Penetration Testing · Köln

Penetrationstest in Köln

Name: AWARE7 GmbH
Address: Munscheidstraße 14, Gelsenkirchen, 45886, DE
Telephone: +49 209 8830 6760
Price range: ab 5.400 EUR

Köln ist als Standort des WDR, der größten ARD-Anstalt, und von RTL Deutschland ein führendes deutsches Medienzentrum und beherbergt zugleich über 50 Versicherungsunternehmen mit Hauptsitz, darunter AXA, DEVK und Gothaer. Diese Verbindung aus öffentlicher Medienwirkung und hochregulierten Finanzdaten macht Köln zu einem attraktiven Ziel für Cyberkriminelle, von Ransomware-Gruppen bis zu industrieller Wirtschaftsspionage. Unsere Pentester sichern Redaktionssysteme, Broadcast-Infrastruktur und IKT-Systeme nach DORA und NIS-2, remote und bei Bedarf persönlich vor Ort.

Erstberatung vereinbaren Pentest-Details ansehen

500+
Durchgeführte Pentests: 24h
Festpreisangebot (werktags): OSCP
Zertifizierte Pentester

Wirtschaftsstandort

IT-Sicherheit für den Wirtschaftsstandort Köln

Köln mit 1.080.000 Einwohnern ist ein bedeutender Wirtschaftsstandort in Nordrhein-Westfalen. Unternehmen hier stehen vor spezifischen Sicherheitsherausforderungen.

Medien & Rundfunk (WDR, RTL Deutschland)

In Köln arbeiten laut amtlichem Branchenprofil der Stadt (KSN 21/2025) rund 57.100 Personen in der Medien- und IT-Branche; WDR und RTL Deutschland zählen zu den prominentesten Medienarbeitgebern der Stadt. Redaktionssysteme, Live-Streaming-Plattformen und externe Produktions-APIs bieten breite Angriffsflächen für Ransomware, Sabotage und gezielte Datenlecks. Ein Pentest bewertet Zugriffskontrolle und Netzsegmentierung in der Broadcast-Infrastruktur und testet die externen Schnittstellen, über die Produktionspartner aus dem Kölner MediaPark und den Rheinhallen Köln-Deutz eingebunden sind.

Versicherungen (AXA, DEVK, Gothaer): DORA/TLPT

Über 50 Versicherungsunternehmen haben ihren Hauptsitz in Köln, darunter AXA (deutsches Hauptquartier Köln-Holweide), DEVK und Gothaer, ein im deutschen Vergleich seltenes Branchencluster. Seit Januar 2025 gilt DORA für alle Versicherungsunternehmen unter BaFin-Aufsicht und verdrängt schrittweise die bisherigen VAIT-Anforderungen; systemrelevante Institute müssen zudem bedrohungsbasierte Penetrationstests (TLPT) mindestens alle drei Jahre auf Produktionssystemen durchführen, inklusive der Schnittstellen zu ausgelagerten IKT-Dienstleistern. Ein Pentest nach DORA-Anforderungen deckt Schwachstellen in IKT-Kernfunktionen und Lieferketten auf und legt die Dokumentationsspur an, bevor BaFin-Prüfer die Lücken finden: Dass die Behörde aktiv prüft, hat die AXA Krankenversicherung AG in Köln-Holweide 2023 erfahren.

Gesundheit (Uniklinik Köln)

Im April 2026 wurden beim externen Abrechnungsdienstleister unimed Daten von rund 30.000 Patientinnen und Patienten der Uniklinik Köln entwendet. Als KRITIS-Betreiber im Gesundheitssektor unterliegt die Klinik NIS-2 und dem KRITIS-Dachgesetz mit Registrierungs-, Risikoanalyse- und BSI-Meldepflichten. Ein Pentest muss hier externe Dienstleisterschnittstellen, vernetzte Medizintechnik (OT) und Netzwerkzugänge einbeziehen. Genau die Angriffswege, über die beim unimed-Vorfall eingedrungen wurde.

Chemie & Automotive (Lanxess, Ford)

Lanxess (Konzernhauptsitz Köln) und Ford (rund 12.300 Beschäftigte in Köln laut IHK-Rangliste 2024/2025, Produktion in Köln-Niehl) stehen für zwei klassische produzierende Branchen, die neben der Büro-IT umfangreiche OT-/ICS-Umgebungen betreiben. Industriespionage und Ransomware auf Produktionssystemen sind dominante Bedrohungsszenarien; Automotive-Zulieferer fallen zusätzlich unter TISAX. Ein Pentest prüft die Netzsegmentierung zwischen Office-IT und Fertigungs-OT, besonders kritisch in vernetzten Produktionsumgebungen wie in Köln-Niehl, sowie den Schutz von Konstruktions- und Engineering-Daten.

Dokumentierte Fälle

Cybervorfälle mit Bezug zu Köln

Reale, dokumentierte Fälle zeigen, wo die Risiken konkret liegen - und was ein Penetrationstest davon verhindern kann.

2023

DDoS-Angriff auf stadtkoeln.de

Im Oktober 2023 trafen bis zu hunderttausende gleichzeitige Anfragen pro Minute den externen Webserver der Stadt Köln; die Website stadtkoeln.de und Online-Dienste für Bürger fielen zeitweise aus. Die Stadt bestätigte in einer offiziellen Pressemitteilung, dass interne Systeme und städtische Daten nicht betroffen waren. Resilienz- und Lasttests sind daher für öffentliche Web-Angebote und digitale Verwaltungsdienste ein Pflichtbestandteil des Pentest-Scopes.

2026

Datenleck Uniklinik Köln über Dienstleister unimed

Im April 2026 erbeuteten Angreifer beim externen Abrechnungsdienstleister unimed Daten von rund 30.000 Patientinnen und Patienten der Uniklinik Köln, darunter Namen, Adressen, Rechnungssummen und in 843 Fällen Gesundheitsdaten. BSI und LDI NRW wurden informiert, die Zusammenarbeit mit unimed sofort gestoppt. Der Vorfall zeigt, wie Supply-Chain-Angriffe auf ausgelagerte IKT-Funktionen die eigene Sicherheitshülle umgehen. Ein Pentest muss Drittanbieter-Schnittstellen daher zwingend einschließen.

2024

Sicherheitsvorfall bei der Handwerkskammer Köln

Im Januar 2024 wurde die Website der Handwerkskammer Köln nach einem Sicherheitsvorfall vom Netz genommen; Online-Services waren nicht erreichbar und der Vorfall der zuständigen Datenschutzaufsichtsbehörde gemeldet. Laut Medienberichten traf zur selben Zeit ein Malware-Angriff auf eine gemeinsam genutzte Rechenzentrumsinfrastruktur des IT-Dienstleisters ODAV AG zahlreiche Handwerkskammern bundesweit. Der Fall zeigt, wie ein kompromittierter IT-Dienstleister viele Organisationen gleichzeitig lahmlegen kann. Lieferkettenprüfungen und Segmentierungstests gehören deshalb in jeden Pentest-Scope.

Compliance

Regulatorische Anforderungen in Köln

Unternehmen in Köln unterliegen branchenspezifischen Compliance-Anforderungen, die regelmäßige Sicherheitsprüfungen erfordern.

DORA und TLPT für Kölner Versicherer

Seit Januar 2025 gilt DORA für Versicherungsunternehmen unter BaFin-Aufsicht und verdrängt schrittweise die bisherigen VAIT-Anforderungen: Alle regulierten Kölner Versicherer, darunter AXA, DEVK und Gothaer, müssen IKT-Systeme jährlich testen. Für systemrelevante Institute schreibt DORA bedrohungsbasierte Penetrationstests (TLPT) mindestens alle drei Jahre auf Produktionssystemen vor, inklusive ausgelagerter IKT-Funktionen. Dass BaFin die IT-Aufsicht über Kölner Versicherer aktiv ausübt, belegt die 2023 gegen die AXA Krankenversicherung AG in Köln-Holweide verhängte aufsichtliche Maßnahme wegen Mängeln in der IT-Organisation, der erste öffentlich bekannt gewordene VAIT-Fall dieser Art.

Rundfunk als gesellschaftliche Infrastruktur

WDR und RTL Deutschland versorgen täglich Millionen Menschen mit Informationen und verarbeiten dabei redaktionelle und personenbezogene Daten in großem Maßstab. Rundfunkunternehmen sind bislang nicht explizit als KRITIS klassifiziert; ab bestimmten Umsatz- und Nutzerschwellenwerten können sie als wichtige Einrichtungen unter NIS-2 fallen und damit zur Nachweispflicht des Stands der Technik verpflichtet sein. Unsere Pentests auf Redaktionssystemen, Streaming-Plattformen und externen Produktions-APIs liefern die dokumentierten Sicherheitsnachweise, die Kölner Rundfunkunternehmen für eine nachweisbare NIS-2-Compliance benötigen.

NIS-2 und KRITIS im Gesundheitssektor

Die Uniklinik Köln fällt als Krankenhaus der Maximalversorgung unter NIS-2 und das KRITIS-Dachgesetz: Registrierungspflicht als KRITIS-Betreiber, regelmäßige Risikoanalysen, Resilienzpläne und BSI-Meldepflicht bei erheblichen Vorfällen. Der unimed-Angriff im April 2026 hat gezeigt, dass auch ausgelagerte IKT-Funktionen zwingend in den Pentest-Scope gehören, BSI und LDI NRW wurden unmittelbar nach dem Angriff informiert. Ein Pentest schafft die Evidenzgrundlage für regulatorische Risikonachweise und deckt die Drittanbieter-Angriffswege ab, die beim unimed-Vorfall ausgenutzt wurden.

Leistungen

Unsere Pentest-Leistungen für Köln

Nr.LeistungFokusDetails

Web-Applikationen

Fokus

OWASP Top 10, API Security, Business Logic Testing

Details

Netzwerk & Infrastruktur

Fokus

Extern, intern, Active Directory, WLAN

Details

Cloud Security

Fokus

AWS, Azure, GCP - Konfiguration und Zugriffsrechte

Details

Mobile Apps

Fokus

iOS und Android - OWASP MASTG konform

Details

Red Teaming

Fokus

Realistische Angriffssimulation über alle Vektoren

Details

Schwachstellenscan

Fokus

Automatisierte Prüfung als Ergänzung zum Pentest

Details

Ablauf

So läuft Ihr Pentest in Köln ab

Erstgespräch

Kostenlose Scope-Definition und Bedarfsanalyse

Angebot in 24h (werktags)

Verbindliches Festpreisangebot ohne versteckte Kosten

Durchführung

Remote und bei Bedarf vor Ort in Köln

Bericht & Nachtest

Management Summary und technische Details

Pentest-Angebot für Köln anfordern

Festpreisangebot in 24 Stunden (werktags). Keine versteckten Kosten. Kostenlose Erstberatung.

Kostenlose Erstberatung vereinbaren

Kostenlos · 30 Minuten · Unverbindlich

Warum AWARE7 für Ihren Pentest in Köln

Was uns von anderen Anbietern unterscheidet

Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.

Forschung und Lehre als Fundament

20 %

Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.

Digitale Souveränität: keine Kompromisse

100 %

Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.

Mehr zur digitalen Souveränität

Festpreis in 24h: planbare Projektzeiträume

24 h

Innerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.

Ihr fester Ansprechpartner

1:1

Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.

Peer-reviewte Publikationen

Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations

ACM AsiaCCS 2025

Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann

A Platform for Physiological and Behavioral Security

NSPW 2025

Jan Hörnemann

Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem

IEEE/IFIP DSN 2025

Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann

Understanding Regional Filter Lists: Efficacy and Impact

PoPETS 2025

Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann

Für wen sind wir der richtige Partner?

Mittelstand mit 50-2.000 MA

Unternehmen, die echte Security brauchen, ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.

IT-Verantwortliche & CISOs

Die intern überzeugend argumentieren müssen und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.

Regulierte Branchen

KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA. Wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.

Fachlich verantwortet von

Vincent Heinen

Abteilungsleiter Offensive Services

M.Sc. IT-Sicherheit · OSCP+, OSCP, OSWP, OSWA

Profil ansehen

Referenzen

Referenzen aus der Praxis

01 Pentesting & Schwachstellenscans Sill Optics GmbH Feststellung der Angriffsfläche bei Sill Optics GmbH Bericht lesen 02 Pentesting & Schwachstellenscans XignSys GmbH Whitebox-Penetrationstests eines Authentifizierungsdienstes als Mobile- und Web-Anwendung Bericht lesen 03 Pentesting & Schwachstellenscans TWINSOFT GmbH & Co. KG Externer Penetrationstest einer iOS-Applikation Bericht lesen

Häufige Fragen: Penetrationstest in Köln

Welche IT-Risiken haben Medienunternehmen wie WDR und RTL Deutschland in Köln?

In Köln arbeiten laut amtlichem Branchenprofil der Stadt (KSN 21/2025) rund 57.100 Personen in der Medien- und IT-Branche. WDR und RTL Deutschland betreiben komplexe Redaktionssysteme, Live-Streaming-Plattformen und externe Produktions-APIs, die für Ransomware und Sabotage attraktive Ziele sind. Wir testen Zugriffskontrolle, Netzsegmentierung und externe Schnittstellen, gezielt für Broadcast-Umgebungen am Kölner Medienstandort.

Was verlangt DORA von Kölner Versicherungsunternehmen wie AXA und DEVK?

Seit Januar 2025 gilt DORA für Versicherungsunternehmen unter BaFin-Aufsicht und verdrängt schrittweise die bisherigen VAIT-Anforderungen. Systemrelevante Versicherer müssen zusätzlich bedrohungsbasierte Penetrationstests (TLPT) mindestens alle drei Jahre auf Produktionssystemen durchführen, inklusive ausgelagerter IKT-Funktionen. BaFin hatte 2023 wegen VAIT-Mängeln bereits eine aufsichtliche Maßnahme gegen die AXA Krankenversicherung AG in Köln-Holweide verhängt, der erste öffentlich bekannt gewordene Fall dieser Art; die Aufsicht prüft aktiv.

Muss die Uniklinik Köln nach NIS-2 regelmäßige Penetrationstests durchführen?

Als Krankenhaus der Maximalversorgung fällt die Uniklinik Köln unter NIS-2 und das KRITIS-Dachgesetz mit Registrierungs-, Risikoanalyse- und Meldepflicht. Der unimed-Datendiebstahl im April 2026, bei dem Daten von rund 30.000 Patientinnen und Patienten entwendet wurden, zeigt: Auch externe Dienstleister-Schnittstellen müssen explizit in den Pentest-Scope aufgenommen werden.

Was kostet ein Penetration Test?

Die Kosten richten sich nach Umfang und Komplexität. Ein externer Netzwerktest beginnt ab 5.400 EUR, ein Web-Applikationstest ab 6.750 EUR. Sie erhalten innerhalb von 24 Stunden ein verbindliches Festpreisangebot: keine Stundensätze, keine Nachforderungen.

Wie läuft ein Penetration Test ab?

Unser Prozess: 1) Kostenloses Erstgespräch zur Scope-Definition, 2) Festpreisangebot in 24h, 3) Kick-off mit Rules of Engagement, 4) Durchführung (5-20 Werktage je nach Scope), 5) Ausführlicher Bericht mit Management Summary und technischen Details, 6) Abschlusspräsentation und Nachtest.

Führen Sie Tests remote oder vor Ort durch?

Beides. Externe Penetration Tests und Web-Applikationstests führen wir remote durch, ohne Qualitätseinbußen. Für interne Netzwerktests, WLAN-Tests und physische Sicherheitsaudits reisen unsere Pentester zu Ihnen. Reisekosten sind im Festpreis enthalten.

Welche Zertifizierungen haben Ihre Pentester?

Unsere Pentester halten anerkannte Zertifizierungen: OSCP, OSCP+, OSWP, OSWA (Offensive Security), CEH, ISO 27001 Lead Auditor. AWARE7 selbst ist ISO 27001 und ISO 9001 zertifiziert. Alle Tester sind festangestellt, keine Freelancer.

Ist ein Penetrationstest für NIS-2 erforderlich?

§ 30 Abs. 1 BSIG verpflichtet „besonders wichtige" und „wichtige Einrichtungen" zu Maßnahmen zur Risikominimierung. Penetration Tests sind als „Penetrationsanalysen" explizit in § 30 Abs. 2 Nr. 6 BSIG genannt. Unsere Berichte sind als Compliance-Nachweis konzipiert.

Penetration Testing in weiteren Städten

Gelsenkirchen Essen Dortmund Düsseldorf Bochum Duisburg Bonn München Frankfurt am Main Hamburg Berlin Stuttgart Hannover Nürnberg Leipzig Bremen Mannheim Karlsruhe Dresden

Bereit für den nächsten Schritt?

Vereinbaren Sie ein unverbindliches Erstgespräch. Wir erstellen Ihnen ein Festpreisangebot für Ihren Penetrationstest in Köln - innerhalb von 24 Stunden (werktags).

Erstberatung vereinbaren

Kostenlos · 30 Minuten · Unverbindlich