Die eine E-Mail, die deine Runde killt
Du hast 18 Monate durchgezogen. Der MRR steigt. Das Pitch Deck sitzt. Du bist drei Wochen vom Series-A-Abschluss entfernt.
Dann schreibt der CISO deines Lead-Investors eine E-Mail: „Hat dieses Unternehmen einen Penetrationstest durchlaufen? Gibt es eine Security Posture, die wir reviewen können?"
Wenn die Antwort „nein" oder „noch nicht" lautet, hast du ein Problem. Bester Fall: Es verzögert die Runde. Schlimmster Fall: Der Investor springt ab — denn jedes SaaS verarbeitet Kundendaten, und kein Security-Review bedeutet unbekanntes Risiko.
Worauf Investoren 2026 achten
Investoren erwarten am Tag eins keinen SOC 2. Aber sie erwarten:
Die zwei häufigsten Findings in Early-Stage-SaaS
Nach 50+ Tests von Early-Stage-Produkten sehe ich immer wieder dieselben zwei Bugs:
1. Broken Access Control (IDOR/BOLA)
Deine API hat /api/projects/1, /api/projects/2 usw. Ein Nutzer von Unternehmen A ändert die URL auf /api/projects/3 und erhält die Projektdaten von Unternehmen B. Keine Middleware prüft Mandantenfähigkeit.
Warum das überall vorkommt: Startups shippen Features schnell. Bei jeder Query tenant_id hinzuzufügen fühlt sich nach Reibung an. Aber eine fehlende Prüfung ist ein meldepflichtiger Datenschutzverstoß nach DSGVO.
2. Kein Rate Limiting an Auth-Endpunkten
/api/login und /api/reset-password ohne Rate Limiting. Ein Angreifer kann Zugangsdaten brute-forcen oder gültige E-Mail-Adressen durch Timing beim Passwort-Reset aufzählen.
Warum das überall vorkommt: Rate Limiting ist unsichtbare Infrastruktur — Nutzer sehen sie nicht, also schafft sie es nie in den Sprint.
Die Kostenrechnung
| Kosten | Betrag | |--------|--------| | Pentest (5–10 Tage) | €€€ | | Behebung der gefundenen Bugs | 1–2 Sprint-Wochen | | Verlust einer Series-A-Runde wegen Security-Bedenken | Dein Unternehmen |
Die Rechnung ist einfach. Ein Pentest kostet weniger als die Anwaltsrechnung für eine DSGVO-Benachrichtigung an 500 Kunden.
Was du nächste Woche tun solltest
npm audit, pip audit).---
TL;DR
Wenn du eine Series A aufstellst, ist ein Pentest nicht mehr optional. Er ist Teil der Enterprise Due Diligence. Lass es machen, bevor sie fragen — es kostet weniger als die Alternative.