Act Security ist am 28. Juli 2026 mit insgesamt 60 Millionen US-Dollar Finanzierung aus dem Stealth-Modus getreten und bringt eine bereits produktive Plattform mit, die deterministische Zugriffsgrenzen für Menschen, Workloads und KI-Agenten in der Cloud-Infrastruktur durchsetzt. Das Kapital kommt in zwei Tranchen: eine Seed-Runde über 20 Millionen US-Dollar unter Führung von Team8 und Bessemer Venture Partners sowie eine Series A über 40 Millionen US-Dollar unter Führung von Notable Capital. Für Sicherheitsverantwortliche in Unternehmen hat eine neue Budgetposition damit einen Namen: Agentic Access Control.
Der Wildwuchs bei Cloud-Zugriffen wächst seit einem Jahrzehnt. Unternehmen haben Entitlement Management, Privileged Access Management und Identity Governance übereinandergeschichtet, und der Berechtigungsgraph ist trotzdem weiter gewachsen. Nach Angaben des Unternehmens liegen rund 97 Prozent der Cloud-Zugriffsberechtigungen brach und ungenutzt, verfügbar für Missbrauch, sobald Zugangsdaten durchsickern. KI-Agenten haben dieses latente Risiko in ein aktives verwandelt: Sie erben dauerhafte menschliche Berechtigungen und üben sie rund um die Uhr aus, in Maschinengeschwindigkeit und Maschinenskala. Das Gründerteam hat bereits einmal aus einer unverwalteten Asset-Klasse eine Sicherheitskategorie geformt: CEO Jonathan Langer und CTO Itay Kirshenbaum bauten Medigate auf, den Spezialisten für die Sicherheit medizinischer Geräte, der für 400 Millionen US-Dollar von Claroty übernommen wurde. Bessemer hatte auch jenes Unternehmen finanziert, was die Bereitschaft des Fonds erklärt, einen Seed-Scheck zu unterschreiben, als Act noch ein Foliensatz war.
Das Timing spiegelt die Unternehmensrealität. Agenten-Deployments sind zwischen 2025 und 2026 von Pilotprojekten in die Produktion gewandert, und jeder produktive Agent trägt Zugangsdaten: API-Schlüssel, Cloud-Rollen, Service-Account-Tokens. Sicherheitsteams, die Jahre damit verbracht haben, dauerhafte Privilegien von Menschen abzubauen, sehen jetzt autonome Software genau diese Privilegien schneller anhäufen als jede Belegschaft zuvor. Acts Angebot trifft exakt diese Lücke, und es kommt von Gründern, die eine übersehene Asset-Klasse schon einmal monetarisiert haben.
Was sich geändert hat: institutionelles Kapital für Agentic Access Control
Die Finanzierungsstruktur signalisiert Überzeugung auf beiden Seiten des Tisches. Team8 und Bessemer führten die Seed-Runde über 20 Millionen US-Dollar an, mit Beteiligung von Hetz Ventures und Claltech, in einer Phase, in der das Produkt als Architektur auf einem Whiteboard existierte. Notable Capital führte anschließend die Series A über 40 Millionen US-Dollar an, flankiert von Startpoint Capital und SVCI, und die Plattform läuft heute in Produktionsumgebungen. Vier Fachmedien berichteten am selben Tag über den Start, ein Aufmerksamkeitsniveau, das üblicherweise weit größeren Runden vorbehalten ist, was ebenso viel über die Kategorie aussagt wie über das Unternehmen.
Das Produkt arbeitet auf der Infrastrukturebene. Es bewertet Identitäten, Netzwerke und KI-Zugriffe gleichzeitig, setzt Least-Privilege-Grenzen deterministisch durch, validiert sie kontinuierlich und blockiert Verstöße in CI/CD-Pipelines, bevor Code die Produktion erreicht. Die Compliance-Zuordnung deckt NIST 800-53, PCI DSS und HIPAA ab, was Audit-Gespräche für regulierte Käufer verkürzt. Das Unternehmen positioniert die Plattform zugleich als Antwort auf das Patch-Laufband: KI-Werkzeuge finden neue Schwachstellen inzwischen schneller, als Teams sie beheben können, also entfernt Act die Zugriffspfade, die diese Schwachstellen ausnutzbar machen. Langer bringt das Agentenproblem auf den Punkt: "Sie erben dieselben alten menschlichen Berechtigungen, laufen rund um die Uhr in Maschinengeschwindigkeit, ohne das Urteilsvermögen, das ein Mensch anlegen würde." Die Führungsriege ist vom ersten Tag an komplett: Langer als CEO, Kirshenbaum als CTO, Stephan Goldberg als Chief Product Officer und Ilai Fallach als VP of R&D.
Was das für die Vendor-Landkarte bedeutet
Act landet in umkämpftem Gebiet. Wiz und Orca besetzen die Cloud-Posture, CyberArk besetzt privilegierte Zugriffe, SailPoint und Okta besetzen Identity Governance, und Palo Alto Networks verkauft über alle drei Felder hinweg. Jeder dieser Anbieter steht jetzt vor einer präzisen Kundenfrage: Welches Produkt regelt, was ein KI-Agent zur Laufzeit tatsächlich tun darf, im Moment der Aktion? Die etablierten Anbieter werden bis zum Herbst mit Roadmap-Folien antworten; Act antwortet heute mit einer produktiven Plattform und 60 Millionen US-Dollar Reichweite. Rechnen Sie mit zwei Bewegungen innerhalb von zwölf Monaten: Übernahmeinteresse an Agent-Identity-Startups sowie schnellen Feature-Releases, die Agenten-Scoping an bestehende Entitlement- und PAM-Suiten anbauen.
Für Käufer ist der Wettbewerbsdruck willkommen. Ein gut finanzierter Neueinsteiger zwingt die etablierten Anbieter, Laufzeit-Enforcement für Agenten als Funktion statt als neue SKU zu bepreisen, und er gibt dem Einkauf eine glaubwürdige Alternative für Verlängerungsverhandlungen. Der Medigate-Präzedenzfall wiegt auch hier: Jenes Team definierte eine Kategorie, bewies sie mit Enterprise-Deployments und verkaufte an einen Plattformanbieter für 400 Millionen US-Dollar. Strategische Käufer, von Palo Alto Networks über CrowdStrike bis Cisco, werden dasselbe Drehbuch lesen, was bedeutet: Acts Unabhängigkeit hat eine Uhr über sich. Käufer sollten das in Verträgen abbilden: Portabilitätsklauseln und Datenexport-Garantien kosten heute wenig und schützen Sie, wenn die Konsolidierung kommt.
Die 90-Tage-Entscheidung
Führen Sie bis Ende Oktober ein Audit der Agentenzugriffe durch. Inventarisieren Sie jede dauerhafte Berechtigung von Service-Accounts, Workload-Identitäten und KI-Agenten in Ihrer primären Cloud-Umgebung und messen Sie den brachliegenden Anteil gegen Acts 97-Prozent-Benchmark; die meisten Teams, die diese Übung durchführen, landen in derselben Größenordnung. Wo Agenten menschliche Rollen erben, ersetzen Sie diese durch eng zugeschnittene, zeitlich begrenzte Zugangsdaten, die an benannte Aktionen gebunden sind. Setzen Sie einen Enforcement-Piloten in die CI/CD-Pipeline, damit Verstöße vor dem Deployment sichtbar werden statt nach einem Vorfall. Tragen Sie die Ergebnisse anschließend in die Q4-Verlängerungen mit Ihren Entitlement- und PAM-Anbietern: Verlangen Sie von jedem den Nachweis von Laufzeit-Enforcement für Agentenaktionen in Ihrer eigenen Umgebung, und bepreisen Sie Act gegen deren Antwort. Unternehmen, die Agentenzugriffe in diesem Quartal eingrenzen, diktieren die Bedingungen; wer wartet, verhandelt unter dem Druck einer Vorfallsreaktion.
Artikel von NOVA, Industry & Products
NOVA berichtet über AI-Produktstarts und Wettbewerbszüge für Entscheider in Unternehmen.