Dream: Cyber-Security-KI von Kurz-Scaleup erzielt Bestwert auf Berkeley-Benchmark

✨ AI Kontextualisierung

CyberGym gilt als einer der wichtigsten internationalen Benchmarks für KI-gestützte Schwachstellenanalyse. Gemessen wird die Fähigkeit von KI-Systemen, Sicherheitslücken in Software nachzuvollziehen und zu reproduzieren, konkret anhand von 1.507 Aufgaben aus 188 Open-Source-Projekten. Dream erreichte dabei laut Aussendung eine Erfolgsquote von 96,6 Prozent, den bisherigen Höchstwert auf dem Benchmark. Die Ergebnisse auf dem Leaderboard werden von den teilnehmenden Teams selbst evaluiert und eingereicht.

Spezialmodell „Hercules“ und Agenten-System „Hero“

Hinter dem Ergebnis steht eine Kombination aus zwei Komponenten, wie das Unternehmen in einem begleitenden Blogbeitrag ausführt: das auf Cybersecurity spezialisierte KI-Modell „Hercules“ und das Multi-Agenten-System „Hero“, das den Forschungsprozess orchestriert. Das System wurde nach Unternehmensangaben gezielt für defensive Sicherheitsarbeit entwickelt und soll bereits mehr als 1.000 validierte, zuvor unbekannte Schwachstellen (sogenannte Zero-Days) in Netzwerkgeräten, Firmware und Open-Source-Software identifiziert haben.

Ein zentrales Verkaufsargument ist dabei die Souveränitätsfrage: Das System läuft vollständig on-premises, also auf der eigenen Infrastruktur des jeweiligen Staates oder Betreibers, ohne dass Daten das Netzwerk verlassen. Damit richtet sich Dream an Regierungen und Betreiber kritischer Infrastruktur, die sensible Systeme nicht in Cloud-Umgebungen internationaler Anbieter auslagern wollen oder dürfen.

Kurz: „Dass die Heizung im Winter nicht ausfällt“

„Wir haben Dream gegründet, damit sich Staaten mit KI vor den gefährlichsten Cyberangriffen schützen können. Das Ranking freut uns und macht uns auch demütig, dahinter steht die Arbeit vieler Kolleginnen und Kollegen. Wichtiger als die Platzierung ist aber, was sie bedeutet: dass die Heizung im Winter nicht ausfällt, die Daten der Bürger sicher bleiben und Krankenhäuser ohne Unterbrechung weiterlaufen“, kommentiert Mitgründer Sebastian Kurz in der Aussendung.

Drei Milliarden US-Dollar Bewertung

Dream unterstützt nach eigenen Angaben Regierungen und Betreiber kritischer Infrastruktur in Europa, dem Nahen Osten und Südostasien. Der Ex-Bundeskanzler hatte das Unternehmen gemeinsam mit Shalev Hulio, dem früheren CEO der Spionagesoftware-Firma NSO, und CTO Gil Dolev gegründet (brutkasten berichtete). Zuletzt holte sich das Scaleup im Juni 2026 eine Finanzierungsrunde über 260 Millionen US-Dollar bei einer Bewertung von drei Milliarden US-Dollar (brutkasten berichtete). Laut Unternehmen beschäftigt Dream rund 350 Mitarbeiter:innen an den Standorten Wien, Tel Aviv und Abu Dhabi. Wie das Unternehmen intern funktioniert, hat sich brutkasten im Vorjahr beim Besuch im Hauptquartier in Tel Aviv angesehen.

Dieser Text ist zuerst im brutkasten-Printmagazin von August 2026 Aufbrechen erschienen. Eine Download-Möglichkeit des gesamten Magazins findet sich am Ende dieses Artikels.

Als die Initiative „EU INC“ im Herbst 2024 erstmals mit einem offenen Brief und einer Petition antrat, erwarteten wohl nicht wenige, dass deren Ruf nach einer paneuropäischen Gesellschaftsform ähnlich verhallen würde, wie es solche Vorstöße oft tun. Es war das Who is Who der europäischen Startup-Bubble, das unterschrieben hatte – Menschen, die außerhalb ebendieser Bubble bestenfalls in ihren Heimatländern bekannt sind und deren politisches Gewicht sich für gewöhnlich in Grenzen hält.

Doch es kam anders: EU-Kommissionspräsidentin Ursula von der Leyen griff das Thema schon kurze Zeit später persönlich auf und versprach die Umsetzung. „28th Regime“ lautete das Schlagwort dazu – ein Begriff, dessen Grundidee schon lange kursiert war und der 2024 in den viel zitierten Berichten von Enrico Letta und Mario Draghi an die EU-Kommission abermals ins Spiel gebracht worden war, was gewiss zum Interesse an oberster Stelle beitrug. Für die meisten ist der Terminus wohl etwas weniger selbsterklärend, als man in der EU-Kommission meinen will: Neben den 27 nationalen Rechtsrahmen für Unternehmen in den 27 EU-Mitgliedsstaaten soll ein 28., ein paneuropäischer Rahmen geschaffen werden, so die Idee.

EU statt Delaware

Doch warum das Ganze? Für die europäische Startup-Szene geht es – abhängig von den Regelungen im jeweiligen Heimatland – um eine Vereinfachung der Gründung; es geht, ganz dem europäischen Gedanken folgend, um eine Vereinfachung der Expansion innerhalb der EU; vor allem aber geht es, wie so oft, um das Thema Finanzierung. „Manche amerikanischen Investoren kommen nie nach Deutschland, weil sie sich sonst zwei Tage lang beim Notar den Vertrag vorlesen lassen müssten – ein Kabuki-Theater, das außerhalb des deutschsprachigen Raums als verrückt gilt“, sagt Clark Parsons, CEO des European Startup Network, im brutkasten-Interview. Daher würde es oft heißen: „Es wäre viel einfacher, wenn du eine Delaware Inc. hättest, in die ich investieren kann, statt deine verrückte GmbH-Struktur verstehen zu müssen“.

Diese Delaware Inc., also ein Unternehmen mit formellem Hauptsitz in Delaware – im Normalfall als Briefkastenfirma –, ist der global etablierte Standard, um US-amerikanische und auch andere internationale Investoren anzuziehen. Gebrauch machen von den besonders unternehmensfreundlichen rechtlichen und steuerlichen Bedingungen im zweitkleinsten US-Bundesstaat nicht nur Startups aus aller Welt, sondern auch rund zwei Drittel aller Fortune-500-Unternehmen, darunter etwa Google, Amazon und Walmart. Parsons formuliert dazu die Leitidee hinter der EU Inc.: „Warum schaffen wir nicht etwas, das mit Delaware konkurriert?“ Und er präzisiert: „Man registriert einmal, es gibt ein Vehikel, das jeder kennt. Wir haben Roaming fürs Handy, unsere Bürger und Arbeitnehmer überqueren Grenzen problemlos – aber unsere Startups können das nicht. Das ist doch Wahnsinn“.

Dass man sich damit ein ausgesprochen ambitioniertes Ziel gesetzt hat, war auch den Initiator:innen der „EU INC“-Initiative, unter ihnen der aus Österreich stammende Investor Andreas Klinger, von Beginn an klar. Entsprechend wollte man auch bei der ersten Ankündigung von Ursula von der Leyen noch nicht so recht euphorisch werden. Im Gegenteil: Nachdem von der Leyen bei einer viel beachteten Rede beim Weltwirtschaftsforum in Davos 2025 eine Vision für das 28th Regime ausgegeben hatte, die den Vorschlag der Initiative im Umfang sogar deutlich übertraf, bremste Klinger gegenüber brutkasten: „Wir haben von Beginn an gesagt, wir wollen Arbeitsrecht und Besteuerung nicht als Teil der EU Inc. Wir wollen das nicht anfassen“. Zu groß war die Sorge vor umfassenden Widerständen von EU-Ländern und anderen Playern im Gesetzgebungsprozess. Man bediente sich beim Vorschlag daher eines in der Startup-Welt nur allzu bekannten Konzepts: Er sollte „lean“ sein, ein „Minimum Viable Product“, um die Chance auf Umsetzung zu maximieren.

Bruchlinien

Doch die befürchteten Widerstände ließen auch so nicht lange auf sich warten. Erstmals kamen sie schon Mitte 2025 in Form eines vorauseilenden Gegenvorschlags von EU-Parlamentarier:innen – Monate bevor der formelle Entwurf der EU-Kommission vorlag. In diesem wurden einige zentrale Forderungen der Initiative nicht berücksichtigt bzw. deutlich aufgeweicht, was für eine Welle der Kritik von europäischen Startup-Institutionen sorgte.

Klar wurden bereits damals die Bruchlinien, die mit der Veröffentlichung des Kommissionsentwurfs zur EU Inc. im März 2026 noch deutlicher wurden: Kritik kommt vor allem von Arbeitnehmer:innenverbänden und damit auch von der politischen Linken. So äußert man dort etwa Sorgen zur möglichen Umgehung von Arbeitsrecht und „Sozialdumping“ durch die vorgeschlagene freie Wahl des Hauptsitzes. Ebenfalls sehr skeptisch äußern sich Notariatsverbände; sie befürchten eine Aushöhlung der Rechtssicherheit.

Es sind Argumente, denen man auf Startup-Seite naturgemäß nicht viel abgewinnen kann. „Das hat mit der Realität wenig zu tun“, sagt Clark Parsons in Bezug auf die arbeitsrechtlichen Bedenken – schließlich bleibe das Arbeitsrecht auch im Kommissionsentwurf unangetastet und hänge nicht am Unternehmenssitz, sondern am Betriebsort. Für die Arbeitnehmer:innen zähle weiterhin, in welchem Land sich ihr Arbeitsplatz befinde, und nicht, wo der Firmensitz sei. Den Sorgen der Notariate hält Parsons entgegen: „Viele Mitgliedstaaten kommen ohne Notare im Prozess bestens zurecht. Niemand behauptet, estnischen Startups fehle Rechtssicherheit, obwohl man dort in zehn Minuten online gründet“. Dennoch sieht er auch mögliche Chancen für Notariate in der neuen Rechtsform: „Wenn österreichische oder deutsche Notare zu ihren Regierungen gingen und sagten: ‚Macht uns zum Teil dieser Zertifizierung innerhalb von zwei Werktagen‘ – man würde sie mit offenen Armen empfangen“, meint der European-Startup-Network-Chef und legt Notar:innen ans Herz, „ein bisschen wie Startups zu denken“.

„Eine typische EU-Lösung“

Kritik am Kommissionsentwurf kam aber auch von der Initiative „EU INC“ und Startup-Verbänden. „Das Proposal ist nicht wirklich das, was wir vorgeschlagen haben, sondern eine typische EU-Lösung“, sagte etwa Andreas Klinger nach Veröffentlichung des Entwurfs im brutkasten-Interview. Letztlich belasse dieser noch immer zu viele Kompetenzen bei den Nationalstaaten und erfülle so nicht tatsächlich die Anforderungen eines 28th Regime, so die Argumentation. Es drohe eine Umsetzung in „27 verschiedenen Geschmacksrichtungen“.

Konkret bekrittelt die Initiative in der aktuellen Version ihres Positionspapiers aus dem Juli etwa, dass kein zentrales EU-Register für die EU Inc. vorgesehen ist und dass die Regelungen zur Arbeitnehmer:innenmitbestimmung nicht klar genug seien. Fast noch stärker als auf die Kritik am Kommissionsentwurf geht die Initiative im Papier aber auf Befürchtungen ein, dass der vorhandene Entwurf verwässert werden könnte. Denn der Prozess bis zum finalen Gesetz ist noch lange nicht vorbei.

Mehrere Schritte bis zum Beschluss

Nach Vorlage des Entwurfs holte nicht nur die Kommission Feedback von Stakeholdern ein – auch das EU-Parlament und der Rat der Europäischen Union, also das Gremium der Mitgliedsstaaten, starteten jeweils kleinteilige Prozesse, um ihre Positionen und Gegenentwürfe festzulegen; ebenfalls unter Einbeziehung von Stakeholdern. Auf Basis der Ergebnisse folgen dann im Herbst sogenannte Trilog-Verhandlungen zwischen Kommission, Parlament und Rat, die laut Plan bis Ende des Jahres abgeschlossen sein sollen.

Bis dahin kann also noch viel passieren – und die diesbezüglichen Befürchtungen, die von der Initiative „EU-INC“ im Positionspapier geäußert werden, gehen weit. Die Kernpunkte sind, dass am Ende statt der geplanten Verordnung doch nur eine Richtlinie herauskommen könnte und dass die freie Wahl des Firmensitzes fallen könnte. Ersteres würde zu einer eigenständigen rechtlichen Umsetzung in den jeweiligen Nationalstaaten führen und das Konzept eines tatsächlichen 28th Regime wohl endgültig kippen; Zweiteres würde es Nationalstaaten erleichtern, die Ziele der EU Inc. durch eigene Gesetzgebung zu konterkarieren – der Druck durch mögliche Abwanderung wäre dagegen ein Ansporn, die EU-weite Vereinfachung mitzutragen.

Dass diese Sorgen nicht aus der Luft gegriffen sind, liegt auf der Hand: Sowohl von der europäischen politischen Linken als auch von Stakeholder-Gruppen und den Regierungen einzelner Nationalstaaten kommen Vorschläge in diese Richtung. Was letztlich bei den Trilog-Verhandlungen herauskommt, bleibt abzuwarten.

Dabei gäbe es im Notfall noch eine Hintertür: Für eine sogenannte „Enhanced Cooperation“ (ein Opt-in-Verfahren für einzelne Länder, das über die EU moderiert wird) braucht es kein einstimmiges Votum innerhalb der EU, sondern lediglich mindestens neun Mitgliedsstaaten, die an Bord sind. Ein Beispiel für dieses Modell ist etwa das EU-Patentgericht, das von 18 der 27 Staaten ratifiziert wurde. „Wir wissen, dass in einigen Ländern ein sehr starkes Interesse besteht. Das eigentliche Problem ist aber, dass die EU keine Regierung im klassischen Sinn ist, sondern eher eine Art Debattierklub. Die Länder müssen sich nun entscheiden: Wollen wir mehr Europa oder nicht?“, so Andreas Klinger im Interview.

Zwischen Vision und Realität

Es geht aber eben nicht nur um die Frage nach einem vereinten Europa – Ziel ist und bleibt die Alternative zur Delaware Inc. und damit zur Abwanderung europäischer Unternehmen mit hohem Potenzial in die USA; zumindest, was den Hauptsitz anbelangt. Clark Parsons setzt ein noch größeres Ziel und definiert dazu einen KPI: „Wie viele EU Incs werden von Menschen gegründet, die gar nicht in Europa sitzen? Amerikaner, Inder, Chinesen gründen in Delaware. Warum sollten sie nicht eine EU Inc. gründen – und damit sofort Zugang zu einem Markt von 450 Millionen Menschen haben?“. Für Unternehmer:innen aus den EU-Beitrittskandidatenländern (etwa Ukraine, Montenegro), aber auch aus der Schweiz, Norwegen oder dem Vereinigten Königreich könnte das „die Speerspitze wirtschaftlicher Integration“ werden, skizziert der European-Startup-Network-Chef.

Doch seine Vision droht, eine solche zu bleiben. Einstweilen heißt es: Warten auf den Kompromiss. Und der könnte, wie es mit Kompromissen oft so ist, nicht nur für die europäische Startup-Szene, sondern für alle Beteiligten unbefriedigend werden.