Physical Red Teaming prüft den Schutz von Gebäuden und Standorten: Tester versuchen mit abgestimmten Methoden, unbemerkt Zutritt zu erlangen und ein definiertes Ziel vor Ort zu erreichen.
Physical Red Teaming prüft die physische Sicherheit einer Organisation: Zutrittskontrollen, Gebäudesicherung, Wachdienste, Besucherprozesse und das Verhalten der Mitarbeitenden vor Ort. Ein Team versucht unter realistischen Bedingungen, unbemerkt in ein Gebäude zu gelangen und ein vorab vereinbartes Ziel zu erreichen – etwa Zugang zu einem Serverraum, das Anschließen eines Geräts an das interne Netz, das Fotografieren vertraulicher Unterlagen oder das Erreichen eines bestimmten Büros. Es ist der physische Arm des Red Teamings und wird häufig mit digitalen Angriffswegen kombiniert.
Der Mensch und die Organisation stehen dabei im Mittelpunkt, nicht das Schloss. Die meisten erfolgreichen Zutritte beruhen nicht auf technischem Überwinden von Barrieren, sondern auf Social Engineering: der Ausnutzung von Hilfsbereitschaft, Routine und der Scheu, fremde Personen anzusprechen.
Typische Vorgehensweisen
- Tailgating: Mitgehen durch eine gesicherte Tür im Windschatten einer berechtigten Person (siehe Tailgating).
- Pretexting: Auftreten unter einem glaubwürdigen Vorwand – als Dienstleister, Lieferant, Handwerker oder neuer Kollege (siehe Pretexting).
- Ausnutzen von Prozesslücken: unbeaufsichtigte Nebeneingänge, Raucherbereiche, Anlieferzonen, nicht geprüfte Besucherausweise.
- Beobachtung vor Ort: Erkennen von Arbeitszeiten, Wachrhythmen, Ausweisdesigns und Routinen – vorbereitet durch OSINT.
Jeder Einsatz folgt strengen Rules of Engagement: nicht-destruktives Vorgehen, Nachweis statt Schaden, keine Gefährdung von Personen und ein mitgeführtes Autorisierungsschreiben („Get out of Jail Letter“), das die Tester bei Entdeckung vorweisen. Flags und Abbruchkriterien werden vorab mit dem Control Team vereinbart.
Bedeutung für Unternehmen
Physische und digitale Sicherheit sind untrennbar. Wer ein Gerät im Besprechungsraum ans Netz anschließen oder einen ungesperrten Arbeitsplatz nutzen kann, umgeht einen Großteil der perimetrischen Absicherung. Für Betreiber kritischer Infrastrukturen hat das Thema zusätzliches Gewicht: Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft und verlangt physische Resilienz in Umsetzung der europäischen CER-Richtlinie, mit Registrierung beim BBK. Physical Red Teaming ist der praktische Wirksamkeitsnachweis dieser Vorgaben.
Ein typischer Fehler ist, physische Sicherheit allein über Technik – Karten, Kameras, Schleusen – zu definieren und das Verhalten auszublenden. Tester berichten regelmäßig, dass die Technik funktionierte, aber niemand eine fremde Person im Haus ansprach. Ein zweiter Fehler ist fehlende Einbindung von Betriebsrat und Recht, da Mitarbeitende Teil des Tests sind.
Praxis-Hinweise
- Beziehen Sie Recht, Datenschutz und Betriebsrat früh ein und vereinbaren Sie klar, dass kein individuelles Fehlverhalten sanktioniert wird.
- Statten Sie das Team mit einem Autorisierungsschreiben und festen Notfallkontakten aus; bei Entdeckung muss der Test zweifelsfrei auflösbar sein.
- Prüfen Sie nicht nur das Eindringen, sondern auch die Reaktion: Wird eine fremde Person angesprochen, gemeldet, aufgehalten?
- Kombinieren Sie den physischen Zutritt mit einem digitalen Ziel, um die durchgängige Wirkung sichtbar zu machen.
Unser Vorgehen beschreiben wir unter Physical Red Teaming.