Stand: Oktober 2026
Einleitung: Warum Hamburg 2026 ein Pentest-Hotspot ist
Hamburgs Hafen, die Logistik der HHLA, der Luftfahrtstandort Fuhlsbüttel und die Medienhäuser rund um Spiegel und Zeit konzentrieren kritische Infrastrukturen auf engem Raum. Diese KRITIS-Dichte zieht mittelständische Zulieferer über die NIS2-Richtlinie und die novellierte BSI-KritisV direkt in die Testpflicht. Compliance ist 2026 der dominierende Treiber für Penetrationstests – nicht mehr nur bei Konzernen, sondern quer durch den Mittelstand.
Automatisierte Schwachstellenscans decken Basisschutz ab, reichen für KRITIS-Nachweise oder PCI DSS aber nicht aus. Der BSI-IT-Grundschutz fordert manuelle, methodisch saubere Tests nach anerkannten Standards wie OWASP oder OSCP. BSI-Baustein IND.1.1.A17 macht Scope, Häufigkeit und Dokumentation verbindlich. Hamburgs Anbieter kennen diese regulatorische Praxis aus lokalen Projekten – kurze Wege, persönliche Ansprechpartner und Vor-Ort-Begehungen bei Hafen- oder Industrieanlagen entscheiden oft über den Zuschlag.
Regionale Spezialisten decken OT-Security für maritime Logistik, Cloud-Pentests für Microsoft-365-Migrationen und Red-Teaming für Finanz- sowie Gesundheitssektor ab. Die Nachfrage nach NIS2-Compliance-Checks wächst messbar, weil Zulieferer Haftungsrisiken vermeiden müssen. Wer 2026 in Hamburg testet, braucht Methode, Zertifizierung und Standortkenntnis – nicht nur einen Scanner.
1. a7 Digital – Hafen, Logistik & Medien-Erfahrung
USP: Hamburger Spezialist mit Projekthistorie bei Hafenbetreibern, Logistikkonzernen und Medienhäusern, der BSI-Grundschutz-konforme Pentests mit lokaler Vor-Ort-Betreuung verbindet.
Stärken:
- Standort Hamburg mit persönlichem Ansprechpartner für kurze Abstimmungswege und physische Begehungen
- Methodik orientiert sich an BSI Baustein IND.1.1.A17 sowie am OWASP Testing Guide
- Portfolio deckt Netzwerk-, Web-Applikations- und Cloud-Security-Tests ab
- Branchenerfahrung in KRITIS-nahen Sektoren (Hafen, Logistik, Medien) durch konkrete Kundenprojekte
- Lokale Marktkenntnis bei regulatorischen Anforderungen (NIS2, BSI-KritisV, ISO 27001)
Schwächen / wann nicht passend:
- Kein reiner OT/ICS-Spezialist – für industrielle Steuerungssysteme im Hafenumfeld sind spezialisierte Anbieter oft tiefer
- Kein transparentes Festpreismodell; Angebote erfolgen nach individueller Scoping-Phase
- Teamgröße begrenzt Skalierbarkeit bei sehr großen, parallelen Testvorhaben
Preisspanne: auf Anfrage
Zielgruppe: KMU und KRITIS-Zulieferer (50–500 Mitarbeitende) aus Hafenwirtschaft, Logistik, Medien und öffentlicher Hand, die BSI-konforme Nachweise benötigen und lokale Betreuung schätzen.
Website: a7.de
2. binsec GmbH
USP: binsec fokussiert sich explizit auf Penetrationstests für KRITIS-Betreiber nach der BSI-Konkretisierung §8a BSIG und verbindet manuelle Tiefe mit OT/ICS-Expertise für industrielle Anlagen.
Stärken:
- Spezialisierung auf KRITIS-Pentests nach BSI-Leitfaden und §8a BSIG – methodisch abgestimmt auf Nachweispflichten gegenüber Aufsichtsbehörden
- Manuelle Testdurchführung durch zertifizierte Experten mit OSCP- und OSEE-Qualifikation, keine reine Scanner-Abhängigkeit
- Red Teaming und OT/ICS-Security für Hafenlogistik, Energieversorgung und produzierende Industrie aus einer Hand
- Referenzen bei Betreibern kritischer Infrastrukturen, die regulatorische Prüfungen regelmäßig bestehen müssen
- Standort Hamburg mit persönlicher Ansprechbarkeit und Kenntnis regionaler KRITIS-Strukturen (Hafen, Luftfahrt, Medien)
Schwächen / wann nicht passend:
- Kein PTaaS-Modell für wiederkehrende, teilautomatisierte Scans – Unternehmen mit hohem Testvolumen und knappem Budget finden schlankere Alternativen
- Fokus auf KRITIS/Regulierung kann für reine Web-App-Tests oder Cloud-Only-Umgebungen überdimensioniert wirken
- Preise nur auf Anfrage; keine transparente Einstiegspreisliste für schnelle Budgetierung
Preisspanne: auf Anfrage – Projekthonorare richten sich nach Scope, Tiefe (Black/White/Greybox) und regulatorischem Nachweisbedarf.
Zielgruppe: KRITIS-Betreiber und deren Zulieferer (NIS2), Industrieunternehmen mit OT/ICS-Anlagen, Finanz- und Gesundheitswesen, die BSI-konforme Nachweise für Aufsichtsbehörden benötigen.
Website: binsec.com
3. frag.hugo – NIS2-Compliance & KMU-Fokus
USP: hagel IT-Services bündelt 25 Jahre IT-Security-Erfahrung unter der Marke frag.hugo und führt KMU mit einem NIS2-Compliance-Check direkt in die Testpflicht.
Stärken:
- Mehr als 25 Jahre operative Security-Praxis im Hamburger Mittelstand
- Feste Ansprechpartner statt Ticket-Systeme – kurze Wege, persönliche Abstimmung
- Angebotserstellung in unter 24 Stunden nach Erstgespräch
- Methodik orientiert sich an BSI-Grundschutz und OWASP Testing Guide
- Kein Bußgeldverfahren bei betreuten Mandanten seit Firmenbestehen
Schwächen / wann nicht passend:
- Kein dediziertes Red-Team-Angebot für großangelegte Angriffs-Simulationen
- OT/ICS-Spezialwissen für Hafen- oder Industrieanlagen nur über Partner abgedeckt
- Internationale Großkonzerne mit Multi-Cloud-Umgebungen finden spezialisiertere Anbieter
Preisspanne: auf Anfrage – Einstieg über NIS2-Compliance-Check, danach Festpreis je Scope.
Zielgruppe: KMU ab 50 Beschäftigten in Hamburg und Metropolregion, die unter NIS2 fallen oder KRITIS-Zulieferer sind und einen lokalen Partner mit Compliance-Fokus suchen.
Website: fraghugo.de
Der NIS2-Rahmen zwingt viele Hamburger Zulieferer erstmals zu strukturierten Sicherheitsnachweisen. frag.hugo übersetzt diese Vorgabe in einen praxisnahen Compliance-Check, der Lücken identifiziert und priorisierte Pentest-Empfehlungen liefert. Externe und interne Penetrationstests, automatisierte Schwachstellenscans sowie Security-Awareness-Module runden das Portfolio ab. Die Berater kennen die regionale Regulierungspraxis und begleiten Audits bis zur Zertifizierung. Für reine Cloud-Native-Architekturen oder hochspezialisierte OT-Umgebungen empfiehlt sich jedoch ein Blick auf Anbieter mit tieferer Technologie-Fokussierung.
4. mioso IT Security
USP: Reiner Hamburger Spezialist für OT/ICS-Security mit tiefem Domänenwissen in maritimer Logistik, Produktion und Energieversorgung.
Stärken:
- Fokus auf Betriebstechnik: Black- und Whitebox-Pentests für industrielle Steuerungen, SCADA-Systeme und Feldbusse
- Webanwendungs-Tests und physische Vor-Ort-Begehungen im Hafen- und Industrieumfeld
- Methodik ausgerichtet an BSI-Grundschutz und KRITIS-Anforderungen nach §8a BSIG
- Lokale Präsenz ermöglicht kurze Wege zu Terminals, Raffinerien und Umspannwerken
- Erfahrung mit regulatorischen Nachweispflichten für Betreiber kritischer Infrastrukturen
Schwächen / wann nicht passend:
- Weniger geeignet für klassische IT-Pentests ohne OT-Bezug (Cloud, Identity, reine Web-Apps)
- Kein PTaaS-Modell mit automatisierten Scans – rein projektbasierte, manuelle Prüfungen
- Kleineres Team begrenzt Kapazität für parallele Großprojekte
Preisspanne: auf Anfrage
Zielgruppe: KRITIS-Betreiber und Zulieferer im Hamburger Hafen, in der Logistik, chemischen Industrie und Energieversorgung, die OT-Security nach BSI-Maßstab nachweisen müssen.
Website: security.mioso.com
5. KALWEIT ITS – KRITIS-Erfahrung & PTaaS
USP: KALWEIT ITS verbindet KRITIS-Erfahrung in regulierten Branchen mit einem skalierbaren PTaaS-Modell für wiederkehrende Prüfungen.
Stärken:
- Betreibt ein Hamburger Büro und betreut KRITIS-Kunden aus LEH, Banken, Gesundheit und Energie
- Portfolio umfasst manuelle Pentests, PTaaS, Red Teaming und Cloud Security
- BSI-Grundschutz-orientierte Methodik erfüllt Compliance-Anforderungen nach §8a BSIG
- Skalierbarer Ansatz spricht mittelständische Unternehmen an
- Lokale Präsenz ermöglicht kurze Wege und Vor-Ort-Begehungen
Schwächen / wann nicht passend:
- Keine öffentlichen Festpreise – Angebote erfolgen ausschließlich auf Anfrage
- Weniger spezialisiert auf OT/ICS-Security im Hafen-Umfeld als reine OT-Anbieter
- Keine eigene PTaaS-Plattform, sondern Integration bestehender Scanner-Technologien
Preisspanne: auf Anfrage
Zielgruppe: KMU und KRITIS-Betreiber ab 50 Mitarbeitenden, die Compliance-Nachweise für NIS2, §8a BSIG oder PCI DSS erbringen müssen und wiederkehrende Prüfzyklen bevorzugen.
Website: kalweit-its.de – Ergänzend listet der neutrale Marktüberblick der Allianz für Cybersicherheit zertifizierte Anbieter nach Region und Spezialisierung.
Vergleichstabelle: Anbieter im Überblick
Die folgende Übersicht fasst die wichtigsten Daten der vorgestellten Anbieter zusammen. Preisspannen und Zielgruppen entstammen den jeweiligen Anbieter-Profilen oben; Werte ohne klare Belegung sind als “auf Anfrage” markiert.
| Anbieter | USP | Preisspanne | Zielgruppe |
|---|---|---|---|
| a7 Digital | Hamburger Spezialist mit Projekthistorie bei Hafenbetreibern, Logistikkonzernen und Medienhäusern, der BSI-Grundschutz-konforme Pentests mit lokaler Vor-Ort-Betreuung verbindet. | auf Anfrage | KMU und KRITIS-Zulieferer (50–500 Mitarbeitende) aus Hafenwirtschaft, Logistik, Medien und öffentlicher Hand, die BSI-konforme Nachweise benötigen und lokale Betreuung schätzen. |
| binsec GmbH | binsec fokussiert sich explizit auf Penetrationstests für KRITIS-Betreiber nach der BSI-Konkretisierung §8a BSIG und verbindet manuelle Tiefe mit OT/ICS-Expertise für industrielle Anlagen. | auf Anfrage – Projekthonorare richten sich nach Scope, Tiefe (Black/White/Greybox) und regulatorischem Nachweisbedarf. | KRITIS-Betreiber und deren Zulieferer (NIS2), Industrieunternehmen mit OT/ICS-Anlagen, Finanz- und Gesundheitswesen, die BSI-konforme Nachweise für Aufsichtsbehörden benötigen. |
| frag.hugo | hagel IT-Services bündelt 25 Jahre IT-Security-Erfahrung unter der Marke frag.hugo und führt KMU mit einem NIS2-Compliance-Check direkt in die Testpflicht. | auf Anfrage – Einstieg über NIS2-Compliance-Check, danach Festpreis je Scope. | KMU ab 50 Beschäftigten in Hamburg und Metropolregion, die unter NIS2 fallen oder KRITIS-Zulieferer sind und einen lokalen Partner mit Compliance-Fokus suchen. |
| mioso IT Security | Reiner Hamburger Spezialist für OT/ICS-Security mit tiefem Domänenwissen in maritimer Logistik, Produktion und Energieversorgung. | auf Anfrage | KRITIS-Betreiber und Zulieferer im Hamburger Hafen, in der Logistik, chemischen Industrie und Energieversorgung, die OT-Security nach BSI-Maßstab nachweisen müssen. |
| KALWEIT ITS | KALWEIT ITS verbindet KRITIS-Erfahrung in regulierten Branchen mit einem skalierbaren PTaaS-Modell für wiederkehrende Prüfungen. | auf Anfrage | KMU und KRITIS-Betreiber ab 50 Mitarbeitenden, die Compliance-Nachweise für NIS2, §8a BSIG oder PCI DSS erbringen müssen und wiederkehrende Prüfzyklen bevorzugen. |
FAQ: Häufige Fragen zu Pentests in Hamburg
Wie oft muss ein KRITIS-Pentest durchgeführt werden?
Das BSI empfiehlt in Baustein IND.1.1.A17 eine jährliche Prüfung sowie zusätzliche Tests nach wesentlichen Änderungen an der IT-Infrastruktur. Für Betreiber Kritischer Infrastrukturen schreibt § 8a BSIG regelmäßige Sicherheitsnachweise vor. Ein einmaliger Test genügt nicht, da sich Angriffsflächen durch Updates, neue Dienste oder geänderte Netzsegmentierung ständig verschieben. Wer die Frequenz unterschreitet, riskiert Bußgelder und den Verlust der Zertifizierung.
Reicht ein automatisierter Scan für NIS2 oder PCI DSS?
Nein. Beide Regularien fordern eine manuelle Validierung. PCI DSS Requirement 11.4 verlangt explizit Penetrationstests durch qualifizierte Tester, nicht nur Schwachstellenscans. Auch der OWASP Testing Guide stellt klar, dass automatisierte Tools Business-Logic-Fehler, Authentifizierungsbypasses oder Chained-Exploits regelmäßig übersehen. Für NIS2-Konformität müssen Nachweise erbracht werden, dass ein menschlicher Prüfer die Ergebnisse bewertet und priorisiert hat.
Was kostet ein Pentest in Hamburg?
Die Spannbreite reicht vom niedrigen vierstelligen Bereich für einen eng begrenzten Web-Application-Test mit Festpreis bis in den fünfstelligen Bereich für umfassendes Red Teaming im KRITIS-Umfeld mit OT-Komponenten. Einflussfaktoren sind Scope, Tiefe (Black-/White-/Greybox), benötigte Zertifizierungen des Testteams und Nachweispflichten gegenüber Behörden. Hamburger Anbieter wie Sodu Secure nennen Einstiegspreise ab 1.499 Euro für Standard-Szenarien. Für Compliance-zertifizierte Reports sollten KMU mit 5.000 Euro und mehr rechnen.
Muss der Anbieter physisch in Hamburg sitzen?
Nicht zwingend. Remote-Tests decken Netzwerk- und Web-Schichten vollständig ab. Vor-Ort-Präsenz wird jedoch relevant, wenn physische Sicherheitskontrollen, WLAN-Messungen im Hafengebiet oder OT-Systeme in Produktionshallen geprüft werden müssen. Lokale Anbieter kennen zudem die zuständigen Aufsichtsbehörden, regionale KRITIS-Betreiber und Hamburger Vergabepraxis. Für öffentliche Ausschreibungen oder BSI-Audits kann ein Hamburger Standort die Kommunikation beschleunigen und Reisekosten sparen.
Welche Zertifikate sollte das Testteam vorweisen?
Für technische Tiefe sind OSCP oder OSEE (Offensive Security) der Maßstab. Governance- und Management-Kompetenz belegen CISSP oder CISM. Wer BSI-Grundschutz-Pentests nach IND.1.1.A17 durchführt, sollte idealerweise als BSI-Grundschutz-Praktiker zertifiziert sein. Ergänzend weisen CRTO (Red Team Operations) oder PNPT auf fortgeschrittene Adversary-Simulation hin. Prüfen Sie, ob die Zertifikate persönlich den durchführenden Testern zugeordnet sind, nicht nur der Firma.
Fazit: Den passenden Partner für Compliance & Resilienz finden
Hamburgs hohe KRITIS-Dichte durch Hafen, Logistik und Medien sowie die laufende NIS2-Umsetzung machen professionelle Penetrationstests 2026 für KMU und Zulieferer unverzichtbar. Die fünf vorgestellten Anbieter decken das relevante Spektrum ab: binsec bringt tiefe KRITIS-Expertise nach § 8a BSIG ein, mioso fokussiert OT-Security für maritime und industrielle Anlagen, frag.hugo begleitet mittelständische Unternehmen gezielt bei der NIS2-Compliance, a7 Digital nutzt langjährige Branchen-Erfahrung in Logistik und Medien, und KALWEIT ITS stellt skalierbare PTaaS-Lösungen bereit. Entscheidend für die Auswahl ist die Passung zum eigenen Scope: regulatorische Anforderungen, geforderte technische Tiefe, lokale Erreichbarkeit und das gewünschte Reporting-Format. Ein erster unverbindlicher Austausch mit zwei bis drei Anbietern klärt Methodik, vorhandene Zertifizierungen wie OSCP oder BSI-Grundschutz sowie den Kostenrahmen. Ergänzend hilft eine neutrale Marktübersicht wie Sortlist für Hamburg, während Heise Security aktuelle Branchentrends und methodische Entwicklungen verfolgt.