Laut Chief Sales Officer Thomas Wendt bietet Qualys längst mehr als Schwachstellenscanning. InstaScan, Agent Val und TruConfidence sollen Risiken automatisch priorisieren und beheben – Partner und MSSPs stehen dabei im Mittelpunkt.
Qualys will nicht mehr nur als Schwachstellenscanner wahrgenommen werden. Im Interview mit SSCG auf der it-sa erklärte Chief Sales Officer Thomas Wendt, wie das Unternehmen seine Produkte zu einer Plattform ausbaut, die Cyberrisiken mit möglichst wenig manuellem Aufwand priorisiert und behebt, und warum Partner, MSSPs und der deutsche Markt in diesem Plan eine zentrale Rolle spielen.
Laut Wendt sieht Qualys seine Aufgabe heute darin, CISOs und Fachbereichen zu helfen, die tatsächlichen Risiken zu verstehen und zu erkennen, welche sie sich leisten können. Sicherheit sei zu einem Geschäftsproblem geworden: Vorstände fragten ganz selbstverständlich danach, und die Ära manueller Prozesse weiche autonomen Abläufen. KI-Agenten seien im Portfolio bereits umgesetzt, Shadow AI sei die nächste Front, für die Qualys nach eigenen Angaben eine direkte Antwort habe. Im dritten Quartal hat Qualys TotalAI um Governance-Funktionen erweitert, die KI-Agenten und MCP-Server aufspüren und gegen die OWASP Top 10 sowie den EU AI Act testen.
Vom Asset-Inventar zur automatischen Priorisierung
Ausgangspunkt ist ein vollständiges Asset-Inventar. Die große Aufgabe, so Wendt, bestehe darin, Bewertungen, Risiken und Findings sinnvoll zu behandeln und sie automatisch mit Business-Kontext zu priorisieren. Drei Entwicklungen dienen diesem Ziel.
InstaScan ist ein neues Produkt, das laut Wendt direkt zeigt, wer von einer neuen Schwachstelle betroffen ist. Qualys spricht von scanloser Erkennung innerhalb weniger Minuten nach Veröffentlichung eines Advisorys. Die PHP2Shell-Lücken (CVE-2026-109618 und CVE-2026-109619, jeweils mit CVSS 4.0 9,2 bewertet) zeigen, warum Geschwindigkeit zählt. Laut der Threat Research Unit von Qualys laufen 71 Prozent der 156 Millionen PHP-Installationen mit bekannter Version auf Versionen am Lebensende oder ohne Support, die größtenteils nie einen Herstellerpatch erhalten werden. Nur 0,37 Prozent waren binnen 24 Stunden nach der Offenlegung gepatcht. Qualys bietet seine Services 15 Tage lang kostenlos für bis zu 1.000 Assets an.
Agent Val ergänzt eine Priorisierungskette, die automatisch validiert, welche Findings tatsächlich ausnutzbar sind. TruConfidence, Teil von TruRisk Eliminate 2.0 (angekündigt am 14. Oktober), deckt die Behebung ab. Wendt beschrieb es als Risikoscore für Remediation-Maßnahmen, der Schäden im Betrieb vermeiden und autonome Abläufe ermöglichen soll; eine Ampel zeigt Kunden, wie gut das funktioniert. Nach Unternehmensangaben stützt es sich auf eine halbe Milliarde Patch-Rollouts mit einer Rollback-Quote unter 0,1 Prozent, 40 Prozent davon autonom. Laut Mitteilung reicht die Behebung nun über agentenbasierte Endpunkte hinaus auf Perimeter-Geräte, Cloud und Anwendungen, und die Systemgesundheit wird nach jeder Aktion über Partner wie Dynatrace überwacht. CEO Sumedh Thakar argumentiert, die Zurückhaltung gegenüber Automatisierung gehe weniger auf die Technik als auf die Angst vor Ausfällen zurück. Wendt stellte dieselbe Frage: Sind Patches zuverlässig, und funktionieren sie wirklich?
Channel: kostenlose Zertifizierung, MSSPs im Fokus
Auf die Frage, wie sich das Partnerprogramm auf dem Weg vom Scanner zur Risikoplattform verändert, sagte Wendt, Qualys biete seine Channel-Zertifizierung und -Schulung kostenlos an und zwar für 100 Prozent der Partner. Partner könnten darauf Umsatzquellen aufbauen, etwa in der Zusammenarbeit mit globalen Systemintegratoren wie Orange und Telekom im SKU-Modell. In Deutschland hat Qualys derzeit keinen Distributor und prüft diese Option. In anderen EU-Ländern gibt es bereits einen, die Türkei wird ausgebaut. Wendt sieht weiterhin weiße Flecken für zusätzliche Partnerschaften.
Managed Security Service Provider sind ein Weg zu mittelständischen Unternehmen, denen Sicherheitspersonal fehlt. In den USA seien MSSPs weniger strategisch im Fokus, sagte Wendt, in Europa gebe es mehr davon. Qualys bietet ihnen eine spezialisierte Lösung mit eigener Preisliste und bezeichnet sich als anpassungsfähig. AWS ist ebenfalls Partner und vertreibt Qualys über seinen Channel. Ein weiterer Baustein ist das mROC-Konzept, das zertifizierte Managed Risk Operations Center, das Wendt als Kernkomponente für das Management und die Korrelation von Geschäftsrisiken bezeichnete. Die mROC-Zertifizierung umfasst Risikoquantifizierung, im Gegensatz zu einem reaktiven SOC.
Zahlen und Ausblick
Die Geschäftszahlen stützen die Strategie. Für das dritte Quartal meldete Qualys einen Umsatz von 188,0 Millionen US-Dollar, ein Plus von 11 Prozent gegenüber dem Vorjahr, und hob die Umsatzprognose für 2026 auf 736,9 bis 738,9 Millionen US-Dollar an. Thakar führt dies auf die wachsende Nutzung des KI-nativen Risk Operations Center und eine Partner-first-Strategie zurück.
Für 2027 erwartet Wendt, dass KI dominieren wird: Bedrohungen würden schneller und komplexer, Unternehmen müssten Schritt halten. Sicherheit bleibe notwendig. Qualys sieht er gut aufgestellt, weil das Unternehmen Technologie von innen heraus entwickle statt Plug-ins aufzusetzen. Automobil, Finanzwesen und Banken zählen zu den wichtigen Branchen, geografisch will Qualys weiter expandieren.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de