Breach and Attack Simulation ist softwaregestütztes, automatisiertes Nachspielen bekannter Angriffstechniken, das fortlaufend prüft, ob Schutz- und Erkennungsmaßnahmen wie erwartet greifen.
Breach and Attack Simulation (BAS) ist eine Kategorie von Werkzeugen, die bekannte Angriffstechniken automatisiert und fortlaufend gegen die eigene Umgebung ausführt, um zu prüfen, ob Schutz- und Erkennungsmaßnahmen wie erwartet funktionieren. Eine BAS-Plattform spielt beispielsweise den Abruf von Zugangsdaten, typische Lateral-Movement-Muster oder den Verbindungsaufbau zu bekannter Angreifer-Infrastruktur nach – kontrolliert und sicher – und vergleicht das Ergebnis mit der Erwartung: Wurde die Technik blockiert, erkannt oder übersehen?
BAS ist damit eine automatisierte, dauerhaft laufende Form der Sicherheitsvalidierung. Sie beantwortet nicht „Haben wir Schwachstellen?“ wie ein Schwachstellenscan, sondern „Greifen unsere Kontrollen gegen bekannte Techniken?“.
Arbeitsweise und Abgrenzung
- Technikbibliothek: BAS-Plattformen pflegen einen Katalog von Techniken, meist abgebildet auf MITRE ATT&CK, und aktualisieren ihn mit neuen Bedrohungen.
- Agenten oder Szenarien: Über Software-Agenten auf Testsystemen oder definierte Szenarien werden Techniken ausgeführt und die Reaktion von EDR, SIEM und Firewalls gemessen.
- Kontinuität: Anders als ein punktueller Test läuft BAS regelmäßig und erkennt, wenn eine zuvor funktionierende Erkennung durch eine Konfigurationsänderung ausfällt (Drift).
- Ergebnis: Eine fortlaufend aktualisierte Abdeckungskarte, welche Techniken erkannt und welche übersehen werden.
Die Abgrenzung zu benachbarten Verfahren ist wichtig: BAS ist automatisiert und wiederholbar, aber auf bekannte, einprogrammierte Techniken beschränkt. Ein Penetrationstest und erst recht ein Red Teaming bringen menschliche Kreativität ein, verketten Befunde und finden Wege, die kein Katalog kennt. Purple Teaming verbindet die menschliche mit der kollaborativen Perspektive. BAS ergänzt diese Verfahren, ersetzt sie nicht.
Bedeutung für Unternehmen
BAS schließt die Lücke zwischen zwei Tests. Sicherheitskontrollen verfallen leise: Eine neue Richtlinie deaktiviert ein Protokoll, ein Update ändert eine Standardeinstellung, eine Ausnahme bleibt bestehen. Ein jährlicher Pentest bemerkt das erst spät. BAS misst kontinuierlich und macht solchen Drift sichtbar, bevor ein Angreifer ihn ausnutzt. Das ist besonders wertvoll für Organisationen mit großer, sich schnell ändernder Umgebung.
Ein typischer Fehler ist, BAS als Ersatz für Pentest oder Red Teaming zu verkaufen. Die Plattform prüft, was man ihr beigebracht hat; sie findet keine unbekannten Schwachstellen und sagt nichts über die Reaktion des Teams aus. Ein zweiter Fehler ist, die Ergebnisse nicht zu verarbeiten – eine rote Abdeckungskarte nützt nur, wenn die Lücken auch geschlossen werden.
Praxis-Hinweise
- Setzen Sie BAS zur kontinuierlichen Validierung bestehender Kontrollen ein, nicht zur Suche nach neuen Schwachstellen.
- Verknüpfen Sie die Abdeckungskarte mit Ihrem Detection Engineering, damit erkannte Lücken zu neuen Regeln führen.
- Kombinieren Sie BAS mit regelmäßigen manuellen Tests; die Automatisierung deckt Breite ab, der Mensch die Tiefe.
- Starten Sie mit den TTPs der für Ihre Branche relevanten Gruppen statt mit dem gesamten Katalog.