Wir bauen nicht für die Demo. Wir bauen für den Tag, an dem es zählt.

Dieselben Fehler. Seit Jahrzehnten.

Die Muster hinter den großen Vorfällen sind alt. Ungeprüfte Abhängigkeiten, blind vertraute Updates, niemand weiß, was wirklich läuft. Nur die Namen ändern sich:

• Log4Shell, Dezember 2021: Tausende Organisationen wussten wochenlang nicht, ob sie betroffen sind — weil niemand belastbar sagen konnte, welche Komponenten wo liefen.
• SolarWinds, 2020: Eine signierte Software-Lieferkette wurde selbst zur Waffe. Die Betroffenen erfuhren es von Dritten.
• Südwestfalen-IT, Oktober 2023: Ein Ransomware-Angriff auf einen einzigen Dienstleister legte über 70 Kommunen in Deutschland monatelang lahm — Bürgerämter, Kfz-Zulassung, Sozialleistungen.
• MOVEit, 2023: Banken und Behörden weltweit betroffen, viele erst durch die Angreifer selbst informiert.
• XZ Utils, März 2024: Eine über Jahre eingeschleuste Hintertür in einer Kernbibliothek fast jeder Linux-Distribution — entdeckt nicht durch ein Sicherheitswerkzeug, sondern durch einen Entwickler, dem eine halbe Sekunde Verzögerung auffiel.
• CrowdStrike, Juli 2024: Ein fehlerhaftes Update eines vertrauten Sicherheitsanbieters legte weltweit rund 8,5 Millionen Systeme lahm — Flughäfen, Banken, Krankenhäuser. Kein Angriff. Nur blindes Vertrauen in einen Lieferanten.
• Jaguar Land Rover, September 2025: Ein Cyberangriff stoppte die Produktion eines der größten Autobauer Europas über Wochen.
• 2026: Laut Bitkom erreichte der Schaden durch Diebstahl, Sabotage und Spionage in der deutschen Wirtschaft 2025 mit 289,2 Milliarden Euro den höchsten Wert seit Beginn der Erhebung. Direkte Ransomware-Angriffe auf Finanzinstitute stiegen im ersten Quartal 2026 laut Black Kite um 76 Prozent gegenüber dem Vorjahr. Und mehr als jedes dritte betroffene Unternehmen in Deutschland konnte einen Angriff inzwischen einem fremden Nachrichtendienst zuordnen — 2023 war es noch jedes vierzehnte.

Die Aufsicht reagiert: Die EZB verschickt formelle „Dear CEO"-Schreiben mit konkreten Schutzanforderungen an die Banken. NIS2, DORA und der CRA verlangen Nachweise — keine Absichtserklärungen. Wer dann nur ein Dashboard vorlegen kann, hat verloren, bevor die Prüfung begonnen hat.

Was wir anders machen

Wir liefern kein Dashboard, das heute grün und morgen anders ist. Wir liefern ein Beweisstück: deterministisch, signiert, Byte für Byte reproduzierbar — heute, in einem Audit, und in fünf Jahren vor Gericht. Wer nutzt, kann zeigen, was er wusste, wann er es wusste und was er getan hat. Das ist der Kern. Aber es ist längst nicht alles.

Eine Plattform, die jeden Tag stärker wird

ist kein Einzelwerkzeug und wird nie eines sein. Komponenten- und Binäranalyse gegen OSV, NVD, KEV und EPSS sind heute produktiv. Daran wird jeden Tag weitergebaut, und jedes Modul folgt derselben Regel: Ergebnisse sind Beweise, oder sie sind nichts.

In Entwicklung:

• Analyse exponierter Angriffsflächen — was von außen erreichbar ist, belegt statt vermutet
• Engine- und Game-Analyse — Spiele-Engines, Mods, Laufzeitumgebungen, die sonst niemand prüft
• Tiefere Prüfungen entlang der gesamten Lieferkette — vom Quellcode bis zum ausgelieferten Binary
• Manifest- und Konfigurationsanalyse über alle gängigen Ökosysteme

Und darüber hinaus: Ein eigenständiger Bereich für Penetrationstests und Red-Team-Arbeit ist in Planung — bewusst getrennt von der Plattform, mit eigenem Team, eigenen Regeln, eigener Verantwortung. Die Plattform selbst bleibt reines Nachweis- und Governance-Werkzeug. Das ist keine Einschränkung. Das ist die Voraussetzung dafür, dass ihre Ergebnisse vor Gericht Bestand haben.

Sicherheit ist bei uns keine Abteilung. Sie ist die Grundlage.

Sicherheit steht bei jeder Entscheidung an erster Stelle — vor Komfort, vor Tempo, vor Marketing. Ihre Daten bleiben unter Ihrer Kontrolle: keine Weitergabe, kein Routing über Dritte, kein stiller Export. Wir bauen so, dass es keinen Weg gibt, an Ihre Daten zu kommen — nicht für uns, nicht für andere. Was wir nicht garantieren können, versprechen wir nicht. Was wir versprechen, können wir beweisen.

Warum wir das tun

Weil regulierte Organisationen — Banken, Versicherer, Betreiber kritischer Infrastruktur, Behörden — zu oft mit Werkzeugen arbeiten müssen, die groß reden und wenig beweisen. Weil dieselben Fehler seit Jahrzehnten gemacht werden und niemand daraus lernt. Wir wollen das Gegenteil sein: wenig reden, viel beweisen, und jeden Tag ein Stück weiter.