CNAPP-Vergleich 2026: Wiz vs. Cortex Cloud vs. FortiCNAPP

Drei Namen, drei Übernahmen, ein Markt: Wer Ende 2025 noch nach “Wiz vs. Prisma Cloud vs. Lacework” gesucht hat, landet im September 2026 bei einem völlig anderen Vergleich. Google hat Wiz für 32 Milliarden Dollar gekauft, Palo Alto Networks hat Prisma Cloud zu Cortex Cloud umgebaut, und Lacework heißt seit der Fortinet-Übernahme offiziell FortiCNAPP. Für IT-Teams in Deutschland, Österreich und der Schweiz, die gerade eine Cloud-Security-Posture-Management-Plattform (CSPM) oder ein vollständiges Cloud-Native Application Protection Platform (CNAPP) einführen wollen, bedeutet das: Die Namen auf der Shortlist haben sich geändert, aber die Kaufentscheidung ist dringlicher denn je. Laut einer 2026 veröffentlichten Analyse auf Basis von Breach-Daten ist Cloud-Fehlkonfiguration inzwischen für 14 Prozent aller globalen Datenschutzverletzungen im ersten Quartal 2026 verantwortlich, ein Anstieg von 9 Prozent im Jahr 2024 (Cloudswitched, Juli 2026). Dieser Vergleich zeigt, was Wiz, Cortex Cloud und FortiCNAPP im September 2026 tatsächlich kosten, wie sie technisch funktionieren und für welches Unternehmen welche Plattform sinnvoll ist. Gartner geht davon aus, dass bis 2026 rund 99 Prozent aller Cloud-Sicherheitsvorfälle auf Fehler der Kundenseite zurückgehen, nicht auf Schwachstellen bei den Cloud-Anbietern selbst. Das verschiebt die Verantwortung direkt zu den Teams, die IAM-Rollen, Storage-Buckets und Netzwerkregeln konfigurieren, und macht die Wahl des richtigen CNAPP-Werkzeugs zu einer der wenigen Entscheidungen, die sich direkt in der Schadenshöhe eines möglichen Vorfalls niederschlägt.

Warum dieser CNAPP-Vergleich 2026 anders aussieht als noch 2024

Der CNAPP-Markt hat innerhalb von 20 Monaten eine komplette Neuordnung durchlebt. Fortinet schloss die Übernahme von Lacework am 1. August 2024 ab (Fortinet-Pressemitteilung). Palo Alto Networks kündigte im Februar 2025 an, Prisma Cloud mit der Cortex-CDR-Engine zu einer neuen Plattform namens Cortex Cloud zu verschmelzen (Palo Alto Networks). Und am 11. März 2026 schloss Google die bislang größte Übernahme seiner Firmengeschichte ab: Wiz wechselte für 32 Milliarden Dollar in bar den Besitzer und wurde in Googles Cloud-Sparte eingegliedert (Google Cloud Blog).

Für Einkäufer in der DACH-Region ist das mehr als eine Randnotiz. Wer heute eine CNAPP-Plattform bindet, kauft nicht nur eine Software, sondern setzt auch auf die Roadmap eines Mutterkonzerns. Wiz läuft laut Google weiterhin unter eigener Marke und bleibt multi-cloud-fähig, auch für AWS- und Azure-Kunden (CRN). Cortex Cloud ist inzwischen tief in Palo Altos Cortex-XSIAM-Sicherheitsplattform eingebettet. FortiCNAPP wiederum ist Teil der Fortinet Security Fabric und bringt laut eigenen Angaben 225 übertragene Cloud-Security- und KI-Patente mit in die neue Struktur. Alle drei Wege haben unterschiedliche Konsequenzen für Preis, Roadmap-Tempo und Integrationstiefe, die in den folgenden Abschnitten im Detail verglichen werden. Wichtig für die Einordnung: Keine der drei Übernahmen war eine reine Notlösung für ein angeschlagenes Unternehmen. Wiz, Prisma Cloud und Lacework galten allesamt als etablierte, wachsende Marktteilnehmer, bevor sie ihre Eigentümer wechselten, was den heutigen Vergleich von klassischen Distressed-Akquisitionen unterscheidet, bei denen ein Käufer vor allem Technologie und Kundenstamm eines strauchelnden Anbieters übernimmt.

Wiz: Vom Herausforderer zur Google-Cloud-Sparte

Wiz hat sich seit der Gründung 2020 einen Namen mit agentenlosen Cloud-Sicherheitsscans gemacht: Die Plattform verbindet sich über APIs mit einem Cloud-Konto, liest Konfigurationen und Metadaten aus und baut daraus den sogenannten Security Graph, ohne dass ein Agent auf jedem einzelnen Workload installiert werden muss. Google kündigte die Übernahmeabsicht bereits im März 2025 an, die EU-Kartellbehörde gab im Februar 2026 grünes Licht, und der Deal schloss offiziell am 11. März 2026 (TechCrunch). Wiz-Mitgründer Assaf Rappaport bestätigte im Juli 2026, dass das Produkt unter eigenem Namen weitergeführt wird und Kunden auf AWS, Azure und Oracle Cloud Infrastructure weiterhin vollständig unterstützt werden.

Operativ hat sich seit der Übernahme einiges getan. Auf der Google Cloud Next ’26 im April 2026 stellte Wiz mehrere neue Funktionen vor: Unterstützung für Databricks-Umgebungen, eine AI-Application Protection Platform (AI-APP) zum Schutz von KI-Agenten und -Modellen sowie eine AI-Bill-of-Materials-Funktion, die Schatten-KI-Nutzung in Cloud-Umgebungen sichtbar macht (CRN-Berichterstattung). Laufzeitschutz liefert seit einiger Zeit Wiz Defend, ein leichtgewichtiger eBPF-Sensor, der über den agentenlosen Kern gelegt wird. Wiz Code erweitert die Abdeckung zurück in Quellcode-Repositories und CI/CD-Pipelines. Für Unternehmen, die 2026 bereits stark in Google-Cloud-Workloads investiert haben, ist die enge Anbindung an Google-Dienste ein praktischer Vorteil, auch wenn Wiz formal weiterhin AWS und Azure genauso vollständig abdeckt. Ein weiterer Effekt der Übernahme zeigt sich im Vertrieb: Google-Cloud-Kunden, die bislang ein separates CNAPP-Tool eines Drittanbieters betrieben haben, bekommen Wiz zunehmend als gebündeltes Angebot präsentiert, was den Verkaufsprozess verkürzt, aber auch die Vergleichbarkeit mit rein unabhängigen Anbietern erschwert. Für Sicherheitsteams in der DACH-Region, die aus Datenschutzgründen ohnehin genau prüfen, wo Telemetriedaten verarbeitet werden, lohnt sich ein Blick auf die aktuellen Standortangaben von Wiz, da sich diese durch die Google-Integration graduell verändern können.

Cortex Cloud: Wie aus Prisma Cloud eine neue Plattform wurde

Palo Alto Networks hat Prisma Cloud nicht einfach umbenannt, sondern grundlegend neu zusammengesetzt. Die Ankündigung vom 13. Februar 2025 beschreibt Cortex Cloud als Verschmelzung der nächsten Prisma-Cloud-Generation mit der Cloud-Detection-and-Response-Engine (CDR) von Cortex, alles auf der gemeinsamen Cortex-Plattform (ChannelBuzz). Bestehende Prisma-Cloud-Kunden wurden automatisch auf Cortex Cloud migriert, neue Verträge werden inzwischen ausschließlich für Cortex Cloud abgeschlossen. Eine Analyse der Marktforscher von Dell’Oro beschreibt den Schritt als mehr als ein Rebranding: Palo Alto habe über ein Jahr investiert, um die Technologien tief in die Cortex-XSIAM-Sicherheitsoperationsplattform zu integrieren (Dell’Oro).

Für DACH-Unternehmen, die bereits Palo-Alto-Firewalls, SD-WAN oder Cortex XSIAM im Einsatz haben, ist das der stärkste Verkaufspunkt: Cloud-Sicherheitsdaten aus Cortex Cloud landen im selben Sicherheitsoperationszentrum wie Netzwerk- und Endpunktdaten. Technisch kombiniert Cortex Cloud agentenlose Posture-Scans mit agentenbasiertem Laufzeitschutz über sogenannte Defender-Agenten. Das Modul deckt AWS, Microsoft Azure, Google Cloud Platform, Oracle Cloud Infrastructure und Alibaba Cloud ab, plus hybride und private Cloud-Umgebungen. Ein unabhängiger Vergleich von Aikido Security aus dem Jahr 2026 bewertet genau diese Breite als einen der klarsten Vorteile gegenüber Wettbewerbern, die weniger Cloud-Anbieter offiziell dokumentieren.

Palo Alto hat Cortex Cloud im Laufe von 2026 zudem um Agentix erweitert, eine Reihe agentischer KI-Funktionen, die Sicherheitsanalysten bei der Untersuchung von Alarmen unterstützen sollen, sowie um eine zweite Generation von Prisma AIRS zum Schutz von KI-Modellen und -Agenten in Cloud-Umgebungen. Für Bestandskunden bedeutet das automatische Upgrade auf Cortex Cloud in der Praxis vor allem eines: Der Funktionsumfang wächst kontinuierlich, ohne dass ein separater Kaufprozess für jede neue Erweiterung nötig ist, was Beschaffungsabteilungen in der DACH-Region tendenziell entlastet, aber auch bedeutet, dass sich das Preismodell über die Vertragslaufzeit verschieben kann.

FortiCNAPP: Laceworks zweites Leben bei Fortinet

Lacework galt vor der Übernahme als Spezialist für verhaltensbasierte Anomalieerkennung in Cloud-Umgebungen, ein Ansatz, der auf maschinellem Lernen statt auf starren Regelwerken basiert. Fortinet schloss die Übernahme am 1. August 2024 ab und integrierte die Technologie schrittweise in die Fortinet Security Fabric. Seit 2025 läuft das Produkt unter dem Namen FortiCNAPP, die alte lacework.com-Domain leitet inzwischen direkt auf Fortinet-Seiten um. Im Zuge der Integration wurden 225 Cloud-Security- und KI-Patente an Fortinet übertragen, ein Hinweis auf die technologische Substanz hinter der Marke. Anders als bei Wiz und Cortex Cloud, wo die jeweilige Kernmarke sichtbar erhalten blieb, hat Fortinet bewusst auf eine vollständige Eingliederung in die eigene Produktfamilie gesetzt, erkennbar am “Forti”-Präfix, das die gesamte Fortinet-Produktpalette von FortiGate bis FortiSOAR verbindet.

FortiCNAPP deckt CSPM, CWPP, CIEM, Cloud Detection and Response sowie Code-Sicherheit und DSPM über AWS, Azure, GCP, OCI und Kubernetes ab. Die Plattform wurde in der KuppingerCole 2025 CNAPP Leadership Compass gleich in drei Kategorien als Leader eingestuft: Overall, Market und Innovation. Zusätzlich gewann FortiCNAPP die SC Awards 2025 in der Kategorie Best Cloud Workload Protection Solution. Für Unternehmen, die bereits FortiGate-Firewalls oder FortiSOAR im Einsatz haben, bringt die Anbindung an die Security Fabric einen echten operativen Vorteil, weil Cloud- und Netzwerktelemetrie im selben Ökosystem zusammenlaufen. Der größte Nachteil: FortiCNAPP ist nicht mehr als eigenständiges Produkt erhältlich, sondern nur noch im Rahmen von Fortinet-Verträgen.

Ein zentrales Verkaufsargument von FortiCNAPP ist die sogenannte Composite-Alert-Funktion, die mehrere schwache Einzelsignale zu einem einzigen, hochpriorisierten Alarm zusammenfasst, statt Analysten mit einer Flut von Einzelwarnungen zu überfluten. Dieser Ansatz stammt unmittelbar aus der Lacework-Technologie und wird von unabhängigen Bewertungen regelmäßig als Stärke gegenüber rein regelbasierten Systemen hervorgehoben, weil er die Zahl der False Positives spürbar senkt. Für Sicherheitsteams, die ohnehin mit chronisch knapper Personaldecke arbeiten, ein häufiges Bild in mittelständischen DACH-Unternehmen, kann das den entscheidenden Unterschied machen, ob Alarme tatsächlich bearbeitet oder aus Zeitmangel ignoriert werden.

Technische Daten im Vergleich: Die Spezifikationstabelle

Die folgende Tabelle stellt die zentralen technischen und geschäftlichen Merkmale aller drei Plattformen mit Stand September 2026 gegenüber.

Kategorie	Wiz (Google Cloud)	Cortex Cloud (Palo Alto Networks)	FortiCNAPP (Fortinet)
Muttergesellschaft	Google (seit 11.3.2026)	Palo Alto Networks (NYSE: PANW)	Fortinet (seit 1.8.2024)
Frühere Marke	Wiz (unverändert)	Prisma Cloud	Lacework
Kernarchitektur	Agentenlos-first mit optionalem eBPF-Sensor (Wiz Defend)	Hybrid: agentenlose Posture + agentenbasierte Laufzeit (Defender)	Analytics-first, verhaltensbasierte Anomalieerkennung
Cloud-Abdeckung	AWS, Azure, GCP, OCI, Alibaba Cloud, Kubernetes, Databricks	AWS, Azure, GCP, OCI, Alibaba Cloud, Hybrid/Private Cloud	AWS, Azure, GCP, OCI, Kubernetes
IaC- und Code-Sicherheit	Wiz Code (separates Modul)	Integriertes AppSec-Modul	IaC-Policy-Checks im Basispaket
CIEM (Identitätsanalyse)	Security Graph mit “Toxic Combination”-Erkennung	IAM Security / CIEM als Kernfunktion	Identitäts-Anomalieanalyse über Verhaltensmuster
DSPM (Datensicherheit)	Integriert in Security Graph	Teil des Cortex-Cloud-Bundles	Teil des CNAPP-Kernpakets
Kubernetes-/Container-Sicherheit	KSPM im Advanced-Tarif, Runtime via Wiz Sensor	CWPP mit Admission Control und Laufzeitschutz	Container-Laufzeitschutz mit Anomalieerkennung
KI-Sicherheit	AI-BOM, AI-APP, AI-Red-Teaming (Wiz Skills)	Prisma AIRS 2.0 für KI-Modell- und Agentenschutz	Begrenzt, primär über Security-Fabric-Integration
Cloud-Erkennung/-Reaktion	Wiz Defend (separates Modul)	Cortex CDR (fest integrierter Kernbestandteil)	Über Fortinet Security Fabric / SIEM-Anbindung
Analystenanerkennung 2025/2026	Breite Marktakzeptanz, IDC MarketScape gelistet	IDC MarketScape gelistet, starke Ökosystem-Integration	Leader in 3 Kategorien, KuppingerCole 2025 Leadership Compass
Typischer Einstiegspreis pro Jahr	ca. 24.000 $ (100 Workloads, CSPM-fokussiert)	ca. 45.000 $ (volles CNAPP-Bundle, kleine Umgebung)	ca. 36.000 $ (Mid-Market-Einstieg)

Preise und Lizenzmodelle im Vergleich

Alle drei Anbieter verkaufen ausschließlich über individuelle Angebote, keine der Plattformen hat eine öffentliche Preisliste mit Selfservice-Kauf. Die folgenden Zahlen stammen aus Marketplace-Referenzen, Käuferberichten und Branchenanalysen zu 2025/2026 und sind als Orientierungswerte zu verstehen, nicht als verbindliche Listenpreise.

Preismerkmal	Wiz	Cortex Cloud	FortiCNAPP
Abrechnungsmodell	Workload-basiert, 100er-Pakete	Credit-basiert, ca. 1,20 $ pro Credit	Volumen-basiert nach Cloud-Assets
Einstiegstarif (CSPM)	Wiz Essential: ca. 24.000 $/Jahr pro 100 Workloads	ab ca. 45.000 $/Jahr für kleinere Umgebungen	ab ca. 36.000 $/Jahr im Mid-Market
Erweitertes CNAPP-Paket	Wiz Advanced: ca. 38.000 $/Jahr pro 100 Workloads	skaliert mit Modulmix, oft sechsstellig	bis ca. 60.000 $/Jahr für mittlere Umgebungen
Laufzeit-Add-on	Wiz Sensor: ca. 28.000 $/Jahr pro 100 Sensoren	Cortex CDR fest im Bundle enthalten	über Security-Fabric-Lizenz abgedeckt
Code-Sicherheit Add-on	Wiz Code: ca. 58.500 $/Jahr pro 100 Lizenzen	im AppSec-Modul enthalten	IaC-Checks im Basispaket enthalten
Kleine Umgebung (<1.000 Workloads)	ca. 50.000-100.000 $/Jahr	ab ca. 45.000 $/Jahr	ab ca. 36.000 $/Jahr
Mittlere Umgebung (1.000-5.000 Workloads)	ca. 100.000-200.000 $/Jahr, Median ca. 111.000-149.000 $	meist sechsstellig, abhängig vom Modulmix	ca. 40.000-60.000 $/Jahr, oft günstigster TCO
Große Multi-Cloud-Umgebung	200.000-400.000 $/Jahr, bei Konzernen über 1 Mio. $	sechs- bis siebenstellig, abhängig von XSIAM-Bundle	skaliert mit Volumen, meist unter Wiz/Cortex

Für den DACH-Mittelstand ist der Preisunterschied zwischen den Plattformen oft größer als die reinen Funktionsunterschiede. Wer bereits eine sechsstellige Fortinet-Fabric-Lizenz laufen hat, bekommt FortiCNAPP häufig als vergleichsweise günstige Erweiterung. Wer dagegen bei null anfängt und Wert auf möglichst breite, unabhängige Cloud-Abdeckung legt, zahlt bei Wiz und Cortex Cloud spürbar mehr, bekommt dafür aber auch die derzeit am aktivsten weiterentwickelten Plattformen.

Benchmarks und unabhängige Testdaten

Eine offizielle Gartner Magic Quadrant für CNAPP existiert für 2026 nicht in öffentlich zugänglicher Form, weshalb sich dieser Vergleich auf drei andere, verifizierbare Analystenquellen stützt.

KuppingerCole CNAPP Leadership Compass 2025: FortiCNAPP wurde in drei Kategorien als Leader eingestuft, Overall, Market und Innovation, und zusätzlich mit dem SC Awards 2025 in der Kategorie Best Cloud Workload Protection Solution ausgezeichnet.
IDC MarketScape Worldwide CNAPP 2025 Vendor Assessment: Sowohl Wiz als auch Cortex Cloud werden in diesem Assessment als etablierte Anbieter geführt, wobei IDC in der öffentlich zugänglichen Zusammenfassung keine konkreten Marktanteilszahlen nennt.
Aikido Security Analyse 2026: Bewertet Cortex Cloud als Plattform mit der öffentlich am breitesten dokumentierten Multi-Cloud-Reichweite (fünf Cloud-Anbieter), während Wiz im Laufe von 2026 mit der Aufnahme von Oracle Cloud Infrastructure und Alibaba Cloud gleichgezogen hat.

Was in keiner der drei Quellen eindeutig belegt ist: ein direkter Erkennungsraten-Vergleich unter Laborbedingungen, wie es ihn etwa für Endpoint-Detection-Produkte über MITRE-ATT&CK-Tests gibt. CNAPP-Benchmarks bleiben 2026 größtenteils qualitativ, gestützt auf Kundenreferenzen, Analystenbewertungen und Funktionsumfang, nicht auf standardisierte Erkennungsraten. Käufer sollten das bei Kaufentscheidungen berücksichtigen und eigene Proof-of-Concept-Tests in der eigenen Cloud-Umgebung durchführen, bevor sie sich für eine Plattform entscheiden.

Compliance und regulatorische Anforderungen in der DACH-Region

Für Unternehmen in Deutschland, Österreich und der Schweiz ist die reine Erkennungsleistung einer CNAPP-Plattform nur die halbe Entscheidung. Seit Inkrafttreten von NIS2 auf nationaler Ebene müssen deutlich mehr Betriebe als zuvor Sicherheitsvorfälle melden und Mindeststandards für ihre IT-Sicherheit nachweisen, Cloud-Konfigurationsfehler eingeschlossen. Für den Finanzsektor kommt zusätzlich die europäische DORA-Verordnung hinzu, die von regulierten Instituten verlangt, Risiken bei Cloud-Dienstleistern aktiv zu überwachen und dokumentieren zu können. Alle drei hier verglichenen Plattformen bieten vorgefertigte Compliance-Frameworks für gängige Standards wie ISO 27001, PCI DSS und BSI-Grundschutz-nahe Kontrollen, unterscheiden sich aber deutlich darin, wie einfach sich daraus ein prüfungsfähiger Bericht erzeugen lässt.

Warum das für Audits relevant ist

Cortex Cloud hat hier einen strukturellen Vorteil, weil Compliance-Nachweise direkt aus demselben Cortex-XSIAM-Dashboard stammen, das auch für Netzwerk- und Endpunktvorfälle genutzt wird, was Prüfern einen durchgängigen Audit-Trail liefert statt mehrerer getrennter Exportformate. Wiz punktet dagegen mit einer größeren Zahl vorgefertigter Compliance-Templates, die sich in der Praxis schneller auf spezifische Branchenanforderungen zuschneiden lassen. FortiCNAPP profitiert von der Einbettung in die Fortinet Security Fabric, in der Compliance-Reporting über mehrere Sicherheitsprodukte hinweg konsolidiert wird, was besonders für Betriebe mit bereits etablierter Fortinet-Infrastruktur Aufwand spart. Unabhängig von der gewählten Plattform gilt: Die Verantwortung für die inhaltliche Richtigkeit eines Compliance-Berichts bleibt beim Unternehmen selbst, die Tools liefern lediglich die Datenbasis, nicht die rechtliche Bewertung. Gerade unter NIS2 mit seinen verkürzten Meldefristen für erhebliche Sicherheitsvorfälle wird eine schnelle, automatisierte Erstauswertung immer wichtiger, weil Unternehmen im Ernstfall nur wenige Stunden Zeit haben, um eine erste Einschätzung an die zuständige Behörde zu übermitteln.

Personal- und Betriebsaufwand je Plattform

Ein oft unterschätzter Kostenfaktor ist nicht die Softwarelizenz selbst, sondern das Personal, das eine CNAPP-Plattform im Alltag betreibt. Wiz gilt bei IT-Teams als vergleichsweise selbsterklärend, weil der agentenlose Ansatz wenig Infrastrukturwissen voraussetzt und die Benutzeroberfläche stark auf Selbstbedienung ausgelegt ist. Kleinere Teams mit ein bis zwei dedizierten Cloud-Security-Mitarbeitern kommen damit in der Praxis meist gut zurecht, sofern sie sich auf die wichtigsten Alarmklassen konzentrieren, statt jede einzelne Warnung manuell zu bearbeiten.

Cortex Cloud verlangt dagegen mehr Einarbeitungszeit, weil die Plattform eng mit Cortex XSIAM verzahnt ist und Sicherheitsteams idealerweise sowohl Cloud- als auch SOC-Workflows verstehen müssen. Das zahlt sich vor allem in größeren Organisationen aus, in denen ohnehin ein zentrales Security Operations Center existiert und Cloud-Alarme dort mitverarbeitet werden sollen. FortiCNAPP wiederum profitiert von Teams, die bereits mit FortiGate oder FortiSOAR vertraut sind, weil sich viele Konzepte aus der Netzwerksicherheit direkt übertragen lassen, während Teams ohne Fortinet-Erfahrung zunächst eine steilere Lernkurve bei der verhaltensbasierten Anomalieerkennung durchlaufen. In allen drei Fällen gilt: Wer plant, mehr als wenige hundert Cloud-Ressourcen zu überwachen, sollte von Anfang an mindestens eine Vollzeitstelle für Alarm-Triage und Policy-Pflege einplanen, unabhängig von der gewählten Plattform.

Agentenlos vs. agentenbasiert: Architektur-Unterschiede

Wie agentenlose Scans funktionieren

Agentenlose Scans lesen Konfigurationsdaten über die APIs des Cloud-Anbieters aus, etwa welche Sicherheitsgruppen offen sind, welche IAM-Rollen zu weitreichende Berechtigungen haben oder welche Storage-Buckets öffentlich erreichbar sind. Der Vorteil: Rollout innerhalb weniger Stunden, keine Softwareverteilung auf tausende Workloads, minimaler Performance-Einfluss auf produktive Systeme. Wiz hat diesen Ansatz seit der Gründung als Kernversprechen positioniert, Cortex Cloud nutzt ihn für die Posture-Ebene, FortiCNAPP kombiniert ihn mit seinem ursprünglichen Anomalieerkennungs-Ansatz aus der Lacework-Zeit.

Wo Agenten trotzdem nötig sind

Reine Konfigurationsanalyse erkennt keine Angriffe, die bereits innerhalb eines laufenden Workloads passieren, etwa Prozessinjektion oder ausgehende Verbindungen zu bekannten Command-and-Control-Servern. Dafür braucht es Laufzeittelemetrie, die alle drei Anbieter über eigene, leichtgewichtige Agenten liefern: Wiz über den eBPF-basierten Wiz-Sensor, Cortex Cloud über seine Defender-Agenten mit fest integriertem Cortex CDR, FortiCNAPP über seine Verhaltensanalyse-Engine mit Anbindung an die Security Fabric. In der Praxis fahren die meisten Unternehmen 2026 einen hybriden Ansatz: agentenlose Breite für die gesamte Cloud-Umgebung, gezielte Agenten für besonders kritische Produktionsworkloads. Der Kostenaspekt spielt dabei eine größere Rolle, als es auf den ersten Blick scheint, denn Laufzeit-Agenten werden bei allen drei Anbietern separat abgerechnet oder zumindest separat lizenziert. Wer versucht, Agenten flächendeckend auf jedem einzelnen Workload zu betreiben, statt sie gezielt auf kritische Systeme zu beschränken, treibt die Jahreskosten schnell deutlich über die in diesem Vergleich genannten Richtwerte hinaus.

Warum Cloud-Fehlkonfigurationen 2026 so teuer sind

Der wirtschaftliche Druck hinter diesem Markt ist real und wächst. Googles eigener Cloud Threat Horizons Report verzeichnete Fehlkonfigurationen in der ersten Jahreshälfte 2025 als Ursache für 29,4 Prozent aller untersuchten Cloud-Sicherheitsvorfälle, ein Wert, der in der zweiten Jahreshälfte auf 21 Prozent zurückging, aber weiterhin die größte Einzelursache blieb (Google Cloud Threat Horizons Report). Der bereits erwähnte DBIR-basierte Report für 2026 beziffert den Anteil von Cloud-Fehlkonfiguration an allen globalen Breaches im ersten Quartal 2026 auf 14 Prozent, gegenüber 9 Prozent im Jahr 2024. Branchenauswertungen zu Cloud-Sicherheitsvorfällen zeigen zudem, dass rund 82 Prozent aller Fehlkonfigurationen auf menschliches Versagen zurückgehen, nicht auf technische Grenzen der eingesetzten Werkzeuge, und dass eine durchschnittliche Enterprise-Organisation zu jedem Zeitpunkt mehr als 3.000 fehlkonfigurierte Cloud-Ressourcen im Bestand hat. Die durchschnittlichen Kosten eines Vorfalls mit Fehlkonfiguration als Ursache liegen je nach Quelle zwischen 3,86 und 4,88 Millionen Dollar, während die Zeit bis zur Entdeckung eines solchen Vorfalls oft über 180 Tage beträgt und die Eindämmung im Schnitt weitere 65 Tage in Anspruch nimmt. Diese Zahlen erklären, warum CNAPP-Budgets in den vergangenen zwei Jahren trotz allgemeinem IT-Sparkurs kaum angetastet wurden: Ein einziger verhinderter Vorfall amortisiert häufig schon die Jahreslizenz der gesamten Plattform.

Ein konkretes Beispiel dafür, wie schnell eine Fehlkonfiguration in der Lieferkette eskalieren kann, liefert der TeamPCP-Vorfall aus dem März 2026. Angreifer kompromittierten dabei einen GitHub-Actions-Workflow des Sicherheitsanbieters Aqua Security, der Trivy entwickelt, ein verbreitetes Open-Source-Tool für Container-Sicherheitsscans. Über die Schwachstelle CVE-2026-33634 mit einem CVSS-Wert von 9,4 (kritisch) extrahierten die Angreifer ein privilegiertes Service-Account-Token und deponierten anschließend Wiper-Payloads in Kubernetes-Umgebungen, teils mit iranischem Ziel-Fokus (Cloud Security Alliance Research Note). Der Fall zeigt, warum CNAPP-Anbieter inzwischen so stark in Code-zu-Cloud-Sicherheit investieren, also genau die Verbindung zwischen CI/CD-Pipeline und Produktionsumgebung, die Wiz Code, das Cortex-Cloud-AppSec-Modul und FortiCNAPPs IaC-Checks adressieren sollen.

Fünf reale Beispiele aus der Praxis

Google Cloud Next ’26 (April 2026): Wiz demonstrierte auf der eigenen Google-Konferenz erstmals die neue Databricks-Integration sowie AI-APP und AI-BOM live vor Kunden, ein direktes Ergebnis der engeren Zusammenarbeit nach der Übernahme.
TeamPCP-Supply-Chain-Angriff (März 2026): Ein kompromittiertes GitHub-Actions-Token bei Aqua Security zeigte, wie eine einzelne CI/CD-Fehlkonfiguration (CVSS 9,4) sich bis in Kubernetes-Cluster durchschlagen kann.
FortiCNAPP-Auszeichnungen 2025: Die Einstufung als Leader in drei KuppingerCole-Kategorien plus SC-Awards-Gewinn zeigt, wie stark verhaltensbasierte Anomalieerkennung bei Fortinet-Bestandskunden inzwischen bewertet wird.
Cortex-Cloud-Migration bei Palo-Alto-Bestandskunden: Die automatische Migration bestehender Prisma-Cloud-Verträge auf Cortex Cloud betraf tausende Unternehmen weltweit und zeigt, wie schnell ein CNAPP-Rebranding operative Auswirkungen auf Kunden hat, ohne dass diese aktiv etwas kaufen mussten.
Google-Threat-Horizons-Auswertung H1/H2 2025: Der Rückgang von Fehlkonfigurations-Vorfällen von 29,4 auf 21 Prozent innerhalb eines Jahres zeigt, dass CNAPP-Tools messbar wirken, wenn sie konsequent eingesetzt werden, auch wenn Fehlkonfiguration weiterhin die häufigste Einzelursache für Cloud-Vorfälle bleibt.

Diese fünf Beispiele haben eines gemeinsam: Sie zeigen, dass die reine Existenz einer CNAPP-Plattform keinen Automatismus für Sicherheit darstellt. Der TeamPCP-Vorfall betraf ausgerechnet Aqua Security, ein Unternehmen, das selbst Sicherheitswerkzeuge für Cloud-Umgebungen entwickelt, was verdeutlicht, dass auch erfahrene Sicherheitsteams von einer einzelnen Fehlkonfiguration in einer CI/CD-Pipeline getroffen werden können. Gleichzeitig zeigt der Rückgang der Google-Threat-Horizons-Zahlen, dass konsequenter CNAPP-Einsatz über einen Zeitraum von zwölf Monaten einen messbaren Unterschied macht, auch wenn er Fehlkonfigurationen nicht vollständig eliminiert.

Für wen sich welche Plattform eignet

Die Wahl zwischen Wiz, Cortex Cloud und FortiCNAPP hängt weniger von reinen Feature-Listen ab als vom bestehenden Technologie-Stack und der Unternehmensgröße. Fünf typische Szenarien:

Reine Multi-Cloud-Umgebung ohne bestehende Sicherheitsplattform: Wiz punktet mit dem schnellsten agentenlosen Rollout und der breitesten unabhängigen Marktakzeptanz, unabhängig von einem bestimmten Firewall- oder SOC-Anbieter.
Bestehende Palo-Alto-Kunden mit Cortex XSIAM: Cortex Cloud liefert den größten Mehrwert, weil Cloud-Posture-Daten direkt im selben SOC-Dashboard wie Netzwerk- und Endpunkttelemetrie erscheinen.
Bestehende Fortinet-Security-Fabric-Kunden: FortiCNAPP ist häufig die günstigste Erweiterung und bringt verhaltensbasierte Anomalieerkennung mit, die klassische Regelwerke ergänzt.
Stark regulierte Branchen mit Fokus auf Compliance-Nachweise: Sowohl Cortex Cloud als auch Wiz bieten umfangreiche Compliance-Frameworks, wobei Cortex Cloud durch die Cortex-XSIAM-Integration einen einheitlicheren Audit-Trail liefert.
KI-lastige Entwicklungsteams: Wiz mit AI-BOM und AI-APP sowie Cortex Cloud mit Prisma AIRS 2.0 liegen bei KI-spezifischer Sicherheit vorn, FortiCNAPP hat hier laut aktuellem Stand noch den geringsten Funktionsumfang.

Ein sechstes Szenario, das in der Praxis unterschätzt wird: Unternehmen mit Multi-Vendor-Sicherheitsstrategien, die bewusst keine tiefe Abhängigkeit von einem einzigen Ökosystem eingehen wollen. Für diese Gruppe bleibt Wiz trotz der Google-Übernahme die naheliegendste Option, weil die Plattform weiterhin explizit als eigenständiges, multi-cloud-natives Produkt vermarktet wird und keine Firewall- oder SOC-Bindung voraussetzt. Wer dagegen ohnehin plant, seine Sicherheitslandschaft in den kommenden Jahren auf einen einzigen Anbieter zu konsolidieren, kann mit Cortex Cloud oder FortiCNAPP schon heute gezielt auf die spätere Zielarchitektur hinarbeiten, statt später eine weitere Migration einzuplanen.

Migrationsleitfaden: Plattformwechsel in der Praxis

Ein CNAPP-Wechsel ist kein reiner Software-Tausch, sondern berührt Identitäts-Governance, CI/CD-Pipelines und oft auch SOC-Prozesse. Angesichts der drei Übernahmen der vergangenen 20 Monate stehen 2026 spürbar mehr Unternehmen vor genau dieser Entscheidung als noch vor zwei Jahren, sei es, weil ein bestehender Vertrag mit Lacework oder Prisma Cloud ausläuft, oder weil ein neuer Mutterkonzern die eigene Sicherheitsstrategie nicht mehr abbildet. Die folgenden Schritte haben sich bei Migrationen zwischen den drei hier verglichenen Plattformen in der Praxis bewährt.

Bestandsaufnahme aller aktuell überwachten Cloud-Konten, Kubernetes-Cluster und Repositories erstellen, inklusive aktiver Policies und Alarmregeln der bisherigen Plattform.
Parallelbetrieb für mindestens vier bis sechs Wochen einplanen, damit alte und neue Plattform gleichzeitig Alarme liefern und sich die Erkennungsraten vergleichen lassen.
IAM-Rollen für den agentenlosen Zugriff der neuen Plattform mit dem Prinzip der geringsten Rechte einrichten, nicht die vollen Berechtigungen der alten Integration einfach kopieren.
Bestehende Policy-as-Code-Regeln (etwa aus Wiz Code, Cortex-Cloud-AppSec oder FortiCNAPP-IaC-Checks) in das neue Regelformat übersetzen, statt sie manuell neu zu schreiben.
CI/CD-Pipelines schrittweise umstellen, beginnend mit weniger kritischen Repositories, um Breaking Changes in Build-Prozessen frühzeitig zu erkennen.
SOC- und SIEM-Anbindung neu konfigurieren, insbesondere wenn ein Wechsel von einer eigenständigen Plattform zu einer tief integrierten Lösung wie Cortex Cloud oder FortiCNAPP stattfindet.
Laufzeit-Sensoren (Wiz Sensor, Cortex-Defender-Agenten oder FortiCNAPP-Agenten) zunächst auf einer Teilmenge der Produktionsworkloads testen, bevor der volle Rollout beginnt.
Alte Plattform erst nach vollständigem Vergleichszeitraum und bestätigter Parität bei kritischen Alarmtypen abschalten, um blinde Flecken während der Umstellung zu vermeiden.

Ein häufiger Fehler bei der Migration: Teams unterschätzen den Aufwand für die Übersetzung bestehender Custom-Policies. Wer über Jahre hinweg eigene Regeln in einer alten Plattform aufgebaut hat, sollte realistisch mit mehreren Wochen zusätzlichem Aufwand für die Policy-Migration rechnen, unabhängig davon, welche der drei Zielplattformen gewählt wird.

Beispielhafte IAM-Konfiguration für agentenlosen Zugriff

Alle drei Plattformen benötigen für den agentenlosen Scan eine schreibgeschützte IAM-Rolle mit klar begrenztem Berechtigungsumfang. Das folgende Beispiel zeigt eine typische, stark vereinfachte AWS-IAM-Policy-Struktur, wie sie für agentenlose CNAPP-Scans verwendet wird.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "iam:Get*",
        "iam:List*",
        "s3:GetBucketPolicy",
        "s3:GetBucketAcl",
        "cloudtrail:LookupEvents"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "iam:CreateUser",
        "iam:AttachUserPolicy",
        "ec2:TerminateInstances"
      ],
      "Resource": "*"
    }
  ]
}

Wichtig ist der explizite Deny-Block für schreibende und zerstörerische Aktionen. CNAPP-Plattformen brauchen für die Analyse ausschließlich Lesezugriff, jede Anfrage nach weitergehenden Schreibrechten sollte kritisch hinterfragt werden, unabhängig davon, welcher der drei Anbieter dahintersteht. In der Praxis unterscheiden sich Wiz, Cortex Cloud und FortiCNAPP vor allem darin, wie granular sich diese Rollen über ihre jeweiligen Onboarding-Assistenten vorkonfigurieren lassen. Wiz und Cortex Cloud liefern beide fertige Terraform-Module für die Rollenerstellung mit, FortiCNAPP setzt stärker auf ein geführtes Setup über die Fortinet-Management-Konsole.

Vor- und Nachteile im Überblick

Nach der technischen Detailanalyse lohnt sich eine kompakte Gegenüberstellung der wichtigsten Stärken und Schwächen jeder Plattform, losgelöst von der Frage, welche Ausgangslage ein Unternehmen mitbringt.

Wiz: Vorteile und Nachteile

Vorteile: Schnellster agentenloser Rollout am Markt, breiteste unabhängige Marktakzeptanz außerhalb eines bestimmten Ökosystems, aktive KI-Sicherheitsfunktionen (AI-BOM, AI-APP), volle Unterstützung für AWS, Azure, GCP, OCI und Alibaba Cloud trotz Google-Eigentümerschaft.

Nachteile: Höchste Gesamtkosten bei großen Multi-Cloud-Umgebungen, Zusatzmodule wie Wiz Code und Wiz Defend werden separat abgerechnet und treiben den Gesamtpreis schnell nach oben, langfristige Roadmap-Unsicherheit unter neuem Google-Eigentümer noch nicht vollständig abschätzbar. Speziell für europäische Kunden kommt hinzu, dass Fragen zum Datenstandort und zur künftigen Verarbeitung durch Google-Infrastruktur im Einzelfall genauer geprüft werden sollten als bei einem unabhängigen Anbieter.

Cortex Cloud: Vorteile und Nachteile

Vorteile: Breiteste offiziell dokumentierte Cloud-Abdeckung mit fünf Anbietern, nahtlose Integration in Cortex XSIAM für Unternehmen mit bestehender Palo-Alto-Infrastruktur, Cortex CDR fest im Kernpaket statt als Zusatzkosten.

Nachteile: Credit-basiertes Preismodell ist für Einsteiger schwer im Voraus kalkulierbar, größter Nutzen entfaltet sich fast ausschließlich bei bestehenden Palo-Alto-Kunden, automatische Migration von Prisma Cloud brachte für manche Kunden ungeplanten Umstellungsaufwand, etwa wenn intern aufgebaute Dashboards oder Reporting-Skripte an die neue Cortex-Cloud-Oberfläche angepasst werden mussten.

FortiCNAPP: Vorteile und Nachteile

Vorteile: Niedrigster Total Cost of Ownership im Mid-Market-Segment, verhaltensbasierte Anomalieerkennung als technologisches Erbe von Lacework, drei Leader-Auszeichnungen in der KuppingerCole 2025 Leadership Compass, starke Integration in die Fortinet Security Fabric.

Nachteile: Nicht mehr als eigenständiges Produkt außerhalb von Fortinet-Verträgen erhältlich, geringster Funktionsumfang bei KI-spezifischer Sicherheit im Vergleich zu Wiz und Cortex Cloud, weniger öffentlich dokumentierte Cloud-Anbieter-Abdeckung als die beiden Wettbewerber.

Das Urteil: Wer gewinnt den CNAPP-Vergleich 2026

Es gibt 2026 keinen einzelnen Gewinner, sondern drei klar unterschiedliche Kaufargumente. Wiz bleibt die richtige Wahl für Unternehmen, die eine unabhängige, schnell einsetzbare Plattform ohne Bindung an einen bestimmten Netzwerk- oder Firewall-Anbieter suchen und bereit sind, für die breiteste KI-Sicherheitsfunktionalität den höchsten Preis zu zahlen. Cortex Cloud gewinnt dort, wo Cloud-Sicherheit Teil eines größeren Palo-Alto-Ökosystems werden soll, mit dem klaren Vorteil, Cloud- und SOC-Daten in einem einzigen Dashboard zu vereinen. FortiCNAPP ist die wirtschaftlichste Wahl für Fortinet-Bestandskunden, verliert aber an Attraktivität für Unternehmen, die eine komplett eigenständige, anbieterunabhängige Lösung suchen.

Die eigentliche Erkenntnis dieses Vergleichs liegt woanders: Der CNAPP-Markt konsolidiert sich 2026 spürbar unter drei Infrastruktur- und Sicherheitskonzernen, Google, Palo Alto Networks und Fortinet. Für Käufer bedeutet das, dass die Produktauswahl zunehmend zur Ökosystem-Entscheidung wird. Angesichts eines CNAPP-Marktes, der laut ResearchAndMarkets von 12,96 Milliarden Dollar im Jahr 2025 auf 15,42 Milliarden Dollar im Jahr 2026 wachsen soll, bei einer jährlichen Wachstumsrate von 18,9 Prozent, ist zu erwarten, dass sich diese drei Anbieter in den kommenden Jahren noch enger um Marktanteile bei genau der Kundengruppe streiten werden, die diesen Vergleich gerade liest.

Konkret heißt das für die Kaufentscheidung im September 2026: Wer heute unterschreibt, sollte nicht nur den aktuellen Funktionsumfang und Preis vergleichen, sondern auch fragen, wie stabil die Roadmap unter dem jeweiligen neuen Eigentümer ist. Bei Wiz lohnt sich ein Blick darauf, ob Google die Multi-Cloud-Neutralität mittelfristig tatsächlich beibehält oder schrittweise stärker auf Google-Cloud-Kunden fokussiert. Bei Cortex Cloud lohnt sich die Frage, wie eng die eigene Roadmap an die generelle Cortex-XSIAM-Strategie von Palo Alto gekoppelt ist. Und bei FortiCNAPP sollten Käufer prüfen, ob die eigene Fortinet-Bindung langfristig gewollt ist, da ein späterer Wechsel zu einem eigenständigen CNAPP-Anbieter mit zusätzlichem Migrationsaufwand verbunden wäre.

Häufig gestellte Fragen

Ist Wiz nach der Google-Übernahme noch eine eigenständige Marke?

Ja. Google hat die Übernahme am 11. März 2026 abgeschlossen, Wiz operiert aber laut Google Cloud weiterhin unter eigenem Markennamen und unterstützt Kunden auf AWS, Azure und Oracle Cloud Infrastructure genauso wie zuvor.

Was ist der Unterschied zwischen Prisma Cloud und Cortex Cloud?

Cortex Cloud ist der Nachfolger von Prisma Cloud. Palo Alto Networks kündigte die Verschmelzung im Februar 2025 an und verband dabei Prisma Clouds CNAPP-Funktionen mit der Cortex-CDR-Engine zu einer gemeinsamen Plattform. Bestehende Prisma-Cloud-Kunden wurden automatisch migriert.

Heißt Lacework jetzt offiziell FortiCNAPP?

Ja. Fortinet schloss die Übernahme von Lacework am 1. August 2024 ab und führte das Produkt seit 2025 unter dem Namen FortiCNAPP weiter. Die alte lacework.com-Domain leitet inzwischen auf Fortinet-Seiten um.

Welche Plattform ist für kleine und mittlere Unternehmen am günstigsten?

Für Umgebungen unter 1.000 Workloads liegt FortiCNAPP mit typischen Jahreskosten ab rund 36.000 Dollar meist am niedrigsten, gefolgt von Cortex Cloud ab etwa 45.000 Dollar. Wiz startet zwar bei rund 24.000 Dollar für den reinen CSPM-Einstieg, steigt aber mit Zusatzmodulen wie Wiz Code und Wiz Defend schnell in eine höhere Preisklasse.

Was ist der Unterschied zwischen CSPM und CNAPP?

CSPM (Cloud Security Posture Management) prüft ausschließlich Konfigurationen und Berechtigungen in der Cloud auf Fehler. CNAPP (Cloud-Native Application Protection Platform) ist der breitere Oberbegriff und kombiniert CSPM mit Laufzeitschutz, Container-Sicherheit, Identitätsanalyse (CIEM), Datensicherheit (DSPM) und oft auch Code-Sicherheit in einer einzigen Plattform. Wiz, Cortex Cloud und FortiCNAPP sind alle vollständige CNAPP-Plattformen, die CSPM als eine ihrer Kernfunktionen enthalten. Wer ausschließlich Konfigurationsfehler aufspüren will und keinen Laufzeitschutz oder keine Code-Sicherheit benötigt, kann bei allen drei Anbietern auch nur die reine CSPM-Ebene lizenzieren und spart dadurch spürbar bei den Jahreskosten.

Kann man agentenlose und agentenbasierte Sicherheit gleichzeitig nutzen?

Ja, und in der Praxis ist das sogar der Regelfall. Alle drei hier verglichenen Plattformen kombinieren einen agentenlosen Kern für die breite Konfigurationsanalyse mit optionalen, leichtgewichtigen Agenten für Laufzeittelemetrie auf besonders kritischen Workloads. Die meisten Unternehmen aktivieren Agenten gezielt nur dort, wo Produktionsdaten oder besonders sensible Systeme betroffen sind.

Wie lange dauert eine typische CNAPP-Einführung?

Der agentenlose Grundscan liefert bei allen drei Plattformen innerhalb weniger Stunden bis Tage erste Ergebnisse, weil keine Software auf einzelnen Workloads installiert werden muss. Die vollständige Einführung inklusive Laufzeit-Agenten, Policy-Anpassung und SOC-Integration dauert in der Praxis jedoch eher vier bis acht Wochen, abhängig von der Größe der Cloud-Umgebung und dem Umfang bestehender Custom-Policies. Unternehmen, die von einer bestehenden Plattform migrieren, sollten zusätzlich den empfohlenen Parallelbetrieb von vier bis sechs Wochen einplanen, sodass die realistische Gesamtdauer für einen vollständigen Plattformwechsel eher bei zwei bis drei Monaten liegt.

Bieten Wiz, Cortex Cloud oder FortiCNAPP eine kostenlose Testversion an?

Alle drei Anbieter arbeiten primär mit individuellen Vertriebsprozessen statt mit öffentlichem Self-Service-Zugang. Proof-of-Concept-Phasen mit begrenztem Umfang lassen sich bei allen drei Herstellern über den jeweiligen Vertrieb vereinbaren, eine öffentlich zugängliche kostenlose Vollversion existiert bei keiner der drei Plattformen. Für einen belastbaren Vergleich empfiehlt es sich, mit allen drei Anbietern parallel einen Proof of Concept in derselben Testumgebung zu vereinbaren, statt sich allein auf Vertriebspräsentationen oder Analystenberichte zu verlassen, da sich reale Erkennungsqualität und Bedienbarkeit erst im eigenen Cloud-Bestand zuverlässig beurteilen lassen.

Wiz vs. Cortex Cloud vs. FortiCNAPP: 32-Mrd.-Deal [2026]