Penetration Testing
Autorisierte Angriffe auf Ihre Systeme — Black, White oder Grey Box, extern wie intern. Mit Bericht nach Schweregrad un…
AnsehenOffensive Services
Red Team Operations
Ein Penetrationstest fragt: Welche Schwachstellen gibt es? Eine Red Team Operation fragt etwas anderes: Kommen wir an die Konstruktionsdaten? An die Gehaltsliste? An die Steuerung der Anlage? Und vor allem — merkt es jemand, während es passiert?
01
Die Abgrenzung
Nicht mehr Schwachstellen, sondern eine andere Frage
Der Penetrationstest liefert eine Liste. Die Red Team Operation liefert eine Antwort auf eine einzige, vorher vereinbarte Frage — und den Nachweis, wie Ihre Verteidigung sich dabei geschlagen hat. Das ist kein größerer Pentest, sondern eine andere Disziplin.
- Ziel — ein vereinbartes Kronjuwel statt einer möglichst vollständigen Schwachstellenliste. „Wir hatten Zugriff auf die Konstruktionsdaten“ wiegt schwerer als vierzig mittlere Befunde.
- Dauer — mehrere Wochen statt weniger Tage. Ein echter Angreifer hat Zeit, und Zeit ist sein größter Vorteil.
- Umfang — Technik, Menschen und Gebäude gemeinsam. Wer nur die Technik prüft, verpasst den Weg, den ein Angreifer tatsächlich nimmt.
- Wissen — nur ein kleiner Kreis ist eingeweiht. Die Verteidigung weiß nicht, dass geübt wird; sonst prüfen Sie nicht die Reaktion, sondern die Vorbereitung darauf.
- Maßstab — bewertet wird nicht unser Zugang, sondern Ihre Erkennung. Eine Operation, die nach vier Stunden auffliegt, ist ein besseres Ergebnis als eine, die drei Wochen unentdeckt bleibt.
Der Ablauf
Sechs Wochen, sechs Phasen
Wir arbeiten entlang etablierter Rahmenwerke — MITRE ATT&CK für die Einordnung der Techniken, TIBER-EU als Prozessrahmen, wo er gefordert ist. Eine typische Operation läuft über sechs bis acht Wochen.
- 6–8 Wochen
- Dauer einer vollständigen Operation
- 3–5
- Personen im eingeweihten Kreis
- 1 Ziel
- vorab vereinbart und schriftlich festgehalten
- 2 Tage
- gemeinsame Auswertung im Anschluss
- 01
Zieldefinition — welches Kronjuwel gilt als erreicht, und welche Grenzen sind absolut. Hier wird auch festgelegt, was auf keinen Fall passieren darf: kein Produktionsstillstand, keine Berührung medizinischer Systeme, keine echten Kundendaten.
- 02
Aufklärung — die Angriffsfläche aus öffentlich verfügbaren Quellen, ohne Ihre Systeme zu berühren. Mitarbeiterprofile, Stellenanzeigen mit Technologienennungen, Datenlecks, Bilder aus dem Gebäude.
- 03
Erstzugang — über Technik, Mensch oder Gebäude, je nachdem, was trägt. In den meisten Operationen ist es nicht die Technik.
- 04
Festsetzen — der Zugang wird stabilisiert, ohne die Überwachung auszulösen. Diese Phase ist der eigentliche Test Ihrer Erkennung.
- 05
Ausbreitung — seitliche Bewegung und Rechteausweitung bis zum vereinbarten Ziel. Jeder Schritt wird protokolliert, mit Zeitstempel und eingesetzter Technik.
- 06
Auswertung — die gemeinsame Rekonstruktion mit Ihrem Verteidigungsteam. Dazu unten mehr, denn hier liegt der eigentliche Wert.
Ein Angriff, den niemand bemerkt, ist ein verlorener Test.
02
Die Auswertung
Purple Teaming: wo aus dem Angriff Verteidigung wird
Die wertvollste Phase kommt zum Schluss. In einer gemeinsamen Sitzung gehen unser Team und Ihre Verteidigung den Angriff Schritt für Schritt durch — wir mit unserem Protokoll, Ihr Team mit seinen Protokollen. An jedem Schritt steht dieselbe Frage: Ist das bei Ihnen aufgelaufen? Wenn nein, warum nicht?
Aus diesem Abgleich entstehen konkrete Erkennungsregeln, keine Empfehlungen. Für jede Lücke in der Erkennung schreiben wir gemeinsam die Regel, die sie geschlossen hätte, und prüfen sie noch in der Sitzung gegen unsere aufgezeichneten Daten.
Läuft bei Ihnen Strider, hinterlegen wir die Regeln direkt dort. Talion übernimmt die automatische Erstreaktion auf genau die Muster, die wir in der Operation genutzt haben — die nächste Wiederholung desselben Angriffs endet damit in Sekunden statt in Wochen.
03
Das Ergebnis
Was am Ende vorliegt
01
Nicht ein Bericht, sondern vier Dinge — und keines davon ist eine Schwachstellenliste.
02
Der Angriffspfad
Die vollständige Kette vom ersten Schritt bis zum Ziel, mit Zeitstempeln und der jeweils eingesetzten Technik, eingeordnet nach MITRE ATT&CK. Nachvollziehbar auch für jemanden, der nicht dabei war.
03
Die Erkennungslücken
An welchen Stellen hätte Ihre Überwachung anschlagen müssen und tat es nicht — mit dem Grund: fehlende Datenquelle, zu grobe Regel, Alarm erzeugt aber untergegangen.
04
Die neuen Regeln
Fertige, in Ihrer Umgebung getestete Erkennungsregeln. Nicht als Vorschlag im Anhang, sondern eingespielt und im Zweifel gleich scharf geschaltet.
05
Die Führungsfassung
Zwei Seiten für Geschäftsführung und Aufsichtsgremien: was das Ziel war, ob es erreicht wurde, wie lange es dauerte, was sich seither geändert hat. Ohne Fachbegriffe, ohne Beschönigung.
04
Regulatorik
Wann eine Operation vorgeschrieben ist
Für Finanzdienstleister macht DORA bedrohungsgeleitete Penetrationstests verbindlich; TIBER-EU beschreibt den Rahmen, nach dem sie durchzuführen sind. Betroffen sind nicht nur Banken, sondern auch Versicherer, Zahlungsdienstleister und deren wesentliche IT-Dienstleister.
Außerhalb des Finanzsektors ist eine Operation nicht vorgeschrieben, wird aber zunehmend erwartet — von Cyber-Versicherern bei höheren Deckungssummen und von Konzernkunden in der Lieferantenprüfung. Wo NIS2 greift, lässt sich das Ergebnis als Nachweis der Wirksamkeit technischer Maßnahmen verwenden.
05
Die Voraussetzung
Wann Sie noch nicht so weit sind
Eine Red Team Operation setzt eine funktionierende Grundabsicherung voraus. Wenn ein einfacher Schwachstellenscan bereits offene Verwaltungszugänge findet, brauchen Sie keine wochenlange Operation, um das zu bestätigen — Sie brauchen zwei Wochen Aufräumen und danach einen Penetrationstest.
Sinnvoll wird eine Operation, wenn ein Sicherheitsbetrieb besteht, der etwas bemerken könnte: eine zentrale Protokollierung, jemand der hinsieht, definierte Eskalationswege. Sonst prüfen Sie nicht Ihre Verteidigung, sondern stellen nur fest, dass es keine gibt — das geht günstiger.
Wir sagen Ihnen das im Vorgespräch offen. Eine Operation zu verkaufen, die zu früh kommt, bringt uns einen Auftrag und Ihnen einen teuren Bericht.
06
Zum Schluss
Die ehrlichste Antwort, die Sie über Ihre Sicherheit bekommen
Am Ende einer Operation wissen Sie zwei Dinge sicher, die Ihnen kein anderes Verfahren so beantwortet: ob jemand an Ihr Wertvollstes herankommt — und ob es dabei auffällt. Beides sind Ja-Nein-Fragen, und beide Antworten sind belegt statt geschätzt.
Sprechen Sie mit uns über Ziel und Rahmen. Das Vorgespräch ist unverbindlich und endet nicht selten mit der Empfehlung, zuerst etwas anderes zu tun.
FAQ
Häufige Fragen
Wer im Unternehmen darf davon wissen?
So wenige wie möglich, aber mindestens zwei: eine Person mit Entscheidungsbefugnis und eine, die im Zweifel bestätigen kann, dass der Vorfall ein Test ist. Üblich sind drei bis fünf. Das Sicherheitsteam gehört ausdrücklich nicht dazu — sonst prüfen Sie dessen Vorbereitung statt seiner Reaktion.
Was passiert, wenn Ihr Team entdeckt wird?
Das ist ein gutes Ergebnis, kein Abbruch. Wir dokumentieren, an welcher Stelle und wie schnell, und stimmen mit dem eingeweihten Kreis ab: entweder wir setzen mit verändertem Vorgehen fort, oder die Operation endet an dieser Stelle mit einem klaren Befund.
Greifen Sie auch unsere Mitarbeitenden direkt an?
Ja, das gehört dazu — aber im vereinbarten Rahmen und ohne Bloßstellung. Wer auf eine Nachricht hereinfällt, wird in keinem Bericht namentlich genannt. Ausgewertet wird nach Bereich und Angriffsart, nicht nach Person.
Können Sie garantieren, dass nichts ausfällt?
Garantieren kann das niemand, der echte Techniken einsetzt. Wir grenzen es ein: Verfahren mit Ausfallrisiko werden vorab ausgeschlossen, kritische Systeme sind entweder tabu oder werden nur zu vereinbarten Zeiten berührt, und es gibt durchgehend eine Nummer, unter der wir sofort abbrechen.
Was kostet eine Operation?
Deutlich mehr als ein Penetrationstest, weil sie über Wochen läuft und mehrere Disziplinen einbindet. Belastbar wird die Zahl erst nach dem Vorgespräch, in dem Ziel, Umfang und Grenzen feststehen. Wir nennen sie vorher, nicht nachher.
Offensive Services
Weitere Leistungen in diesem Bereich
Kontakt
Reputation braucht Jahre. Zerstörung nur Sekunden.
Sprechen Sie mit uns, bevor es jemand anderes tut. Erstgespräch kostenlos, Rückmeldung am selben Werktag.