Ablauf
So läuft ein Red-Team-Einsatz ab
Ein Red Teaming ist kein Blackbox-Zauber, sondern ein strukturierter Prozess mit klaren Phasen, Rollen und Entscheidungspunkten. Hier zeigen wir, was in jeder Phase passiert, was wir von Ihnen brauchen und was Sie am Ende in Händen halten.
Die Phasen
Vom ersten Gespräch bis zum Retest
Die Dauer der einzelnen Phasen hängt vom Format ab. Die Angaben beziehen sich auf ein typisches Red Teaming mit acht bis zwölf Wochen Gesamtlaufzeit.
-
Erstgespräch und Zielbild
Wir klären Ihre Ausgangslage, den Reifegrad Ihrer Verteidigung und die Frage, die der Test beantworten soll. Daraus entsteht eine ehrliche Empfehlung für das passende Format – nicht zwingend das größte.
30–60 Minuten, kostenfrei -
Scoping-Workshop und Rules of Engagement
Gemeinsam mit Ihrem Control Team definieren wir Missionsziele (Flags), Angreifermodell, Ausschlüsse, Zeitfenster, Kommunikationswege, Deconfliction-Verfahren, Abbruchkriterien und Notfallkontakte. Das Ergebnis ist ein unterschriebenes Dokument, das jeden unserer Schritte legitimiert.
Woche 1 · halber Tag Workshop -
Threat Intelligence und Aufklärung
Wir analysieren Ihre öffentliche Angriffsfläche: Domains, exponierte Dienste, Cloud-Mandanten, Mitarbeiterprofile, geleakte Zugangsdaten, Lieferanten. Daraus leiten wir realistische Angriffsszenarien ab, die sich an den Methoden relevanter Angreifergruppen orientieren.
Woche 1–2 -
Angriffsvorbereitung
Infrastruktur, Phishing-Szenarien, Payloads und Werkzeuge werden auf Ihre Umgebung zugeschnitten und gegen gängige Schutzlösungen getestet. Jede Komponente wird dokumentiert, damit sie am Ende sauber zurückgebaut werden kann.
Woche 2 -
Erstzugang
Je nach Szenario über Phishing oder Vishing, Schwachstellen in erreichbaren Systemen, Cloud-Identitäten oder physischen Zutritt. Beim Format Assumed Breach entfällt diese Phase: Sie stellen uns einen definierten Startpunkt bereit, etwa ein Standard-Nutzerkonto.
Woche 3–4 -
Ausbreitung im Netzwerk
Persistenz, Rechteausweitung, Lateral Movement und Command-and-Control – so leise wie ein echter Angreifer. Ihr Control Team erhält wöchentliche Statusberichte und kann jederzeit eingreifen. Störende Schritte erfolgen nur nach Freigabe.
Woche 4–8 -
Zielerreichung und Nachweis
Am Ziel angekommen, erbringen wir den Nachweis – ein Screenshot der Freigabemaske, eine Datei-Attrappe im Zielordner, Zugriff auf die Steuerungsebene. Produktivdaten werden nicht verändert, verschlüsselt oder exfiltriert.
Woche 8–9 -
Rückbau
Alle angelegten Konten, Werkzeuge, Aufgaben und Konfigurationsänderungen werden dokumentiert entfernt. Sie erhalten eine Liste aller Indikatoren (IOCs), damit Ihr Team die Spuren in den eigenen Logs nachvollziehen kann.
Woche 9 -
Bericht
Management Summary, chronologisches Angriffs-Narrativ mit Zeitstempeln, Findings mit Ursache und Priorität, Heatmap nach MITRE ATT&CK und ein Maßnahmenplan. Auf Wunsch ergänzt um einen Blue-Team-Report, der die Erkennungsleistung Ihres Teams bewertet.
Woche 10 · Bericht innerhalb von zwei Wochen nach Testende -
Replay-Workshop und Retest
Wir gehen den Angriff gemeinsam mit Ihrem Blue Team Schritt für Schritt durch: Was wurde geloggt, was alarmiert, was übersehen? Daraus entstehen konkrete Erkennungsregeln. Nach Umsetzung der Maßnahmen prüfen wir im Retest, ob die Lücken geschlossen sind.
Woche 11–12 · Retest nach 3–6 Monaten
Rollen
Wer ist beteiligt – und wer darf was wissen?
Die Rollenverteilung folgt dem TIBER-EU-Rahmenwerk, das wir auch bei nicht regulierten Einsätzen als Standard nutzen.
Control Team
Zwei bis drei Personen auf Ihrer Seite (Geschäftsführung, IT-Leitung, Sicherheit). Einzige Eingeweihte, genehmigen kritische Schritte, Eskalationskanal rund um die Uhr.
Blue Team
Ihr SOC, Ihre Administratoren oder Ihr externer Dienstleister. Bleibt uninformiert, damit die reale Erkennungs- und Reaktionsleistung gemessen wird.
Red Team
Unser Team aus mindestens zwei Operatoren plus Projektleitung. Festangestellt, in Deutschland, mit nachgewiesener Qualifikation und Zuverlässigkeitsprüfung.
Threat Intelligence
Liefert das Bedrohungsbild und die Szenarien. Bei DORA-TLPT zwingend ein externer Anbieter; bei anderen Formaten durch unser Team abgedeckt.
Ihre Mitwirkung
Was wir von Ihnen brauchen
Weniger, als viele erwarten. Der Aufwand auf Ihrer Seite konzentriert sich auf den Anfang und das Ende des Projekts.
- Ein entscheidungsfähiges Control TeamZwei bis drei Personen, die Scope und Freigaben verantworten und im Notfall erreichbar sind.
- Einen halben Tag für das ScopingZiele, Ausschlüsse und Rules of Engagement klären wir in einem gemeinsamen Workshop.
- Eine schriftliche BeauftragungInklusive Autorisierungsschreiben, das unsere Operatoren bei physischen Tests mitführen.
- Beim Assumed Breach: einen StartpunktZum Beispiel ein Standard-Nutzerkonto oder ein Notebook, wie es ein neuer Mitarbeitender erhalten würde.
- Zeit für den Replay-WorkshopEin halber bis ganzer Tag mit Ihrem Blue Team – der wertvollste Teil des gesamten Einsatzes.
Zeitplan
Typische Laufzeiten im Vergleich
| Format | Vorbereitung | Aktive Phase | Nachbereitung | Gesamt |
|---|---|---|---|---|
| Penetrationstest | 1 Woche | 1–3 Wochen | 1 Woche | 3–5 Wochen |
| Purple Teaming | 1 Woche | 2–5 Tage je Sprint | laufend | 2–3 Wochen je Sprint |
| Assumed Breach | 1–2 Wochen | 2–4 Wochen | 2 Wochen | 5–8 Wochen |
| Red Teaming | 2–3 Wochen | 4–12 Wochen | 2–3 Wochen | 2–4 Monate |
| DORA TLPT / TIBER-EU | 8–12 Wochen inkl. Threat Intelligence | mindestens 12 Wochen | bis 10 Wochen inkl. Replay und Purple Teaming | 6–12 Monate |
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.