Vasco wil meer dan het bakje van de bank

Vasco, de beursgenoteerde maker van de alomtegen-woordige Digipass, heeft grootse plannen voor het lopende boekjaar. Na de moeilijke periode van de bankencrisis, investeert de shirtsponsor van KV Kortrijk volop in nieuwe activiteiten.

Jan Valcke is net terug van de handelsmissie naar Brazilië, een van de landen waarin hij met zijn bedrijf Vasco Data Security de groei zoekt. In eigen land hoeft hij die niet meer te verwachten. Sinds ook Landbouwkrediet begin dit jaar op de Digipass overschakelde, hebben zowat alle Belgische onlinebankiers een stukje Vasco in huis. Wereldwijd – maar vooral in Europa – gebruiken ongeveer 1450 banken het systeem. Zij bezorgen Vasco zowat 74 procent van zijn inkomsten.

Geen wonder dat het bedrijf uit Wemmel vorig jaar een ernstige klap kreeg in de bankencrisis. Het management greep ondanks de prima cijfers van 2007 en 2008 toch naast zijn bonusaandelen voor 2007-’09. Uiteindelijk eindigde Vasco 2009 met 24 procent minder omzet en 55 procent minder bedrijfswinst. Het hefboomeffect, dat in vorige jaren de winst zo sterk deed stijgen, werkte nu in het nadeel. Vasco bleef wel uit het rood, ook nog in het jongste kwartaal, voor het 29ste opeenvolgende trimester. Maar de bankencrisis maakte de kwetsbaarheid van het bedrijf duidelijk.

Op het juiste paard gewed

Vasco is een buitenbeentje in de beveiligingsmarkt. Het is de enige grote speler die nog authentificatie als hoofdactiviteit heeft. Zijn specialiteit is ‘sterke authentificatie’, aantonen dat je met de juiste man of vrouw te doen hebt op het internet. Bewijzen wie je bent, kan op drie manieren: door wat je weet (een pin of paswoord), door wat je hebt (een bankkaart) of door wat je bent (biometrische kenmerken).

‘Sterke’ authentificatie is een combinatie van minstens twee van die drie factoren. De Digipass van Vasco is zo’n sterke authentificatie. De gebruiker moet een apparaatje of software hebben (de Digipass) en moet een bijhorende code kennen. Met de hulp van die twee elementen genereert Vasco paswoorden die één keer geldig zijn. Eventuele luistervinken hebben er geen baat bij ze te kopiëren.

Het concept gaat terug tot Digiline uit Gilly, een bedrijfje dat in 1987 is opgericht door Jan Valcke en ingenieur Dominique Colard, ex-Acec. Mettertijd ontwikkelde hun team onder de naam Digipass een beveiligingssysteem met eenmalige paswoorden voor telefoonbankieren, oorspronkelijk voor de Generale Bank.

En laat net beveiliging met eenmalige paswoorden de winnaar zijn in de race naar sterke authentificatie. Andere kandidaten zoals de elektronische identiteitskaart hebben het niet gehaald. Zij zijn op een public key infrastructure gebaseerd, met een betrouwbare centrale autoriteit die de digitale certificaten uitgeeft waarmee gebruikers zich kunnen identificeren.

“Uiteindelijk bleek het veel te moeilijk om zo’n PKI uit te rollen. Authentificatie met twee factoren, met zoiets als een Digipass, bleek een winner te zijn”, zegt Carlo Schupp, een voormalige verantwoordelijke van de Security & Privacy Services-divisie van Deloitte, die nu partner is van adviesbedrijf Vinti-Q.

Brood van de banken

De meeste analisten hebben een neutraal advies over het Vasco-aandeel. Met een koers-winstverhouding van 24 is het aandeel niet goedkoop. “Zij zien ons als een degelijk cash cow-bedrijf. Zij denken op korte termijn. De bancaire markt blijft moeilijk tot het einde van het jaar. Pas daarna krijgen we weer visibiliteit”, zegt Valcke, die ooit zijn carrière begon als taxichauffeur en zich naar de top werkte via verkoopfuncties bij Prodata, Rank Xerox en Acec.

De zuinige, voorzichtige Valcke nam in 2002 de operationele leiding van Vasco over van beveiligingsexpert Mario Houthooft. Het bedrijf zat door de dotcomcrash compleet aan de grond. “Er was 19 miljoen dollar schuld en zo goed als geen cash. Ik had maar één opdracht: winst maken. We kapten alles wat niet opbracht. We focusten op de banken en stopten met software voor de beveiliging van ondernemingen. Al in ons eerste kwartaal waren we uit het rood. ”

Vasco heeft nooit meer omgekeken. De jongens uit Wemmel koersten van 23 miljoen dollar omzet in 2003 naar 133 miljoen dollar (94 miljoen euro) in 2008.

Het bedrijf betaalde nooit een dividend. Het management zat eind maart op een oorlogskas van 56 miljoen euro. Geld dat Vasco nu investeert. Dat verklaart ook het verschil tussen de hoge brutomarge van 70 procent en de relatief lage verwachte bedrijfswinstmarge voor dit jaar – tussen 5 en 10 procent.

Vasco wil dit jaar met 60 medewerkers groeien, een toename van 20 procent tot ongeveer 360. Die aanwervingen kosten geld en brengen niet direct op, weet Valcke. “Maar de tijd is rijp. Onze concurrenten hebben focus verloren. RSA is overgenomen door EMC. Aladdin en Entrust zijn door private-equityspelers van de beurs gehaald. Ze zijn veel minder present. Dit is een kans voor ons.”

De sommen gaan naar diversificaties, weg van de bancaire sector, in de beveiliging van e-commerce en van bedrijfsnetwerken, waarvoor Vasco samenwerkt met doorverkopers en integratoren. Het is een taak waaraan Vasco al in 2005-2006 begon, onder meer met de overname van het beveiligingsbedrijf Able van Alex Ongena.

Vorig jaar steeg de verkoop van enterprise-producten al met 11 procent bij Vasco. Nu worden de grote middelen ingezet. “Onze producten zijn matuur geworden. Sinds vorig jaar is onze portefeuille breed genoeg. Wij kunnen de strijd aan met onze zwaarste concurrent buiten de bancaire markt, RSA”, klopt Valcke zich op de borst.

De bekende Digipass is maar de helft van het authentificatiesysteem. Bij de bank, e-shop, het bedrijf of in the cloud staat de serversoftware van Vasco die de interacties controleert en geïntegreerd moet worden met de toepassingen. Voor grote klanten werkt Vasco rechtstreeks. Voor kleinere rekent het op een netwerk van doorverkopers en solution providers. “Dankzij de standaardisatie is de integratie relatief eenvoudig geworden”, zegt Schupp.

België is testmarkt

De sponsoring van KV Kortrijk speelt een rol in het Vasco-offensief. “Wij proberen per match een thema te hebben. Wij brengen de juiste mensen bij elkaar – klanten bij prospecten, van het ene komt het andere. Daarom zijn wij zo sterk gegroeid in België buiten het bancaire segment. België is onze testmarkt. We hebben hier zo’n 100 toepassingen gecreëerd en zo’n 35 ervan vertaald in casestudy’s. Die gaan dan in het kanaal – naar distributeurs als Tech Data en Ingram Micro, die dat wereldwijd leveren aan resellers. Daar wordt dan mee geprospecteerd. In de gezondheidszorg was AZ Kortrijk de eerste om Digipass te gebruiken om huisdokters informatie van hun patiënten te laten vragen in het ziekenhuis. Nu hebben we daarvoor ongeveer 700 ziekenhuizen als klant. ”

Minstens even grote kansen ziet Vasco in internettoepassingen voor consumenten. E-commerce, e-gaming en elektronisch gokken zijn veelbelovend. Online wedden brengt volgens marktonderzoeker H2 Gambling dit jaar zo’n 105 miljard euro netto op in Europa. Interactief gokken groeit in de komende twee jaar met de helft tot 12,6 miljard euro. Statische paswoorden zijn de zwakste schakel in de beveiliging van elke onlinedienst.

Blizzard, de makers van World of Warcraft, verkopen nu al een kleurrijke one button pass om hun spelers met een eenmalig paswoord te beschermen. Paypal levert zijn Amerikaanse gebruikers voor 5 dollar een Paypal Security Key Digipass.

“De volgende stap is dat we die authentificatie als een dienst aanbieden, vanuit een datacenter. Met één Digipass ga je dan al je persoonlijke toepassingen – Facebook, Google, spelletjes, e-commerce, wat je ook doet – kunnen beveiligen”, zegt Valcke. “Uiteraard moeten we dan maken dat al die toepassingen met ons platform samenwerken. ” Technisch is Vasco daarvoor klaar. Commercieel is het offensief nu ingezet.”

Om gewicht te krijgen tegenover Microsoft, Yahoo, Google en consorten, probeert Vasco zoveel mogelijk Digipassen uit te zetten. “Digipass zal meer en meer een software zijn op je pc, je BlackBerry of je iPhone”, voorspelt Valcke.

Ook in zo’n geval is er sterke authentificatie: je hebt de toepassing op de smartphone nodig en een pincode. Geld wil Vasco verdienen met de activering van die functie. “Ik vreesde dat het moeilijk zou zijn om de consument voor beveiliging te doen betalen. Dat is totaal positief uitgedraaid. We hebben nu al miljoenen Digipassen uitstaan waarvoor is betaald. En de activering gaat vlot. De consument moet naar een website gaan, wat gegevens ingeven en hup, hij is geactiveerd.”

Valcke hoopt de banken te overtuigen hun Digipassen ook voor andere toepassingen te laten gebruiken. Het zou Vasco een onvergelijkbare aanvalsbasis geven. “Die banken moeten daar natuurlijk mee instemmen. We zijn daar de eerste gesprekken aan het afronden. Met wereldspelers. Hun voordeel is dat ze een loyauteit met hun klanten creëren. Als een bank je rekening beveiligt, maar met hetzelfde product, op een andere manier, ook je sociale netwerking, dan is dat een toegevoegde waarde voor hun klanten.”

Vlaams verankerd

De Digipass is Amerikaans sinds de Amerikaan Ken Hunt in 1996 zowel Digipass als zijn toenmalige Vlaamse concurrent Lintel overnam. Veertien jaar later heeft Vasco een registratie in Delaware, een hoofdzetel in Chicago en een financiële – lees: fiscale – hoofdzetel in Zürich.

Toch bleef Wemmel het operationele hoofdkwartier. Van daaruit coördineert Valcke vier regionale hubs. Wemmel superviseert Europa, Midden-Oosten, Afrika en Latijns-Amerika. Sydney dekt Japan, India en de Pacific. Singapore neemt de rest van Azië. De informaticastad Boston is de naaf voor Noord-Amerika. Alle 28 kantoren rapporteren uiteindelijk aan Wemmel, waar frequent flyer Valcke vooral zou willen dat Zaventem meer rechtstreekse internationale verbindingen had.

België heeft zowat de helft van de 310 medewerkers van Vasco. Ruim 100 in Wemmel, een twintigtal in het logistieke centrum in Mollem en nog eens twintig in de onderzoeks- en ontwikkelingsafdeling in Mechelen. “We werven hier aan wat we kunnen, maar je mag niet dromen. Belgen blijven nog altijd zitten tot hun bedrijf failliet gaat, eerder dan een overstap te doen.”

Vasco’s concurrenten Aladdin en Entrust werden verkocht omdat grote informaticabedrijven (denk aan IBM en Computer Associates) gratis of afgeprijsde beveiligingsoplossingen begonnen aan te bieden, als onderdeel van een breder platform. Twee weken geleden nam Symantec de beveiligingsactiviteiten van Verisign over voor 951 miljoen euro.

Voor Vasco is de overname van de Verisign-tak belangrijk nieuws. Verisign was vooral sterk in de authentificatie van websites. Om personen te authentificeren vulde Verisign zijn portefeuille aan met producten van Vasco. “We hebben goede relaties met Symantec. Misschien is het zelfs een kans”, zegt woordvoerder Jochem Binst van Vasco.

Dat Vasco zelf een overnameprooi kan zijn, wuift Valcke weg. Het management, vooral Ken Hunt (65), heeft volgens het jaarverslag ongeveer 28 procent van de aandelen. Bovenop komen opties en een gifpilconstructie. “Een vijandige overname is moeilijk, schier onmogelijk. Wij blijven onafhankelijk”, verzekert Valcke, wiens jongste zoon (26) nu technical account manager is bij Vasco. “Het is zijn carrière. Ik kan ze niet omhoogtrekken. Dit is een beursgenoteerd bedrijf.”

Slechts 7,2 procent van de omzet van Vasco kwam vorig jaar uit de VS, 72 procent uit Europa, het Midden-Oosten en Afrika. Een gevolg van de lauwe interesse in sterke beveiliging voor online retailbankieren in de VS. In e-commerce en het bedrijfssegment ziet Valcke bij Uncle Sam veel meer potentieel. “In e-commerce zijn we daar nu veruit de nummer één. Grote bedrijven als Microsoft, Cisco of Symantec erkennen ons. Daardoor kunnen we met hen samenwerken.”

Voor dit jaar verwacht Vasco een groei van 15 tot 20 procent, voor een groot deel uit nieuwe activiteiten. “Analisten zien ons niet meer als het groeibedrijf van vroeger. De challenge is om samen aan dat zeel te trekken en weer dat groeibedrijf te worden.”

Door bruno leijnse

“We werven hier aan wat we kunnen, maar Belgen blijven nog altijd zitten tot hun bedrijf failliet gaat, eerder dan een overstap te doen” Jan Valcke, Vasco

Veertien jaar na de overname wordt Vasco nog altijd vanuit Vlaanderen geleid.