Euer Startup in einem Satz? 

SQUR ersetzt den jährlichen Pentest durch kontinuierliche Sicherheitsvalidierung: KI-Agenten greifen Webanwendungen und APIs an wie ein echter Angreifer, beweisen jeden Fund durch kontrollierte Ausnutzung, verifizieren die Behebung und bescheinigen den Stand mit einem Zertifikat, das sich mit jedem sauberen Lauf aktualisiert.

#ContinuousTrust #AutonomousPentesting #MadeInGermany 

Wie ist eure Geschäftsidee entstanden? 

Adam war Director of Engineering bei Cobalt, einem der großen Anbieter für Pentesting-as-a-Service, und hat dort die Grenzen des Modells gesehen: Es hängt an menschlichen Pentestern – zu wenige für zu viele Systeme. Mit KI wurde das Missverhältnis noch größer: Code lässt sich heute günstig schreiben, aber die Zahl der Menschen, die ihn prüfen können, bleibt gleich. Daraus entstand SQUR: Sicherheitsnachweise sollen so kontinuierlich entstehen wie Software selbst: automatisch statt punktuell. 

Wie groß ist euer Team, wer gehört dazu? 

Zwei Personen plus zwei Advisors, bewusst schmal: Adam Lundqvist (Gründer, zuvor Cobalt) und Jan Oldörp (Engineering, Erfahrung u. a. in kritischer Infrastruktur). Die Advisors bringen wissenschaftliche Expertise aus Offensive Security und AI mit. 

Wer profitiert von eurem Produkt und warum? 

Unternehmen, die eigene Software bauen: typischerweise 20 bis 500 Mitarbeitende, ohne eigenes Security-Team. Sie starten den Test direkt bei SQUR, ohne Vertriebsgespräch, und erhalten einen Bericht, in dem jeder Fund belegt statt nur vermutet wird. 

Was sind eure nächsten Schritte? 

SQUR läuft seit August kontinuierlich im Abo statt als Einzeltest, mit einem Zertifikat, das sich mit jedem sauberen Lauf aktualisiert. Als Nächstes soll die autonome Behebung dazukommen: ein Fund inklusive konkretem Fix, den die Engine selbst nachprüft. Wachsen wollen wir zunächst im DACH-Raum, dann in Europa. 

Warum seid ihr überzeugt, dass genau ihr erfolgreich sein werdet? 

Weil wir nicht raten, sondern beweisen: Unsere Agenten nutzen Schwachstellen kontrolliert aus und melden nur, was tatsächlich ausnutzbar war. Dazu kommt ein struktureller Vorteil: Sicherheitsnachweise tragen Haftung, und Haftung hängt an einer juristischen Person in einer Jurisdiktion. Die kapitalstärksten Wettbewerber im Feld sitzen in den USA. Wir sind europäisch, mit EU-Datenresidenz und einem Preis, den auch ein 20-Personen-Unternehmen tragen kann: ab 995 Euro im Monat. 

Was waren die größten Erfolge und Hürden bisher? 

Die Plattform ist seit Oktober 2025 live und hat bereits über 200 Schwachstellen bei Kundinnen und Kunden gefunden. 2026 kamen mehrere Auszeichnungen dazu, darunter der 1. Platz beimBlack Forest Hackathon und der ECSO STARtup Award (Qualifier Bochum, damit qualifiziert für das Europa-Finale 2027). Die größte Hürde: Wir treten mit vergleichsweise wenig Kapital gegen deutlich besser finanzierte US-Wettbewerber an – das verzeiht keinen unfokussierten Monat. 

Warum habt ihr euch beim ATHENE Startup Award UP26@it-sa beworben? 

Weil die it-sa der Ort ist, an dem unsere Zielgruppe ohnehin ist. Und ATHENE ist als größtes Forschungszentrum für IT-Sicherheit in Europa für uns kein beliebiger Absender – autonomes Pentesting ist genau die Schnittstelle von Forschung und Anwendung, an der wir arbeiten, unter anderem mit einer Forschungspartnerschaft mit den KASTEL Security Research Labs am KIT. 

 

Zur News-Übersicht