Rules of Engagement sind die schriftlich vereinbarten Spielregeln eines Red Teamings oder Pentests: erlaubte Methoden, Grenzen, Abbruchkriterien, Notfallkontakte und Freigabeprozesse.
Rules of Engagement (RoE) sind das verbindliche Regelwerk, das vor jedem Red Teaming, Penetrationstest oder Social-Engineering-Einsatz zwischen Auftraggeber und Testern vereinbart wird. Sie legen fest, was das Angriffsteam darf, was es nicht darf, wer wann informiert wird und wie im Zweifel entschieden wird. Der Begriff stammt aus dem militärischen Sprachgebrauch und beschreibt dort die Bedingungen für den Einsatz von Gewalt; in der Informationssicherheit beschreibt er die Bedingungen für den kontrollierten Angriff.
Die RoE sind kein Formular, sondern das Ergebnis einer Diskussion zwischen Control Team und Red Team. Je präziser sie formuliert sind, desto realistischer kann der Test ablaufen – weil beide Seiten wissen, wo die Grenzen liegen.
Was Rules of Engagement regeln
- Umfang und Ziele: Welche Systeme, Standorte, Personen und Lieferanten gehören zum Test (Scoping), welche sind ausgeschlossen, welche Flags gelten als erreicht.
- Erlaubte Methoden: Phishing, Vishing, physischer Zutritt, Ausnutzung von Schwachstellen, Einsatz von Command-and-Control-Infrastruktur – jeweils mit Einschränkungen, etwa keine Täuschung über Notfälle oder Gesundheit.
- Nicht-destruktive Vorgehensweise: Keine Verschlüsselung, kein Löschen, keine Denial-of-Service-Angriffe; Nachweise statt Schaden. Potenziell störende Schritte nur nach ausdrücklicher Freigabe.
- Zeitfenster: Wann darf getestet werden, welche Sperrzeiten (Monatsabschluss, Wartungsfenster, Betriebsversammlungen) gelten.
- Abbruchkriterien: Wann wird der Test gestoppt – etwa bei Hinweisen auf einen echten Angreifer, bei unbeabsichtigten Störungen oder auf Anweisung des Control Teams.
- Kommunikation: Notfallkontakte auf beiden Seiten, verschlüsselte Kanäle (PGP oder S/MIME), Erreichbarkeit rund um die Uhr, Deconfliction bei Erkennung durch das Blue Team.
- Umgang mit Daten: Welche Daten eingesehen werden dürfen, wie Zugangsdaten gehandhabt werden, Löschfristen nach Projektende, NDA.
- Rückbau: Entfernen aller Hintertüren, Konten und Indikatoren nach Testende, dokumentiert und bestätigt.
Bedeutung für Unternehmen
Die RoE sind zusammen mit der schriftlichen Autorisierung die rechtliche Grundlage des Tests. Ohne sie wäre das Vorgehen des Red Teams nach § 202a ff. StGB (Hackerparagraf) strafbar. Sie schützen beide Seiten: den Auftraggeber vor unkontrollierten Nebenwirkungen auf den Betrieb, die Tester vor dem Vorwurf der Grenzüberschreitung.
Für die Geschäftsführung sind ausformulierte RoE zudem ein Qualitätsmerkmal des Anbieters. Wer Abbruchkriterien, Freigabeprozesse und Datenlöschung nicht von sich aus anspricht, hat über Risiken nicht gründlich nachgedacht. Ein typischer Fehler auf Auftraggeberseite ist das Gegenteil: so viele Ausnahmen, dass der Test nichts mehr über die Realität aussagt.
Praxis-Hinweise
- Beziehen Sie Recht, Datenschutz und gegebenenfalls Betriebsrat früh ein – insbesondere bei Social Engineering gegen Mitarbeitende.
- Klären Sie Dritte: Cloud-Anbieter, Rechenzentren und Dienstleister müssen in den Umfang einbezogen oder ausgenommen werden; manche verlangen eigene Genehmigungen.
- Vereinbaren Sie einen Freigabeprozess mit kurzer Reaktionszeit, damit der Test nicht an Rückfragen scheitert.
- Halten Sie die RoE als lebendes Dokument: Änderungen während des Tests werden schriftlich ergänzt.