FAQ
Häufige Fragen – ehrlich beantwortet
Was Geschäftsführung, IT-Leitung und Compliance vor einem Red Teaming wissen wollen. Fehlt eine Frage? Rufen Sie an oder schreiben Sie uns.
Grundlagen
Begriffe und Einordnung
Was ist Red Teaming?
Red Teaming ist eine realistische, verdeckte Angriffssimulation gegen die gesamte Organisation. Ein Team erfahrener Sicherheitsexperten verfolgt definierte Ziele – etwa Zugriff auf Finanzprozesse oder Produktionssteuerung – und nutzt dafür dieselben Methoden wie reale Angreifergruppen: technische Schwachstellen, Social Engineering und bei Bedarf physischen Zutritt. Gemessen wird nicht die Zahl der Schwachstellen, sondern ob Prävention, Erkennung und Reaktion im Zusammenspiel funktionieren.
Was unterscheidet Red Teaming von einem Penetrationstest?
Ein Penetrationstest prüft ein definiertes Objekt möglichst vollständig auf Schwachstellen, ist angekündigt und dauert Tage bis wenige Wochen. Red Teaming verfolgt ein Ziel gegen die gesamte Organisation, bleibt so lange wie möglich unentdeckt und dauert Wochen bis Monate. Der Pentest beantwortet „Wo sind Lücken?“, Red Teaming „Würden wir einen echten Angriff bemerken und stoppen?“. Ausführlicher Vergleich.
Was bedeutet Assumed Breach?
Beim Assumed-Breach-Format gehen wir davon aus, dass der Erstzugang bereits gelungen ist – etwa durch Phishing. Sie stellen uns einen Startpunkt bereit, zum Beispiel ein Standard-Nutzerkonto. Wir prüfen, wie weit ein Angreifer von dort käme und ob er entdeckt würde. Das spart die aufwendige Erstzugangsphase und ist der effizienteste Einstieg ins Red Teaming.
Was ist Purple Teaming und brauchen wir dafür ein eigenes SOC?
Purple Teaming ist eine offene Zusammenarbeit: Wir führen Angriffstechniken Schritt für Schritt aus, Ihr Team prüft live, ob sie geloggt, erkannt und blockiert werden, und passt Regeln sofort an. Ein eigenes SOC ist hilfreich, aber nicht zwingend – wir arbeiten auch mit Ihrem externen Dienstleister oder Ihren Administratoren zusammen.
Für wen ist Red Teaming geeignet?
Für Organisationen, die Grundlagen wie regelmäßige Penetrationstests, zentrales Logging und eine Erkennungslösung bereits haben – also eine Verteidigung, die man testen kann. Fehlen diese, empfehlen wir einen Penetrationstest, ein Purple Teaming oder einen Assumed-Breach-Test. Reifegrad-Checkliste.
Ablauf
Dauer, Beteiligte, Ergebnis
Wie lange dauert ein Red Teaming?
Die aktive Phase dauert je nach Umfang vier bis zwölf Wochen, dazu kommen zwei bis drei Wochen Vorbereitung und zwei bis drei Wochen für Bericht und Replay-Workshop. Assumed-Breach-Tests sind in fünf bis acht Wochen abgeschlossen. Bedrohungsgeleitete Tests nach DORA (TLPT) haben eine aktive Phase von mindestens zwölf Wochen und dauern insgesamt sechs bis zwölf Monate. Details zum Ablauf.
Wer bei uns muss eingeweiht sein?
Ein kleines Control Team aus zwei bis drei Personen, typischerweise Geschäftsführung, IT-Leitung oder Sicherheitsverantwortliche. Es kennt Umfang, Zeitfenster und Abbruchkriterien, genehmigt kritische Schritte und ist der Eskalationskanal. Ihr Blue Team oder SOC bleibt uninformiert, damit die reale Erkennungsleistung gemessen wird.
Welche Informationen benötigen Sie von uns?
Das hängt vom Format ab. Beim klassischen Red Teaming reicht der Firmenname, alles Weitere finden wir wie ein echter Angreifer heraus. Beim Assumed Breach stellen Sie einen definierten Startpunkt bereit. In jedem Fall klären wir Ausschlüsse (zum Beispiel Produktionsanlagen oder bestimmte Zeitfenster) und Notfallkontakte.
Ist Social Engineering immer Bestandteil?
Nein. Phishing, Vishing und physische Tests sind Optionen, die Sie im Scoping aktivieren oder ausschließen. Es gibt rein technische Red-Team-Szenarien. Wenn Social Engineering Teil des Tests ist, gelten klare Ethikregeln: keine Bloßstellung Einzelner, keine Drohszenarien, keine Vortäuschung von Behörden, Abstimmung mit Betriebsrat und Datenschutz.
Was erhalten wir am Ende?
Einen Bericht mit Management Summary, chronologischem Angriffs-Narrativ mit Zeitstempeln und Indikatoren, bewerteten Findings mit Ursache und Priorität, einer Heatmap nach MITRE ATT&CK und einem Maßnahmenplan. Dazu einen Replay-Workshop mit Ihrem Blue Team und optional einen Blue-Team-Report sowie einen Retest. Was in einem guten Bericht steht.
Sicherheit
Betrieb, Daten, Recht
Besteht ein Risiko für unseren Produktivbetrieb?
Wir arbeiten mit nicht-destruktiven Methoden und weisen Ziele nach, statt sie auszuführen. Schritte mit Störpotenzial erfolgen nur nach Freigabe durch Ihr Control Team, Notfallkontakte sind beidseitig rund um die Uhr erreichbar, und vorab definierte Abbruchkriterien stoppen den Test sofort. Alle Änderungen werden am Ende dokumentiert zurückgebaut.
Was passiert mit vertraulichen Daten, auf die Sie stoßen?
Wir dokumentieren den Zugriff als Nachweis, ohne Inhalte zu kopieren, soweit das für den Nachweis nicht nötig ist. Alle Projektdaten werden verschlüsselt gespeichert, Berichte verschlüsselt übermittelt und nach Projektende nachweislich gelöscht. Eine Geheimhaltungsvereinbarung ist Teil jeder Beauftragung.
Auf welcher rechtlichen Grundlage arbeiten Sie?
Jeder Test beruht auf einer schriftlichen Beauftragung mit Rules of Engagement und einem Autorisierungsschreiben des Unternehmens. Damit ist die Einwilligung des Berechtigten im Sinne der §§ 202a ff. StGB gegeben. Bei Systemen Dritter (Cloud-Anbieter, Dienstleister) holen wir deren Zustimmung ein oder nehmen sie aus dem Scope. Datenschutzrechtliche Fragen klären wir vorab mit Ihrem Datenschutzbeauftragten.
Wie stellen Sie sicher, dass ein echter Angriff nicht mit Ihrem Test verwechselt wird?
Durch Deconfliction: Ihr Control Team kann jederzeit prüfen, ob eine beobachtete Aktivität von uns stammt. Wir führen ein lückenloses Protokoll mit Zeitstempeln, Quelladressen und Indikatoren. Taucht etwas auf, das nicht von uns ist, pausieren wir den Test und unterstützen bei der Einordnung.
Kosten und Regulatorik
Budget, DORA, NIS2, Frequenz
Was kostet ein Red Teaming?
Die Kosten richten sich nach Szenarien, Dauer und Teamgröße. Als Orientierung: Penetrationstests liegen typischerweise im niedrigen fünfstelligen Bereich, ein gezieltes Red Teaming beginnt bei etwa 40 Personentagen, bedrohungsgeleitete Tests nach TIBER-EU oder DORA liegen im sechsstelligen Bereich. Nach dem Scoping erhalten Sie ein Festpreisangebot.
Sind wir von DORA TLPT betroffen?
TLPT-pflichtig sind Finanzunternehmen, die von der BaFin beziehungsweise der EZB dafür benannt werden – in der Regel alle drei Jahre. Die Benennung erfolgt auf Basis von Größe, Risikoprofil und Systemrelevanz. Alle anderen Finanzunternehmen müssen nach DORA regelmäßig testen, aber nicht zwingend per TLPT. Zeitplan und Rollen bei DORA TLPT.
Hilft Red Teaming bei NIS2?
Ja. Das NIS2-Umsetzungsgesetz verlangt Risikomanagement nach Stand der Technik und dessen Wirksamkeitskontrolle. Penetrationstests und Red Teaming sind anerkannte Verfahren dafür. Der Bericht dient als Nachweis gegenüber dem BSI und entlastet die Geschäftsleitung bei ihrer Überwachungspflicht. NIS2-Pflichten im Detail.
Wie oft sollte man Red Teaming durchführen?
Als Richtwert: ein vollständiges Red Teaming alle zwölf bis 24 Monate oder nach größeren Veränderungen (Fusion, Cloud-Migration, neues SOC), dazwischen Purple-Team-Sprints und ein Retest der Maßnahmen. Regulierte Unternehmen richten sich nach den Vorgaben (DORA: alle drei Jahre TLPT). Penetrationstests exponierter Systeme sollten jährlich stattfinden.
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.