Red Teaming – Realistische Angriffssimulationen
Sie wissen erst, wie gut Ihre Abwehr wirklich ist, wenn jemand sie angreift. Unser Red Team simuliert einen realen, zielgerichteten Angriff und misst, ob Ihre Menschen, Prozesse und Technik ihn erkennen und stoppen. Für den Finanzsektor führen wir bedrohungsorientierte Tests (TLPT) nach dem TIBER-EU-Framework durch, wie DORA sie verlangt.
Referenzen
Zertifikate
Advanced Persistent Threat
Was ist Red Teaming?
Red Teaming testet die Erkennungs- und Reaktionsfähigkeit einer ganzen Organisation. Statt möglichst viele Schwachstellen aufzulisten, verfolgt ein Red Team ein konkretes Angriffsziel und emuliert dabei einen realen Angreifer, der aktiv vorgeht und der Entdeckung entgehen will, vergleichbar mit einem Advanced Persistent Threat (APT).
Der Ansatz stammt aus dem militärischen Bereich, wo Verteidigungsstrategien durch realistische Gegnersimulationen geprüft wurden. Übertragen auf die Cybersicherheit heißt das: Wir nehmen die Perspektive des Angreifers ein, um die Wirksamkeit Ihrer Sicherheitsmaßnahmen unter realen Bedingungen zu prüfen und gezielt zu verbessern.
Abstraktionsebenen
Red Teaming und Penetration Testing im Vergleich
Ob ein Penetrationstest oder ein Red-Team-Assessment das Richtige ist, hängt vom Ziel ab. Ein Pentest deckt in einem definierten Bereich möglichst viele Schwachstellen auf. Ein Red Team verfolgt stattdessen ein realistisches Angriffsziel und prüft dabei den gesamten Verteidigungsapparat, inklusive Menschen und Prozesse.
- Zielorientiert statt vollständig
Ein Red Team sucht nicht alle Schwachstellen, sondern den Weg, der das definierte Ziel erreicht. Ein Pentest strebt die möglichst vollständige Abdeckung eines Bereichs an.
- Erkennung wird mitgetestet
Das Red Team agiert so unauffällig wie möglich. Ob und wann Ihr Blue Team den Angriff bemerkt, ist selbst ein zentrales Ergebnis. Bei einem Pentest ist Tarnung meist kein Ziel.
- Menschen, Prozesse und Physis
Neben der Technik gehören Social Engineering, physische Zutrittsversuche und Prozessschwächen dazu. Ein klassischer Pentest bleibt in der Regel technisch.
- Längere Dauer und Vorbereitung
Red-Team-Operationen gehen in die Tiefe und brauchen mehr Zeit, mehr Menschen und eine gründliche Threat-Intelligence-Vorbereitung.
Auch Angriffssimulation genannt
Wann sollte Red Teaming eingesetzt werden?
Eine Angriffssimulation bildet einen echten Angriff realitätsnah nach und bezieht neben der Technik ausdrücklich den Faktor Mensch ein, den herkömmliche Pentests aussparen. Alle digitalen und analogen Prozesse Ihres IT-Sicherheitsmanagements kommen auf den Prüfstand. So gewinnen Sie belastbare Erkenntnisse von der Prävention über die Erkennung bis zur Reaktion und sensibilisieren zugleich Ihre Mitarbeiter.
- Messbare Erkennungs- und Reaktionsfähigkeit
Sie erhalten belastbare Aussagen dazu, ob und wie schnell Ihr SOC einen realen Angriff bemerkt und eindämmt.
- Realistisches Risikoverständnis
Statt einer Liste theoretischer Findings sehen Sie, was ein Angreifer in Ihrer Umgebung tatsächlich erreichen kann.
- Behebung konkreter Angriffsvektoren
Wir zeigen die genutzten Wege auf und unterstützen bei deren gezielter Schließung, nicht nur bei Einzelschwachstellen.
- Erkenntnisse über Angriffsmethoden
Ihr Team lernt reale Taktiken, Techniken und Prozeduren kennen und kann Detektionen gezielt darauf ausrichten.
- Test der Reaktion Ihrer Prozesse
Alarmierung, Eskalation und Incident Response werden unter realen Bedingungen geprüft.
Ablauf eines Red-Team-Assessments
Ein Red-Team-Assessment folgt einer strukturierten, an MITRE ATT&CK und TIBER-EU angelehnten Vorgehensweise:
Threat Intelligence und Scoping
Gemeinsam definieren wir Ziele, Rahmen und Testfenster und erstellen ein bedrohungsbasiertes Angreiferprofil für Ihre Branche.
Reconnaissance
Passive und aktive Aufklärung von Angriffsfläche, Mitarbeitern und exponierten Diensten.
Initial Access
Erstzugang über den erfolgversprechendsten Weg, etwa Spear Phishing, exponierte Dienste oder physischen Zutritt.
Foothold und Command and Control
Aufbau eines stabilen, möglichst unauffälligen Zugangs und einer C2-Verbindung.
Privilege Escalation und Lateral Movement
Ausweitung der Rechte und Bewegung durch das Netzwerk in Richtung der vereinbarten Ziele.
Zielerreichung und Exfiltration
Kontrollierter Nachweis der Kompromittierung Ihrer Kronjuwelen, ohne echten Schaden anzurichten.
Purple Teaming und Reporting
Gemeinsame Auswertung mit Ihrem Blue Team, dokumentierter Angriffsverlauf und priorisierte Maßnahmen.
Von Phishing bis physischer Zutritt
Szenarien und Angriffsvektoren
Ein realistischer Angriff nutzt jeden Weg, der zum Ziel führt. Wir stimmen die Szenarien auf Ihre Bedrohungslage ab und kombinieren technische, menschliche und physische Vektoren, bis hin zum Assumed-Breach-Ansatz, bei dem wir einen bereits erfolgten Erstzugang annehmen und die Erkennung der Folgeaktivität prüfen.
- Assumed Breach
Wir setzen einen bestehenden Foothold voraus und testen, ob Ihr SOC die Post-Exploitation erkennt und stoppt.
- Externer Perimeter
Angriff von außen über internetexponierte Dienste, VPN-Gateways und Webanwendungen.
- Social Engineering und Phishing
Gezielte Spear-Phishing- und Vishing-Kampagnen gegen Ihre Mitarbeiter als häufigster Erstzugang.
- Physischer Zutritt
Versuch, sich vor Ort Zugang zu Gebäuden, Arbeitsplätzen oder Netzwerkdosen zu verschaffen.
- Purple Teaming
Auf Wunsch arbeiten Red und Blue Team offen zusammen, um Detektionen direkt zu bauen und nachzutesten.
DORA, TIBER-EU und NIS-2
Red Teaming als regulatorischer Wirksamkeitsnachweis
Aufsicht und Regulierung fragen längst nicht mehr nur, ob Systeme gepatcht sind, sondern ob eine Organisation einen laufenden Angriff erkennt und stoppt. Genau das weist Red Teaming nach. Für den Finanzsektor macht DORA (Verordnung (EU) 2022/2554, anwendbar seit dem 17.01.2025) bedrohungsorientiertes Testen verbindlich: Art. 26 und 27 verlangen von bedeutenden Finanzunternehmen Threat-Led Penetration Testing (TLPT), methodisch auf Basis des TIBER-EU-Frameworks der EZB und mindestens alle drei Jahre. NIS-2 fordert in Art. 21 einen Nachweis der Wirksamkeit der Sicherheitsmaßnahmen. Ein Red-Team-Assessment liefert genau diesen Nachweis, auch dort, wo kein TLPT vorgeschrieben ist.
- DORA und TLPT für den Finanzsektor
Art. 26 und 27 DORA verpflichten bedeutende Finanzunternehmen zu Threat-Led Penetration Testing. Wir führen TLPT als qualifizierter, unabhängiger Prüfer durch.
- TIBER-EU-Framework
TIBER-EU ist das europäische Framework für Threat Intelligence-based Ethical Red Teaming. Es strukturiert TLPT von der Threat-Intelligence-Phase über die Red-Team-Phase bis zum gemeinsamen Purple Teaming mit Ihrem Blue Team.
- NIS-2: Nachweis der Wirksamkeit
NIS-2 (Art. 21) verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen. Ein Red-Team-Assessment belegt, dass Erkennung und Reaktion tatsächlich greifen, auch ohne verpflichtendes TLPT.
- Nachweis gegenüber der Aufsicht
BaFin und EZB überwachen die Einhaltung der DORA-Anforderungen. Ein dokumentiertes Red-Team-Assessment ist der belastbare Nachweis, dass Ihre Abwehr wirkt.
Welche Tools und Techniken kommen zum Einsatz?
Unsere Operationen orientieren sich am MITRE ATT&CK Framework, der gemeinsamen Sprache für Angreifer-Taktiken und -Techniken. Zu den wichtigsten Werkzeugen gehören AptSimulator, Atomic Red Team und Caldera. Ergänzend nutzen wir Metasploit für Exploits, Cobalt Strike für Post-Exploitation, BloodHound zur Analyse von Active Directory, Burp Suite für Webanwendungen und das Social-Engineer Toolkit für gezielte Social-Engineering-Angriffe.
Reichen etablierte Werkzeuge nicht aus, entwickeln unsere Spezialisten während des Assessments eigene Exploits, bis hin zu bislang unbekannten Zero-Day-Schwachstellen. Verantwortungsvoll gemeldete Funde veröffentlichen wir als Security Advisories.
- AptSimulator
Das Windows-basierte Tool stellt typische Spuren und Aktivitäten fortgeschrittener Angreifer (APT) nach. Es erstellt gezielt Artefakte und Systemveränderungen, um die Detektions- und Reaktionsfähigkeit der IT-Sicherheitsteams zu testen. AptSimulator eignet sich besonders, um Forensik- und Monitoring-Lösungen auf ihre Wirksamkeit gegen bekannte Angriffsmuster zu prüfen.
- Atomic Red Team
Das Framework stellt kleine, zielgerichtete Tests („atomic tests“) bereit, die einzelne Taktiken, Techniken und Prozeduren (TTPs) aus dem MITRE ATT&CK Framework simulieren. Unternehmen können damit gezielt überprüfen, ob ihre Sicherheitskontrollen bestimmte Angriffswege erkennen und abwehren. Atomic Red Team ermöglicht die Anpassung der Tests an branchenspezifische Bedrohungen und unterstützt regelmäßige, kontinuierliche Überprüfungen der eigenen Verteidigungsmaßnahmen.
- MITRE Caldera
Die automatisierte Plattform emuliert Angreifer und unterstützt manuelle Red-Team-Operationen. Caldera basiert auf dem MITRE ATT&CK Framework und erlaubt es, komplexe Angriffsszenarien mit verschiedenen Plugins und Agenten zu orchestrieren. Die Plattform eignet sich zur Automatisierung von Adversary Emulation, zur Unterstützung von Incident-Response-Übungen und zur Visualisierung von Angriffspfaden.
- Eigene Exploit- und Zero-Day-Entwicklung
Wo Standardwerkzeuge an Grenzen stoßen, forschen wir selbst und entwickeln maßgeschneiderte Exploits, bis hin zu neuen Zero-Day-Schwachstellen. Unsere verantwortungsvoll gemeldeten Funde dokumentieren wir öffentlich in unseren Security Advisories.
Ergebnis und Nachweis
Was Sie erhalten
Nach dem Assessment erhalten Sie mehr als eine Findings-Liste. Wir liefern einen nachvollziehbaren Angriffsverlauf, eine für das Management verständliche Zusammenfassung und einen priorisierten Maßnahmenplan. Kritische Funde melden wir bereits während des Tests sofort.
- Management Summary
Eine verständliche Einordnung von Risiko und Auswirkung, auch ohne technisches Vorwissen.
- Dokumentierter Angriffsverlauf
Der komplette Weg vom Erstzugang bis zur Zielerreichung, mit Nachweisen und Bezug zu MITRE ATT&CK.
- Priorisierte Maßnahmen
Konkrete, nach Wirkung sortierte Empfehlungen statt einer bloßen Aufzählung von Findings.
- Kostenlose Nachprüfung
Nach der Behebung prüfen wir in den meisten Fällen kostenlos nach, ob Ihre Fixes die genutzten Angriffswege tatsächlich schließen.
Leistungsspektrum für Cyber Security
Weitere sinnvolle Leistungen im Rahmen eines IT-Sicherheits-Audits
- Penetration Test
Penetration Tests sind simulierte Angriffe aus externen oder internen Quellen, um die Sicherheit von Webanwendungen, Apps, Netzwerken und Infrastrukturen zu ermitteln und etwaige Schwachstellen aufzudecken.
- Cloud Security
Aufgrund der steigenden Komplexität bei Cloud-Infrastrukturen sind viele Dienste fehlerhaft konfiguriert. Wir helfen Ihnen, Fehlkonfigurationen und deren Auswirkungen zu identifizieren und zu eliminieren.
- Phishing Simulation
Eine Spear-Phishing-Simulation wird dazu verwendet, die Erkennungsfähigkeit der Mitarbeiter zu steigern. Wir helfen Ihnen, Ihre Mitarbeiter zu sensibilisieren und somit die letzte Barriere zu stärken.
- Statische Code-Analyse
Die statische Codeanalyse, auch bekannt als Quellcodeanalyse, wird in der Regel im Rahmen einer Code-Überprüfung durchgeführt und findet in der Implementierungsphase eines Security Development Lifecycle (SDL) statt.
Wie weit käme ein echter Angreifer bei Ihnen?
Finden Sie es heraus, bevor es jemand anderes tut. Unsere BSI-zertifizierten Experten simulieren einen realen, zielgerichteten Angriff auf Ihre Organisation.
Häufige Fragen zum Red Teaming
Red Teaming, häufig gestellte Fragen
Antworten auf die Fragen, die uns Kunden vor einem Red-Team-Assessment am häufigsten stellen.
- Worin unterscheidet sich Red Teaming von einem Penetrationstest?
Ein Pentest deckt in einem definierten Bereich möglichst viele Schwachstellen auf. Ein Red-Team-Assessment verfolgt ein realistisches Angriffsziel und prüft dabei auch, ob Ihre Verteidiger den Angriff erkennen und stoppen. Getestet werden Technik, Menschen und Prozesse.
- Wie lange dauert ein Red-Team-Assessment?
Je nach Umfang und Zielsetzung typischerweise mehrere Wochen. Ein bedrohungsorientierter TLPT nach TIBER-EU dauert inklusive Threat Intelligence und Reporting meist acht bis zwölf Wochen. Den genauen Rahmen legen wir im Vorfeld gemeinsam fest.
- Ist unser Blue Team vorab informiert?
In der Regel nicht. Genau darin liegt der Wert: Nur ein nicht vorgewarntes Blue Team zeigt die echte Erkennungs- und Reaktionsfähigkeit. Ein kleiner, eingeweihter Kreis steuert den Test im Hintergrund und sorgt für einen sicheren Ablauf.
- Ist mein Unternehmen zu einem TLPT verpflichtet?
Verpflichtend ist Threat-Led Penetration Testing über DORA für bedeutende Finanzunternehmen. NIS-2 verlangt einen Nachweis der Wirksamkeit der Sicherheitsmaßnahmen, aber kein zwingendes TLPT. Im Erstgespräch klären wir Ihre konkrete Pflicht.
- Ist der Test rechtlich abgesichert?
Ja. Vor Beginn vereinbaren wir Umfang, Testfenster und Angriffstiefe schriftlich. Damit ist die Prüfung autorisiert und rechtssicher, auf Wunsch mit zusätzlicher Vertraulichkeitsvereinbarung (NDA).
- Wer führt den Test durch?
OSCP-zertifizierte Security Engineers eines BSI-zertifizierten und nach ISO 27001 auf Basis IT-Grundschutz zertifizierten Dienstleisters.
- Ist eine Nachprüfung enthalten?
In den meisten Fällen ja, und kostenlos. Nach der Behebung prüfen wir, ob Ihre Maßnahmen die genutzten Angriffswege tatsächlich schließen.
Aktuelle Informationen
Aktuelle Blog-Artikel
Unsere Mitarbeiter veröffentlichen regelmäßig Artikel zum Thema IT-Sicherheit
Kontakt