Zusammenfassung

  • F5 erfasste in den neun Monaten bis Juni 2026 Kosten von 26,5 Mio. $ für die Reaktion auf den Cyber Incident. Die Versicherungszahlungen von 5,3 Mio. $ wurden getrennt unter den sonstigen Erträgen ausgewiesen.
  • Der Quartalsaufwand fiel von 17,5 Mio. $ auf 6 Mio. $ und dann auf 3 Mio. $. Gleichzeitig stieg der Neunmonatsumsatz um 9,7%, der operative Cashflow erreichte 841,4 Mio. $ und F5 hob den Jahresausblick an.
  • Die Zahlen widersprechen einem allgemeinen Nachfrageeinbruch. Sie zeigen aber keine Verlängerungsraten nach Kohorten, keine vorfallbedingten Auftragsverluste und keinen Endwert für Versicherungen, Ansprüche oder Verfahren.

Eine genaue Zahl mit engem Rand

26,5 Mio. $ ist der Betrag, den F5 bis zum 30. Juni dem Vorfall zuordnen und bilanziell erfassen konnte. Er umfasst bereits angefallene Untersuchungs-, Eindämmungs- und Sanierungsarbeit.

Gerade seine Genauigkeit kann täuschen. Dienstleister stellen Rechnungen mit Datum. Ein Kunde, der einen Kauf verschiebt, einen Wartungsumfang reduziert oder beim nächsten Umbau einen anderen Anbieter wählt, schickt F5 keine Rechnung mit der Bezeichnung „Cyber Incident“.

F5 weist darauf hin, dass künftig weitere Rechts-, Beratungs- und sonstige Kosten entstehen können und jeweils bei Anfall erfasst werden. Der Betrag ist damit ein Zwischenstand, keine Obergrenze.

Die Versicherung steht an einer anderen Stelle. Im Juniquartal erhielt F5 5,3 Mio. $ und verbuchte sie in den sonstigen Erträgen, netto. Die Kosten tauchen dagegen in Umsatzkosten und Betriebsaufwand auf.

Die Subtraktion ergibt 21,2 Mio. $. F5 bezeichnet dies nicht als wirtschaftlichen Nettoverlust. Eine Police kann einzelne Ausgaben decken; eine schwächere Verlängerung oder ein später höherer Beitrag folgt einer anderen Logik.

Auch die Non-GAAP-Überleitung hält beides auseinander. Sie bereinigt 26,503 Mio. $ Kosten und 5,309 Mio. $ Erstattung separat. Das erleichtert den Vergleich des Kerngeschäfts, während GAAP den tatsächlichen Ressourceneinsatz bewahrt.

Beide Ansichten sind nötig. Ohne Bereinigung erscheint ein außergewöhnlicher Einsatz als Dauerlast. Ohne GAAP wirkt die operative Geschichte sauberer, als die tatsächlichen Geldflüsse waren.

Der Zugriff reichte in die BIG-IP-Entwicklung

Am 9. August 2025 erfuhr F5, dass ein hochentwickelter staatlicher Akteur unbefugten Zugriff auf bestimmte Systeme erlangt hatte. Die Veröffentlichung folgte am 15. Oktober, nachdem das US-Justizministerium einen zeitweisen Aufschub genehmigt hatte.

Nach Angaben des Unternehmens bestand ein langfristiger, fortdauernder Zugriff auf die BIG-IP-Produktentwicklung und eine Wissensplattform der Ingenieure. Abgezogene Dateien enthielten Teile des BIG-IP-Quellcodes und Angaben zu noch nicht veröffentlichten Schwachstellen in Bearbeitung.

Damit ist sensibles Entwicklungswissen betroffen. Eine Veränderung der Softwarelieferkette ist damit nicht belegt. F5 fand nach eigener Aussage keine Hinweise auf Änderungen an Quellcode, Build- oder Release-Abläufen.

Das Unternehmen kannte auch keine unveröffentlichte kritische oder Remote-Code-Schwachstelle und keine aktive Ausnutzung einer nicht veröffentlichten F5-Lücke. Diese Aussagen gelten für den damaligen Untersuchungsstand.

Für CRM, Finanzsysteme, Supportfallverwaltung und iHealth gab es laut F5 keinen Zugriffs- oder Abflussnachweis. Dasselbe galt für NGINX, Distributed Cloud Services und Silverline.

Die Kundenseite war nicht vollständig unberührt. Einige Dateien der Wissensplattform enthielten Konfigurations- oder Implementierungsangaben für einen kleinen Prozentsatz von Kunden. F5 kündigte Prüfung und direkte Ansprache an, nannte jedoch weder Zahl noch Umsatzanteil.

Updates erschienen für BIG-IP, F5OS, BIG-IP Next for Kubernetes, BIG-IQ und APM-Clients. F5 rotierte Zugangsdaten, stärkte Rechte, automatisierte Inventar und Patching, erweiterte Überwachung und härtete die Entwicklungsumgebung.

Diese Arbeit verteilt Aufwand. F5 bezahlt Experten und Entwickler. Kunden tragen Testlabor, Change-Fenster, Freigabe und mögliche Betriebsunterbrechung. Die Lieferantenbilanz zählt nicht jede Stunde auf Nutzerseite.

Die Notfallkurve flacht ab

Im Dezemberquartal fielen 17,5 Mio. $ an, im Märzquartal weitere 6 Mio. $ und im Juniquartal 3 Mio. $. Fast zwei Drittel des Gesamtbetrags lagen somit im ersten Abschnitt.

Der jüngste Quartalswert betrug weniger als ein Fünftel des ersten. Das passt zu einer teuren Anfangsphase aus Forensik und Eindämmung, gefolgt von längerer Überwachung.

F5 erklärte zudem, seit Beginn der Eindämmung keine neue unbefugte Aktivität beobachtet zu haben. Die Veröffentlichungen tragen keine Behauptung, der Angriff habe sich danach weiter ausgebreitet.

Die Kostenkurve sagt jedoch nichts Automatisches über Vertragskurven. Notfalldienste werden sofort abgerechnet. Ein Jahres- oder Mehrjahresvertrag offenbart die Kundenentscheidung erst an seinem Termin.

Der Jahresbericht 2025 hatte diese Verzögerung vorweggenommen. F5 erwartete stärkere Störungen des Verkaufszyklus zu Beginn des Geschäftsjahres 2026 und Normalisierung in der zweiten Hälfte. Aufschub, Kündigung und Nichtverlängerung waren Risiken, keine gemeldeten Ergebnisse.

Sinkende direkte Kosten sind deshalb Fortschritt, aber keine vollständige Abstimmung unter den Käufern. Der kommerzielle Test folgt später.

Das Geschäft spricht gegen einen breiten Bruch

In neun Monaten erzielte F5 2,499 Mrd. $ Umsatz, 9,7% mehr als im Vorjahr. Das GAAP-Betriebsergebnis stieg um 8,2% auf 606,5 Mio. $, der Nettogewinn um 6,8% auf 536 Mio. $.

Der operative Cashflow erreichte 841,4 Mio. $, ein Plus von 13,5%. Das Unternehmen finanzierte die Reaktion und erzeugte zugleich mehr Liquidität.

Im dritten Quartal stieg der Umsatz um 10,9% auf 865,1 Mio. $. Produkte legten um 19% zu; Systeme um 32,4%, Software um 7,4% und Dienstleistungen um 2,7%.

F5 führte Systeme auf Kundennachfrage, Software auf Abonnements und Services auf Wartungsverträge zurück. Im Juli erhöhte das Unternehmen den erwarteten Jahresumsatzanstieg von 7%-8% auf etwa 9%-10%.

Diese Werte widerlegen eine These vom bereits eingetretenen Gesamteinbruch bis Juni. Das veröffentlichte Bild zeigt Wachstum, Cashflow und einen höheren Ausblick.

Die Summe trennt aber keine Kohorten. Systeme wachsen viel schneller als Software und Services. Neuverträge, Preise, Laufzeiten, Verlängerungen und Produktmix können denselben Gesamtwert auf unterschiedlichen Wegen erzeugen.

Auch die passiven Rechnungsabgrenzungen stützen die Widerstandskraft. Der kurzfristige Teil stieg von 1,213 Mrd. $ im September auf 1,290 Mrd. $, der langfristige von 786 Mio. $ auf 903,1 Mio. $.

Die Cashflow-Rechnung zeigt einen Zuwachs von 192,3 Mio. $. Das ist ein positiver Vertragsbestand, aber kein Bericht über Kunden mit betroffenen Konfigurationsdaten oder deren Verlängerungsentscheidung.

Die präzise Aussage lautet daher: aggregierte Stärke, nicht veröffentlichte Binnenstruktur. Weder ein verdeckter Absturz noch vollständige Immunität ist belegt.

Zwei Distributoren verschieben den Messzeitpunkt

F5 verkauft überwiegend indirekt. Zwei Distributoren machten im dritten Quartal 16,4% und 18,4% des Umsatzes aus, zusammen 35,6%.

Über neun Monate lagen die Anteile bei 17,2% und 23,1%, also zusammen 40,3%. Kein einzelner Endkunde überschritt 10%.

Die breite Endkundenbasis begrenzt das Risiko eines einzelnen Großabnehmers. Die Konzentration bei zwei Zwischenhändlern schafft jedoch einen eigenen Zeitplan.

Ein Distributor kann vorbestellen, Bestand halten, auf ein Projekt warten oder auf Rabatte reagieren. Der Zeitpunkt des Sell-in muss nicht dem Zeitpunkt der Nutzung oder Verlängerung entsprechen.

Ein starkes Kanalquartal beweist daher nicht allein Endkundenzuversicht. Ein schwaches beweist keine Abwanderung. Umsatz, Forderungen, Lager, Produktmix und Wartung gehören zusammen.

Ein Vorfalleffekt kann zuerst im Support, dann in der Vertragsentscheidung und erst später in der Distribution sichtbar werden. Der Kanal kann ein Signal dämpfen oder verzögern.

Das Rechtsrisiko hat noch keinen Buchwert

Im Dezember 2025 wurde eine geplante Wertpapiersammelklage gegen F5 und einige Führungskräfte eingereicht. Sie behauptet irreführende Aussagen zu Cyberfähigkeiten. Eine geänderte Klage folgte im Mai 2026, der Abweisungsantrag im Juli.

Zwei damit verbundene Aktionärsklagen aus dem Februar wurden zusammengeführt und bis zur Entscheidung über die Abweisungsanträge ausgesetzt. Die Vorwürfe sind nicht entschieden; F5 will sie entschieden verteidigen.

Zum 30. Juni hatte F5 keine Rückstellung für die genannten Verfahren oder Untersuchungen gebildet. Ein nachteiliger Ausgang sei weder als wahrscheinlich bestimmbar noch der Höhe nach schätzbar.

Keine Rückstellung bedeutet nicht kein Risiko. Es bedeutet, dass die Bilanzierungsschwelle mit dem damaligen Wissen nicht erreicht war. Urteil, Vergleichsgespräch, Schätzspanne oder Rückstellung wären neue Belege.

F5 erwähnte außerdem wenige Behördenanfragen sowie mögliche Ansprüche von Kunden oder Dritten. Betrag und Ausgang sind nicht veröffentlicht.

Das Rechtsfenster muss offenbleiben, ohne eine erfundene Summe anzusetzen. Eine Klage ist keine feststehende Zahlung; fehlende Quantifizierung macht sie nicht dauerhaft bedeutungslos.

501,1 Mio. $ zeigen den Entscheidungsspielraum

In denselben neun Monaten gab F5 501,1 Mio. $ in bar für Aktienrückkäufe einschließlich Verbrauchsteuer aus. Das entspricht dem 18,9-Fachen der Vorfallkosten und 59,6% des operativen Cashflows.

Die Programmtabelle nennt 500 Mio. $ für 1,91 Millionen Aktien zu durchschnittlich 261,83 $. Der kleine Unterschied liegt an Steuer und Darstellung. 422,4 Mio. $ blieben genehmigt.

Daraus folgt nicht, dass die Reaktion zugunsten von Rückkäufen unterfinanziert war. Der Cashflow reichte für beides. Es gibt auch keinen Beleg, dass ein Stopp eine bestimmte Kundenentscheidung verhindert hätte.

Die Gegenüberstellung zeigt die Größenordnung der Wahl. Der Verwaltungsrat verfügt über deutlich größere diskretionäre Mittel als die erfasste Vorfallposition.

Wenn Support, Entwicklungssicherheit oder Versicherung mehr verlangen, ist die erste Frage Priorität, nicht Zahlungsfähigkeit. Ein Rückkauf ist sofort sichtbar; erfolgreiche Vertrauensarbeit erscheint als Schaden, der nicht eingetreten ist.

Der nächste Vertrag schließt die Marktprüfung

Das gegenwärtige Basisszenario ist konstruktiv. Die Kosten sanken, laut F5 gab es nach der Eindämmung keine neue Aktivität, Umsatz und Cashflow wuchsen und der Ausblick stieg.

Auch das Risikoszenario braucht Grenzen. 26,5 Mio. $ enthalten nicht jede Kunden-, Versicherungs-, Kanal- oder Rechtsfolge. Diese Folgen können klein bleiben, später kommen oder durch anderes Wachstum ausgeglichen werden.

Die Antwort erscheint in gewöhnlichen Zeilen: Wartung, Abonnement, Abgrenzung, Kanalbestellungen und Forderungen. Versicherung und Rückstellung können hinzukommen.

Eine schlechte Nachricht braucht keinen plötzlichen Einbruch. Langsameres Servicewachstum, kürzere Verträge, Kanalabbau oder eine Rechtsrückstellung würden die Kosten über die erste Reaktion hinaus erweitern.

F5 hat gezählt, was die Bücher bis Juni erkennen konnten. Der Rest ist keine verborgene Summe zum Raten. Es sind künftige Entscheidungen, vor allem die nächste Unterschrift des Kunden.

Quellen