Athene Startup Award UP26@it-sa Fünf Startups wollen Firmware, Maschinen und KI sicherer machen

Anbieter zum Thema

Fraunhofer-Institut für Sichere Informations- technologie SIT

cidaas by Widas ID GmbH

secunet Security Networks AG

FTAPI Software GmbH

Fuzzware, Squr, Complioty, Redcastle und Blindsight sind die Finalisten des Athene Startup Awards. Sie testen Firmware ohne Gerät, lassen KI-Agenten Webanwendungen angreifen und helfen bei CRA, SOC-Betrieb und KI-Absicherung.

Fünf Startups kämpfen beim ATHENE Startup Award UP26@it-sa um Preisgelder von insgesamt bis zu 15.000 Euro. Sie stellen sich beim Finale am 28. Oktober auf der it-sa in Nürnberg vor. Als Medienpartner hat Security-Insider vorab Interviews mit den Gründern führen können.

Jury-Interview zum „UP26@it-sa“-Award

Wie aus Ideen geförderte Innovationen werden

Fuzzware: Firmware testen, ohne das Gerät zu besitzen

Das Bochumer Unternehmen Fuzzware prüft Embedded-Software, also die Software in Steuerungen, Fahrzeugen oder Medizingeräten. Es setzt auf Fuzzing, eine Methode, bei der ein Programm automatisiert sehr viele veränderte Eingaben an eine Software schickt, um Abstürze und damit Schwachstellen zu finden. Das Startup braucht dafür nach eigenen Angaben weder ein physisches Gerät noch den Quellcode. Die kompilierte Firmware läuft in einer virtuellen Umgebung, eine automatische Hardwaremodellierung ersetzt das Gerät. „Fuzz what you ship“, nennt das Team sein Prinzip. Wie Tobias Scharnowski, Gründer von Fuzzware, erklärt, bedeutet dies, die tatsächlich eingesetzte Firmware zu testen, auch ohne Quellcode, unabhängig von knapper Testhardware und skalierbar auf virtuellen Instanzen. Dabei prüft Fuzzware auch das Zusammenspiel von Anwendung, Bibliotheken und Interrupt-Handlern und findet so Fehler, die Tests einzelner Komponenten übersehen.

Die Gründer kennen sich aus Hacking-Wettbewerben wie den DEF CON Finals und Pwn2Own. In diesem Jahr gewann das Team bei Pwn2Own Automotive in Japan den Titel „Master of Pwn“ samt 215.000 US-Dollar Preisgeld. Es hatte Schwachstellen in Geräten aus dem Bereich der Elektromobilität gefunden und gemeldet. Das Preisgeld des Athene-Awards würde Fuzzware nutzen, um Teams den Einstieg in regelmäßige Firmware-Tests zu erleichtern, etwa durch weiter automatisierte Testumgebungen. In einem Jahr soll kontinuierliches Firmware-Fuzzing bei mehreren führenden europäischen Herstellern fester Teil der Produktentwicklung sein.

European Cybersecurity Challenge 2026

Ab heute treten 42 internationale Security-Teams gegeneinander an

Squr: KI-Agenten als Pentester

Squr aus Weingarten will den empfohlenen jährlichen Pentest durch kontinuierliche Tests ersetzen. Bei dem Startup übernehmen KI-Agenten diese Rolle. Sie greifen Webanwendungen und APIs an und nutzen gefundene Schwachstellen kontrolliert aus. Gemeldet wird laut Squr nur, was tatsächlich ausnutzbar war. Nach der Behebung prüft die Plattform das Ergebnis erneut und stellt ein Zertifikat aus, das sich mit jedem sauberen Lauf aktualisiert. „Auditoren freut das, Hacker nicht“, sagt Adam Lundqvist, Gründer von Squr.

Das Problem, welches das Team mit seiner Software lösen will, sieht es zwischen Entwicklungstempo und Prüfung: Software geht wöchentlich live, ein manueller Pentest findet aber meist nur einmal im Jahr statt. Er dauert Wochen und kostet nach Angaben des Unternehmens etwa 10.000 bis 30.000 Euro. Das Angebot richtet sich an Unternehmen mit 20 bis 500 Beschäftigten ohne eigenes Security-Team und kostet ab 995 Euro im Monat. Die Plattform ist seit Oktober 2025 live und hat bei Kunden nach Angaben von Squr bereits über 200 Schwachstellen gefunden. Das Preisgeld soll in die autonome Behebung von Sicherheitslücken fließen. Die Software solle dann zu einem Fund den passenden Fix liefern und ihn selbst prüfen.

Security-Insider Podcast – Folge 125

„Wie werde ich eine Leiche los?“ So testen Pentester die Grenzen von KI

Complioty: Hilfe beim Cyber Resilience Act

Das Münchner Startup Complioty richtet sich an Maschinen- und Anlagenbauer. Denn sie müssen den Cyber Resilience Act (CRA) umsetzen, die EU-Verordnung für die Cybersicherheit von Produkten mit digitalen Elementen. lIn jeder Maschine stecken Dutzende zugekaufte Steuerungen, Antriebe, Netzwerkkomponenten und Softwarepakete, und für diese erscheinen laufend neue Schwachstellen, bei Siemens allein vierzehn an einem einzigen Tag. Ein Maschinenbauer muss dann jedes Mal klären, welche seiner Maschinen betroffen sind, wie kritisch das ist und welche Kunden er informieren muss. Heute ist das wochenlange Handarbeit“, sagt Gründer Dr. Markus Hornsteiner. Genau dieses Problem will Compiloty angehen. Seine Plattform erzeugt automatisch Software-Stücklisten (SBOMs), also Verzeichnisse aller Softwarebestandteile eines Produkts. Sie gleicht diese laufend mit neuen Schwachstellen ab und meldet sich erst, wenn eine Maschine betroffen ist. Der Scanner liest unter anderem Projekte aus TIA Portal, B&R und Codesys aus. Für Industriekomponenten gebe es oft keine passenden Einträge in gängigen Schwachstellendatenbanken. Complioty hat deshalb eigene Zuordnungsverfahren entwickelt und bindet über 90 Quellen an.

Der CRA verlangt seit dem 11. September 2026 eine Meldung von Schwachstellen binnen 24 Stunden, doch die meisten Mittelständler haben keine eigene Sicherheitsabteilung. Bei Complioty endet ein Fall mit einem veröffentlichten Advisory für Kunden und Behörde. Das Startup gewann bereits den Athene SpeedUpSecure Accelerator 2025 und erhielt zudem im Rahmen von StartUpSecure eine BMBF-Förderung über 800.000 Euro. Ein mögliches Preisgeld würde das Unternehmen in sein siebenköpfiges Team investieren: „Das Preisgeld geht an unser Team. Es arbeitet jeden Tag mit großer Leidenschaft daran, Maschinenbauern das Leben so einfach wie möglich zu machen. Ein Preis wie dieser würdigt genau diese Arbeit, deshalb sollen auch die profitieren, die sie leisten, zum Beispiel mit einem gemeinsamen Company-Offsite“, sagt Hornsteiner. Wenn alles nach Plan läuft, will Complioty in einem Jahr 100 Kunden aus dem Maschinenbau erreichen.

Security-Insider Podcast – Folge 115

Der CRA hebt Cybersicherheit auf ein neues Niveau

Redcastle: Rund-um-die-Uhr-Überwachung für den Mittelstand

Redcastle aus Heubach bietet ein KI-gestütztes Security Operations Center (SOC) als Dienst an. Die Zielgruppe sind mittelständische Unternehmen mit 50 bis 1.000 Beschäftigten und einer kleinen IT-Abteilung sowie Betreiber im NIS2- und KRITIS-Umfeld. Das Unternehmen setzt auf eigene Analysten, eigene Forensik und Betrieb in Deutschland. Auch die KI-Modelle laufen auf eigenen Servern in Deutschland.

Das Problem, welches Redcastle angehen will, beschreibt Gründer Stefan Köhler so: „Die meisten mittelständischen Unternehmen haben Virenschutz und Firewall, aber niemanden, der die Warnmeldungen rund um die Uhr auswertet. Die Mehrzahl der Sicherheitsalarme bleibt unbearbeitet. Angreifer nutzen genau diese Lücke: Sie bewegen sich oft wochenlang unbemerkt im Netz, bevor sie zuschlagen, und ein eigenes Sicherheitsteam rund um die Uhr kann sich ein Mittelständler kaum leisten.“ Eine KI bewertet bei Redcastle die Alarme vor, im Zweifel entscheiden die Analysten – auch nachts. Statt einer Flut von Alarmen erhalten die Kunden priorisierte Fälle mit konkreten Handlungsempfehlungen. Die Plattform habe bereits über 50 Millionen Alarme verarbeitet, rund 18.000 davon seien bei einem Analysten gelandet. Ein mögliches Preisgeld soll in den Ausbau des Analystenteams fließen, vor allem in die Ausbildung junger Sicherheitsanalysten aus der Region. Als nächstes auf der Agenda steht für Redcastle, der Regelbetrieb des eigenen XDR-Agenten, der Daten von Endgeräten und anderen Systemen erfasst, und sich noch in der Beta-Version befindet. Außerdem ist für nächstes Jahr die ISO-27001-Zertifizierung geplant.

Cyberangriffe schneller erkennen

XDR deckt die Angriffskette hinter der Alarmflut auf

Blindsight: Überblick über den KI-Einsatz

Aus Zürich kommt der fünfte Finalist: Blindsight. Das Startup will Unternehmen Transparenz über ihren gesamten KI-Einsatz geben und diesen absichern. Das Unternehmen sieht derzeit mehrere Bedrohungen, die eine solche Lösung erforderlich machen. Zum einen Prompt Injection, eine Angriffsmethode, bei der Angreifer Anweisungen in eine KI-Eingabe einschleusen. Und zum anderen Training Data Poisoning, bei dem Kriminelle die Trainingsdaten manipulieren. Dazu komme Shadow AI, also KI-Werkzeuge, die Beschäftigte ohne Wissen der IT nutzen. Die Software von Blindsight läuft lokal beim Kunden oder in dessen Private Cloud, sodass die Daten im Unternehmen bleiben.

Gründer Guilherme Santos arbeitet als Ethical Hacker und stieß bei Prüfungen von KI-Systemen immer wieder auf dieselben Schwachstellen. Ziel seines Unternehmens sei es deshalb nicht, den KI-Einsatz zu verbieten, sondern ihn sicherer zu machen. Das Kernteam besteht aus sechs Personen und vier Beratern. Blindsight startete mit einer Lösung gegen Data Poisoning, merkte aber schnell, dass vielen Firmen der Überblick über ihre KI-Systeme fehlte, und richtete das Produkt neu aus. Von der Teilnahme am Award erhofft sich das Team Sichtbarkeit in der Branche und Unterstützung bei Investorengesprächen. Im Herbst startet es eine Finanzierungsrunde, und mit dem ETH AI Center läuft eine Forschungskooperation. In zwölf Monaten soll der wiederkehrende Jahresumsatz bei rund 1,75 Millionen Euro liegen.

Wir wünschen allen Finalisten viel Erfolg beim Athene Startup Award UP26@it-sa!

Über 28.000 Besucher

Rekordzahlen auf der it-sa 2025

(ID:50986834)