Im Replay-Workshop spielen Red Team und Blue Team den Angriff gemeinsam Schritt für Schritt durch, gleichen ihn mit den Logs ab und arbeiten konkrete Erkennungs- und Reaktionsverbesserungen heraus.
Der Replay-Workshop ist die gemeinsame Nachbesprechung am Ende eines Red Teamings. Red Team und Blue Team setzen sich zusammen und spielen den Angriff Schritt für Schritt entlang der Timeline durch: Das Red Team erklärt, was es wann getan hat; das Blue Team gleicht jeden Schritt mit seinen eigenen Logs, Alarmen und Beobachtungen ab. So wird für jeden Angriffsschritt sichtbar, ob er eine Spur hinterlassen hat, ob diese Spur zu einem Alarm führte und ob der Alarm bemerkt und richtig bewertet wurde.
Der Replay-Workshop ist der Moment, in dem aus einem Testergebnis ein Lernprozess wird. Ein Bericht allein beschreibt, was passiert ist; der Workshop klärt, warum die Verteidigung an bestimmten Stellen nicht gegriffen hat und wie sich das ändern lässt.
Ablauf des Workshops
- Timeline als roter Faden: Grundlage ist die dokumentierte Angriffs-Timeline mit Zeitstempeln und IOCs aus dem Red-Team-Bericht.
- Schritt-für-Schritt-Abgleich: Für jede Phase – Initial Access, Persistence, Privilege Escalation, Lateral Movement, Erreichen der Flags – wird gefragt: Was war in unseren Daten sichtbar? Gab es einen Alarm? Wurde er gesehen?
- Lücken einordnen: Fehlte die Datenquelle, fehlte die Regel, war die Regel zu unspezifisch, oder ging der Alarm im Rauschen unter? Jede Ursache führt zu einer anderen Maßnahme.
- Maßnahmen ableiten: Konkrete, zugeordnete Aufgaben – neue Protokollierung, geschärfte Regel, angepasster Eskalationsweg, Härtung. Idealerweise werden einzelne Techniken direkt im Sinne eines Purple Teamings erneut ausgeführt und die neue Erkennung sofort geprüft.
- Heatmap aktualisieren: Der Stand wird in einer ATT&CK-Heatmap festgehalten, die als Ausgangspunkt für den nächsten Test dient.
In regulierten Tests nach DORA ist der Replay fester Bestandteil: Die Durchführungsvorschriften sehen Replay und Purple Teaming binnen zehn Wochen nach der aktiven Testphase vor.
Bedeutung für Unternehmen
Wir empfehlen den Replay-Workshop als festen Abschluss jedes Red Teamings – statt einer reinen Berichtsübergabe. Der Grund ist einfach: Laut Mandiant M-Trends 2026 wurden nur 52 Prozent der Vorfälle intern erkannt. Der Workshop setzt genau an den verpassten Erkennungen an und verwandelt sie in konkrete Verbesserungen, die messbar und beim nächsten Test überprüfbar sind.
Ein typischer Fehler ist, den Workshop als Schuldzuweisung zu führen. Nicht erkannte Angriffe sind ein Befund über Datenqualität, Regeln und Prozesse – kein Urteil über die Fähigkeiten der Analysten. Nur in einer offenen Atmosphäre erklärt das Blue Team ehrlich, warum ein Alarm unterging, und nur dann lässt sich das Problem lösen.
Praxis-Hinweise
- Planen Sie den Workshop vor Projektbeginn ein und laden Sie die Personen ein, die Regeln und Prozesse tatsächlich ändern dürfen.
- Nutzen Sie die Timeline des Red Teams als gemeinsame Grundlage – ohne sie bleibt der Abgleich oberflächlich.
- Führen Sie ausgewählte Techniken direkt erneut aus, um verbesserte Erkennung sofort zu bestätigen.
- Halten Sie Maßnahmen mit Verantwortlichem und Frist fest und prüfen Sie sie im Retest.