Das Control Team ist die kleine, eingeweihte Gruppe im getesteten Unternehmen, die ein Red Teaming beauftragt, steuert und überwacht – in TIBER-EU bis 2025 als White Team bezeichnet.
Das Control Team ist die Gruppe von Personen im getesteten Unternehmen, die über ein laufendes Red Teaming informiert ist und es auf Auftraggeberseite steuert. Es besteht typischerweise aus drei bis fünf Personen: einem Control Team Lead (häufig der CISO oder eine Person aus dem Risikomanagement), einer Vertretung der Geschäftsleitung, einem technischen Ansprechpartner mit tiefem Systemwissen sowie bei Bedarf Vertretern aus Recht, Datenschutz oder Betriebsrat. Alle anderen – insbesondere das Blue Team und das SOC – wissen nichts vom Test.
Das Rahmenwerk TIBER-EU der Europäischen Zentralbank nannte diese Gruppe bis Anfang 2025 „White Team“. Mit der Anpassung an die DORA-Durchführungsvorschriften im Februar 2025 wurde sie in Control Team umbenannt; in der Praxis sind beide Begriffe noch gebräuchlich.
Aufgaben des Control Teams
- Beauftragung und Scoping: Festlegen der Ziele (Flags), des Umfangs, der kritischen Funktionen und der Grenzen des Tests.
- Rules of Engagement: Vereinbaren von Abbruchkriterien, Notfallkontakten, Freigabeprozessen für risikobehaftete Schritte und Kommunikationswegen (siehe Rules of Engagement).
- Risikomanagement während des Tests: Entscheiden, ob ein Schritt freigegeben, verschoben oder abgebrochen wird; Bewertung von Nebenwirkungen auf den Betrieb.
- Geheimhaltung: Sicherstellen, dass der Test unbemerkt bleibt; Abfangen interner Eskalationen, falls das Blue Team den Angriff erkennt und ein echter Vorfall ausgerufen würde.
- Schnittstelle zur Aufsicht: Bei TLPT nach DORA Kommunikation mit dem TLPT Cyber Team der Bundesbank und Entgegennahme des wöchentlichen Berichts des Red Teams.
- Abschluss: Organisation von Replay-Workshop, Blue-Team-Report und Maßnahmenplan mit Ursachenanalyse.
Bedeutung für Unternehmen
Das Control Team ist der Garant dafür, dass ein Red Teaming kontrolliert bleibt. Es trägt die Verantwortung gegenüber dem eigenen Unternehmen und muss im Zweifel innerhalb kurzer Zeit erreichbar sein, um einen Abbruch anzuordnen oder einen realen Vorfall von einem Testschritt zu unterscheiden. Diese Deconfliction-Funktion ist entscheidend: Erkennt das Blue Team den Angriff, muss das Control Team wissen, ob es sich um das Red Team handelt – ohne den Test vorzeitig aufzudecken.
Typische Fehler: Das Control Team ist zu groß, sodass Informationen durchsickern; es ist zu klein oder nicht erreichbar, sodass Freigaben den Test wochenlang verzögern; oder es enthält Personen aus dem Blue Team, was die Messung der Erkennung verfälscht.
Praxis-Hinweise
- Besetzen Sie das Control Team mit Entscheidungsbefugnis: Wer im Ernstfall einen Produktionsschritt freigeben oder stoppen darf, gehört hinein.
- Vereinbaren Sie verschlüsselte Kommunikationswege (PGP oder S/MIME) und Erreichbarkeit außerhalb der Bürozeiten.
- Legen Sie vorab fest, wie Sie reagieren, wenn das Blue Team den Angriff entdeckt und eskaliert.
- Dokumentieren Sie jede Freigabe und jeden Abbruch schriftlich – das schützt beide Seiten.
Die Rollen im regulierten Test beschreiben wir unter TIBER-EU & DORA TLPT.