Firmware-Fuzzing ohne Zielhardware, KI-Agenten als Pentester und eine Plattform für den Cyber Resilience Act: Die fünf Finalisten des Athene Startup Awards UP26@it-sa zeigen, wie breit das Spektrum moderner Cybersicherheitslösungen ist. Fuzzware, Squr, Complioty, Redcastle und Blindsight präsentieren sich am 28. Oktober auf der it-sa in Nürnberg der Jury und kämpfen um Preisgelder von insgesamt bis zu 15.000 Euro. Das nationale Forschungszentrum für angewandte Cybersicherheit Athene und die NürnbergMesse richten den Award aus.
Firmware-Fuzzing ohne Hardware: Fuzzware
Das Bochumer Unternehmen Fuzzware hat sich auf das Härtetesten von Embedded-Software spezialisiert. Firmware-Fuzzing bedeutet, dass ein Programm automatisiert tausende variierter Eingaben an eine Software sendet, um Abstürze und Schwachstellen zu provozieren. Der entscheidende Vorteil von Fuzzware: Das Team benötigt weder das physische Gerät noch den Quellcode. Die kompilierte Firmware läuft in einer emulierten Umgebung, eine automatische Hardwaremodellierung ersetzt das Original. Das Prinzip „Fuzz what you ship“ erlaubt skalierbare Tests in der Cloud. Dass die Methode praxistauglich ist, bewies das Team nicht nur bei den DEF CON Finals, sondern auch bei Pwn2Own in Japan, wo es den Titel „Master of Pwn“ und 215.000 US-Dollar Preisgeld gewann. Mit dem Award-Geld will Fuzzware unter anderem den Einstieg in regelmäßige Firmware-Tests für Hersteller automatisieren.
KI-Pentesting als Dauerlösung: Squr
Der einmalige Jahres-Pentest ist für viele Unternehmen teuer und deckt nur eine Momentaufnahme ab. Squr aus Weingarten setzt deshalb auf KI-Agenten, die Webanwendungen und APIs permanent angreifen. Die Plattform nutzt gefundene Schwachstellen kontrolliert aus und meldet nur diejenigen, die sich tatsächlich ausnutzen ließen. Nach der Behebung prüft das System erneut und stellt ein Zertifikat aus, das sich mit jedem sauberen Lauf aktualisiert. „Auditoren freut das, Hacker nicht“, bringt es Gründer Adam Lundqvist auf den Punkt. Der Dienst richtet sich an Unternehmen mit 20 bis 500 Beschäftigten ohne eigenes Security-Team und startet bei 995 Euro im Monat. Seit dem Live-Gang im Oktober 2025 hat die Plattform bereits über 200 Schwachstellen aufgedeckt. Künftig soll die Lösung gefundene Lücken sogar automatisiert schließen können.
CRA-Konformität für den Maschinenbau: Complioty
Mit dem Cyber Resilience Act (CRA), der seit September 2026 eine Meldung von Schwachstellen binnen 24 Stunden vorschreibt, wächst der Druck auf Hersteller von Produkten mit digitalen Elementen. Das Münchner Startup Complioty hat sich auf Maschinen- und Anlagenbauer spezialisiert. Deren Problem: In jeder Maschine stecken dutzende zugekaufte Komponenten, für die ständig neue Sicherheitslücken gemeldet werden. Compliotys Plattform erzeugt automatisch Software-Stücklisten (SBOMs) und gleicht diese mit über 90 Schwachstellenquellen ab. Das System erfasst auch industrietypische Systeme wie das TIA Portal, B&R oder Codesys, für die Standarddatenbanken oft keine Einträge liefern. Das Startup, das bereits den Athene SpeedUpSecure Accelerator und eine BMBF-Förderung über 800.000 Euro gewonnen hat, will das Award-Preisgeld in sein siebenköpfiges Team investieren. In einem Jahr sollen 100 Kunden aus dem Maschinenbau die Plattform nutzen.
Rund-um-die-Uhr-SOC für den Mittelstand: Redcastle
Viele mittelständische Unternehmen haben Firewall und Virenschutz, aber niemanden, der die Sicherheitswarnungen rund um die Uhr auswertet. Diese Lücke nutzen Angreifer aus, indem sie sich oft wochenlang unbemerkt in Netzwerken bewegen. Redcastle aus Heubach bietet ein KI-gestütztes Security Operations Center (SOC) als Dienst an. Die KI bewertet die eingehenden Alarme und leitet nur die kritischen Fälle an menschliche Analysten weiter. Das Modell arbeitet effizient: Über 50 Millionen Alarme wurden verarbeitet, aber nur rund 18.000 landeten tatsächlich bei einem Analysten. Die Kunden erhalten priorisierte Fälle mit konkreten Handlungsempfehlungen. Gründer Stefan Köhler möchte einen möglichen Preisgewinn in den Ausbau des Analystenteams stecken, vor allem in die Ausbildung junger Kräfte aus der Region. Parallel arbeitet das Unternehmen an der ISO-27001-Zertifizierung und der Markteinführung eines eigenen XDR-Agenten.
Transparenz und Sicherheit für KI-Systeme: Blindsight
Der fünfte Finalist kommt aus Zürich und adressiert ein wachsendes Problem: Shadow AI und gezielte Angriffe auf Künstliche Intelligenz. Blindsight hat eine Software entwickelt, die Unternehmen einen vollständigen Überblick über ihren KI-Einsatz verschafft und die Systeme absichert – gegen Prompt Injection, bei der Angreifer Befehle in die Eingabe schleusen, oder Data Poisoning, der Manipulation von Trainingsdaten. Die Lösung läuft lokal beim Kunden oder in dessen Private Cloud, die Daten verlassen das Unternehmen nicht. Gründer Guilherme Santos, selbst Ethical Hacker, stellte fest, dass vielen Firmen schlicht die Transparenz über ihre KI-Landschaft fehlt. Mit dem Award erhofft sich das sechsköpfige Kern-Team Sichtbarkeit für eine bevorstehende Finanzierungsrunde. In zwölf Monaten peilt das Startup einen wiederkehrenden Jahresumsatz von rund 1,75 Millionen Euro an.
Die fünf Finalisten zeigen die gesamte Spannbreite der Cybersicherheit: von der klassischen Firmware-Analyse über regulatorische Compliance bis zur Sicherung moderner KI-Systeme. Der Athene Startup Award UP26@it-sa bietet ihnen die Bühne, um Investoren und die Fachöffentlichkeit von ihren innovativen Konzepten zu überzeugen. Die Entscheidung der Jury auf der it-sa in Nürnberg wird zeigen, welchem Ansatz das größte Zukunftspotenzial bescheinigt wird.
