Cybersecurity-Bewertung Multiplikatoren: EV/Umsatz & EV/EBITDA

Wenn Sie ein Cybersecurity-Dienstleistungsunternehmen besitzen, stellt sich selten die Frage, ob jemand es kaufen möchte. Cybersecurity-Unternehmen ziehen eine der größten und wettbewerbsintensivsten Käufergruppen im IT-Dienstleistungssektor an, und wiederkehrende Managed-Security-Umsätze (MSSP und MDR) erzielen die höchsten Aufschläge, während projektbasierte Assessments, Penetrationstests und Staffing-Geschäft niedriger bewertet werden. Diese Seite zeigt, zu welchen EV/Umsatz- und EV/EBITDA-Multiplikatoren (Unternehmenswert, der Kaufpreis bereinigt um Schulden und Barmittel) Cybersecurity-Unternehmen den Besitzer wechseln, was die Zahl treibt und wer kauft. Sie ist Teil unserer Bewertungsmultiplikatoren für IT-Dienstleistungen Analyse.

Cybersecurity-Dienstleister schützen Organisationen vor digitalen Bedrohungen. Sie betreiben Managed Detection and Response (MDR), agieren als Managed Security Service Provider (MSSP) und liefern Penetrationstests, Incident Response (IR), Governance, Risk and Compliance (GRC) sowie vCISO-Beratung. Die besten von ihnen verbinden ein 24/7-Security-Operations-Center, eigene Tools und zertifizierte Spezialisten zu einer Leistung, von der Kunden nicht ohne Weiteres wechseln können.

Diese Bindungswirkung ist der Grund, warum der Sektor einige der höchsten Multiples in den IT-Dienstleistungen erzielt. Kontrahierte MDR- und MSSP-Umsätze verlängern sich jedes Jahr und tragen starke Margen, sodass Käufer dafür einen Aufschlag gegenüber einmaligen Projekthonoraren zahlen. Ein Unternehmen, das ein eigenes 24/7-SOC auf einem großen Managed-Security-Bestand betreibt, liegt am oberen Ende der Spanne, während Assessment- und Staffing-Häuser mit wenig wiederkehrendem Umsatz nahe am unteren Ende sitzen.

Über die offengelegten Übernahmen von 2015 bis 2025 wurden Cybersecurity-Firmen zu einem Median von 2,1x Umsatz und 12,8x EBITDA verkauft. Die Quartilsspanne um diese Mediane ist breit; die folgenden Abschnitte zeigen, was ein Unternehmen an ihr oberes Ende bringt.

Wie viel Cybersecurity-Firmen beim Verkauf erzielen

Enterprise-Value-Multiples für offengelegte Cybersecurity-Übernahmen zwischen 2015 und 2025. Der Median ist das typische Ergebnis, die Quartilsspanne zeigt die Streuung. Beim Median wäre eine Cybersecurity-Firma mit $5 Millionen EBITDA rund $64 Millionen wert.

Quelle: Mergermarket und die Aventis Advisors Deal-Datenbank. Nur offengelegte Enterprise-Value-Multiples, 2015 bis 2025. Die Zahlen sind richtungsweisend, wo die offengelegte Stichprobe klein ist.

So lesen Sie die Tabelle: Das erste Quartil (Q1) ist der Multiplikator auf einem Viertel der Verteilung, der Median liegt in der Mitte und das dritte Quartil (Q3) auf drei Vierteln. Die Hälfte aller Deals liegt zwischen Q1 und Q3 – je breiter diese Spanne, desto stärker streuen die Bewertungen innerhalb des Sektors und desto mehr entscheiden Wachstum, Margen und wiederkehrende Umsätze darüber, wo ein Unternehmen landet.

Was die Bewertung eines Cybersecurity-Unternehmens treibt

Innerhalb des Sektors ist der Abstand zwischen erstem und drittem Quartil groß, und diese Streuung ist nicht zufällig. Eine kurze Liste von Faktoren erklärt den größten Teil davon, warum ein Unternehmen das obere Quartil erreicht und ein anderes am unteren Ende landet.

Wiederkehrender MSSP- und MDR-Umsatz ist der stärkste Hebel. Kontrahierte Umsätze aus Managed Detection and Response und Managed Security Services werden weit höher bewertet als einmalige Projekthonorare, weil Käufer für planbare, sich verlängernde Erträge zahlen. Ein Bestand an Managed-Security-Verträgen, der sich jedes Jahr verlängert, ist ein Vielfaches der Assessment- oder Penetrationstest-Arbeit wert, die bei jedem Auftrag neu gewonnen werden muss.

Eigene Tools und geistiges Eigentum trennen ein Unternehmen von austauschbarer Standard-Delivery. Eigene Detektionsplattformen, Threat-Intelligence-Feeds, Automatisierung und Playbooks heben den Multiple, weil sie die Marge verbessern und die Abhängigkeit von einzelnen Beratern verringern, während weiterverkaufte Drittanbieter-Lizenzen und generalistisches Staffing das Gegenteil bewirken.

Zertifizierte Fachkräfte und Sicherheitsfreigaben sind ein knappes Gut, das Käufer nicht schnell einstellen können. Ein Team mit anerkannten Zertifizierungen und, wo relevant, staatlichen Sicherheitsfreigaben erzielt einen Aufschlag, weil es einem Käufer regulierte Aufträge und Aufträge der öffentlichen Hand eröffnet, die ihm sonst verschlossen blieben.

Ein regulierter, Compliance-getriebener Kundenstamm steigert den Wert. Kunden aus Finanzdienstleistungen, Gesundheitswesen, Verteidigung und kritischer Infrastruktur kaufen Sicherheit, weil Vorschriften es verlangen; ihre Ausgaben sind daher dauerhaft und weniger zyklisch. Ein auf diese Sektoren gewichteter Kundenstamm senkt das Umsatzrisiko und stützt einen höheren Multiple.

Ein 24/7-SOC und Threat-Intelligence-Kompetenz ist das, wofür strategische Käufer am häufigsten einen Aufschlag zahlen. Ein echtes Rund-um-die-Uhr-Security-Operations-Center mit ausgereifter Incident-Response- und Threat-Hunting-Kompetenz ist teuer im Aufbau und schwer zu replizieren, sodass der Zukauf häufig günstiger ist als der Eigenbau.

Aktuelle Cybersecurity-Deals

Accenture kaufte 2025 das australische CyberCX für rund A$1 Milliarde (rund $650M), die größte Cybersecurity-Übernahme des Konzerns. Orange kaufte 2019 das niederländische SecureLink für €515M (rund $576M) – damals der größte Deal für Cybersecurity-Dienstleistungen in Europa. Thales übernahm 2023 das australische Cyber-Unternehmen Tesserent für rund A$176M, und Atos kaufte 2020 den Managed-Detection-Anbieter Paladion Networks zu einer nicht offengelegten Bewertung. Accenture Federal Services übernahm 2021 zudem Novetta für rund $1,5 Mrd., wobei dieses Geschäft näher an nationaler Sicherheit und Mission Analytics liegt als an kommerzieller Cybersecurity. Die meisten privaten Transaktionen werden zu nicht offengelegten Bewertungen abgeschlossen, sodass die offengelegte Stichprobe leicht zu größeren Transaktionen und börsennotierten Käufern tendiert.

Wer kauft Cybersecurity-Firmen

Cybersecurity zieht einen der tiefsten und wettbewerbsintensivsten Käuferkreise in den IT-Dienstleistungen an, was Verkäufern zugutekommt. Globale Beratungen, Security-Sparten von Telcos und Rüstungskonzerne kaufen Kompetenz und Talent; spezialisierte MSSP-Roll-ups und regionale Konsolidierer wie Integrity360, Allurity, Swiss IT Security und Cyderes, ehemals Herjavec Group, zahlen für wiederkehrende Managed-Security-Umsätze; und Private-Equity-Plattformen stützen Konsolidierer über Bolt-on-Akquisitionen. Das vollständige Ranking finden Sie unter die Käufer von Cybersecurity-Dienstleistern, und für den breiteren Sektor in unserem Bericht zu IT-Dienstleistungs-Bewertungsmultiplikatoren.

Methodik

Die Zahlen umfassen offengelegte Übernahmen von Cybersecurity-Dienstleistern weltweit zwischen 2015 und 2025, aus Mergermarket und der Aventis Advisors Deal-Datenbank mit mehr als 125.000 Transaktionen. Jede Zahl ist ein Enterprise-Value-Multiple, auf vergleichbarer Basis berechnet, sodass sie den Wert des gesamten Unternehmens und nicht den Schlagzeilenpreis abbildet. Wir berichten Median und Quartile statt eines einzelnen Durchschnitts, den eine Handvoll Premium-Deals verzerren würde.

Weiterführende Lektüre

• Bewertungsmultiplikatoren für IT-Dienstleistungen, dem breiteren Benchmark über alle Subsektoren hinweg.
• Wer kauft Cybersecurity-Firmen, die aktivsten Käufer und Private-Equity-Investoren.
• MSP-Bewertungsmultiplikatoren und Bewertungsmultiplikatoren für Cloud Services.
• Wie Sie ein IT-Dienstleistungsunternehmen verkaufen.
• Strategische vs. finanzielle Käufer und M&A bei IT-Services.