Paul Price: Der Mann, der McKinsey & Co. hackte

Paul Price hat McKinsey gehackt – autonom, per Knopfdruck, für den Preis einer Pizza. Das weist auf eines der größten Probleme der Tech-Branche hin. Wer ist der Mann – und was hat er vor? Tanja Kewes, Christof Kerkmann 22.05.2026 - 04:00 Uhr Artikel anhören

Paul Price: Der 37-Jährige hackte mit seinem Unternehmen große Player der Branche. Foto: Privat [M]

Düsseldorf, London. In der Welt der IT-Sicherheit war Paul Price bislang nur wenigen ein Begriff. Das hat sich in den vergangenen Wochen schlagartig geändert: Mit seinem Start-up Codewall hat er die Managementberatungen McKinsey, Boston Consulting Group und Bain vorgeführt – innerhalb kürzester Zeit.

Price schaffte es, in interne Systeme der drei Firmen einzudringen. „Es hat nur wenige Minuten gedauert, und wir waren alle – im besten Sinne des Wortes – alarmiert“, berichtet der KI-Chef einer der drei betroffenen Beratungsfirmen dem Handelsblatt.

Intern habe sich bald Erleichterung breit gemacht, berichtet der Manager, der wegen des Imageschadens anonym bleiben möchte: Es handelte sich um keinen bösartigen Angriff, es wurden keine kritischen Daten kompromittiert.

Glück im Unglück für die Beratungen: An den Daten war Price nicht interessiert. Der Gründer wollte zeigen, dass es mit seiner Softwareplattform Codewall möglich ist, Sicherheitslücken automatisiert zu entdecken – und dass die Großen der Branche dabei keine Ausnahme machen.

Die Bekanntheit durch den PR-Coup, für die Öffentlichkeit auf der eigenen Website detailliert dokumentiert, hilft Price. Im Gespräch mit dem Handelsblatt erklärt der Brite, wie er aus seiner „One Man Show“ eine Firma aufbauen will und warum er noch in diesem Jahr mit einem großen, vollständig autonom ausgeführten Cyberangriff durch Kriminelle rechnet.

Der Markt wächst kräftig

Price, 37 Jahre, hat sich nach eigenen Angaben in den vergangenen 16 Jahren intensiv mit IT-Sicherheit beschäftigt, die meiste Zeit als Angestellter von Beratungsunternehmen. Er selbst bezeichnet sich als Autodidakt. Als ethischer Hacker versuchte er, in die Systeme von Kunden einzudringen und so Sicherheitslücken aufzudecken. Diese Methode, Penetration Testing genannt, gehört in der Branche zum Standardrepertoire.

Im Dezember 2025 gründete Price schließlich sein eigenes Unternehmen. Der Name: Codewall. Mit seinem Start-up bietet er seitdem eine Plattform an, die automatisiert nach Sicherheitslücken in digitaler Infrastruktur sucht. Die Software hat er selbst entwickelt. Auch dabei hilft heute Künstliche Intelligenz.

» Lesen Sie auch: Erst McKinsey, dann BCG und Bain – Wie ein Hacker die Berater-Elite in 18 Minuten vorführt

Dabei kommen Programme zum Einsatz, die Systeme mithilfe Künstlicher Intelligenz (KI) überprüfen – sogenannte Agenten, die selbstständig Entscheidungen treffen, ohne dass ein Mensch jeden Schritt steuert. Wie das genau funktioniert, macht der Gründer nicht öffentlich.

Der Vorteil gegenüber klassischen Penetrationstests: Während Organisationen ihre Infrastruktur bisher meist nur einmal im Jahr testen lassen, ermöglicht die Automatisierung eine kontinuierliche Überprüfung – bei jeder neuen Konfiguration, jedem Update, jedem neuen Angriffsmuster.

Gehackte Beratungsfirmen: Laut Price ist die IT-Sicherheit seit 25 Jahren „ein Katz-und-Maus-Spiel“. Foto: Getty Images [M]

Dass der Markt für KI-gestützte Penetrationstests wächst, zeigen Zahlen der Konkurrenz. Der amerikanische Anbieter Xbow beispielsweise erhielt vor einigen Wochen in einer Finanzierungsrunde 120 Millionen Dollar und wurde dabei mit mehr als einer Milliarde Dollar bewertet. Das israelische Start-up Terra Security erhielt im Herbst rund 30 Millionen Dollar Risikokapital, keine zwei Jahre nach der Gründung.

Das Kräfteverhältnis verschiebt sich

Hinter diesem Wachstum steht ein Paradigmenwechsel in der IT-Sicherheit. KI-Modelle von Anbietern wie OpenAI und Anthropic haben große Fortschritte bei der Softwareentwicklung gemacht – und dabei quasi nebenbei auch die Suche nach Sicherheitslücken enorm beschleunigt.

Besonders Anthropic macht Schlagzeilen. Bei Tests soll das Modell „Claude Mythos“ Schwachstellen in gängigen Betriebssystemen und Webbrowsern identifiziert haben. Aus Sicherheitsgründen soll zunächst nur Kreis von Partnern die Technologie nutzen – mit dem Ziel, Schwachstellen zu schließen, bevor Angreifer vergleichbare Werkzeuge entwickeln.

Das ist kein theoretisches Risiko mehr. Erste Fälle von KI-basierten Cyberangriffen sind bekannt geworden, sowohl Anthropic als auch Google haben von Kampagnen berichtet.

Ich habe einen Knopf gedrückt, und das System, das ich gebaut habe, hat den Rest erledigt. Paul PriceHacker und Start-up-Gründer

„Es hat in der IT-Sicherheit schon immer eine Asymmetrie zwischen Angreifern und Verteidigern gegeben – die wird durch agentische KI noch größer“, sagt Claudia Eckert, Professorin für Sicherheit in der Informatik an der TU München und Leiterin des Fraunhofer AISEC. „Die Technologie durchsucht den Heuhaufen in kürzester Zeit und findet jede Nadel.“ Die Programmierung solcher Agenten sei selbst für eine „One Man Show“ möglich.

Price überrascht die Entwicklung nicht. IT-Sicherheit sei seit 25 Jahren „ein Katz-und-Maus-Spiel“ gewesen – mit wechselnden Vorteilen auf beiden Seiten, sagt er dem Handelsblatt. In den vergangenen sechs Monaten habe es jedoch eine massive Verschiebung zugunsten der Angreifer gegeben: Das Kräfteverhältnis sei nicht mehr bei 50:50, sondern 80:20. „So etwas hat es im modernen Internet noch nicht gegeben.“

Künstliche Intelligenz

Anthropic informiert Bankenaufseher über Risiken für Finanzsystem

Als Beleg verweist der Softwareentwickler auf seine eigenen Angriffe auf die Beratungsfirmen. Der Einbruch in die Systeme der weltweit führenden Managementberatung McKinsey habe ihn rund 20 Dollar für Rechenkapazitäten gekostet und sei vollständig autonom abgelaufen. „Ich habe einen Knopf gedrückt, und das System, das ich gebaut habe, hat den Rest erledigt.“

Seine Prognose: Noch in diesem Jahr werde ein großer Cyberangriff auf den Titelseiten der Zeitungen stehen, bei dem Künstliche Intelligenz zum Einsatz gekommen sei.

„Wir wollten für Furore sorgen“

Price selbst hat es bereits in die Zeitungen geschafft. Die Angriffe auf McKinsey, Bain und BCG seien von Anfang an als Marketingmaßnahme geplant gewesen, sagt er offen. „Wir wollten für Furore sorgen. Ich glaube, das ist uns gelungen.“

Verwandte Themen

AnthropicKünstliche IntelligenzOpenAI

Die Resonanz gibt Price recht, zumindest was die Aufmerksamkeit angeht. Nach den Veröffentlichungen meldeten sich hunderte Unternehmen, wie der Gründer berichtet – zur Kundenzahl äußert er sich nicht. Eine erste Finanzierungsrunde über drei Millionen Dollar ist in Planung, zwei Stellen hat er ausgeschrieben.

Codewall bleibt damit ein kleines Start-up – vorerst. Doch der Anfang für den Aufstieg in die Liga der Cybersecurityfirmen ist gemacht.

Mehr: Anthropic-Managerin – „Unsere Modelle sind wahrscheinlich gut genug, um Portfolios zu verwalten“

Mehr Qualität in Ihren Suchergebnissen