80 YC-Launches geprüft: Bewerbungen und Sicherheitsmeldungen

Vor einem Demo Day oder einem Launch-YC-Post braucht ein Startup zwei Eingangskanäle, für die ein Gründerpostfach nicht taugt: eine öffentliche Karriereseite mit einer echten Pipeline dahinter und eine Anlaufstelle für Schwachstellenmeldungen mit security.txt, einer Richtlinie mit klarem Geltungsbereich und einer Bestätigungsfrist. Am 13. August 2026 haben wir die 80 zuletzt gestarteten Launch-YC-Unternehmen geprüft. Zwanzig hatten den ersten. Neun den zweiten.

Diese Lücke ist keine Nachlässigkeit. Sie entsteht, wenn zwei Aufgaben zwischen die Rollen dreier Mitgründer fallen – und der Launch-Termin trotzdem kommt.

Der Demo Day ist ein Traffic-Ereignis, und geplant haben Sie nur für die Investoren

Jeder Accelerator setzt ein öffentliches Ereignis an. Eingeplant haben Sie es als Investoren-Ereignis. Es ist zugleich ein Bewerber-Ereignis und ein Scanner-Ereignis, und beide Ströme landen an derselben Adresse.

So sieht der Kalender der Programme aus, die Gründerinnen und Gründer tatsächlich durchlaufen – Stand der veröffentlichten Angaben am 13. August 2026:

Anderes Kapital, andere Städte, dieselbe operative Tatsache: An einem Datum, das Sie längst kennen, werden Fremde versuchen, Sie zu erreichen, und die einzige veröffentlichte Adresse ist Ihre eigene.

Launch YC ist die klarste Ausprägung davon, weil es ein dauerhaft öffentlicher Bereich ist und kein einzelner Nachmittag. YC öffnete die Seite am 29. Juni 2022 für alle und holte damit eine interne Bookface-Funktion auf ycombinator.com. Gründer posten an jedem Tag zu jeder Zeit; Besucher sortieren nach Branche, Batch und Launch-Datum und stimmen Unternehmen in der Bestenliste nach oben. Als TechCrunch darüber berichtete, beschrieb Lindsay Amos von YC das Publikum als Gründer, Entwickler, Investoren und Jobsuchende. Traffic von Jobsuchenden ist ein ausdrückliches Designziel der Seite. Am 13. August 2026 standen dort 3.189 Launches insgesamt, davon allein mehr als 160 aus dem Batch Summer 2026 im Monat vor dessen Demo Day am 10. September.

Was am Launch-Tag tatsächlich ankommt – und wie schnell

Zwei Dinge kommen an: ein kurzer Schub menschlicher Aufmerksamkeit, der sich ganz am Anfang ballt, und ein stetiger Strom automatisierter Scans, der schon vor den Menschen eingesetzt hat.

Die menschliche Hälfte ist real, aber kurz. Eine Auswertung von 41.301 Show-HN-Posts und rund 100.000 Kommentar-Zeitstempeln zwischen Juni 2025 und Juni 2026 ergab eine mediane Halbwertszeit der Aufmerksamkeit von 7,2 Stunden: 90 % aller Kommentare eines Posts treffen bis Stunde 26 ein, nur 4,2 % nach 48 Stunden. Dieselbe Auswertung, ernüchternde Ausgangslage: Der mediane Launch bekam 2 Punkte und 0 Kommentare, und 61,7 % bekamen überhaupt keinen Kommentar.

Bei den Launches, die zünden, werden die Zahlen schnell groß. Robinhoods Hacker-News-Launch im Dezember 2013 – nicht von den Gründern, sondern von einem Dritten gepostet – brachte laut Kat Mañalacs Vortrag in der YC Startup Library 10.000 Anmeldungen am ersten Tag und mehr als 50.000 in der ersten Woche. PostHog, damals ein YC-W20-Team aus drei Leuten, meldete „deutlich über 200 Anmeldungen“ und mehr als 800 GitHub-Stars binnen fünf Tagen nach dem eigenen HN-Launch. Und Ashbys Daten zu rund 13 Millionen Bewerbungen zeigen: In der ersten Woche liegen die eingehenden Bewerbungen 2,5- bis 3-mal so hoch wie in jeder folgenden Woche. Die Spitze trifft genau dort ein, wo Ihr Prozess noch gar nicht existiert.

Über die automatisierte Hälfte wird seltener gesprochen. Das Satori-Team von HUMAN Security hat dokumentiert, dass Angreifer Certificate-Transparency-Logs wie CertStream beobachten, die jedes neu ausgestellte TLS-Zertifikat öffentlich verzeichnen. Ein frisches Zertifikat ist für sich schon das Signal, dass es etwas Neues zu scannen gibt. In HUMANs Honeypot-Auswertungen entfielen im Schnitt 69,5 % des Bot-Traffics auf Scanner, an manchen Tagen über 90 %; rund ein Drittel der Versuche zielte auf .env-Dateien, ein weiteres Drittel auf Daten aus Git-Repositorys.

Hacker News wiederum rät Launch-HN-Gründern, das Produkt leicht ausprobierbar zu machen: „Entfernen Sie Anmeldehürden, zumindest für den Launch-Tag – Sie bekommen mehr und besseres Feedback.“ Als Launch-Rat ist das richtig. Es heißt aber auch: Man rät Ihnen, Ihre Angriffsfläche an genau dem Tag zu vergrößern, an dem Ihr Zertifikat in den Transparency-Logs auftaucht.

Wir haben die Anlaufstellen von 80 Launch-YC-Unternehmen geprüft

Am 13. August 2026 haben wir uns die 80 jüngsten Launch-YC-Unternehmen vorgenommen (Launch-Fenster 31. Juli bis 13. August 2026, 80 eindeutige Domains) und zwei Dinge geprüft: ob es eine Karriereseite unter einer naheliegenden URL gibt und ob ein gültiger Kontakt für Schwachstellenmeldungen existiert.

Karriereseite: 20 von 80 (25 %) lieferten HTTP 200 auf /careers oder /jobs. Ein zweiter Durchlauf mit Browser-User-Agent ergab 19 von 80; der Unterschied war ein einzelner Timeout. Lesen Sie die Aussage genau: Ein 404 auf /careers beweist nicht, dass ein Unternehmen keine Karriereseite hat. Einige der übrigen 60 listen ihre Stellen womöglich auf einer gehosteten Jobbörse oder unter einem Pfad, den wir nicht erraten haben. Der Befund lautet: keine Karriereseite unter der naheliegenden URL – und diese URL tippen Kandidatinnen und Kandidaten trotzdem ein.

Meldeweg: 9 von 80 (11 %) lieferten eine gültige security.txt nach RFC 9116 aus, also HTTP 200 mit einer Contact:-Zeile unter /.well-known/security.txt oder /security.txt. 71 von 80 hatten keine.

Die Neun ist die interessantere Zahl, denn 6 der 9 führen in ein Gründerpostfach statt an eine eigene Adresse. Nur drei veröffentlichten einen echten security@-Alias. Die eine Datei, die Forscherinnen und Forscher laut Spezifikation abrufen sollen, zeigt in zwei von drei Fällen auf die Person, die in derselben Woche das Fundraising stemmt.

Die Launch-Posts bestätigen, worin der Eingangskanal tatsächlich besteht. Von den 80 Launch-Texten nennen 55 (69 %) mindestens eine E-Mail-Adresse, etwa je zur Hälfte namentliche Gründer und generische Aliasse. Ein bis zwei der achtzig enthielten ein Recruiting-Signal, und genau einer erwähnte Sicherheit oder Schwachstellenmeldungen – und das war Produkttext, kein Meldeweg. Das Bild ist damit genau umrissen: Am Tag mit dem höchsten Traffic der Firmengeschichte veröffentlicht der Gründer eine persönliche Adresse vor dem gesamten Internet, ohne jeden Filter dahinter.

Decawork belegt die These besser als jede Aggregatzahl. Der Launch am 12. August 2026 kam auf 135 Stimmen, verkauft wird „die Agent-Control-Plane für IT-Teams“: Identität, eng gefasste Zugangsdaten und IT-Freigabe für KI-Agenten. Die Contact-Zeile der security.txt ist ein Gründer-Alias. Die YC-Verzeichnisseite verlinkt den Launch und zeigt einen Jobs-Tab mit null Einträgen. Ein Unternehmen im Sicherheitsumfeld, Eingangskanal im Gründerpostfach, keine Karriereseite. Das ist keine Nachlässigkeit. Das ist der Normalzustand eines Vier-Personen-Teams drei Wochen vor dem Demo Day.

Eine Zahl relativiert die Dramatik. Über die 1.000 jüngsten Launches hinweg (ein Zeitfenster von elf Monaten, weil der Index den Abruf begrenzt) bekam der mediane Launch 19 Stimmen, der Mittelwert lag bei 59,7, das Maximum bei 3.085, und 23,6 % kamen auf weniger als 10 Stimmen. Für die meisten Unternehmen ist Launch YC allein ein Ereignis mit wenig Aufmerksamkeit. Nur wissen Sie vorher nicht, welche Art von Launch Sie erwischen, und der Eingangskanal muss stehen, bevor Sie es herausfinden.

Erster Strom: 298 Bewerbungen, 15 Interviews und 21 Stunden, die Sie nicht haben

Der eingehende Bewerberstrom ist in einer winzigen Firma größer, als Gründer erwarten – und verteilt sich auf weniger Schultern als in jeder anderen Unternehmensgröße.

Ashbys Startup-Hiring-Report 2026, gestützt auf über 1.200 VC-finanzierte Startups, 32.000 Einstellungen und 11 Millionen Bewerbungen, beziffert die eingehenden Bewerbungen pro Einstellung bei Startups unter 25 Mitarbeitenden auf 298. Pro getätigter Einstellung erhalten 15 Bewerberinnen und Bewerber ein Interview; rund 95 % des Eingangs werden also aussortiert, bevor überhaupt jemand mit jemandem spricht. Eine technische Besetzung verschlingt etwa 21 Interviewstunden – aus denselben vier Kalendern, aus denen auch das Produkt kommt.

Die Zeit unterschätzen Gründer am stärksten. In Startups unter 25 Mitarbeitenden dauert eine Besetzung 42 Tage mit Recruiter und 62 Tage ohne, und nur bei 38 % der Stellen in Unternehmen dieser Größe ist überhaupt ein Recruiter beteiligt. Ein Vier-Personen-Team steht strukturell in der 62-Tage-Spalte. Bei den Werkzeugen setzt sich dasselbe Gefälle fort: 43 % der Startups unter 25 Mitarbeitenden setzen irgendwo im Recruiting KI ein, danach 57 %, 66 % und 77 %, während die Mitarbeiterzahl in Richtung 100 bis 300 steigt. Die Hilfe landet bei den Firmen, die sie am wenigsten brauchen.

PostHog hat aufgeschrieben, wie sich das von innen anfühlt. Bei einer einzigen Marketing-Stelle verzeichnete das Team 300 Bewerbungen in den ersten zwei Tagen, einen Tagesrekord von 900 und über zwölf Monate mehr als 9.000 Bewerbungen bei durchschnittlich 460 pro Stelle. Der interne Recruiter brauchte weniger als eine Minute pro Bewerbung. Von den ersten 300 bekamen 12 ein Interview, also 4 %. PostHog hatte damals rund 42 Mitarbeitende, nicht vier. Und jetzt stellen Sie sich dasselbe Volumen ganz ohne Recruiter vor.

Die Standardantwort ist eine Tabelle, und die Daten sagen: Sie trägt nicht einmal beim Zehnfachen Ihrer Größe. Employs Recruiter Nation Report 2025 (Zogby Analytics, September 2025, über 1.200 US-Recruiter und Personalverantwortliche) fand, dass 79 % der Recruiting-Teams für ihre Auswertungen weiterhin auf Tabellen setzen und 40 % der Unternehmen unter 50 Mitarbeitenden auf Werkzeuge zurückgreifen, die dafür gar nicht gemacht sind – gegenüber 18 % bei 100 bis 5.000 Mitarbeitenden.

Wen Sie überhaupt zuerst einstellen sollten, steht im Leitfaden zu den ersten fünf Einstellungen. Was 298 Bewerbungen mit einem Bewertungsprozess anstellen, lesen Sie unter warum 300 Bewerbungen pro Stelle die manuelle Sichtung sprengen.

Zweiter Strom: der Forscher, der Sie nicht findet, und der Beg-Bounty-Jäger, der Sie längst gefunden hat

Ein veröffentlichter Sicherheitskontakt zieht Müll an. Das gehört klar gesagt, denn es ist das stärkste Argument dafür, einen Kanal zu bauen, statt ein Postfach nach außen zu öffnen.

Troy Hunts Beitrag „Beg Bounties“ (November 2021) dokumentiert Serienmails, die genau an die in seiner eigenen security.txt veröffentlichte Adresse gingen und DMARC-Einträge oder fehlende CSP-Header meldeten – laut Sophos „leicht auffindbare Konfigurationen, die öffentlich beobachtbar und von geringer Tragweite sind“. Hunt benennt die Hürde direkt: „Sobald Sicherheitskontakte veröffentlicht sind, müssen sich Organisationen mit Müllmeldungen herumschlagen.“

Der Hacker-News-Thread zu diesem Beitrag zeigt das deutlicher als jede Statistik. Ein Kommentator, danielvf: „Wir zahlen bis zu 250.000 $ Prämie für die Meldung einer kritischen Schwachstelle in Teilen unseres Codes und haben eine ganze Seite zum Melden von Problemen. Eine große Meldung kam nie, aber ein bis zwei dieser SPF/DKIM/Header/SSL-Sachen pro Woche schon.“ Ein anderer, tgsovlerkhgsel, bringt die eigentlichen Kosten auf den Punkt: „Die Beg-Bounty-Jäger machen es zur echten Zumutung, ernsthafte Sicherheitsprobleme zu melden.“ Intigriti berichtet, dass kleine und mittlere Unternehmen ohne formales Programm das bevorzugte Ziel sind, und dokumentiert eine Variante aus dem Jahr 2025, bei der der Absender den Fund selbst herstellt: Er lädt den Scan eines Reisepasses in einen nicht authentifizierten Helpdesk hoch, reicht die entstandene Anhang-URL bei VirusTotal ein und meldet sie anschließend als Datenleck zurück, verbunden mit einer Zahlungsforderung.

Fehlt der Kanal, entstehen die Kosten spiegelbildlich. Die CISA-Direktive BOD 20-01 beschreibt in den Worten der Behörde selbst, was dann passiert: „Erhält eine meldende Person keine Antwort von der Behörde oder eine Antwort, die sie als nicht hilfreich empfindet, kann sie annehmen, die Behörde werde die Schwachstelle nicht beheben. Das kann sie dazu bewegen, auf eine unkoordinierte öffentliche Offenlegung auszuweichen, um eine Behebung anzustoßen und Nutzer zu schützen.“

Eine echte Anlaufstelle ist nach wie vor selten. Eine Auswertung von 241 Millionen Domains durch IoT Defense fand 2026 auf rund 0,238 % davon eine gültige security.txt. In der Erhebung der IoT Security Foundation vom Januar 2026 hatten von 68 im Jahr 2025 neu aufgenommenen Herstellern 52 (76,47 %) überhaupt keinen Meldeweg. Junge Unternehmen sind durchgängig die am schlechtesten abgedeckte Gruppe – also die Gruppe, die das hier liest.

Eine security@-Adresse zu haben heißt noch nicht, einen Eingangskanal zu haben

Das stärkste Gegenbeispiel ist kein Unternehmen ohne Kanal. Es ist eines mit einem guten.

Mindgard meldete am 15. Dezember 2025 eine Remote-Code-Execution-Schwachstelle in Cursor an [email protected]: beliebige Codeausführung über eine bösartige git.exe im Wurzelverzeichnis eines Repositorys, ohne jedes Zutun der Nutzer. Am 15. Januar 2026 räumte Cursors CISO ein: „Eine Automatisierung, die zum privaten Bounty-Programm auf HackerOne einladen sollte, ist fehlgeschlagen.“ Nachfragen am 16. Februar, 3. März, 17. März und 1. April blieben unbeantwortet. Mindgard kündigte am 1. Juni die Veröffentlichung an und legte am 14. Juli 2026 alle Details offen, sieben Monate nach dem ersten Kontakt.

Der Kanal existierte, die Adresse stimmte. Gescheitert sind die Eingangsautomatisierung und das Nachfassen – und ein gut finanziertes Unternehmen handelte sich trotzdem eine öffentliche Offenlegung ein. Wenn Sie zu viert sind, ist „Wir haben eine security@-Adresse“ nicht die Antwort. Eine Bestätigungsfrist mit etwas dahinter schon.

Das kleinste Setup, das wirklich zählt

Beide Anlaufstellen lassen sich an einem Nachmittag aufbauen. BOD 20-01 bindet US-Bundesbehörden, nicht Ihr Startup, und der EU Cyber Resilience Act regelt Produkte mit digitalen Elementen, nicht reines SaaS. Nehmen Sie beides als beste verfügbare Vorlage, nicht als Pflicht, die Sie gerade verletzen.

1. Bauen Sie den Eingangskanal vor der Richtlinie. BOD 20-01 macht die Empfangsfähigkeit zur Vorbedingung: Sie müssen unaufgeforderte Meldungen entgegennehmen können, bevor Sie eine Richtlinie veröffentlichen. Eine Seite, über die niemand etwas einreichen kann, ist schlechter als gar keine Seite.
2. Veröffentlichen Sie security.txt mit Contact und Expires. Mehr Pflichtfelder kennt RFC 9116 nicht. Liefern Sie die Datei unter /.well-known/security.txt über HTTPS aus und tragen Sie die Verlängerung in den Kalender ein: 7,3 % der 2026 gefundenen security.txt-Dateien waren bereits abgelaufen.
3. Richten Sie Contact auf einen Alias, nicht auf eine Person. Sechs der neun gefundenen Unternehmen sind einen Weggang davon entfernt, dass ihr Kanal ins Leere läuft.
4. Legen Sie den Geltungsbereich zunächst auf ein System fest, dann erweitern Sie ihn. Das Modell von BOD 20-01 nimmt alle 90 Tage mindestens ein weiteres über das Internet erreichbares System hinzu. Fangen Sie mit Ihrer Produktdomain an.
5. Trennen Sie Bestätigungsfrist und Behebungsfrist. BOD 20-01 zielt auf eine Bestätigung binnen 3 Werktagen und eine Gültigkeitsprüfung binnen 7 Tagen; die Behebung ist ein eigenes 90-Tage-Ziel. Die Bestätigung ist das Versprechen, das Sie auch in der Launch-Woche halten können.
6. Erlauben Sie anonyme Meldungen und verlangen Sie keine personenbezogenen Daten. Beides sind harte Anforderungen in der Musterrichtlinie von BOD 20-01, und die britischen PSTI-Regelungen enthalten dieselbe Vorgabe zu personenbezogenen Daten.
7. Nehmen Sie Safe-Harbor-Formulierungen auf. Der Policymaker von disclose.io erzeugt kostenlos unter CC0 und ohne Konto eine Richtlinie, Safe-Harbor-Bedingungen, eine security.txt und DNS-Einträge. Heraus kommt ein Dokument, keine Warteschlange für die Sichtung – das ist die ehrliche Grenze der kostenlosen Variante. Unser Leitfaden zu Safe Harbor behandelt die Formulierungen, auf die es ankommt.
8. Veröffentlichen Sie /careers und legen Sie eine Pipeline dahinter. Eine echte URL, Stellen mit klarem Zuschnitt und ein Formular, das irgendwohin schreibt, nur nicht in ein Postfach. Wenn Sie lieber einen Prozess kopieren als erfinden, starten Sie mit einer Prozessvorlage.

Warum das ein System ist, nicht zwei Anschaffungen

Legt man die beiden Ströme nebeneinander, haben sie dieselbe operative Form. Eine nicht authentifizierte fremde Person schickt Ihnen etwas Unstrukturiertes. Es muss innerhalb einer Frist bestätigt, nach einem festen Raster gesichtet, an einen Menschen geleitet und mit einer Entscheidung abgeschlossen werden, die rechtlich und für den Ruf Gewicht hat. Zu viert kauft man diese Form genau einmal.

Der Markt verkauft sie so aber nicht. Greenhouse veröffentlicht überhaupt keine Preise – ein Pre-Seed-Gründer kann die Kosten also ohne Vertriebsgespräch nicht einschätzen. Ashbys Tarif All-In-One Foundations beginnt bei 400 $ pro Monat, ob Sie nun 4 oder 90 Personen sind. Workable kostet in der Stufe 1 bis 20 Mitarbeitende 299 $ pro Monat; SMS-Kontakt, Video-Interviews und Tests kommen als kostenpflichtige Add-ons obendrauf. Breezys kostenloser Tarif erlaubt genau eine aktive Stelle. YCs eigenes Recruiting-ATS ist gut und kostenlos, aber nur für YC-Unternehmen, nur solange Ihr YC-Status aktiv ist, und für die Sicherheitshälfte leistet es nichts. Wer bei Techstars, Antler, Entrepreneur First oder Speedrun sitzt, hat keine der beiden Hälften. (Mehr dazu, was ein ATS mit Abrechnung pro Platz ein kleines Team kostet.)

Die Spezifikation hat das Argument längst geliefert. RFC 9116 sieht ein optionales Feld Hiring in derselben security.txt vor, in der auch Contact steht – laut Abschnitt 2.5.6 gedacht zum „Verlinken der sicherheitsbezogenen Stellenangebote des Anbieters“. Die eine Datei, die ein Forscher abruft, ist darauf ausgelegt, auch Ihre Stellenanzeigen aufzunehmen.

Kit ist genau so gebaut. Der security_txt_body gibt Contact, Expires, Policy, Acknowledgments, Hiring, Encryption und Preferred-Languages aus einer einzigen Konfiguration aus, mit 365 Tagen Standardgültigkeit und einer Warnung 14 Tage vor Ablauf. Hinter Contact liegt ein öffentliches VDP-Forscherportal mit konfigurierbarer Bestätigungsfrist (standardmäßig 72 Stunden), nach Schweregrad gestaffelten Behebungszielen, einer Ratenbegrenzung von standardmäßig 5 Meldungen pro 5-Minuten-Fenster vor einer vorübergehenden Sperre und KI-Screening, das halluzinierte Funktionen, erfundene CVEs, Textbausteine und vage Reproduktionsschritte markiert. Hinter Hiring liegt ein öffentliches Karriereportal. Dazu kommen Kandidatenzugang per Magic Link, Prozessvorlagen für sieben Rollenkategorien, GitHub-integrierte Code-Aufgaben, Teambewertung samt Abstimmung und Interviewplanung. Beide Seiten stellen MCP-Tools bereit, sodass ein KI-Assistent die Pipeline oder die Sichtungs-Warteschlange direkt bearbeiten kann.

Machen Sie sich klar, was das nicht abdeckt. Kit verteilt Stellen nicht an Jobbörsen und liefert keinen Gehaltsvergleich. Es macht Sie weder CRA- noch PSTI- noch SOC-2-konform; es liefert Ihnen den Eingangskanal, die veröffentlichte Richtlinie, die Bestätigungsfrist und die Nachweiskette, die diese Regelwerke bei Ihnen ohnehin voraussetzen. Das Sicherheitsmodul wird zudem getrennt vom Recruiting-Tarif pro Platz abgerechnet – lesen Sie also die Preisseite, statt ein Bündel anzunehmen. Der Anspruch lautet: ein Anbieter, ein Login, eine security.txt – und nicht ein Gratis-Extra. Und nichts verhindert, dass Beg Bounties bei Ihnen eingehen. Ratenbegrenzung, Screening und Antwortvorlagen ändern nur den Preis, den sie Ihnen abverlangen, und das ist der Teil, den Sie in der Hand haben.

Was in den drei Wochen vor dem Demo Day zu tun ist

Drei Wochen vorher: Stellen Sie /careers mit den zwei Stellen online, die Sie tatsächlich besetzen werden, und veröffentlichen Sie security.txt mit Contact und Expires. Zwei URLs, ein Nachmittag.

Zwei Wochen vorher: Schreiben Sie die Richtlinie für Schwachstellenmeldungen (Geltungsbereich, erlaubte Tests, anonyme Einreichung, keine personenbezogenen Daten nötig, Safe Harbor) und die drei Kandidaten-E-Mails, die Sie am häufigsten verschicken werden: Eingangsbestätigung, Absage und Interview-Einladung. Vorlagen schlagen Improvisation in Stunde 26 eines Launches.

Eine Woche vorher: Legen Sie namentlich fest, wer welche Warteschlange verantwortet und was passiert, wenn diese Person gerade schläft. Setzen Sie die Bestätigungsfrist so an, dass Sie sie einhalten können, und testen Sie dann beide Anlaufstellen, indem Sie selbst etwas einreichen.

Der Fall Cursor ist der Grund, warum Sie testen sollten. Eine korrekte Adresse ohne funktionierendes Nachfassen führte zum selben Ergebnis wie gar keine Adresse – sieben Monate später und in aller Öffentlichkeit.

Wenn beide Warteschlangen vor dem Demo Day Ihres Batches laufen sollen, können Sie ein Kit-Konto einrichten und sowohl das Karriereportal als auch das VDP am selben Nachmittag live schalten. Wenn Sie lieber selbst etwas aus security.txt und einer Tabelle bauen, tun Sie das. Die eine Option, die am Launch-Tag aufhört zu funktionieren, ist das Gründerpostfach.

Alle Launch-YC-Messungen, Karriereseiten- und security.txt-Prüfungen sowie Anbieterpreise in diesem Artikel wurden am 13. August 2026 erhoben und ändern sich täglich.