Assumed Breach

Assumed Breach ist ein Red-Team-Szenario, das mit einem bereitgestellten Zugang startet – etwa einem kompromittierten Client – und prüft, wie weit ein Angreifer von dort kommt und ob er erkannt wird.

Assumed Breach („angenommene Kompromittierung“) ist ein Red-Team-Format, das die Phase des Erstzugriffs überspringt. Statt wochenlang Phishing-Kampagnen oder exponierte Dienste zu bearbeiten, erhält das Red Team zu Beginn einen definierten Ausgangspunkt: einen Standard-Arbeitsplatz mit normalem Domänenkonto, einen VPN-Zugang oder ein Dienstkonto. Die Annahme dahinter ist realistisch – laut Mandiant M-Trends 2026 stammen 30 Prozent der Ransomware-Vorfälle aus einer vorherigen Kompromittierung durch Initial Access Broker, und ein einzelner erfolgreicher Phishing-Klick ist in jeder größeren Organisation nur eine Frage der Zeit.

Die Kernfrage lautet daher nicht „Kommt jemand rein?“, sondern „Was passiert, wenn jemand drin ist?“ – wie weit kommt der Angreifer durch Lateral Movement und Privilege Escalation, welche Daten erreicht er, und erkennt das Blue Team ihn rechtzeitig?

So läuft ein Assumed-Breach-Test

1. Startpunkt festlegen: Im Scoping wird vereinbart, welche Rolle der kompromittierte Nutzer hat – meist ein Mitarbeitender ohne Sonderrechte, bei Bedarf ein Dienstleister- oder Administratorkonto.
2. Ziele definieren: Typische Flags sind Domänen-Admin-Rechte, der Zugriff auf Kundendaten, Backups oder ein VIP-Postfach.
3. Ausbreitung: Das Team arbeitet wie ein Angreifer im Netz: Enumeration des Active Directory, Missbrauch von Berechtigungen, Kerberoasting, Zugriff auf Freigaben, Umgehung von EDR.
4. Dokumentation und Rückbau: Jeder Schritt wird mit Zeitstempel protokolliert; alle Artefakte werden entfernt.
5. Auswertung: Abgleich mit den Logs des Blue Teams: Was wurde erkannt, was nicht, und warum?

Ein Assumed-Breach-Test ist in zwei bis vier Wochen realistisch und damit schneller und günstiger als ein vollständiges Red Teaming mit vier bis zwölf Wochen aktiver Phase.

Bedeutung für Unternehmen

Für den Mittelstand ist Assumed Breach oft das Format mit dem besten Verhältnis von Aufwand zu Erkenntnis. Es prüft genau die Phase, in der Angreifer den größten Schaden anrichten, und liefert belastbare Antworten zu internen Schutzmaßnahmen: Netzwerksegmentierung, Berechtigungskonzept, Erkennung im SOC. Laut CrowdStrike Global Threat Report 2026 benötigen Angreifer im Durchschnitt 29 Minuten vom ersten System bis zum nächsten – Assumed Breach misst, ob Ihre Verteidigung in diesem Zeitfenster reagiert.

Ein typischer Fehler ist, den Test als „unfair“ abzutun, weil der Angreifer bereits im Netz ist. Das Gegenteil ist der Fall: Die Annahme entspricht der Realität, und das Ergebnis zeigt, ob Ihre Architektur einen einzelnen Fehler verzeiht.

Praxis-Hinweise

• Starten Sie mit dem realistischsten Fall: ein normales Nutzerkonto auf einem Standard-Client mit der produktiven Sicherheitsausstattung.
• Informieren Sie das Blue Team nicht, wenn Sie die Erkennung messen wollen; wollen Sie gemeinsam lernen, wählen Sie Purple Teaming.
• Vereinbaren Sie, dass Berechtigungsfehler im Active Directory nicht nur gemeldet, sondern mit Ursache und Behebungsweg erklärt werden.
• Wiederholen Sie den Test nach Umsetzung der Maßnahmen als Retest.

Details zum Format finden Sie unter Assumed Breach.