Penetration Testing · Frankfurt am Main

Penetrationstest in Frankfurt am Main

Name: AWARE7 GmbH
Address: Munscheidstraße 14, Gelsenkirchen, 45886, DE
Telephone: +49 209 8830 6760
Price range: ab 5.400 EUR

Frankfurt am Main ist als Sitz der EZB, der Deutschen Börse Group und von DE-CIX der einzige Standort in Deutschland, an dem europäische Finanzmarktaufsicht, systemrelevante Handelsinfrastruktur und einer der weltgrößten Internetknoten nach Datendurchsatz gemeinsam unter DORA, KRITIS und BaFin-Aufsicht stehen. Unsere Pentester prüfen Handelsplattformen, Clearing-Systeme und Rechenzentrumsbetreiber auf diese Anforderungen und sichern OT-Anlagen in Pharmastandorten wie dem Industriepark Höchst, bevor Aufsichtsbehörden oder Angreifer Schwachstellen finden.

Erstberatung vereinbaren Pentest-Details ansehen

500+
Durchgeführte Pentests: 24h
Festpreisangebot (werktags): OSCP
Zertifizierte Pentester

Wirtschaftsstandort

IT-Sicherheit für den Wirtschaftsstandort Frankfurt am Main

Frankfurt am Main mit 760.000 Einwohnern ist ein bedeutender Wirtschaftsstandort in Hessen. Unternehmen hier stehen vor spezifischen Sicherheitsherausforderungen.

Banken & Finanzinfrastruktur

Im 1. Quartal 2024 arbeiteten rund 70.700 sozialversicherungspflichtig Beschäftigte in Banken in Frankfurt am Main, deutlich über 11 % aller deutschen Bankarbeitsplätze (FAZ, Helaba-Analyse Q1 2024). EZB, Deutsche Bank, DZ Bank, Commerzbank und Deutsche Börse Group konzentrieren hier systemrelevante Finanzinfrastruktur, die bei einem erfolgreichen Angriff europaweite Auswirkungen hätte. Ein DORA-konformer Penetrationstest prüft Handelsplattformen, Clearing-Systeme und offene API-Schnittstellen auf die gesetzlich vorgeschriebene operative Resilienz.

Digitale Infrastruktur: DE-CIX

DE-CIX Frankfurt erzielte im Dezember 2025 einen Peak-Traffic von 18,73 Tbit/s und verarbeitete 2025 insgesamt 48 Exabyte Daten (DE-CIX, Golem Januar 2026). Als Internetknoten, an den Stand 2024 fast 1.100 Netzwerke angeschlossen sind, erfüllt DE-CIX die Kriterien einer kritischen Anlage im Sektor Digitale Infrastruktur nach BSI-KritisV. Ein Penetrationstest prüft Peering-Infrastruktur, Management-Zugänge und Netzsegmentierungen, bevor Schwachstellen Auswirkungen auf einen Großteil des deutschen Internetverkehrs hätten.

Rechenzentren & Cloud

Frankfurt am Main zählt mit 55 Rechenzentren auf knapp 63 Hektar zu den dichtesten Rechenzentrums-Standorten Europas; für den Großraum Frankfurt (Hessen) nennt Bitkom rund 1.100 MW installierte IT-Leistung, der größte Cluster in Deutschland. Betreiber ab 3,5 MW Housing-Leistung müssen nach BSIG als KRITIS-Betreiber alle drei Jahre Sicherheitsnachweise gegenüber dem BSI erbringen. Ein Penetrationstest orientiert an BSI C5 und ISO/IEC 27001 ist das von BSI-Prüfern erwartete Nachweisdokument für 'Stand der Technik'-Maßnahmen.

Pharma & Industriepark Höchst

Sanofi-Aventis Deutschland betreibt im Industriepark Höchst seinen nach eigenen Angaben weltweit größten integrierten Produktions- und Fertigungsstandort mit rund 6.500 Beschäftigten und investiert bis 2029 rund 1,3 Mrd. Euro in ein neues Insulinwerk (Hessenschau). Die IT verbindet OT-Produktionsanlagen für Biologika und Insuline mit globalen Lieferkettensystemen in rund 80 Ländern. Ein klassisches Angriffsziel für Industriespionage und Ransomware. Ein Penetrationstest muss hier neben der Enterprise-IT auch die Schnittstellen zwischen Produktions-OT und unternehmensweiten Systemen untersuchen.

Dokumentierte Fälle

Cybervorfälle mit Bezug zu Frankfurt am Main

Reale, dokumentierte Fälle zeigen, wo die Risiken konkret liegen - und was ein Penetrationstest davon verhindern kann.

2019

Emotet legt Frankfurter Stadtverwaltung lahm

Am 18. Dezember 2019 wurde auf einem Rechner im Bürgeramt Fechenheim eine Emotet-Variante entdeckt; die gesamte städtische IT-Infrastruktur wurde vorsorglich heruntergefahren, frankfurt.de blieb bis zum 19. Dezember offline und der Publikumsverkehr in allen Ämtern war eingestellt (Heise Security, Handelsblatt, FAZ). Das BKA nennt die Stadt Frankfurt in seiner Pressemitteilung vom Januar 2021 ausdrücklich als bekanntes Emotet-Opfer. Phishing-Einfallstore und fehlende Endpoint-Härtung. Genau diese Angriffsmuster deckt ein Penetrationstest gemeinsam mit einer Phishing-Simulation im Vorfeld auf.

2023

Hackerangriff auf das Universitätsklinikum Frankfurt

Am 7. Oktober 2023 trennte das Universitätsklinikum Frankfurt sein gesamtes Kliniknetz vollständig vom Internet, nachdem am Vorabend bei einer Routinekontrolle verdächtige Aktivitäten festgestellt worden waren (Heise Security, ZEIT/dpa). Der IT-Schaden erreichte den Millionenbereich; der ärztliche Direktor Prof. Jürgen Graf beschrieb die Lage als 'größten anzunehmenden Unglücksfall mit dem kleinsten zu erwartenden Schaden' (kma-online, FAZ). Angriffsmuster auf klinische IT-Infrastruktur und vernetzte Medizintechnik sind genau das, was ein gezielter Penetrationstest auf Krankenhausumgebungen im Vorfeld aufdeckt.

Compliance

Regulatorische Anforderungen in Frankfurt am Main

Unternehmen in Frankfurt am Main unterliegen branchenspezifischen Compliance-Anforderungen, die regelmäßige Sicherheitsprüfungen erfordern.

DORA Art. 26/27: Threat-Led Penetration Testing (TLPT)

DORA ist seit dem 17. Januar 2025 verbindlich anwendbar und verpflichtet von der zuständigen Behörde designierte Finanzinstitute mindestens alle drei Jahre zu einem Threat-Led Penetration Testing (TLPT) auf Live-Produktionssystemen (Art. 26/27 DORA, BaFin). In Frankfurt haben global systemrelevante Banken (G-SIBs) wie die Deutsche Bank sowie systemrelevante Marktinfrastrukturen wie die Deutsche Börse Group ihren Sitz, Institutstypen, die nach DORA typischerweise für TLPT designiert werden. Tester müssen nach Art. 27 DORA qualifiziert und unabhängig sein sowie eine Berufshaftpflichtversicherung nachweisen; der Test folgt dem TIBER-EU-Rahmen mit Threat-Intelligence-, Red-Team- und Purple-Team-Phase.

KRITIS Digitale Infrastruktur: DE-CIX und Rechenzentren

Rechenzentrumsbetreiber ab 3,5 MW Housing-Leistung und Internetknoten wie DE-CIX erfüllen die Kriterien für eine KRITIS-Einstufung im Sektor Digitale Infrastruktur nach BSI-KritisV. Sie müssen erhebliche Sicherheitsvorfälle binnen 24 Stunden beim BSI melden (§32 BSIG), Systeme zur Angriffserkennung betreiben (§31 BSIG) und alle drei Jahre Sicherheitsnachweise vorlegen (§39 BSIG). Ein Penetrationstest orientiert an BSI C5 und ISO/IEC 27001 ist das von BSI-Prüfern erwartete Nachweisdokument für 'Stand der Technik'-Maßnahmen.

HBDI: Hessischer Beauftragter für Datenschutz und Informationsfreiheit

Der HBDI ist die zuständige Datenschutzaufsichtsbehörde für alle Unternehmen und öffentlichen Stellen in Hessen und meldete für 2025 rund 2.730 Datenschutzverletzungen (+28 % gegenüber 2024) sowie 625 Cyberangriffe auf IT-Systeme (+30 %) (HBDI Tätigkeitsbericht 2025). Frankfurter Finanzinstitute, Rechenzentrumsbetreiber und Gesundheitsversorger, alle der HBDI-Aufsicht unterstellt, verarbeiten besonders schutzbedürftige Daten im regulierten Umfeld von DORA, KRITIS und DSGVO gleichzeitig. Bei DS-GVO-Verstößen kann der HBDI Bußgelder bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes verhängen; Penetrationstests liefern den dokumentierbaren Nachweis der technischen Rechenschaftspflicht nach Art. 32 DS-GVO.

Leistungen

Unsere Pentest-Leistungen für Frankfurt am Main

Nr.LeistungFokusDetails

Web-Applikationen

Fokus

OWASP Top 10, API Security, Business Logic Testing

Details

Netzwerk & Infrastruktur

Fokus

Extern, intern, Active Directory, WLAN

Details

Cloud Security

Fokus

AWS, Azure, GCP - Konfiguration und Zugriffsrechte

Details

Mobile Apps

Fokus

iOS und Android - OWASP MASTG konform

Details

Red Teaming

Fokus

Realistische Angriffssimulation über alle Vektoren

Details

Schwachstellenscan

Fokus

Automatisierte Prüfung als Ergänzung zum Pentest

Details

Ablauf

So läuft Ihr Pentest in Frankfurt am Main ab

Erstgespräch

Kostenlose Scope-Definition und Bedarfsanalyse

Angebot in 24h (werktags)

Verbindliches Festpreisangebot ohne versteckte Kosten

Durchführung

Remote und bei Bedarf vor Ort in Frankfurt am Main

Bericht & Nachtest

Management Summary und technische Details

Pentest-Angebot für Frankfurt am Main anfordern

Festpreisangebot in 24 Stunden (werktags). Keine versteckten Kosten. Kostenlose Erstberatung.

Kostenlose Erstberatung vereinbaren

Kostenlos · 30 Minuten · Unverbindlich

Warum AWARE7 für Ihren Pentest in Frankfurt am Main

Was uns von anderen Anbietern unterscheidet

Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.

Forschung und Lehre als Fundament

20 %

Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.

Digitale Souveränität: keine Kompromisse

100 %

Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.

Mehr zur digitalen Souveränität

Festpreis in 24h: planbare Projektzeiträume

24 h

Innerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.

Ihr fester Ansprechpartner

1:1

Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.

Peer-reviewte Publikationen

Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations

ACM AsiaCCS 2025

Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann

A Platform for Physiological and Behavioral Security

NSPW 2025

Jan Hörnemann

Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem

IEEE/IFIP DSN 2025

Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann

Understanding Regional Filter Lists: Efficacy and Impact

PoPETS 2025

Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann

Für wen sind wir der richtige Partner?

Mittelstand mit 50-2.000 MA

Unternehmen, die echte Security brauchen, ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.

IT-Verantwortliche & CISOs

Die intern überzeugend argumentieren müssen und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.

Regulierte Branchen

KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA. Wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.

Fachlich verantwortet von

Vincent Heinen

Abteilungsleiter Offensive Services

M.Sc. IT-Sicherheit · OSCP+, OSCP, OSWP, OSWA

Profil ansehen

Referenzen

Referenzen aus der Praxis

01 Pentesting & Schwachstellenscans Sill Optics GmbH Feststellung der Angriffsfläche bei Sill Optics GmbH Bericht lesen 02 Pentesting & Schwachstellenscans XignSys GmbH Whitebox-Penetrationstests eines Authentifizierungsdienstes als Mobile- und Web-Anwendung Bericht lesen 03 Pentesting & Schwachstellenscans TWINSOFT GmbH & Co. KG Externer Penetrationstest einer iOS-Applikation Bericht lesen

Häufige Fragen: Penetrationstest in Frankfurt am Main

Erfüllen Ihre Penetrationstests die DORA- und BaFin-Anforderungen für Frankfurter Finanzinstitute?

Ja. Wir konzipieren Tests so, dass sie als Nachweis für BAIT (Kap. 5), MaRisk AT 7.2 und DORA Art. 26/27 dienen. Für TLPT-pflichtige Institute folgen wir dem TIBER-EU-Rahmen mit Threat-Intelligence-Phase, Red-Team-Test auf Live-Produktionssystemen und Purple-Team, mit Dokumentation im Format, das BaFin-Prüfer und externe Auditoren erwarten.

Welche Pflichten haben Frankfurter Rechenzentrumsbetreiber unter KRITIS, und welche Rolle spielt ein Pentest dabei?

Betreiber ab 3,5 MW Housing-Leistung müssen nach BSIG erhebliche Sicherheitsvorfälle binnen 24 Stunden beim BSI melden (§32 BSIG), Systeme zur Angriffserkennung betreiben (§31 BSIG) und alle drei Jahre Sicherheitsnachweise vorlegen (§39 BSIG). Ein Penetrationstest orientiert an BSI C5 und ISO/IEC 27001 ist das anerkannte Nachweisdokument und schließt Lücken in Management-Zugängen und Netzsegmentierung.

Welche Konsequenzen hatte der Hackerangriff auf das Universitätsklinikum Frankfurt 2023 für die Branche?

Der Angriff vom Oktober 2023 verursachte IT-Schäden im Millionenbereich und legte das Kliniknetz über Monate lahm. Frankfurter Kliniken und Gesundheitseinrichtungen investieren seitdem verstärkt in strukturierte Penetrationstests, die klinische IT, OT-Medizintechnik und Netzsegmentierung abdecken, bevor ein Angriff den Betrieb unterbricht.

Was kostet ein Penetration Test?

Die Kosten richten sich nach Umfang und Komplexität. Ein externer Netzwerktest beginnt ab 5.400 EUR, ein Web-Applikationstest ab 6.750 EUR. Sie erhalten innerhalb von 24 Stunden ein verbindliches Festpreisangebot: keine Stundensätze, keine Nachforderungen.

Wie läuft ein Penetration Test ab?

Unser Prozess: 1) Kostenloses Erstgespräch zur Scope-Definition, 2) Festpreisangebot in 24h, 3) Kick-off mit Rules of Engagement, 4) Durchführung (5-20 Werktage je nach Scope), 5) Ausführlicher Bericht mit Management Summary und technischen Details, 6) Abschlusspräsentation und Nachtest.

Führen Sie Tests remote oder vor Ort durch?

Beides. Externe Penetration Tests und Web-Applikationstests führen wir remote durch, ohne Qualitätseinbußen. Für interne Netzwerktests, WLAN-Tests und physische Sicherheitsaudits reisen unsere Pentester zu Ihnen. Reisekosten sind im Festpreis enthalten.

Welche Zertifizierungen haben Ihre Pentester?

Unsere Pentester halten anerkannte Zertifizierungen: OSCP, OSCP+, OSWP, OSWA (Offensive Security), CEH, ISO 27001 Lead Auditor. AWARE7 selbst ist ISO 27001 und ISO 9001 zertifiziert. Alle Tester sind festangestellt, keine Freelancer.

Ist ein Penetrationstest für NIS-2 erforderlich?

§ 30 Abs. 1 BSIG verpflichtet „besonders wichtige" und „wichtige Einrichtungen" zu Maßnahmen zur Risikominimierung. Penetration Tests sind als „Penetrationsanalysen" explizit in § 30 Abs. 2 Nr. 6 BSIG genannt. Unsere Berichte sind als Compliance-Nachweis konzipiert.

Penetration Testing in weiteren Städten

Gelsenkirchen Essen Dortmund Düsseldorf Köln Bochum Duisburg Bonn München Hamburg Berlin Stuttgart Hannover Nürnberg Leipzig Bremen Mannheim Karlsruhe Dresden

Bereit für den nächsten Schritt?

Vereinbaren Sie ein unverbindliches Erstgespräch. Wir erstellen Ihnen ein Festpreisangebot für Ihren Penetrationstest in Frankfurt am Main - innerhalb von 24 Stunden (werktags).

Erstberatung vereinbaren

Kostenlos · 30 Minuten · Unverbindlich