Gesundheitswesen
Patientendaten schützen. Den Klinikbetrieb sicher weiterführen.
Offensive Security für den Mittelstand
Angreifer finden Ihre Schwachstellen. Wir finden sie zuerst.
Ihr Offensive-Security-Partner für den Mittelstand: Pentesting, Red Teaming und Security Awareness aus einer Hand, mit Berichten, die vor Vorstand und Auditoren bestehen.
- ISO 27001 & ISO 9001 zertifiziert
- Festpreisangebot in 24 Stunden (werktags)
- Daten in Deutschland - KI im eigenen Haus
200+ Kunden seit Gründung
Qualität & Vertrauen
Zertifikate und weitere Nachweise.
Unsere Zertifizierungen, Vertrauenszeichen und weiteren Nachweise im Überblick.
ISO/IEC 27001:2022
Informationssicherheit
Unser Management der Informationssicherheit ist für das gesamte Unternehmen zertifiziert. Das schließt den Umgang mit Ihren vertraulichen Projektinformationen ein.
ISO 9001:2015
Qualitätsmanagement
Unser zertifiziertes Qualitätsmanagement umfasst das gesamte Unternehmen. Dazu gehören auch die Abläufe von Ihrem Angebot bis zur Übergabe der Projektergebnisse.
AZAV Trägerzulassung
Zugelassener Bildungsträger
DEKRA hat AWARE7 als Bildungsträger für berufliche Weiterbildung zugelassen. Geprüft werden dabei unter anderem unser Qualitätsmanagement und die Qualifikation des Lehrpersonals.
Rahmenvereinbarung für NATO-Beschaffung
NCIA Basic Ordering Agreement
NATO Communications and Information Agency
Unsere Rahmenvereinbarung regelt die grundlegenden Vertragsbedingungen für künftige Aufträge. Sie ermöglicht uns die Teilnahme an passenden Ausschreibungen dieser NATO-Agentur.
Genehmigte Verhaltensregel
Trusted Data Processor
Verhaltensregel nach Art. 40 DSGVO
Wenn wir personenbezogene Daten in Ihrem Auftrag verarbeiten, gelten für uns die Anforderungen der genehmigten Verhaltensregel Trusted Data Processor. Die Einhaltung überwacht die unabhängige Kontrollstelle DSZ.
Branchen
Ihre Branche.
Unsere Perspektive.
Ein Einblick in unsere Branchenexpertise.
Alle Branchen ansehen-
-
Energieversorger
Leitsysteme absichern. Eine verlässliche Versorgung unterstützen.
-
Mittelstand & KMU
Sicherheitslücken erkennen und Maßnahmen passend zum Betrieb umsetzen.
Publikationen und Mitwirkung an Industriestandards
Meine digitale Sicherheit für Dummies
- Art:
- Fachbuch
- Verlag:
- Wiley-VCH
- ISBN:
- 978-3-527-72036-1
- Jahr:
- 2024
Meine digitale Sicherheit - Tipps und Tricks für Dummies
- Art:
- Fachbuch
- Verlag:
- Wiley-VCH
- ISBN:
- 978-3-527-71834-4
- Jahr:
- 2021
Management von Cyber-Risiken
- Organisation:
- BSI
- Rolle:
- Mitwirkender
- Initiative:
- Allianz für Cyber-Sicherheit
Top 10 for Large Language Models
- Organisation:
- OWASP
- Rolle:
- Core Team Contributor
- Jahr:
- 2023
Eigenständige Schwachstellenmeldungen
- Programm:
- MITRE CVE
- Beitrag:
- Verantwortungsvolle Offenlegung
Forschung & Evidenz
Was die Zahlen tatsächlich belegen
Drei Studien über Phishing, öffentliche Informationen und Websoftware. Jede Zahl hat ihre eigene Messgrundlage.
-
Phishing-Simulation
Öffnen und Klicken sind zwei Messwerte.
13,7 %Klickrate in Sales & Marketing
562 zugestellte Testmails in Sales & Marketing Bei 77 von 562 zugestellten Testmails wurde ein Linkklick registriert.
Technische Trackingereignisse: keine Aussage darüber, ob Nachrichten bewusst gelesen oder Zugangsdaten preisgegeben wurden.
Messgrundlage und Grenzen: Phishing-Simulation
Öffnungsrate und Klickrate sind nicht dasselbe
- Befund
- Bei 77 der 562 zugestellten simulierten Phishing-Mails wurde ein Klick auf den enthaltenen Link registriert. Das entspricht einer Klickrate von 13,7 %.
- Messgrundlage
- 299 der 562 Testmails wurden als geöffnet erfasst (53,2 %). Die Feldstudie umfasste insgesamt 68.742 Testmails in 36 Organisationen.
- Aussagegrenze
- Öffnungs- und Klicktracking registriert technische Ereignisse. Es zeigt weder, ob eine Nachricht bewusst gelesen wurde, noch ob Zugangsdaten preisgegeben worden wären.
-
Öffentliche Informationen
Öffentliche Spuren, gezielte Ansprache.
83 %der untersuchten Organisationen · gerundet
- Merkmale für gezielte Ansprache gefunden
- Übrige Organisationen
25 von 30 ausgewählten Organisationen Ein Feld entspricht einer Organisation. Bei 25 von 30 Organisationen ließen sich sieben bis 15 öffentliche Attribute über Beschäftigte für Spear-Phishing zusammenführen.
Die Quote zählt ausgewählte Organisationen, keine Personen. Grundlage sind nur online identifizierte Beschäftigte; kein repräsentativer Mittelstandswert.
Messgrundlage und Grenzen: Öffentliche Informationen
Öffentliche Spuren reichten für eine gezielte Ansprache
- Befund
- Bei 25 von 30 untersuchten Organisationen fanden die Forschenden Beschäftigte, zu denen sich sieben bis 15 öffentlich ableitbare Attribute für Spear-Phishing zusammenführen ließen.
- Messgrundlage
- Analysiert wurden 30 ausgewählte Organisationen (27 Unternehmen, zwei Behörden und eine gemeinnützige Organisation) sowie 18.873 online identifizierte Beschäftigte.
- Aussagegrenze
- Die Stichprobe war stark von großen Finanz- und Zahlungsunternehmen geprägt. Die 83 % zählen Organisationen, nicht Personen; Grundlage sind allein die online identifizierten Beschäftigten: nicht die gesamte Belegschaft und nicht repräsentativ für den deutschen Mittelstand.
-
Historische Web-Analyse
Softwarestände als Risikosignal.
95 %am Messpunkt Juni 2020
Letzter Messpunkt: Juni 2020 Erkannte Softwareversion einer gemeldeten Schwachstelle zugeordnet. 95 % der untersuchten Websites nutzten mindestens eine erkannte Softwareversion mit zugeordneter Schwachstelle.
Historische Obergrenze potenzieller Verwundbarkeit. Ob die Schwachstellen tatsächlich ausnutzbar waren, wurde nicht getestet.
Messgrundlage und Grenzen: Historische Web-Analyse
Erkannte Softwareversionen ließen sich bekannten Schwachstellen zuordnen
- Befund
- Im letzten Messpunkt im Juni 2020 nutzten 95 % der untersuchten Websites mindestens ein erkanntes Softwareprodukt, dessen ermittelte Version einer gemeldeten Schwachstelle zugeordnet wurde.
- Messgrundlage
- Die Langzeitstudie beobachtete über 5,6 Millionen Websites über 18 Monate und glich die erkannten Versionsstände mit veröffentlichten CVEs ab.
- Aussagegrenze
- Der Wert ist eine Obergrenze potenzieller Verwundbarkeit. Ob eine Schwachstelle in der beobachteten Konfiguration tatsächlich ausnutzbar war, wurde nicht getestet; die Daten sind historisch.
Leistungen
Drei Wege zu messbar mehr Sicherheit
Offensive Tests, Beratung oder Awareness: jeder Einstieg mit verbindlichem Festpreisangebot in 24 Stunden (werktags).
Offensive Security
Schwachstellen systematisch aufdecken: von der Web-Applikation bis zum Unternehmensnetz.
Beratung & Compliance
ISMS-Aufbau, ISO 27001, NIS-2 - regulatorische Anforderungen mit klarem Fahrplan erfüllen.
Awareness & Weiterbildung
Mitarbeitende messbar sensibilisieren: mit Simulationen, Live Hacking und zertifizierten Schulungen.
Warum AWARE7
Was uns von anderen Anbietern unterscheidet
Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.
Forschung und Lehre als Fundament
20 %Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.
Digitale Souveränität: keine Kompromisse
100 %Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.
Mehr zur digitalen SouveränitätFestpreis in 24h: planbare Projektzeiträume
24 hInnerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.
Ihr fester Ansprechpartner
1:1Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.
Peer-reviewte Publikationen
Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations
ACM AsiaCCS 2025
Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
A Platform for Physiological and Behavioral Security
NSPW 2025
Jan Hörnemann
Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem
IEEE/IFIP DSN 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Understanding Regional Filter Lists: Efficacy and Impact
PoPETS 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Für wen sind wir der richtige Partner?
Mittelstand mit 50-2.000 MA
Unternehmen, die echte Security brauchen, ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.
IT-Verantwortliche & CISOs
Die intern überzeugend argumentieren müssen und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.
Regulierte Branchen
KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA. Wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.
Team
Mit wem Sie zusammenarbeiten
Ablauf
Von der Anfrage zum Re-Test
- 01
Anfrage
Vertrauliches Erstgespräch, kostenfrei.
- 02
Festpreisangebot
Verbindlich innerhalb von 24 Stunden (werktags).
- 03
Kickoff & Scoping
Zeitplan, Testfenster und Ansprechpartner werden fixiert.
- 04
Durchführung
Nach BSI-Leitfaden und OWASP Testing Guidelines.
- 05
Bericht & Ergebnisgespräch
Priorisierte Findings mit konkreten Empfehlungen.
- 06
Re-Test
Auf Wunsch prüfen wir die Behebung der Findings nach, abgerechnet nach Aufwand.
Aktuelles
Wissen, das schützt
Threat Intelligence
Wie WebMCP die Angriffsfläche verändert: KI-Agenten bedienen Webseiten direkt
WebMCP macht Webseiten für KI-Agenten bedienbar. Welche Prompt-Injection-Risiken der W3C-Entwurf selbst dokumentiert und was Betreiber prüfen sollten.
Vincent Heinen Weiterlesen
Pressemitteilung
BSI Hall of Fame: Elisa Popowicz für Schwachstellenmeldung
Elisa Popowicz steht für eine Schwachstellenmeldung in der BSI Hall of Fame 2026. AWARE7 honoriert jeden gemeldeten Fund aus dem Team finanziell.
Chris Wojzechowski Weiterlesen
Compliance & Standards
Cyberversicherung für Unternehmen: Welche Voraussetzungen Versicherer 2026 prüfen
Welche Sicherheitsnachweise Cyberversicherer 2026 im Underwriting verlangen, was KI daran ändert und wie der Katalog zu den Controls der ISO 27001 passt.
Jan Hörnemann Weiterlesen
Häufige Fragen
Ihre Fragen: unsere Antworten
Was ist ein Penetrationstest und warum braucht mein Unternehmen einen?
Ein Penetrationstest (kurz: Pentest) ist ein autorisierter, simulierter Cyberangriff auf Ihre IT-Systeme, Netzwerke oder Webanwendungen. Unsere zertifizierten Sicherheitsexperten agieren dabei wie echte Angreifer: mit dem Ziel, Schwachstellen kontrolliert aufzudecken und nachvollziehbar zu dokumentieren. Das Ergebnis ist ein detaillierter Bericht mit allen gefundenen Sicherheitslücken, einer Risikobewertung und konkreten Handlungsempfehlungen. Für Mittelstandsunternehmen ist ein Pentest oft der erste realistische Blick auf die tatsächliche Angriffsfläche und eine Pflichtanforderung für ISO 27001 und viele Cyberversicherungen sowie ein bewährtes Mittel zur Erfüllung der NIS-2-Anforderungen zur Wirksamkeitsbewertung.
Was kostet ein Penetrationstest?
Die Kosten hängen vom Umfang ab: Testobjekt (Webanwendung, internes Netzwerk, externe Infrastruktur), Tiefe (Black-Box, Grey-Box oder White-Box) und Unternehmensgröße. Ein externer Netzwerk-Penetrationstest beginnt bei 5.400 EUR, ein Webapplikations-Pentest bei 6.750 EUR, ein interner Netzwerk-Pentest bei 8.100 EUR, jeweils als Einstiegspreis; der tatsächliche Umfang wird im Scoping festgelegt. Wir erstellen Ihnen nach einem kurzen Erstgespräch ein transparentes, verbindliches Festpreisangebot: ohne versteckte Kosten.
Sind wir von der NIS-2-Richtlinie betroffen, und was müssen wir tun?
Ob Ihr Unternehmen betroffen ist, hängt von der Einrichtungsart und seiner Größe ab. Für viele der in den Anlagen 1 und 2 des BSIG erfassten Einrichtungsarten gilt: mindestens 50 Beschäftigte oder jeweils mehr als 10 Mio. EUR Jahresumsatz und Jahresbilanzsumme. Für bestimmte Einrichtungsarten gelten Sonderregeln. Zu den Pflichten gehören Risikomanagement, Meldepflichten bei Vorfällen, Sicherheitsmaßnahmen für die Lieferkette und regelmäßige Sicherheitsüberprüfungen wie Penetrationstests. Wir prüfen in einem kostenlosen Erstgespräch, ob und in welchem Umfang NIS-2 für Ihr Unternehmen gilt, und zeigen Ihnen einen pragmatischen Umsetzungsfahrplan.
Was ist der Unterschied zwischen einem Pentest und einem Vulnerability Scan?
Ein automatisierter Vulnerability Scan durchsucht Ihre Systeme nach bekannten Schwachstellen: schnell, günstig, aber ohne menschliche Kreativität. Ein Penetrationstest geht deutlich weiter: Unsere Experten denken wie Angreifer, kombinieren Schwachstellen, testen Logikfehler und simulieren reale Angriffsketten, die kein Scanner erkennt. Vulnerability Scans sind sinnvoll als regelmäßiges Monitoring, ersetzen aber keinen Pentest. Für eine belastbare Sicherheitsaussage gegenüber Kunden, Versicherern oder Regulatoren ist ein manueller Penetrationstest unerlässlich.
Wie effektiv sind Phishing-Simulationen wirklich?
Phishing ist nach wie vor der häufigste Einstiegspunkt für Cyberangriffe: über 90 % aller erfolgreichen Angriffe beginnen mit einer Phishing-E-Mail. Phishing-Simulationen zeigen Ihnen ehrlich, wie anfällig Ihre Mitarbeitenden aktuell sind. Unsere Kunden beobachten nach einer ersten Simulation typischerweise, dass 15-40 % der Mitarbeitenden auf präparierte Links klicken. Nach drei bis vier simulierten Kampagnen mit begleitendem Training sinkt diese Rate auf unter 5 %. Der Nachweis dieser Verbesserung ist gleichzeitig ein belastbares Dokument für Ihr Sicherheitsmanagement und für Cyberversicherungen.
Welche Zertifizierungen und Qualifikationen haben Ihre Pentester?
Unsere Pentester sind nach international anerkannten Standards zertifiziert, darunter OSCP (Offensive Security Certified Professional) und weitere offensive Sicherheitszertifizierungen. Unsere Vorgehensweise orientiert sich am BSI-Leitfaden für Penetrationstests sowie den OWASP Testing Guidelines. Alle Leistungen werden ausschließlich durch festangestellte Mitarbeitende erbracht. Auf Anfrage stellen wir Ihnen gerne die relevanten Zertifikatsnachweise und anonymisierte Referenzprojekte aus Ihrer Branche zur Verfügung.
Festpreis für Ihr Projekt: in 24 Stunden.
Schildern Sie uns Ihr Vorhaben in einem vertraulichen Erstgespräch. Sie erhalten werktags innerhalb von 24 Stunden ein verbindliches Festpreisangebot.
Kostenlos · 30 Minuten · Unverbindlich
