Viele Unternehmen investieren in Firewalls, Endpoint-Schutz und Awareness-Schulungen und gehen davon aus, dass sie damit gut aufgestellt sind. Doch die Realität sieht anders aus: Angreifer denken nicht in Tools, sondern in Zielen. Sie kombinieren technische Schwachstellen mit menschlichen Fehlern und physischen Zugangsmöglichkeiten. Red Teaming setzt genau hier an. Es simuliert reale Angriffe: Leise, mehrstufig und über mehrere Angriffsvektoren hinweg. Ziel ist nicht, möglichst viele Schwachstellen zu finden. Sondern zu prüfen, ob ein Angreifer sein Ziel erreicht, bevor die Verteidigung des eigenen Unternehmens reagiert.
Das klingt unbequem und gleichzeitig unklar? Ist es auch. Und genau deshalb stellen sich viele Unternehmen noch Fragen wie diese. Arvid Mukherjee, Security Analyst im usd HeroLab und Red Team Lead, hat sie für uns beantwortet:
1. Warum sollten wir Geld für Red Teaming ausgeben? Wir machen doch schon Security Analysen und Audits!
Weil Angreifer nicht einzelne Komponenten ins Visier nehmen, sondern ganzheitlich vorgehen, um ihre Ziele zu erreichen. Beim Red Teaming werden gezielte Angriffe über verschiedene Vektoren simuliert: Von der Infrastruktur bis zu menschlichen Faktoren und physischen Zugängen. Das Ziel besteht darin, herauszufinden, ob Ihre Verteidigung den Angriff erkennt, darauf reagiert und ihn stoppt oder ob die Angreifer ihre Ziele erreichen können.
Das Ergebnis ist ein umfassender Report, welcher kleinteilig das Vorgehen des Red Teams bis zum Erreichen des Ziels enthält und damit echte Erkenntnisse über Ihre Verteidigungsfähigkeit liefert. Und ein weiterer Vorteil: Wir gehen die Erkenntnisse im Nachgang mit Ihren Verantwortlichen Schritt für Schritt durch und können auf Wunsch auch einen Replay Workshop oder Purple Teaming durchführen.
2. Können wir nicht einfach ein Penetrationstest machen, das ist doch fast das Gleiche, oder?
Nein, ein Penetrationstest ist nicht dasselbe wie Red Teaming und das ist entscheidend. Ein Pentest sucht gezielt nach Schwachstellen in Systemen und Anwendungen und prüft, ob diese ausnutzbar sind. Red Teaming dagegen simuliert einen echten Angriff mit einem klaren Ziel: Kann ein Angreifer seine Mission erreichen, bevor Ihre Verteidigung reagiert? Kurz gesagt: Pentests versuchen möglichst alle Schwachstellen in einem bestimmten Asset zu identifizieren. Sie testen in die Breite. Red Teaming zeigt, ob ein realer Angriff erfolgreich ist. Red Team Tests gehen in die Tiefe.
Und noch etwas: Red Teams bestehen aus Expert*innen verschiedener Disziplinen, wie z.B. Malware und Exploit Development, Reverse Engineering, physische Sicherheit und alle klassischen Pentest-Disziplinen. Wir denken wie Angreifer, beherrschen Taktiken, Techniken und Vorgehensweisen (TTPs) aus der realen Welt und kombinieren sie kreativ über verschiedene Vektoren hinweg. Das ist ein interdisziplinärer Ansatz, der psychologische, physische und technische Aspekte vereint. Unsere Expert*innen vereinen all diese Aspekte in einem schlagkräftigen Red Team.
3. Ist das nicht nur ein Spiel für große Konzerne mit zu viel Budget?
Nein, Red Teaming ist kein Luxus, sondern eine strategische Maßnahme. Denn auch mittelständische Unternehmen sind attraktive Ziele für Angreifer: Sie verfügen über wertvolle Daten, gefährdete Infrastruktur und oft weniger ausgereifte Sicherheitsmechanismen. Sie sind oft die Dienstleister der großen Konzerne und damit nicht selten ein Einfallstor für Angreifer.
Je nach Budget muss es nicht immer ein komplettes Red Teaming sein, man kann auch abgespeckte Szenarien starten, welche nur Teile eines realen Angriffes simulieren, wie z.B. der initiale Zugang oder die Bewegung eines Angreifers im Netz.
4. Wie weit darf ein Red Team eigentlich gehen und wer zieht die Grenzen?
Die Beauftragung eines Red Team Assessments ist kein Freifahrtschein. Es ist ein kontrollierter Sicherheitstest mit klar definiertem Scope und Regeln. Vor dem Start legen wir gemeinsam alle Rahmenbedingungen fest, darunter:
- Welche Angreiferziele sollen verfolgt werden?
- Welche Systeme, Nutzer und Betriebsstätten dürfen nicht angegriffen werden?
- Welche Methoden sind nicht erlaubt?
- Welche Eskalationswege gelten im Ernstfall?
Ein professionelles Red Team bewegt sich innerhalb des vereinbarten Rahmens und dokumentiert jeden Schritt. So entsteht ein belastbares Bild Ihrer Sicherheitslage, ohne operative Abläufe zu gefährden.
Wichtig: Damit das Assessment so realitätsnah wie möglich bleibt, sollten nur wenige Personen eingeweiht sein. Weder Security Operations Center oder andere Personen außerhalb des Control Teams werden informiert, konsequent nach dem Prinzip „need to know only“.
5. Wie gehen wir mit der Erkenntnis um, dass ein Angreifer schneller war als unsere IT-Sicherheit?
Sie stehen besser da als viele andere. Ein erfolgreicher Angriff im Red Teaming ist kein Versagen, sondern ein Erkenntnisgewinn. Sie lernen um die Schwächen in Ihrer Verteidigung, bevor ein echter Angreifer diese ausnutzen kann.
Die entscheidende Frage lautet nicht: „Wurden wir gehackt?“, sondern:
- Wie lange hat es gedauert, bis der Angriff erkannt wurde?
- Welche Systeme haben reagiert und welche nicht?
- Wie gut hat die Incident Response funktioniert?
Technische Learnings:
- Welche TTPs blieben unentdeckt?
- Wo fehlten Logs, Alerts oder Eskalationspfade?
- Wie schnell konnte das Blue Team reagieren?
Organisatorische Learnings:
- War die Kommunikation klar und schnell?
- Gab es Verantwortlichkeiten oder nur Zuständigkeiten?
- Wurden Lessons Learned dokumentiert und in Maßnahmen überführt?
So stärken Sie Ihre Resilienz erheblich.
Fazit
Red Teaming ist mehr als ein Sicherheitstest, es ist ein Realitätscheck für Ihre gesamte Verteidigungsstrategie. Klassische technische Schutzmaßnahmen und Awareness sind wichtig, aber sie greifen zu kurz, wenn Angreifer kreativ und mehrdimensional vorgehen. Ein Pentest zeigt Ihnen die Schwachstellen eines bestimmten Assets. Ein kontrollierter Angriff in Form eines Red Team Assessments wiederum zeigt, ob bzw. wie gut Ihre Organisation tatsächlich Angriffe erkennt und darauf reagiert. Die gewonnenen Erkenntnisse sind unbezahlbar: Sie stärken nicht nur Ihre technische Abwehr, sondern auch Prozesse und Verantwortlichkeiten. Wer sich dieser Probe stellt, kann gezielt nachbessern. Am Ende bedeutet das: weniger Überraschungen, mehr Resilienz.
Sie haben noch weitere Fragen zu Red Teaming oder brauchen Unterstützung? Kontaktieren Sie uns.
