • Exposition von Partnern und Portfolio Managern
  • IKT-Dienstleister unter DORA
FolgeIm August 2026 richtete sich eine Welle von Vishing-Angriffen gegen große Hedgefonds, darunter Point72, Citadel und Two Sigma. Bloomberg via Fortune ↗
Welche Positionen betrifft das bei Ihnen?
Im Portfolio-Briefing zeigen wir, welche Ihrer Emittenten aktuell auffällig sind und welche Dienstleister sie teilen.Briefing anfragen →
Belegte Fälle

Cyberrisiko hat einen Preis. Im Kaufpreis, im Ergebnis, im Kurs.

Vier öffentlich dokumentierte Fälle zeigen, wie ein Cybervorfall Transaktionen neu bepreist und Konzernergebnisse belastet, oft Jahre nachdem er begonnen hat.

  • Transaktion · Kaufpreis
    350Mio. $
    Verizon und Yahoo · 2017

    Abschlag nach Datenlecks.

    Nach zwei bekannt gewordenen Datenlecks senkte Verizon den Kaufpreis für das Kerngeschäft von Yahoo um 350 Mio. USD auf 4,48 Mrd. USD.

    Yahoo, Form 8-K, Februar 2017
  • Transaktion · Altlast
    4Jahre
    Marriott und Starwood · 2014 bis 2018

    Der Angreifer kam mit.

    Der Angriff auf Starwood begann 2014. Marriott übernahm 2016 und entdeckte ihn erst 2018. Die britische Datenschutzbehörde verhängte 18,4 Mio. Pfund.

    UK ICO, Oktober 2020
  • Emittent · Ergebnis
    2,87Mrd. $
    UnitedHealth · 2024

    Ein Angriff im Konzernergebnis.

    UnitedHealth bezifferte die Folgen des Angriffs auf die Tochter Change Healthcare für 2024 auf 2,87 Mrd. USD. Rund 190 Mio. Menschen waren betroffen.

    UnitedHealth, Q3 2024 · Change Healthcare, Januar 2025
  • Emittent · Europa
    300Mio. £
    Marks & Spencer · 2025

    Monate ohne Onlinehandel.

    Nach einem Angriff im April 2025 stoppte der Händler seinen Onlinehandel und bezifferte die Belastung des operativen Ergebnisses auf rund 300 Mio. Pfund vor Gegenmaßnahmen.

    Marks & Spencer, Jahresergebnis Mai 2025
Was der Markt einpreist

Der Abschlag kommt nicht nur am Tag der Meldung.

  • −7,5%Kursreaktion von Small Caps rund um eine Meldung nach Item 1.05, gegenüber +0,4 Prozent bei größeren Emittenten.arXiv, 2025 ↗
  • 250Tagenach einem erheblichen Vorfall liegt die Minderrendite gegenüber dem Markt noch nahe ihrem Höchstwert von 4,9 Prozent.ISS-Corporate ↗
  • 65%der Befragten berichteten, dass ihr Unternehmen eine Übernahme wegen Cyberbedenken bereut hat.Forescout, 2019 ↗
Öffentlich dokumentierte Fälle. NEXGAP war an keinem dieser Fälle beteiligt.
So arbeitet NEXGAP

Vom Signal zur Position. Eingeordnet, zugeordnet, mit Zeitstempel.

Wir beobachten das reale Angriffsgeschehen und übersetzen es in die Sprache des Kapitalmarkts: betroffene Emittenten, Tragweite, Zeitachse, Einschätzung. Ihre Analysten bekommen die Einordnung, Ihre Modelle die Daten.

Untergrund und AngriffsflächeAnalystEmittentIhre Position
  1. 01Beobachten
    Jeder Emittent

    Untergrund, Angriffsfläche und Offenlegungen für jeden Emittenten an NASDAQ, NYSE, London Stock Exchange und im DAX 40. Jedes Filing rückwirkend ausgewertet.

    Laufende Beobachtung
  2. 02Einordnen
    Analystengeprüft

    Unsere Analysten bewerten Claim, Akteur und Glaubwürdigkeit und schätzen ein, was ein Ereignis für Emittent, Sektor und Lieferkette bedeutet.

    Begründete Einschätzung
  3. 03Zuordnen
    Point-in-Time

    Jede Bewertung trägt Ereignis- und Erkenntniszeitpunkt, gemappt auf FIGI, ISIN, CUSIP, CIK und LEI und gewichtet zu Ihrem Portfolio.

    Backtest-fähige Historie
  4. 04Liefern
    Dort, wo Sie arbeiten

    Alert, Briefing und Daten über Terminal, API, Excel Add-in, Data Warehouse oder MCP-Server für KI-Agenten.

    Ohne Medienbruch
01 · LaufendInvestment und Research
CTFI

Cyber Threat Financial Intelligence

Cyberrisiko als laufend bewerteter Faktor je Emittent, Portfolio und Index. Managed Service mit Analysten, Alerts und Point-in-Time-Datensatz.

  • Portfolio Management, Quant, Risk, Credit und Research
  • Index-Release CTFI Pulse für NASDAQ-100, Dow, DAX 40 und FTSE 100
Zu CTFI →
02 · EinzelmandatTransaktionen
Cyber Due Diligence

Threat Intelligence Operations

Vor Signing bewerten wir die Cyberlage des Zielunternehmens von außen, ohne dass das Ziel davon erfährt. Unter Codename, mit eng begrenztem Kreis.

  • M&A, Private Equity, Investment Banking und Kapitalmarkt
  • Red-Flag-Report für Investment Committee und Berater
Zur Cyber Due Diligence →
Für Ihre Rolle

Ein Kontext, sechs Arbeitsweisen. Jede mit ihrer Antwort.

Ein Portfolio Manager braucht Einordnung, ein Quant saubere Historie, ein Deal-Team Diskretion. Wir liefern jeder Rolle denselben geprüften Kontext in der Form, in der sie arbeitet.

„Welche Positionen tragen gerade das höchste Cyberrisiko?“

Exposition je Position und für das gesamte Buch, gewichtet. Bei relevanten Ereignissen erhalten Sie den Alert mit Einordnung, betroffenen Titeln und Tragweite, bevor Sie danach suchen müssen.

  • Exposition je Position und Portfolio
  • Alerts mit Analysten-Einschätzung
  • Briefing vor Earnings und Neuaufnahmen
CTFI für Portfolio Manager →

„Ist Cyber ein eigenständiger Faktor in meinem Universum?“

Point-in-Time-Reihen je Emittent mit Ereignis- und Erkenntniszeitpunkt. Die Historie wird nicht überschrieben, damit Ihre Backtests ohne Vorausschau-Verzerrung laufen.

  • Zeitreihen ohne Look-ahead
  • Mapping auf FIGI, ISIN, CUSIP, CIK und LEI
  • API, Data Warehouse und Python
Datensatz und API →

„Wo liegt Emittentenrisiko, das in keiner Bilanz steht?“

Laufende Bewertung von Emittenten und Portfolios, mit Konzentrationen über gemeinsame Dienstleister und Szenarien für globale Schwachstellen in Ihrem Buch.

  • Klumpen über gemeinsame Dienstleister
  • Szenarien für globale Schwachstellen
  • Monatlicher Index-Release CTFI Pulse
Risk-Sicht in CTFI →

„Was steckt hinter der Meldung, und was kommt noch?“

Einordnung von Claim, Akteur und Glaubwürdigkeit, abgeglichen mit 8-K, 8-K/A und Ad-hoc-Meldung. Dazu die zweite Reihe: Zulieferer, Kunden und Wettbewerber, die mitbetroffen sind.

  • Einordnung von Claim und Akteur
  • Abgleich mit Pflichtmeldungen
  • Briefings geplant und anlassbezogen
Research mit CTFI →

„Was kaufen wir bei dieser Transaktion wirklich mit?“

Eine diskrete Analyse des Zielunternehmens von außen, ohne Zugriff auf seine Systeme und ohne dass es davon erfährt. Ergebnis ist ein Red-Flag-Report für Investment Committee, Kaufpreis und Garantien.

  • Analyse vor Signing, unter Codename
  • Red-Flag-Report für das Investment Committee
  • Erster Bericht in der Regel nach wenigen Tagen
Cyber Due Diligence →

„Dürfen wir dieses Signal überhaupt verwenden?“

Wir legen Herkunft und Methodik für Ihre Prüfung offen. Wir kaufen keine Daten aus Leaks und liefern nur abgeleitete Größen, mit vollständigem Audit-Trail über Zeitstempel.

  • Offengelegte Herkunft und Methodik
  • Keine gekauften Leak-Daten
  • Audit-Trail je Bewertung
Zu Compliance und Datenherkunft →
Compliance und Regulatorik

Ein Signal, das Ihre Compliance freigibt. Und Pflichten, die es verlangen.

Alternative Daten sind nur so viel wert wie ihre Freigabe. Deshalb ist die Herkunft jedes Signals dokumentiert, und deshalb richten sich unsere Leistungen an den Meldepflichten aus, die Emittenten und Fonds heute erfüllen müssen.

Datenherkunft
  1. Öffentlich beobachtbare QuellenUntergrundforen, Erpresserseiten, Angriffsfläche und Offenlegungen. Kein Zugriff auf Systeme von Emittenten.
  2. Keine gekauften Leak-DatenWir erwerben keine gestohlenen Daten und geben keine Rohdaten weiter, nur abgeleitete Größen.
  3. Methodik offengelegtHerkunft, Bewertungslogik und Prüfschritte legen wir für Ihre Compliance-Prüfung vollständig offen.
  4. Audit-Trail je BewertungEreignis- und Erkenntniszeitpunkt sind gespeichert und werden nicht überschrieben.
Regelwerke
  • SEC Form 8-K Item 1.05Seit Dezember 2023 · USAWesentliche Vorfälle binnen vier Werktagen nach Feststellung der Wesentlichkeit. CTFI gleicht jede Meldung mit der zuvor beobachteten Lage ab.
  • Form 10-K Item 1CJahresbericht · USAAngaben zu Risikomanagement und Governance. Wir vergleichen sie mit der beobachteten Angriffsfläche des Emittenten.
  • Art. 17 MARAd-hoc-Publizität · EUKursrelevante Vorfälle sind unverzüglich zu veröffentlichen, ein Aufschub ist möglich. Signale aus dem Untergrund zeigen, was noch nicht gemeldet ist.
  • DORASeit 17. Januar 2025 · EUGilt auch für Kapitalverwaltungsgesellschaften. CQTI überwacht Ihre IKT-Dienstleister und das eigene Haus laufend von außen.
Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung. NEXGAP gibt keine Anlageempfehlungen.
Das eigene Haus

Fonds sind selbst Ziel. Mit allem, was sie wissen und bewegen.

Positionen, Orderflüsse, Investorendaten und Zugänge zu Handelssystemen machen Fondshäuser, Banken und Transaktionsberater zu lohnenden Zielen. Angreifer kommen über Menschen, Dienstleister und gestohlene Zugangsdaten.

August 2026

Eine Welle von Voice-Phishing-Angriffen richtet sich gegen große Hedgefonds, darunter Point72, Citadel, Millennium und Two Sigma. Angreifer imitieren Stimmen, um Mitarbeitende zur Herausgabe von Zugängen zu bewegen.

Bloomberg via Fortune, 6. August 2026 ↗
  • 01
    Kompromittierte Zugänge

    Zugangsdaten von Mitarbeitenden, Partnern und Dienstleistern aus Infostealer-Infektionen und Leaks, gemeldet bevor ein Access Broker sie verkauft.

    CQTI →
  • 02
    Exposition von Partnern und Führung

    Was Angreifer über Partner, Portfolio Manager und Führungskräfte wissen und nutzen können, als Grundlage für Social Engineering.

    Intelligence Operations →
  • 03
    Offensive Prüfung

    Penetrationstests für Handels- und Investorenportale, Active-Directory-Audits und Prüfungen von KI-Agenten in Research und Operations.

    Offensive Security →
FAQ

Häufige Fragen aus Fonds und Transaktionen.

Was Portfolio Manager, Quants, Compliance und Deal-Teams vor dem ersten Gespräch wissen möchten.

Frage stellen →
01Wann passt CTFI und wann die Cyber Due Diligence?

CTFI begleitet Ihre Investments laufend: je Emittent, Portfolio und Index, mit Einordnung durch unsere Analysten und Daten für Ihre Modelle. Die Cyber Due Diligence ist ein einzelnes, vertrauliches Mandat vor einer Transaktion und endet mit einem Red-Flag-Report für Ihr Investment Committee.

02Wie gehen Sie mit Insiderinformationen um?

Wir arbeiten mit öffentlich beobachtbaren Signalen aus Untergrundquellen, die typischerweise vor der Pflichtmeldung sichtbar werden, dazu mit Angriffsfläche und Offenlegungen. Wir kaufen keine Daten und liefern nur abgeleitete Größen. Herkunft und Methodik legen wir für Ihre Compliance-Prüfung offen.

03Welche Emittenten decken Sie ab?

CTFI wertet jeden Emittenten an NASDAQ, NYSE, London Stock Exchange und im DAX 40 aus, nicht nur die Indexschwergewichte. Ihre Portfolio-Unternehmen fügen wir hinzu und aggregieren sie zu einer Sicht auf Ihre Positionen.

04Ist die Historie für Backtests geeignet?

Ja. Jede Bewertung trägt Ereignis- und Erkenntniszeitpunkt und wird nicht nachträglich überschrieben. Vergangene Filings sind rückwirkend ausgewertet und mit der damals beobachteten Lage verknüpft.

05Erfährt das Zielunternehmen von einer Cyber Due Diligence?

Nein. Die Analyse stützt sich ausschließlich auf externe Quellen, ohne Zugriff auf Systeme des Ziels. Mandate führen wir unter Codename und nur mit einem eng begrenzten Kreis von Beteiligten.

06Lässt sich CTFI an unsere Systeme anbinden?

Ja, über die Identifier, die Sie bereits nutzen: FIGI, ISIN, CUSIP, CIK und LEI. Wir liefern per API, als Excel Add-in, im Data Warehouse und über einen MCP-Server für KI-Agenten. Den Lieferweg stimmen wir im Onboarding mit Ihnen ab.

07Hilft NEXGAP bei DORA für unser eigenes Haus?

DORA gilt seit Januar 2025 auch für Kapitalverwaltungsgesellschaften. CQTI überwacht Ihre IKT-Dienstleister, Zugänge und Exposition laufend von außen, Offensive Security Operations liefert Penetrationstests und Audits. Eine rechtliche Bewertung ersetzt das nicht.

08Geben Sie Anlageempfehlungen?

Nein. CTFI ist ein Datensignal mit Einordnung durch unsere Analysten. Entscheidungen über Wertpapiere und Transaktionen treffen Sie.

Kontakt

Welche Ihrer Positionen tragen Cyberrisiko?
Das Portfolio-Briefing zeigt es.

NEXGAP
© 2026 NEXGAP GmbH
Bildungscampus 11, 74076 Heilbronn
Alle Rechte vorbehalten