SCI Semiconductor sammelt 5 Mio. Pfund für speichersichere ICENI-Chips ein

SCI Semiconductor will mit frischem Kapital eine Idee in den Markt bringen, die in der IT-Sicherheit seit Jahren an Bedeutung gewinnt: Bestimmte Speicherfehler sollen nicht erst nachträglich per Software-Patch entdeckt und behoben werden, sondern bereits durch die Prozessorarchitektur schwerer ausnutzbar sein.

Das Unternehmen mit Sitz im englischen Sheffield hat 5 Mio. Pfund in einer überzeichneten Finanzierungsrunde erhalten. Damit soll die Produktion seiner ICENI-Chips steigen; zugleich arbeitet SCI an einer nächsten Chipgeneration. 36

Wer investiert – und wofür das Geld gedacht ist

Angeführt wurde die Runde von PXN Ventures und Mercia Ventures. Beide verwalten jeweils einen Eigenkapitalfonds des Northern Powerhouse Investment Fund II, eines britischen Finanzierungsprogramms für Unternehmen im Norden Englands. Beteiligt waren außerdem der auf Cybersicherheit spezialisierte Investor Osney Capital, Black Opal Ventures aus den USA sowie private Investoren. 36

SCI zufolge liegt der kurzfristige Schwerpunkt darauf, die ICENI-Produktion angesichts der Nachfrage hochzufahren und die Chipentwicklung fortzusetzen. Das Unternehmen hat nach eigenen Angaben erste Chips gefertigt und Bestellungen im Wert von mehr als 2 Mio. Pfund gesichert. Außerdem nennt es Regierungsaufträge im Umfang von 7,7 Mio. Pfund sowie Partnerschaften mit Google Research und Microsoft. 612

Das sind Signale für frühe Marktakzeptanz. Für den breiten Einsatz ist jedoch mehr nötig als fertige Hardware: Entwicklungswerkzeuge, Software und Anwendungen müssen in realen Produkten zuverlässig zusammenspielen.

Was ICENI mit CHERI anders macht

ICENI basiert auf CHERI, einer fähigkeitsbasierten Rechnerarchitektur aus staatlich geförderter britischer Forschung. CHERI nutzt speichersichere Zeiger und eine sichere Abschottung von Speicherbereichen. Dadurch wird kontrolliert, wie Software auf Speicher zugreifen darf. Die britische Regierung beschreibt CHERI als einen Security-by-Design-Ansatz, der die Systemsicherheit stärken und viele verbreitete Speicher-Schwachstellen beseitigen soll.

Praktisch geht es darum, Fehlerklassen wie ungültige Speicherzugriffe oder Zugriffe außerhalb eines zulässigen Speicherbereichs schwerer ausnutzbar zu machen. Das unterscheidet sich grundlegend von Sicherheitsprüfungen, die allein in Software erst nach dem Schreiben oder Ausliefern des Codes greifen.

Das Potenzial ist groß, weil Fehler bei der Speichernutzung weiterhin eine häufige Quelle für Sicherheitslücken sind. Britische Regierungsunterlagen verweisen auf Untersuchungen von Google und Microsoft, wonach Speicher-Sicherheitsfehler rund 70 % der fortlaufend auftretenden Cyber-Schwachstellen ausmachen.

Speicherfehler sind auch ein Zuverlässigkeitsproblem

Fehler im Speicherzugriff sind nicht nur ein abstraktes Sicherheitsrisiko. Sie können auch Systeme zum Absturz bringen. Der weltweite CrowdStrike-Ausfall im Juli 2024 war kein Cyberangriff. Die technische Ursachenanalyse des Unternehmens stellte jedoch fest, dass ein bereits vorhandener Lesezugriff außerhalb eines zulässigen Speicherbereichs im Content Interpreter zu den Systemabstürzen nach einem fehlerhaften Update beitrug.

Daraus folgt nicht, dass ein CHERI-basiertes Design jeden Faktor dieses Ausfalls verhindert hätte. Der Vorfall zeigt aber, weshalb Unternehmen verstärkt daran interessiert sind, ganze Fehlerklassen zu reduzieren – statt ausschließlich auf Erkennung und Fehlerbehebung nach der Veröffentlichung zu setzen.

Auch das britische National Cyber Security Centre (NCSC) argumentiert in diese Richtung: Speicher-Schwachstellen seien weit verbreitet; sicherheitsorientierte Entwicklung könne den dauerhaften Aufwand für Patch-Management und Incident Response erheblich senken. Zugleich betont das NCSC, dass Updates weiterhin unverzichtbar sind – besonders bei exponierten und kritischen Systemen.

Schutzschicht statt Sicherheits-Allheilmittel

Hardware-erzwungene Speichergrenzen können das Risiko oder die Folgen bestimmter Speicherbeschädigungen verringern. Das kann besonders bei Produkten mit langen Support-Zeiträumen oder in Umgebungen mit hohen Betriebsfolgen wertvoll sein.

Speichersicherheit ist aber nur eine von mehreren Sicherheitsschichten. CHERI-basierte Hardware löst keine Probleme bei Identitäts- und Zugriffsrechten, unsicheren Update-Prozessen, Fehlkonfigurationen, Social Engineering, Lieferkettenrisiken oder Fehlern in der Anwendungslogik. Sichere Entwicklungsprozesse, Tests, Monitoring, Schwachstellenmanagement und zeitnahe Updates bleiben erforderlich.

Für SCI geht es daher um mehr als Chip-Leistung. Kunden benötigen einen plausiblen Weg, CHERI-fähige Hardware und Software ohne unvertretbare Kosten, Kompatibilitätsprobleme oder Nachteile bei der Entwicklung in ihre Produkte zu integrieren.

Was der Cyber Resilience Act verändert

Für Hersteller von Produkten mit digitalen Elementen gelten in der EU seit dem 11. September 2026 Meldepflichten. Aktiv ausgenutzte Schwachstellen und schwere Vorfälle, die die Produktsicherheit beeinträchtigen, müssen gemeldet werden. Eine Erstwarnung ist innerhalb von 24 Stunden nach Kenntnis erforderlich, eine ausführlichere Meldung innerhalb von 72 Stunden. 1718

Eine speichersichere Architektur könnte Herstellern helfen, das Risiko bestimmter meldepflichtiger Speicherfehler zu reduzieren und einen stärker sicherheitsorientierten Produktentwurf nachzuweisen. Automatische Compliance schafft sie jedoch nicht: Die Pflichten des Cyber Resilience Act verlangen weiterhin Prozesse für Produktsicherheit, Vorfallserkennung, Schwachstellenbehandlung und Meldungen – neben den übrigen anwendbaren Anforderungen.

Der nächste Beleg muss aus der Praxis kommen

SCI wurde 2022 gegründet. Berichten zufolge ist das Unternehmen Kernlieferant im britischen Accelerated CHERI Adoption Programme und plant, sein 35-köpfiges Team in Sheffield und Cambridge um 15 Stellen zu erweitern. 1114

Die 5 Mio. Pfund verschaffen SCI Spielraum für den Schritt von erstem Silizium und frühen Bestellungen zur Produktion in größerem Maßstab. Das Kernversprechen ist einfach: Wenn Regeln für Speicherzugriffe in Hardware durchgesetzt werden, lassen sich manche Schwachstellen verhindern, bevor sie zu Patch-, Ausfall- oder Meldeproblemen werden.

Ob daraus eine breit eingesetzte Produktkategorie wird, entscheidet sich allerdings bei der Integration durch Kunden, der Reife der Entwicklerwerkzeuge und der nachgewiesenen Leistung im produktiven Betrieb.