Was ist Red-Teaming?
Red-Teaming ist das kontrollierte Nachstellen von Angriffen und Fehlerszenarien zur Identifikation von Schwachstellen und Risiken.
Worum geht es in diesem Leitfaden?
Dieser Text beleuchtet die strategische Tiefe der offensiven Cybersicherheit. Wir zeigen auf, wie moderne Angreifer vorgehen (die Cyber Kill Chain), wo der Unterschied zum klassischen Penetration Testing liegt und warum eigene IT-Abteilungen bei dieser Art von Stresstest unweigerlich scheitern.
Mehr erfahren
Viele Organisationen wiegen sich in Sicherheit, weil sie stark in fortschrittliche Technologien investiert haben. Was teuer war, das muss gut sein – oder doch nicht?
Die Realität ist unbarmherzig: Während Angreifer nach einer initialen Kompromittierung oftmals nur wenige Tage benötigen, um sich lautlos lateral in einem Netzwerk auszubreiten, liegt die durchschnittliche Zeit zur Behebung kritischer Defizite und Sicherheitslücken in vielen Unternehmen bei über 70 Tagen. Um diese gravierende Diskrepanz zu schließen, hat sich das Red-Teaming als der Goldstandard der proaktiven Cybersicherheit etabliert.
Ein professionelles Red-Team führt weitaus mehr durch als nur einen technischen IT-Test. Es handelt sich um eine umfassende, zielgerichtete und feindliche Simulation (Adversarial Simulation). Das erklärte Ziel ist es, die tatsächliche Widerstandsfähigkeit einer Organisation sowie die Reaktionsfähigkeiten der Verteidiger unter maximal realistischen Bedingungen auf die Probe zu stellen. Im Gegensatz zu automatisierten Scans, die lediglich den theoretischen Zustand der IT-Systeme bewerten, liefert das Red-Team den faktischen Beweis, ob ein Angreifer die sogenannten „Crown Jewels“ – die geschäftskritischsten Assets des Unternehmens – erreichen und kompromittieren kann.
In der unternehmerischen Praxis und bei der Budgetplanung werden die Begriffe Penetration Testing (Pentesting) und Red-Teaming fälschlicherweise oft synonym verwendet. Obwohl beide Ansätze das gemeinsame Ziel verfolgen, die Cybersecurity und damit die Sicherheitslage eines Unternehmens zu verbessern, unterscheiden sie sich in ihrer Ausrichtung diametral. Penetrationstests sind oft direkter und sichtbarer für Unternehmen. Ein Red-Team agiert hingegen vorrangig im Verborgenen. Das tiefgreifende Verständnis dieser Differenzierung ist zentral für die Allokation von Sicherheitsbudgets:
| Analysedimension | Penetration Testing (Pentest) | Red-Team-Aktivitäten |
|---|---|---|
| Primäre Zielsetzung | Identifikation, Ausnutzung und umfassende Dokumentation möglichst vieler technischer Schwachstellen in einem definierten System. | Bewertung der ganzheitlichen Detektions- und Reaktionsfähigkeit der Organisation (Mensch, Prozess, Technologie) unter realen Angriffsbedingungen. |
| Testumfang (Scope) | Eng definiert und strikt begrenzt (z. B. Überprüfung von fünf spezifischen Webanwendungen oder einem bestimmten Cloud-Netzwerksegment auf Sicherheitsrisiken) | Ganzheitlich und umfänglich; umfasst die gesamte Organisation, inklusive Cloud-Diensten, physischer Sicherheit, IoT-Geräten und Social Engineering. |
| Kenntnisstand der Verteidiger | Das interne Sicherheitsteam (Blue Team) ist in der Regel über den Testzeitraum, den Umfang und die beteiligten Akteure informiert. | Unangekündigt (verdeckt); das Blue Team operiert unter Normalbedingungen und weiß nicht, dass ein Test stattfindet. Nur ein kleiner Kreis an Führungskräften ist eingeweiht. |
| Dauer des Engagements | Kurzfristig, oft innerhalb von Tagen bis zu wenigen Wochen abgeschlossen. | Langfristig angelegt, typischerweise mehrere Wochen bis Monate (z. B. 8 bis 12 Wochen), um Stealth-Taktiken und Persistenz realistisch zu simulieren. |
| Taktische Ausrichtung | Systematisch und methodisch (z. B. Abarbeiten der OWASP Top 10); hoher Einsatz von automatisierten Tools und Scannern. | Opportunistisch, zielorientiert und adaptiv; Nutzung des Weges des geringsten Widerstands unter Verwendung von Custom-Malware und C2-Infrastrukturen. |
| Art des Endresultats | Eine diagnostische, oft sehr lange Liste technischer Fehler mit spezifischen Anweisungen zur Behebung (Patch-Liste). | Eine strategische Bewertung der Cyberresilienz, die prozessuale Fehler, blinde Flecken in der Überwachung und die Validierung des Incident Responses aufzeigt. |
Inhaltsverzeichnis
- 1. Die Farbenlehre der Hacker: White-, Grey- und Blackbox
- 2. Die Methodik hinter einem Red-Team-Assessment
- 3. Warum interne Red-Teamer bei der Prüfung oft scheitern
- 4. Die ökonomische Kostenfalle: Warum eigene Abteilungen Budgets sprengen
- 5. Regulierung als Treiber: DORA und Threat-Led Testing
- 6. TIBER-EU in der Praxis: Der Ablauf einer regulierten Prüfung
- 7. Ganzheitliche Sicherheitslösungen für komplexe Angriffe
- 8. Red Teaming as a Service (RTaaS): Das Paradigma der Kontinuität
- 9. Der KI-Sicherheit auf den Zahn fühlen
- 10. Betriebswirtschaftliche Effizienz und messbarer ROI
Um die unterschiedlichen Testverfahren besser einzuordnen, hilft ein Blick auf die Informationsbasis der Prüfer. Bei einem White-Box-Test hat der Prüfer volles Wissen über die Architektur und teils sogar Administratorrechte. Das spart Zeit, simuliert aber keinen echten Hackerangriff. Ein Grey-Box-Test liefert dem Prüfer rudimentäre Informationen, vergleichbar mit den Rechten eines normalen Mitarbeiters (z. B. einfache Zugangsdaten). Ein authentisches Red-Team-Assessment operiert jedoch vorrangig aus der Black-Box-Perspektive – der Angreifer startet ohne Vorwissen und muss sich jeden Baustein an Informationen selbst beschaffen.
Ein professionelles Assessment durch externe Sicherheitsexperten ist kein ungeplantes Hacking. Es folgt einem streng strukturierten Zyklus, der sich eng an etablierten Frameworks wie der Cyber Kill Chain von Lockheed Martin oder MITRE ATT&CK orientiert. Diese methodische Prüfung stellt sicher, dass die Operationen realitätsnah ablaufen, ohne den regulären Geschäftsbetrieb zu gefährden.
Um einen echten Hackerangriff so realitätsnah wie möglich abzubilden, orientieren sich professionelle Red-Teamer an einer klaren Choreografie. Red Teaming umfasst die gesamte Cyber Kill Chain. Der simulierte Angriff deckt dabei lückenlos die folgenden Phasen ab:
Reconnaissance (Aufklärung): Das Red-Team kartografiert die Angriffsfläche des Unternehmens und sammelt im Vorfeld Open-Source Intelligence (OSINT).
Initial Access: Die Experten setzen den ersten Fuß in die Tür – meist, indem sie zielgerichtetes Spear-Phishing einsetzen, ungepatchte VPN-Gateways kompromittieren oder fehlerhafte Randkonfigurationen ausnutzen.
Persistence & Privilege Escalation: Das Team baut eine getarnte Command-and-Control-Infrastruktur (C2) auf und weitet die eigenen Benutzerrechte gezielt bis zum Domain-Administrator aus (etwa durch Techniken wie Kerberoasting).
Lateral Movement: Die Red-Teamer bewegen sich unbemerkt seitwärts im Zielnetzwerk, um die im Vorfeld definierten Assets (die sogenannten Crown Jewels) zu erreichen.
Objective Simulation & Exfiltration: Statt echte Daten zu stehlen, liefert das Red-Team an dieser Stelle lediglich den Nachweis (Proof-of-Concept), dass es die Kontrolle über kritische Systeme erlangt hat.
Während sich Vulnerability-Management oft nur auf Softwarefehler konzentriert, sucht das Red-Team nach dem Weg des geringsten Widerstands. Dieser führt erstaunlich oft über den Menschen. Social Engineering ist daher ein integraler Bestandteil der Angriffssimulation. Das systematische Scannen von Social-Media-Profilen hilft bei der Identifikation von Schlüsselmitarbeitern. Darauf folgen präzise abgestimmte Phishing-Angriffe mit hochgradig personalisierten Vorwänden (Pretexting) oder Vishing-Angriffe (telefonische Manipulation des IT-Helpdesks). Selbst physische Angriffsvektoren spielen eine Rolle: Tailgating (das unbemerkte Mitlaufen durch gesicherte Türen) oder das gezielte Auslegen von kompromittierten USB-Sticks auf dem Firmenparkplatz gehören zum Standardrepertoire.
Während sich die Red-Teamer im Netzwerk bewegen, schlägt die Stunde der Wahrheit für die Verteidiger. Eine solche Simulation deckt schonungslos auf, an welchen Stellen Sicherheitslösungen greifen und wo die Angriffserkennung vollständig versagt. Bemerkt das Blue Team, dass jemand im Netzwerk operiert? Werden Alarme im SIEM (Security Information and Event Management) korrekt ausgelöst, oder gehen sie im Rauschen der täglichen Warnmeldungen unter? Bemerkt das Red-Team eine engmaschige Überwachung, passt es sein Verhalten dynamisch an und wählt einen unauffälligeren Pfad.
Das Ziel der Operation besteht keineswegs in der Demütigung der unternehmenseigenen IT-Abteilung. Nach dem Test erfolgt das strategische Reporting in einem sogenannten Purple-Team-Debriefing. Hier verschmelzen Red und Blue. Durch den direkten Kontakt in einem gemeinsamen Workshop wird der gesamte Angriff minutiös rekonstruiert. Das Blue Team lernt aus erster Hand, warum bestimmte Firewall-Regeln umgangen werden konnten und wo Detektionslücken bestehen. Dieser kollaborative Ansatz maximiert den Lerneffekt und transformiert einen theoretischen Bericht in sofort implementierbare Gegenmaßnahmen mit hoher Effektivität.
Viele Unternehmen, besonders im gehobenen Mittelstand, unterliegen der Illusion der internen Sicherheit. Sie glauben, ihre loyale IT-Abteilung verfüge über ausreichende Fähigkeiten und könne die eigenen Netzwerke objektiv attackieren. Das ist ein gefährlicher Trugschluss. Aus fundierten psychologischen und strukturellen Gründen scheitern interne IT-Teams regelmäßig daran, die Rolle eines fortgeschrittenen Bedrohungsakteurs realistisch einzunehmen.
Warum sieht das eigene Team oft den Wald vor lauter Bäumen nicht? Das gewichtigste Argument gegen eine Gruppe interner Prüfer ist die psychologische Betriebsblindheit. Ein eigener Administrator startet unweigerlich mit White-Box-Wissen in den Test: Er kennt die Architektur in- und auswendig und weiß, wo das Active Directory liegt. Sein Confirmation Bias (Bestätigungsfehler) verleitet ihn dazu, unterbewusst genau die Angriffsvektoren zu meiden, die er nach eigenem Wissen kürzlich gepatcht hat. Ein externer Red-Teamer nähert sich dem Netzwerk hingegen mit der analytischen Kälte eines echten Kriminellen. Für ihn gibt es keine internen Denkverbote. Durch dieses kompromisslose Out-of-the-Box-Denken sucht er empirisch nach dem Weg des geringsten Widerstands.
Wird die interne IT beauftragt, entsteht ein unlösbarer Interessenkonflikt („die eigenen Hausaufgaben kontrollieren“). Mitarbeiter sollen de facto ihre eigene Arbeit sabotieren und diese Fehler vor dem Aufsichtsrat bloßstellen. Die Angst vor internen Spannungen führt meist zu einer unterbewussten „Entschärfung“ der Tests. Zudem erfordert das Hacking ein destruktives, feindliches Mindset (Adversarial Mindset), während die IT-Abteilung auf Stabilität, Patch-Management und Uptime trainiert ist.
Auch wenn ein Unternehmen ein eigenes, isoliertes Red-Team aufbauen möchte, sind die wirtschaftlichen Hürden gewaltig. Der Arbeitsmarkt für Offensiv-Spezialisten ist äußerst umkämpft. Die fortlaufende Rekrutierung, ständige Weiterbildung und der Erwerb hochpreisiger spezialisierter Angriffs-Frameworks (wie Cobalt Strike) sowie kommerzieller Threat-Intelligence-Feeds verursachen immense Fixkosten.
Ein externer Dienstleister wie neonotu verteilt diese Infrastruktur- und Ausbildungsbudgets über eine Vielzahl von Kunden und kann Top-Talente weitaus kosteneffizienter einsetzen.
Die strategische Bedeutung dieser offensiven Tests wird längst von Regulierungsbehörden unterstrichen. Die Verordnung (EU) 2022/2554, bekannt als Digital Operational Resilience Act (DORA), etabliert ein Rahmenwerk für das IKT-Risikomanagement im europäischen Finanzsektor. DORA verpflichtet spezifische Unternehmen aus der Finanzbranche explizit, hoch entwickelte Sicherheitstests in Form von Threat-Led Penetration Testing (TLPT) durchzuführen. Dies erhebt das Assessment von einer freiwilligen Best Practice zu einer gesetzlichen Anforderung.
Um diese regulatorischen Vorgaben und die daraus resultierenden Testergebnisse im Arbeitsalltag nahtlos zu steuern, stützen sich moderne Sicherheitsstrategien auf zentrale Management-Plattformen. Mit unserem Portal Sightadel bieten wir eine solche digitale Werkbank. IT-Verantwortliche und CISOs erhalten hier ein dynamisches Cockpit, um ihr IKT-Risikomanagement sowie ein ISMS nach ISO 27001 zielgerichtet aufzubauen und kontinuierlich zu pflegen. Die ständige Suche nach verstreuten Informationen entfällt, da die Plattform alle sicherheitsrelevanten Daten zentral bündelt. Das System bewertet das eigene Risikoprofil fortlaufend über einen integrierten Security Score und macht Schwachstellen in Echtzeit sichtbar – ohne zusätzliche Kosten. Auf diese Weise verwandelt sich die oft mühsame Compliance-Dokumentation in eine transparente Steuerungseinheit, die Ihre Cybersicherheit nachweislich messbar und kontrollierbar macht.
DORA baut methodisch auf dem TIBER-EU-Rahmenwerk (Threat Intelligence-based Ethical Red Teaming) der Europäischen Zentralbank auf, das in Deutschland als TIBER-DE umgesetzt wird. Der Ablauf erfordert die Koordination verschiedener Stakeholder:
- Preparation & Scoping: Bildung eines isolierten internen White-Teams (Control-Team), das als einzige Instanz im Unternehmen eingeweiht ist.
- Threat Intelligence: Ein unabhängiger Anbieter erstellt einen Targeted-Threat-Intelligence-Bericht, der die relevanten Gegner und deren Taktiken profiliert.
- Red-Teaming-Test: Verdeckte Ausführung des Angriffs auf die Live-Systeme unter Einhaltung strenger Abbruchkriterien.
- Closure & Purple Team: Gemeinsame Analyse der Detektionslücken mit dem uninformierten Blue Team.
Der Gesetzgeber schreibt zudem vor, dass bei der Nutzung interner Kapazitäten mindestens jeder dritte TLPT-Test vollständig von einem externen Dienstleister durchgeführt werden muss, um jegliche Interessenkonflikte auszuschließen.
Cyberkriminelle denken in Angriffspfaden, nicht in Silos; daher kombinieren sie Disziplinen. Ein Angreifer stiehlt ein Passwort per Telefon, loggt sich über ein veraltetes VPN ein oder nutzt eine übersehene Fehlkonfiguration in den Cloud-Anwendungen. Red-Teaming beleuchtet genau diese interdisziplinären Schnittstellen und macht systemische Schwachstellen sichtbar, die von rein technischen Scannern unweigerlich übersehen werden. Dies liefert dem Management unbestreitbare Beweise für einen bestehenden Handlungsbedarf und stärkt die unternehmensweite Sicherheitskultur.
Die größte Schwäche herkömmlicher Cybersicherheitskonzepte besteht darin, dass sie Sicherheitsrisiken nur punktuell erfassen. Ein Penetrationstest zeigt den Zustand einer IT-Umgebung zu einem bestimmten Zeitpunkt – nicht jedoch, wie sich die Angriffsfläche in den darauffolgenden Tagen und Wochen verändert. Da moderne IT-Landschaften permanent im Wandel sind, verlieren einmalige Testergebnisse schnell an Relevanz. Mit „Red Teaming as a Service“ (RTaaS) ersetzt neonotu dieses statische Vorgehen durch eine kontinuierliche Sicherheitsvalidierung. Das Abonnement-Modell umfasst:
Monatliche Angriffssimulationen: Realitätsnahe, fokussierte Simulationen, basierend auf tagesaktueller Threat Intelligence.
Vierteljährliche Penetrationstests: Tiefgehende, methodische Analysen der gesamten Infrastruktur.
Maßgeschneiderte Schulungen: Spezifische Trainingsprogramme, um die Mitarbeiter zur menschlichen Firewall zu machen.
In modernen Netzwerken spielen smarte Systeme eine immer größere Rolle. Die Integration von KI-Sicherheit in die Erkennung von Bedrohungen ist vielversprechend, bietet Angreifern jedoch auch neue, unkonventionelle Vektoren. Unsere Experten kombinieren menschliche, kreative Hacker-Intelligenz mit eigenen Tools, um hochkomplexe Exploits zu entwickeln, die moderne EDR-Lösungen umgehen (Evasion) und die tatsächliche Qualität der Abwehr prüfen.
Der Übergang von punktuellen Sicherheitsprojekten zu einem kontinuierlichen RTaaS-Modell von neonotu ermöglicht eine planbare, nachhaltige und wirtschaftliche Verbesserung der Sicherheitslage. Statt einzelner, zeitlich begrenzter Assessments profitieren Unternehmen von einer fortlaufenden Validierung ihrer Schutzmaßnahmen und einer kontinuierlichen Bewertung neuer Risiken.
Die gewonnenen Erkenntnisse werden unmittelbar in bestehende Sicherheitsprozesse integriert: Sie unterstützen die strategische Steuerung durch den Virtual CISO und verbessern gleichzeitig die Erkennungs- und Reaktionsfähigkeit eines Fully Managed SOC. So entsteht ein geschlossener Kreislauf aus Angriffssimulation, Analyse, Optimierung und Überwachung.
Im Ernstfall sorgt ein Instant-Response-Service für eine unmittelbare Reaktion auf Sicherheitsvorfälle und trägt dazu bei, Auswirkungen auf Betrieb, Daten und Reputation wirksam zu begrenzen.
Nehmen Sie Kontakt zu uns auf, um Ihre Cyberresilienz nachhaltig zu stärken und durch kontinuierliche Verbesserung langfristig auf ein neues Niveau zu heben.
Was ist der genaue Unterschied zwischen Penetration Testing und Red Teaming?
Penetrationstests sind stark limitiert und diagnostisch; sie suchen methodisch nach technischen Fehlern in einem eng definierten Fokus. Ein Red-Teaming-Assessment ist ganzheitlich, zielorientiert und opportunistisch. Es agiert verdeckt und testet das gesamte Unternehmen unter realistischen Bedingungen, um zu prüfen, wie die Verteidiger (Blue Team) im Ernstfall reagieren.
Gefährden Red-Team-Operationen unsere laufenden IT-Systeme oder die Datensicherheit?
Nein. Professionelle Red-Teams operieren unter strengen Abbruchkriterien (Abort-Mechanismen), um operationale Schäden an Live-Systemen konsequent zu vermeiden. Obwohl die prinzipielle Machbarkeit eines Datenabflusses bewiesen wird, werden sensible Kundeninformationen oder Assets aus rechtlichen und sicherheitstechnischen Gründen niemals in externe Netzwerke kopiert.
Warum sollte unsere eigene IT-Abteilung diese Prüfung nicht durchführen?
Interne Mitarbeiter leiden unweigerlich unter psychologischer „Betriebsblindheit“ (Confirmation Bias) und haben einen starken strukturellen Interessenkonflikt. Sie sind darauf trainiert, Netzwerke zu bauen und zu verteidigen, nicht sie zu zerstören. Das hoch spezialisierte Know-how, das feindliche Hacker-Mindset sowie die Nutzung maßgeschneiderter Angriffs-Frameworks bringen in der Regel nur spezialisierte externe Teams mit.
Spielt Social Engineering bei diesen Tests wirklich eine so große Rolle?
Die Bedeutung des menschlichen Faktors wird häufig unterschätzt. Während technische Schutzmaßnahmen kontinuierlich verbessert werden, suchen Angreifer gezielt nach dem einfachsten Weg ins Unternehmen – und dieser führt oft über Mitarbeiter. Deshalb umfassen unsere Simulationen realitätsnahe Phishing-Angriffe, Vishing-Kampagnen und physische Zutrittstests. Die Ergebnisse machen sichtbar, wo Sicherheitsbewusstsein und Prozesse verbessert werden können, und schaffen die Grundlage für wirksamere Awareness-Trainings und eine resilientere Sicherheitskultur.
Muss unsere Organisation regulatorische Anforderungen wie DORA erfüllen?
DORA (Digital Operational Resilience Act) ist für den gesamten europäischen Finanzsektor sowie für dessen kritische IKT-Drittdienstleister rechtlich bindend. Die identifizierten Unternehmen sind gesetzlich dazu verpflichtet, mindestens alle drei Jahre ein Threat-Led Penetration Testing (TLPT) auf ihren Live-Systemen durchzuführen. Externe, nachrichtendienstlich gesteuerte Assessments sichern hier die geforderte Compliance verlässlich ab.
Was ist der Vorteil von „Red Teaming as a Service“ (RTaaS) gegenüber klassischen Pen-Tests?
Die IT-Landschaft und die Taktiken der Gegner wandeln sich in rasanter Geschwindigkeit. Ein einmaliger Test (Point-in-Time) ist extrem schnell veraltet. RTaaS löst dieses Problem durch ein Abonnement-Modell mit hochfrequenten, monatlichen Angriffssimulationen und vierteljährlichen Penetrationstests. Dies liefert kontinuierliche Erkenntnisse, deckt Defizite in frisch eingeführten Systemen sofort auf und steigert die Qualität der Abwehr nachhaltig zu planbaren Bedingungen.
- Terminanfrage für eine Beratung
- Kooperationsanfragen
- Schnellhilfe, wenn Sie gehackt wurden
+49 89 4162 5900
+41 44 586 94 00
+49 89 4162 5900
+41 44 586 94 00
Zug (Schweiz) . München (Deutschland)