Euer Startup in einem Satz?

Complioty macht Product Security für Ma­schinen­bauer zum laufenden Prozess statt zum Einmalprojekt: SBOMs, kontinuierliches Schwachstellen-Monitoring und CRA-Compliance in einer Plattform. 

#ProductSecurity #CyberResilienceAct #Ma­schinen­bau

Wie ist eure Geschäftsidee entstanden?

Entstanden ist die Idee aus Markus' und Philips Promotion an der Universität Regensburg zu industrieller Cybersicherheit. In Gesprächen mit verschiedenen Ma­schinen­bau-Unternehmen haben wir immer wieder dasselbe Bild gesehen: Ein Berater erstellt einmal ein Threat Model, das drei Monate später niemand mehr pflegt. Eine Entwicklerin sucht zwischen Kundenprojekten händisch nach Schwachstellen. Oder es gibt eine Excel-Liste, von der alle wissen, dass sie nicht reicht. 

Der Moment, in dem es "klick" gemacht hat: Als wir sahen, wie ein Mitarbeiter eines Unternehmens mit Excel-Listen manuell durch CVE-Datenbanken suchte und für seine Steuerungen dort schlicht keine Einträge fand. Da war klar: Es gibt kein Tool, das die Realität im Ma­schinen­bau abbildet. Maschinen, die 15 bis 20 Jahre laufen, zugekaufte Komponenten ohne SBOMs, keine Reaktionsfähigkeit bei neuen CVEs. Mit dem Cyber Resilience Act wird aus diesem Problem ab Dezember 2027 eine gesetzliche Pflicht. Genau diese Lücke schließen wir. 

Wie groß ist euer Team, wer gehört dazu und wie habt ihr euch gefunden?

Wir sind aktuell zu siebt: Dr. Markus Hornsteiner (CEO) und Dr. Philip Empl (CTO) als Gründer, Henric Hager, Zubayr Khalid und Manuel Wilhelm als Software Engineers sowie Josef Bateni und Caylin Hutton als Founders Associates. Kennengelernt haben sich Markus und Philip während ihrer Promotion in industrieller Cybersicherheit an der Universität Regensburg. 

Besonders an unserem Setup: Beide Gründer kommen aus der Forschung zu industrieller Cybersicherheit, Philip technisch in Richtung Automated Incident Response und Markus organisatorischer im Bereich Prozessmanagement für Cybersicherheit. Damit bringen wir tiefes Fachwissen zu OT-Security, Threat Modeling und Compliance mit, kombiniert mit einem Advisory Board aus Industrie und Wissenschaft (Prof. Dr. Stefan Schönig, Prof. Dr. Christian Roth). Wir ergänzen uns am meisten dort, wo Produkt auf Markt trifft: Philip treibt die technische Tiefe der Plattform, Markus übersetzt sie in das, was Ma­schinen­bauer wirklich brauchen und verstehen. 

Wer profitiert von eurem Produkt/eurer Lösung und warum?

Maschinen- und Anlagenbauer, vor allem der Mittelstand, der keine eigene Product-Security-Abteilung hat. Jeder vierte Ma­schinen­bauer hatte laut VDMA in den letzten zwei Jahren einen Cybersicherheitsvorfall, und Fälle wie Pilz (42 Tage Totalausfall) oder Schumag (Insolvenz nach Ransomware) zeigen, was auf dem Spiel steht. 

Konkret einfacher machen wir den Tag der Entwicklerinnen und Entwickler bzw. Entwicklungsleitenden, die bisher "nebenbei" für Sicherheit zuständig waren: Statt manuell SBOMs zu erstellen und CVE-Datenbanken zu durchsuchen, erstellt unser Scanner die SBOM automatisch aus Steuerungsprojekten, Netzwerk oder Diagnostic Dateien und die Plattform gleicht jede neue Schwachstelle automatisch dagegen ab und meldet sich erst, wenn eine Maschine wirklich betroffen ist. Vom Threat Modeling über Lieferantenmanagement bis zum CSAF-Advisory an Kundinnen und Kunden und Behörden: ein Prozess statt zehn Excel-Dateien. Und am Ende profitieren auch die Betreiber der Maschinen,  weil Sicherheitslücken erkannt werden, bevor sie zum Vorfall werden. 

Was sind eure nächsten Schritte? 

Kurzfristig: unseren SBOM-Scanner bei weiteren Herstellern ausrollen und gemeinsam mit unseren Pilotpartnern die Plattform weiter an der Realität im Ma­schinen­bau schärfen. Die BMBF-Förderung über 800.000 € im Rahmen von StartUpSecure gibt uns dafür Rückenwind bei Teamaufbau und Produktentwicklung. 

In einem Jahr, wenn alles gut läuft: Live bei 100 Kunden aus dem Ma­schinen­bau und wir sind für Ma­schinen­bauer die selbstverständliche Antwort auf die Frage "Wie werden wir bis Dezember 2027 CRA-ready?". Denn dann bleiben nur noch wenige Monate bis zur gesetzlichen Pflicht. 

Warum seid ihr überzeugt, dass genau ihr erfolgreich sein werdet?

Unser Ass im Ärmel ist die Kombination aus echter Domänentiefe und perfektem Timing. Wir kommen nicht als Security-Tool von außen in den Ma­schinen­bau, wir kommen aus ihm: Markus hat eine Ausbildung im Ma­schinen­bau absolviert, beide Gründer haben zu genau diesen Themen promoviert und dabei bereits mit namhaften Ma­schinen­bauern zusammengearbeitet. Wir kennen die Domäne, die Prozesse und die Probleme aus erster Hand. Dieses Wissen lässt sich nicht schnell kopieren. 

Generische Compliance-Tools verstehen keine Maschinen. Das fängt bei der Erfassung an: Unser Scanner erzeugt SBOMs direkt aus TIA-Portal-, B&R- und CODESYS-Projekten, liest zusätzlich aktiv Netzwerkdaten aus, nutzt die Daten von Herstellertools wie Siemens, Schneider oder Rockwell und bindet, wo vorhanden, auch ERP- und PLM-Systeme als Datenquelle an, bei jedem Build, CycloneDX-konform. 

Und es geht bei den Schwachstellen weiter: Für Industriekomponenten gibt es oft schlicht keine CPE-Einträge, klassisches Matching läuft damit ins Leere. Wir haben deshalb eigene, umfangreiche Matching-Algorithmen entwickelt, die Informationen aus verschiedenen Quellen zusammenführen, um Gerät und Schwachstelle zuverlässig zu verknüpfen. Dafür binden wir über 90 Schwachstellen-Datenbanken an, egal in welchem Format, ob CSAF, PDF oder sogar Hersteller-E-Mails und bringen alles in ein einheitliches, auswertbares Format, das mit den Daten aus der SBOM verknüpft wird. So entsteht der komplette Überblick über die gesamte Maschine, nicht nur über die Software. 

Der Markt kommt uns entgegen: Der Cyber Resilience Act macht ab Dezember 2027 verpflichtend, was wir heute schon als gelebten Prozess anbieten. On-Premises- und EU-Hosting-Optionen räumen zudem die Bedenken aus, die der Mittelstand bei Cloud-Tools sonst hat. 

Was waren die größten Erfolge und Hürden bisher?

Unsere größten Erfolge: der Gewinn des ATHENE SpeedUpSecure Accelerators 2025, die Aufnahme in den WERK1-Accelerator in München und natürlich die 800.000 € BMBF-Förderung im Rahmen von StartUpSecure. Am meisten zählt für uns aber, was im Markt passiert: Wir haben bereits namhafte Hersteller live auf unserer Plattform und eine gut gefüllte Pipeline mit weiteren großen Kunden. 

Ein Fehler, auf den wir im Nachhinein fast stolz sind: Anfang 2024 hatten wir uns auf NIS2 fokussiert. Wir haben dann aber schnell festgestellt, dass industrielle Netze mit ihren unzähligen Teil­neh­men­den und Abhängigkeiten als Startpunkt viel zu komplex und viel zu groß für uns waren. Also sind wir umgeschwenkt und haben uns radikal auf Produktsicherheit und den Cyber Resilience Act fokussiert. Rückblickend war dieser "Umweg" Gold wert: Wir haben gelernt, wie wichtig ein scharfer Fokus ist und genau dieser Fokus auf die Maschine als Produkt ist heute unsere größte Stärke. 

Warum habt ihr euch beim ATHENE Startup Award UP26@it-sa beworben?

ATHENE kennt uns und wir kennen ATHENE: Als Gewinner des SpeedUpSecure Accelerators 2025 haben wir erlebt, wie viel Substanz hinter diesem Netzwerk steckt. Der Award auf der it-sa ist für uns die logische Fortsetzung: die wichtigste IT-Security-Messe Europas, das relevanteste Publikum für unser Thema und eine Bühne, auf der Product Security für den Ma­schinen­bau die Sichtbarkeit bekommt, die das Thema angesichts des CRA verdient. 

Der letzte Schubs? Die simple Rechnung: Bis zum 11. Dezember 2027 tickt die Uhr für jeden Ma­schinen­bauer in Europa. Wenn nicht jetzt auf dieser Bühne über Product Security im Ma­schinen­bau gesprochen wird, wann dann? 

  

Zur News-Übersicht