Leistung · Assumed Breach
Assumed Breach: Wir starten dort, wo Phishing endet
Irgendein Klick gelingt immer. Beim Assumed-Breach-Test überspringen wir die Erstzugangsphase und prüfen, was zählt: Wie weit kommt ein Angreifer von einem normalen Arbeitsplatz aus – und bemerkt es jemand, bevor er die Kronjuwelen erreicht?
Worum es geht
Kompromittierung ist eine Frage des Wann
Laut Mandiant M-Trends 2026 bleiben Angreifer im Median 14 Tage unentdeckt im Netzwerk. Laut CrowdStrike Global Threat Report 2026 brauchen sie im Schnitt 29 Minuten, um sich vom ersten System aus auszubreiten. Die entscheidende Verteidigungslinie liegt also innen.
Beim Assumed Breach stellen Sie uns einen definierten Startpunkt bereit – typischerweise ein Standard-Nutzerkonto und ein Notebook, wie es jeder neue Mitarbeitende erhält. Von dort arbeiten wir uns wie ein realer Angreifer vor: Wir erkunden das Netzwerk, suchen Berechtigungspfade in Active Directory und Cloud, weiten Rechte aus, bewegen uns seitwärts und versuchen, die vereinbarten Ziele zu erreichen – leise, mit Blick auf Ihre Erkennung.
Weil der aufwendige Erstzugang entfällt, fließt das Budget vollständig in den Teil, der über Schaden oder Eindämmung entscheidet. Deshalb ist Assumed Breach unser empfohlener Einstieg ins Red Teaming – und die ideale Vorbereitung auf einen vollständigen Einsatz.
Typische Fragen, die der Test beantwortet
- Wie weit kommt ein Standardnutzer?Welche Freigaben, Datenbanken, Anwendungen und Admin-Werkzeuge sind erreichbar?
- Wie schnell wird aus Nutzer Administrator?Dienstkonten, Kerberoasting, lokale Admin-Rechte, Delegationen, Klartext-Zugangsdaten in Skripten und Freigaben.
- Hält die Segmentierung?Gibt es einen Weg vom Büronetz in Produktion, OT, Rechenzentrum oder Backup-Infrastruktur?
- Erkennt Ihr Team die Ausbreitung?Welche Aktionen lösen Alarme aus, welche nicht – und wie schnell reagiert jemand?
- Sind die Kronjuwelen erreichbar?Nachweis am vereinbarten Ziel, ohne Produktivdaten zu verändern.
Startpunkte
Welches Szenario wollen Sie prüfen?
Der Startpunkt bestimmt, welche Verteidigungslinie getestet wird. Häufig kombinieren wir zwei Szenarien in einem Einsatz.
Kompromittierter Arbeitsplatz
Standardnutzer und Notebook. Simuliert erfolgreiches Phishing oder einen Insider mit normalen Rechten. Der Klassiker.
Dienstleisterzugang
VPN- oder Fernwartungszugang eines externen Partners. Prüft, was eine kompromittierte Lieferkette anrichten könnte.
Cloud-Identität
Ein Microsoft-365- oder Entra-ID-Konto ohne Gerät. Prüft Conditional Access, Token-Schutz und den Weg in die On-Premises-Welt.
System in der DMZ
Ein kompromittierter Webserver oder Jumphost. Prüft den Übergang von außen nach innen und die Segmentierung.
Scoping und Rules of Engagement
Startpunkt, Missionsziele, Ausschlüsse, Zeitfenster, Control Team, Abbruchkriterien.
Woche 1Bereitstellung
Sie übergeben Konto und Gerät wie an einen neuen Mitarbeitenden – ohne Sonderrechte, ohne Ausnahmen im Schutz.
Woche 1–2Erkundung und Ausbreitung
Netzwerk, Active Directory, Cloud, Dienstkonten, Berechtigungspfade; Rechteausweitung und Lateral Movement mit Blick auf Ihre Erkennung.
Woche 2–5Zielerreichung und Rückbau
Nachweis an den vereinbarten Zielen, anschließend dokumentierte Entfernung aller Spuren.
Woche 5Bericht und Replay-Workshop
Narrativ mit Zeitstempeln, Findings mit Ursache, ATT&CK-Heatmap, Maßnahmen; Workshop mit dem Blue Team.
Woche 6–8
Welchen Startpunkt sollten wir bereitstellen?
Am aussagekräftigsten ist das, was ein Angreifer nach erfolgreichem Phishing hätte: ein Standard-Nutzerkonto und ein regulär ausgerolltes Notebook, wie es neue Mitarbeitende erhalten. Alternativ ein VPN-Zugang eines Dienstleisters, ein Konto in Microsoft 365 oder ein System in der DMZ – je nachdem, welches Szenario Sie prüfen wollen.
Weiß unser SOC davon?
Nein, genau wie beim vollständigen Red Teaming bleibt Ihr Blue Team uninformiert. Nur das Control Team kennt den Test. So messen wir, ob Ausbreitung und Rechteausweitung im Inneren tatsächlich erkannt werden.
Ist Assumed Breach „weniger wert“ als ein vollständiges Red Teaming?
Es beantwortet eine andere Frage. Der Erstzugang gelingt Angreifern erfahrungsgemäß fast immer – entscheidend ist, was danach passiert. Assumed Breach konzentriert das Budget auf genau diesen Teil und liefert pro Testtag die meisten Erkenntnisse über Ihre Innenverteidigung.
Wie lange dauert ein Assumed-Breach-Test?
Typisch zwei bis vier Wochen aktive Phase plus je ein bis zwei Wochen Vorbereitung und Nachbereitung – insgesamt fünf bis acht Wochen.
Weitere Leistungen
Davor, danach, daneben
Red Teaming
Realistische Angriffssimulation gegen Ihr gesamtes Unternehmen – Technik, Menschen und Gebäude.
02Penetrationstest
Systematische Schwachstellenprüfung für Netzwerke, Webanwendungen, APIs und Cloud.
04Purple Teaming
Angriff und Verteidigung am selben Tisch – Erkennung messbar verbessern.
05Social Engineering & Phishing
Phishing, Vishing, Pretexting: Wie widerstandsfähig sind Ihre Mitarbeitenden?
06Physical Red Teaming
Zutritt, Zugang, Zugriff: Wir testen Gebäude, Schleusen und Empfang.
07TIBER-EU & DORA TLPT
Bedrohungsgeleitete Tests nach TIBER-EU und DORA für Finanzunternehmen.
08Ransomware-Simulation
Wie weit käme eine Ransomware-Gruppe? Vom Erstzugang bis zur Verschlüsselung – ohne Schaden.
09Active Directory & Cloud
Identitäten, Berechtigungen, Entra ID, AWS und Azure im Fokus.
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.