Red Teaming

Red Teaming ist ein verdeckter, realitätsnaher Angriff auf die gesamte Organisation, der prüft, ob ein Angreifer definierte Ziele erreicht und ob Erkennung und Reaktion funktionieren.

Red Teaming simuliert einen realen Angreifer mit klarem Auftrag: Ein erfahrenes Team versucht über Wochen, vorher festgelegte Ziele („Flags“) zu erreichen – etwa die Übernahme der Domänenadministration, den Zugriff auf eine Zahlungsfreigabe oder auf die Produktionssteuerung. Anders als ein Penetrationstest prüft Red Teaming nicht ein einzelnes System auf möglichst viele Schwachstellen, sondern die gesamte Organisation: Technik, Mitarbeitende, Prozesse und Gebäude. Der Test läuft verdeckt. Eingeweiht ist nur ein kleines Control Team (früher White Team); das Blue Team und das SOC erfahren nichts davon.

Die Kernfrage lautet nicht „Haben wir Schwachstellen?“, sondern „Bemerken wir einen Angreifer, bevor er sein Ziel erreicht – und reagieren wir richtig?“ Red Teaming bewertet damit Erkennung und Reaktion (Detection & Response) und nicht nur präventive Kontrollen.

Ablauf eines Red Teamings

Ein Red Teaming folgt dem Weg eines echten Angreifers und ist in Phasen gegliedert:

1. Scoping und Rules of Engagement: Ziele, Grenzen, Abbruchkriterien und Notfallkontakte werden schriftlich festgelegt (siehe Rules of Engagement).
2. Threat Intelligence und OSINT: Das Team sammelt öffentlich verfügbare Informationen über Infrastruktur, Beschäftigte und Lieferanten.
3. Initial Access: Zugang über Phishing, Vishing, exponierte Dienste oder physischen Zutritt – alternativ als Assumed Breach mit bereitgestelltem Zugang.
4. Ausbreitung: Persistence, Privilege Escalation, Lateral Movement und Command-and-Control bis zum Ziel.
5. Nachweis statt Schaden: Flags werden dokumentiert, nicht ausgenutzt; alle Änderungen werden zurückgebaut.
6. Bericht, Replay-Workshop und Retest: Timeline mit Zeitstempeln, ATT&CK-Heatmap, Detection Gaps und Maßnahmenplan.

Die aktive Phase dauert in der Regel vier bis zwölf Wochen, das Gesamtprojekt ein bis drei Monate. Bei regulatorischen Tests nach DORA (TLPT) schreibt die EU eine aktive Phase von mindestens zwölf Wochen vor.

Bedeutung für Unternehmen

Die Zahlen zeigen, warum Erkennung zählt: Laut Mandiant M-Trends 2026 liegt die mediane Verweildauer von Angreifern bei 14 Tagen; laut CrowdStrike Global Threat Report 2026 vergehen im Schnitt nur 29 Minuten, bis ein Angreifer vom ersten System auf weitere übergreift. Ob Ihre Verteidigung in diesem Zeitfenster reagiert, lässt sich nur unter realistischen Bedingungen prüfen. Ein typischer Fehler: Die Organisation investiert in EDR und SIEM, hat aber nie getestet, ob Alarme auch zu einer Reaktion führen. Für Finanzunternehmen unter DORA und für NIS2-Einrichtungen ist Red Teaming zudem eine anerkannte Wirksamkeitskontrolle gegenüber Aufsicht und Geschäftsleitung.

Praxis-Hinweise

• Klären Sie zuerst die Reife: Ohne grundlegende Detektion liefert ein Red Teaming vor allem die Erkenntnis, dass nichts erkannt wurde. Purple Teaming oder Assumed Breach sind dann der bessere Einstieg.
• Wählen Sie wenige, geschäftsrelevante Flags statt einer langen Liste – die Geschäftsführung sollte sie verstehen und mittragen.
• Halten Sie das Control Team klein, aber handlungsfähig: Es muss kurzfristig erreichbar sein und einen Abbruch anordnen können.
• Planen Sie den Replay-Workshop mit dem Blue Team von Anfang an ein; dort entsteht der eigentliche Lerneffekt.
• Vereinbaren Sie den Retest gleich mit, damit Maßnahmen überprüft und nicht nur dokumentiert werden.

Wie wir ein Red Teaming aufsetzen, beschreiben wir unter Red Teaming und im Ablauf.