Adversary Emulation bildet die dokumentierten Taktiken und Techniken einer konkreten Angreifergruppe nach, um zu prüfen, ob die Verteidigung genau diesen Gegner erkennen würde.
Adversary Emulation ist eine Spielart des Red Teamings, bei der das Angriffsteam nicht nach eigenem Ermessen vorgeht, sondern eine reale Angreifergruppe nachbildet: ihre Vorgehensweise, ihre bevorzugten Werkzeuge, ihre typischen Ziele und ihr Tempo. Grundlage sind öffentliche und private Analysen von Vorfällen, die in Taktiken, Techniken und Prozeduren (TTP) zerlegt und auf das Rahmenwerk MITRE ATT&CK abgebildet werden. Beispiele für emulierte Gruppen sind APT29, FIN7 oder Scattered Spider.
Der Unterschied zum klassischen Red Teaming liegt in der Frage. Red Teaming fragt: „Kommt ein fähiger Angreifer ans Ziel?“ Adversary Emulation fragt: „Würden wir genau diesen Gegner bemerken, der nachweislich Unternehmen unserer Branche angreift?“
So entsteht ein Emulationsplan
- Bedrohungsanalyse: Aus Threat Intelligence wird ermittelt, welche Gruppen Ihre Branche, Region und Technologie ins Visier nehmen – etwa finanziell motivierte Ransomware-Gruppen oder staatsnahe APT-Akteure.
- TTP-Extraktion: Berichte über die Gruppe werden in konkrete Techniken übersetzt: Erstzugriff per Vishing an den Helpdesk, Nutzung legitimer Fernwartungswerkzeuge, Abgriff von Zugangsdaten aus dem Speicher, Exfiltration über Cloud-Speicher.
- Emulationsplan: Die Techniken werden in der Reihenfolge und mit den Werkzeugen ausgeführt, die die Gruppe tatsächlich nutzt – inklusive ihrer Infrastrukturmuster und Zeitfenster. Wo Originalwerkzeuge zu riskant sind, kommen sichere Nachbildungen zum Einsatz.
- Ausführung und Messung: Pro Technik wird festgehalten, ob sie blockiert, erkannt oder unentdeckt blieb. Das Ergebnis ist eine ATT&CK-Heatmap für genau diesen Gegner.
Adversary Emulation kann verdeckt wie ein Red Teaming oder offen wie ein Purple Teaming ablaufen. In regulierten Tests nach TIBER-EU und DORA ist sie Pflicht: Der externe Threat-Intelligence-Provider liefert die Bedrohungsszenarien, das Red Team setzt sie um.
Bedeutung für Unternehmen
Adversary Emulation macht Sicherheitsinvestitionen überprüfbar gegen die Bedrohungen, die tatsächlich relevant sind. Ein Finanzinstitut hat andere Gegner als ein Maschinenbauer; ein Versorger andere als ein Händler. Statt abstrakt „Sicherheit“ zu messen, erhalten Sie eine Antwort auf die Frage, die auch Aufsicht und Vorstand stellen: Sind wir gegen die Gruppen gewappnet, die unsere Wettbewerber bereits getroffen haben?
Ein typischer Fehler ist die Fixierung auf Werkzeuge statt Verhalten. Angreifer tauschen Malware und Infrastruktur in Stunden aus; ihre Vorgehensweise ändern sie selten. Erkennung, die auf Verhalten zielt, ist deshalb nachhaltiger als Signaturen.
Praxis-Hinweise
- Lassen Sie die Auswahl der Gruppen begründen: Welche Belege gibt es, dass sie Ihre Branche angreifen?
- Fordern Sie die Heatmap pro Technik ein – blockiert, erkannt, unentdeckt – und nutzen Sie sie als Arbeitsliste für Ihr SOC.
- Wiederholen Sie Emulationen, wenn sich die Bedrohungslage ändert, nicht nur im Jahresrhythmus.
- Kombinieren Sie Emulation mit freiem Red Teaming: Das eine prüft bekannte Gegner, das andere unbekannte Wege.