Yubico: Nyckeln till cybersäkerhet

ACQ Bure/Yubico (99 kr) är ett globalt cybersäkerhetsföretag med ca 1,5 mdr kr i årsomsättning. Bolagets kärnprodukt kallas YubiKey. Den ser ut som en USB-sticka och är en säkerhetsnyckel för extra säker inloggning i IT-system. Yubico har totalt sålt 22 miljoner sådana YubiKeys.

Kunderna är främst större företag i USA som köper in nycklar åt sina anställda. Detta för att minska risken för obehöriga intrång i IT-system. Ungefär tre fjärdedelar av intäkterna kommer från USA.

Historik

Företaget startades 2007. Grundarna Stina Ehrensvärd och Jakob Ehrensvärd är fortfarande är aktiva i ledningen som ”Chief Evangelist” respektive ”Chief Innovation Officer”. De är även stora ägare med ca 10% av aktierna. Paret startade Yubico i Stockholm men drev det länge med bas i Silicon Valley. Amerikanskt riskkapital togs in under start-up-fasen från Andresseen Horowitz.

Nu har duon flyttat tillbaka till Sverige och i april 2023 träffades avtal med SPAC-strukturen ACQ Bure om ett förvärv som innebär att Yubico noteras på svenska börsen. Transaktionen väntas vara helt klar i september (se faktarutan).

Huvudägare efter transaktionen blir investmentbolaget Bure som har 17,4% av aktierna och även vissa sponsoroptioner. Näst störst blir AMF med 10,9%. Vi känner inte till insiderägandet. VD Mattias Danielsson har arbetat på Yubico sedan 2010.

Marknad

Yubico verkar på marknaden för avancerad autentisering. Det avser produkter som ser till att användare får tillgång IT-resurser på ett korrekt, säkert och effektivt vis. Detta är en nisch värd ca 5 mdr dollar årligen och ingår i den bredare marknaden identitet- och åtkomsthantering. De stora spelarna är Big Tech-bolag som Microsoft, Okta, Fortinet och Cisco.

När det gäller just autentisering-produkten tenderar dock dessa aktörer fokusera mycket på så kallad single-sign-on-funktionalitet och mjukvarubaserade lösningar. Säkerhetslösningen består av en multifaktor-autentisering (MFA) där engångskoder levereras via app eller SMS.

Yubico är annorlunda med en hårdvarubaserad och extra säker teknik. Vanligen stöder aktörer som Microsofts Yubicos teknik för kunder som önskar den typen av autentisering i sin åtkomstlösning. Och Okta är kund hos Yubico trots att det amerikanska bolaget marknadsför en konkurrerande, app-baserad, MFA-lösning kallad Okta Verify.

Det var i den amerikanska tekniksektorn som Yubico fick sitt genombrott och särskilt Google var en viktig referenskund och samarbetspartner. Teknikbolag stod för 40% av orderingången 2022.

Intäktsmodell

Bolaget säljer en hårdvaruprodukt och merparten av intäkterna kommer från engångsförsäljning av eviga licenser. En nyckel kostar 25-90 dollar. Varje användare behöver en nyckel men ofta köps även en i reserv. Under 2020 lanserade bolaget ett prenumerationserbjudande för kunder som köper minst 500 nycklar. Upplägget är att kunden betalar en årlig avgift för att få tillgång till nya nycklar, utbytesnycklar, support och andra tjänster under kontraktstiden. Ofta löper avtalen på tre år.

Redovisningsmässigt tar bolaget då upp 1/3 av kontraktsvärdet som omsättning år ett men vanligen betydligt mer av kostnaderna, kanske 70%. Det beror på att alla nycklar levereras omgående varför kostnaden för kontaktsleveransen till stor del uppstår direkt. Hög tillväxt av nya prenumerationsaffärer kan därför pressa lönsamheten kortsiktigt. Omvänt kommer avtal som är inne på år två och tre att bidra till högre marginaler.

Under 2022 svarade prenumerationsintäkter för 9% av omsättningen. Siffran var 13,1% första halvåret 2022. Av orderingången avsåg 11,8% prenumerationsavtal av 2023 års orderingång fram till 30/6. Yubico satsar på att öka andelen. Prenumerationer genererar nära kundrelationer och återkommande intäkter. Bolaget redovisar det aktuella årsvärdet av sina avtalade intäkter, ”ARR”. Det var på 243 Mkr per 30/6. Ca 14% av försäljningsvolymen rullande 12 månader.

Hög lönsamhet

Företaget har för närvarande hög rörelsemarginal, 19,9% hittills under 2023. Det långsiktiga målet är att ha 20% marginal. Ledningen uppgav i Q1-rapporten att 2023 års marginal uppskattas bli 5-15%. Det ser ut som en mycket konservativ vägledning som Afv tror Yubico överträffar. Företaget har stor andel fasta och halvfasta kostnader medan den direkta tillverkningskostnaden för en nyckel är låg i relation till försäljningsvärdet. Bruttomarginalen var 84,3% under 2022 och siffran steg till 86,1% under första hälften av 2023. Kostnadsstrukturen innebär att tillväxt kan driva stora marginal- och vinstförbättringar.

Det största kostnadsslaget är personal och Yubico hade 407 anställda per halvårsskiftet. En ökning med 13% på ett år. Ungefär 100 arbetar med direktförsäljning mot stora företagskonton och offentlig sektor samt med den indirekta försäljningen som går via partners och e-handelskanaler. Företaget har även personal som hanterar tillverkning och programmering av nycklar, främst i Sverige.

En stor del av de anställda, 170 personer eller 42%, jobbar med forskning och utveckling av bolagets produkter. Även om nyckeln är en hårdvara så är mjukvaruinnehållet ytterst viktigt – särskilt integrationer som ser till att nyckeln fungerar med praktiskt taget alla operativsystem för datorer och telefoner och autentiseringsprotokoll. Totalt finns 800 partnerintegrationer vilket gör att nyckeln fungerar universellt i nästan alla företagssystem.

Bolaget redovisar enligt K3 vilket innebär att alla utgifter för produktutveckling tas direkt som kostnader i resultatet. Kapitalbindningen, som ökat under 2021-2022, avser rörelsekapital. Kundfordringar ökar på grund av tillväxten, men också lagret då Yubico vill lagerhålla mycket produkt för klara snabba leveranser om man vinner stora upphandlingar. Det förekommer sådana och i Q3 2022 var en enskild order värd 375 Mkr. Här rör det sig alltså om att 10 000-tals eller 100 000-tals anställda ska förses med nycklar.

Strategi

Marknaden för avancerade autentisering spås växa 13,6% per år under 2021-2027. Bolaget mål är att öka orderingången 25% årligen. Det väntas man inte nå under 2023. Under första halvan av året har orderingången minskat 14%. Detta på grund av ovanligt stora order under jämförelseperioden 2022 och svag investeringsvilja inom amerikansk Big Tech i början av 2023.

Strategin för att vinna marknad är att fortsätta bearbeta befintliga kunder, som ofta bara rullat ut YubiKeys till en bråkdel av personalen. Dessutom vinna nya kunder och då ofta utanför Big Tech-industrin där Yubico redan är etablerade. Finans och tjänstebolag är två sektorer som är lovande. Tjänstebolag är ofta underleverantörer, som IT-konsulter, till bolag som redan har Yubico och anmodas av dessa att själva skaffa nycklar.

Offentlig sektor är en stor möjlighet. Delstaten Washington är en befintlig kund, till exempel. I USA finns regulatoriska krav på IT-säkerhet som gynnar Yubicos lösning. Förvärv har historiskt inte spelat någon roll i bolagets tillväxt, men kan bli aktuellt för att komplettera portföljen med närliggande tekniker, enligt bolaget.

Prognoser och värdering

Vårt huvudscenario bygger på att Yubico växer 12-20% under perioden med en stigande marginal till 21% och värderas till EV/Ebit 20:

• Tillväxt. Antagandet om 20% tillväxt är något lägre än bolagets historik (+45%/år sedan 2019) och målbild (25% orderökning). Konkurrerande, men också mycket bredare och större, IT-säkerhetsbolag som Okta och Fortinet spås växa 18-20% per år till 2025 enligt Factset.
• Givet god tillväxt kan marginalerna expandera riktigt mycket men vi har penslat in en del kostnadsökningar också. För 2025 är antagandet 21% i rörelsemarginal. Lite över målet 20%.
• Värdering. Aktien handlas till en multipel på 23x Ebit räknat på vår prognos för 2023E. De konkurrenter vi nämner ovan handlas till 25 respektive 45x rörelsevinsten. Viss rabatt på Yubico-aktien är befogad, för enproduktberoende, visst storkundsberoende och för den risk som ligger att teknikutvecklingen är snabb i branschen både så att säga på den onda som på den goda sidan. Vi använder EV/Ebit 20. Här finns utrymme för olika åsikter.

Våra antaganden producerar en uppsida på 25-30%. Det pessimistiska scenariot (27% nedsida) bygger på att tillväxten planar ut och YubiKey endast blir en liten nischprodukt men att bolaget behåller en god lönsamhet och värdering. Att nya lösningar skulle konkurrera ut Yubico fångas inte i detta scenario och är något vi inte kan bedöma.

Slutsats

Kundbasen med Google och andra talar för att produkten håller måttet. Mer och mer tyder på att avancerad inloggningsteknik tar marknad och att ”vanlig” MFA inte duger. Exempelvis nyheter om automatiserat ”nätfiske” och attacker som fått Microsoft att rekommendera hårdvarunycklar som en möjlig lösning. Yubico affärsmodell är attraktiv. Bolaget skulle mycket väl kunna växa runt 30% framöver och aktien värderas dubbelt så högt som vi skissat på.

Så det är lite förvånande att aktien inte gått bättre sedan nyheten om förvärvet. Kursen ligger kvar kring 100 kr. Transaktionen är förvisso inte helt klar. Den skapar ett överhäng av aktier. Det är tveksamt om Andresseen Horowitz vill äga svenska börsaktier särskilt länge, till exempel. Huvudägarna har 360 dagar lock-up och andra 180 dagar. Kanske bidrar även den svårsynade teknikrisken och det faktum att flera högprofilerade SPAC-noteringar blivit väldigt dåliga till skepsis.

På våra prognoser, som tar intryck av att tillväxten ser ut att falla kommande kvartal, är uppsidan inte superstor. Det optimistiska scenariot lockar visserligen och känns mer sannolikt än i många andra bolag, men just nu står vi över aktien med ett neutralt råd.