Purple Teaming ist die offene Zusammenarbeit von Red Team und Blue Team: Angriffstechniken werden einzeln ausgeführt, die Erkennung sofort geprüft und Detection-Regeln live verbessert.
Purple Teaming verbindet die Perspektiven von Angriff (Rot) und Verteidigung (Blau) in einer gemeinsamen Übung. Anders als beim verdeckten Red Teaming sitzen Red Team und Blue Team buchstäblich an einem Tisch: Das Red Team führt eine Angriffstechnik aus, das Blue Team prüft unmittelbar, ob die Technik in Logs, EDR oder SIEM sichtbar wurde, ob ein Alarm ausgelöst wurde und ob dieser Alarm die richtige Priorität hatte. Lücken werden sofort geschlossen – mit einer neuen Erkennungsregel, einer angepassten Protokollierung oder einer Härtungsmaßnahme – und die Technik wird erneut ausgeführt.
Der Name beschreibt kein eigenes Team, sondern eine Arbeitsweise. Ziel ist nicht der Nachweis, dass ein Angreifer durchkommt, sondern die messbare Verbesserung der Erkennung in kurzer Zeit.
So funktioniert Purple Teaming
- Auswahl der TTPs: Auf Basis von Threat Intelligence und MITRE ATT&CK werden die für Ihre Branche relevanten Taktiken, Techniken und Prozeduren (TTP) ausgewählt – etwa Kerberoasting, Zugriff auf LSASS oder Nutzung von Remote-Werkzeugen.
- Erwartung festhalten: Für jede Technik wird dokumentiert, welche Datenquelle sie sichtbar machen sollte und welcher Alarm erwartet wird.
- Ausführung und Beobachtung: Das Red Team führt die Technik aus; das Blue Team sucht in Echtzeit nach Spuren.
- Anpassung: Fehlende Logs werden aktiviert, Regeln geschrieben oder geschärft (Detection Engineering), Fehlalarme reduziert.
- Wiederholung und Messung: Die Technik wird erneut ausgeführt, bis die Erkennung stabil ist. Der Fortschritt wird in einer ATT&CK-Heatmap festgehalten.
Eine Purple-Team-Übung dauert typischerweise wenige Tage bis zwei Wochen und lässt sich gut in Sprints wiederholen.
Bedeutung für Unternehmen
Purple Teaming ist der Einstieg, den wir Organisationen vor ihrem ersten Red Teaming empfehlen. Es beantwortet die Frage „Würden wir das sehen?“ für jede einzelne Technik und schafft die Grundlage, auf der ein verdecktes Red Teaming überhaupt sinnvoll wird. Laut Mandiant M-Trends 2026 wurden nur 52 Prozent der Vorfälle intern erkannt – der Rest kam über Dritte ans Licht. Purple Teaming verschiebt diesen Anteil direkt.
Regulatorisch hat das Format an Gewicht gewonnen: Das TIBER-EU-Rahmenwerk nennt Purple Teaming seit der Anpassung im Februar 2025 ausdrücklich als Bestandteil, und die DORA-Durchführungsvorschriften sehen Replay und Purple Teaming binnen zehn Wochen nach der aktiven Testphase vor. Der häufigste Fehler in der Praxis: Die Übung endet mit einer Liste offener Lücken, ohne dass Regeln tatsächlich umgesetzt und erneut getestet werden.
Praxis-Hinweise
- Binden Sie die Personen ein, die Regeln tatsächlich ändern dürfen – SOC-Analysten, SIEM-Administratoren, Endpoint-Verantwortliche. Ohne Änderungsrechte wird aus der Übung ein Vortrag.
- Prüfen Sie zuerst die Datenquellen: Fehlende Protokollierung ist häufiger als fehlende Regeln.
- Priorisieren Sie TTPs, die reale Gruppen in Ihrer Branche nutzen, statt exotische Techniken zu üben.
- Dokumentieren Sie je Technik „vor“ und „nach“ – das ist der Nachweis gegenüber Geschäftsleitung und Aufsicht.
Unser Format beschreiben wir unter Purple Teaming.