Flags sind die vorab vereinbarten Missionsziele eines Red Teamings – etwa Domänen-Admin-Rechte oder Zugriff auf eine Zahlungsfreigabe –, deren Erreichen nachgewiesen, aber nicht ausgenutzt wird.
Flags sind die Missionsziele eines Red Teamings: konkret beschriebene Zustände, deren Erreichen beweist, dass ein Angreifer der Organisation erheblichen Schaden zufügen könnte. Der Begriff stammt aus „Capture the Flag“-Wettbewerben, in denen Teams versteckte Zeichenfolgen erobern. Im Unternehmenskontext ist die Flag kein Textschnipsel, sondern ein Geschäftsrisiko: der Zugriff auf eine Zahlungsfreigabe, das Postfach eines Vorstandsmitglieds, die Kundendatenbank, den Quellcode, die Backup-Infrastruktur oder die Steuerung einer Produktionsanlage.
Anders als beim Penetrationstest, der möglichst viele Schwachstellen auflistet, bemisst sich der Erfolg eines Red Teamings daran, ob und wie die Flags erreicht wurden – und ob die Verteidigung das bemerkt hat.
Wie Flags festgelegt und nachgewiesen werden
Flags entstehen im Scoping gemeinsam mit dem Control Team und werden in den Rules of Engagement festgeschrieben. Gute Flags erfüllen drei Kriterien:
- Geschäftsrelevant: Die Geschäftsführung versteht ohne Erklärung, warum das Erreichen dieser Flag ein ernstes Problem wäre.
- Eindeutig nachweisbar: Es ist vorab klar, welcher Beleg zählt – etwa ein Bildschirmfoto der Freigabemaske mit Zeitstempel, eine Datei aus einem definierten Verzeichnis oder die Mitgliedschaft in der Gruppe Domain Admins.
- Nicht-destruktiv erreichbar: Der Nachweis darf keinen Schaden anrichten. Statt eine Überweisung auszulösen, dokumentiert das Team den Zugriff auf die Freigabemaske; statt Produktionsdaten zu verschlüsseln, wird eine Testdatei auf einem abgestimmten System verschlüsselt.
Typische Flags sind Domänen-Admin-Rechte, Zugriff auf Finanztransaktionen oder Zahlungsfreigaben, ein VIP-Postfach, die Kundendatenbank, die Produktionssteuerung (OT), Quellcode, die Backup-Infrastruktur oder eine simulierte Verschlüsselung auf einem Testsystem. In regulierten Tests nach DORA (TLPT) werden die Flags aus den kritischen oder wichtigen Funktionen des Finanzunternehmens abgeleitet und in mindestens drei Szenarien geprüft.
Bedeutung für Unternehmen
Flags übersetzen abstrakte IT-Sicherheit in die Sprache des Geschäfts. „Wir haben 37 Schwachstellen gefunden“ löst Diskussionen über Priorisierung aus; „Wir konnten nach elf Tagen Überweisungen freigeben, und niemand hat es bemerkt“ löst Entscheidungen aus. Für Vorstand und Aufsichtsrat sind Flags deshalb das verständlichste Ergebnisformat eines Sicherheitstests.
Ein typischer Fehler ist eine zu lange Liste. Zehn Flags in sechs Wochen bedeuten, dass keine in der Tiefe verfolgt wird. Drei bis fünf gut gewählte Flags sind der Regelfall. Ein zweiter Fehler ist, nur technische Flags zu wählen und Prozess- oder Personenziele – etwa die Herausgabe eines Passworts durch den Helpdesk – auszuklammern.
Praxis-Hinweise
- Leiten Sie Flags aus Ihrer Risikoanalyse ab: Welche drei Ereignisse wären existenzbedrohend oder meldepflichtig?
- Legen Sie je Flag den Nachweis vorab fest, damit es am Ende keine Diskussion darüber gibt, ob das Ziel erreicht wurde.
- Kombinieren Sie Flags aus Technik, Mensch und Gebäude, wenn Sie die gesamte Organisation prüfen wollen.
- Bewerten Sie im Bericht nicht nur „erreicht oder nicht“, sondern den Weg dorthin: Wie viele Schritte, wie viel Zeit, welche Erkennungschancen wurden verpasst?