Leistung · Red Teaming
Red Teaming: Der Ernstfall – ohne den Schaden
Wir simulieren einen realen Angreifer mit einem konkreten Ziel gegen Ihre gesamte Organisation: verdeckt, über Wochen, mit den Methoden aktueller Angreifergruppen. Sie erfahren, ob Ihre Verteidigung einen echten Angriff erkennen und stoppen würde – und wo nicht.
Worum es geht
Nicht „Ist das ausnutzbar?“, sondern „Würden Sie es merken?“
Penetrationstests finden Schwachstellen. Red Teaming beantwortet die Frage dahinter: Erreicht ein Angreifer sein Ziel, obwohl Sie Firewalls, Endpoint-Schutz, SIEM und ein Team haben, das darauf achtet?
Dafür verhalten wir uns wie ein echter Gegner. Wir kennen anfangs nur Ihren Firmennamen, klären Ihre Angriffsfläche auf, verschaffen uns Zugang – technisch, per Social Engineering oder physisch – und arbeiten uns leise bis zu den vereinbarten Missionszielen vor. Nur ein kleines Control Team auf Ihrer Seite weiß Bescheid. Ihr Blue Team erlebt den Angriff so, wie es den echten erleben würde.
Am Ende steht kein Haken an einer Checkliste, sondern eine ehrliche Antwort: Wie weit sind wir gekommen, was wurde erkannt, was blieb unbemerkt – und was ist jetzt zu tun.
Das prüft ein Red Teaming
- Externe AngriffsflächeExponierte Dienste, VPN-Zugänge, Webanwendungen, Cloud-Mandanten, geleakte Zugangsdaten, Lieferantenzugänge.
- Menschen und ProzessePhishing, Vishing, Pretexting, Helpdesk-Prozesse, Freigabeverfahren, Besucherabläufe – optional und mit Ethikregeln.
- InnenverteidigungActive Directory, Entra ID, Berechtigungen, Segmentierung, Dienstkonten, Administrationswege.
- Erkennung und ReaktionWas loggt Ihr SIEM, was alarmiert Ihr EDR, wie schnell reagiert Ihr SOC, greift Ihr Incident-Response-Plan?
- KronjuwelenZugriff auf die vereinbarten Ziele: Finanzprozesse, Kundendaten, Quellcode, Produktionssteuerung, Backup-Infrastruktur.
Varianten
Drei Wege zum selben Ziel
Je nach Fragestellung, Reifegrad und Budget wählen wir gemeinsam den passenden Zuschnitt.
Full-Scope Red Teaming
Start nur mit dem Firmennamen. Aufklärung, Erstzugang, Ausbreitung und Zielerreichung über alle Vektoren – technisch, menschlich, physisch. Die realistischste Standortbestimmung.
Dauer: 8–12 Wochen aktive Phase
Für: reife Organisationen mit SOC oder MSSP
Assumed Breach
Wir starten mit einem bereitgestellten Zugang und prüfen Innenverteidigung, Ausbreitung und Erkennung. Spart die Erstzugangsphase, liefert schneller Ergebnisse.
Dauer: 2–4 Wochen aktive Phase
Für: Einstieg oder gezielte Prüfung von innen
TIBER-EU / DORA TLPT
Bedrohungsgeleiteter Test nach regulatorischen Vorgaben: externer Threat-Intelligence-Report, mindestens drei Szenarien, zwölf Wochen aktive Phase, prüffähige Dokumentation.
Dauer: 6–12 Monate gesamt
Für: Finanzunternehmen, KRITIS
Ablauf
Vom Zielbild zum Replay-Workshop
Ein Red Teaming ist ein strukturierter Prozess mit klaren Entscheidungspunkten. Ihr Control Team ist in jeder Phase eingebunden.
Zielbild und Rules of Engagement
Missionsziele, Angreifermodell, Ausschlüsse, Zeitfenster, Abbruchkriterien, Notfallkontakte – schriftlich vereinbart.
Woche 1Threat Intelligence und Aufklärung
Analyse Ihrer öffentlichen Angriffsfläche und Ableitung realistischer Szenarien nach den Methoden relevanter Angreifergruppen.
Woche 1–2Erstzugang
Phishing, Vishing, exponierte Dienste, Cloud-Identitäten oder physischer Zutritt – je nach Szenario und Freigabe.
Woche 3–4Ausbreitung und Zielerreichung
Persistenz, Rechteausweitung, Lateral Movement, Nachweis am Ziel. Wöchentlicher Status an das Control Team.
Woche 4–9Rückbau und Bericht
Dokumentierte Entfernung aller Spuren, Bericht mit Narrativ, Findings, ATT&CK-Heatmap und Maßnahmenplan.
Woche 9–10Replay-Workshop und Retest
Angriff und Verteidigung Schritt für Schritt abgleichen, Erkennungsregeln ableiten, Maßnahmen nach Umsetzung prüfen.
Woche 11–12, Retest nach 3–6 Monaten
Ergebnis
Was Sie am Ende in Händen halten
Ein Bericht, der dem Vorstand das Risiko erklärt und dem SOC die Arbeit ermöglicht – und ein Workshop, in dem beides zusammenkommt.
- Management SummaryRisiko, Handlungsbedarf und Erfolge auf zwei Seiten, ohne Fachjargon.
- Angriffs-Narrativ mit ZeitstempelnJede Aktion chronologisch mit Quelle und Indikatoren – abgleichbar mit Ihren Logs.
- Heatmap nach MITRE ATT&CKPro Taktik: blockiert, erkannt oder unentdeckt. Ihre Detection Coverage auf einen Blick.
- Findings mit Ursache und PrioritätRoot Cause statt Symptom, bewertet nach Auswirkung und Aufwand.
- MaßnahmenplanKurzfristige Sofortmaßnahmen, mittelfristige Projekte, strategische Empfehlungen.
- Replay-WorkshopEin halber bis ganzer Tag mit Ihrem Blue Team – der wertvollste Teil des Einsatzes.
- Blue-Team-Report und RetestOptional: Bewertung der Erkennungsleistung und Nachprüfung nach Umsetzung.
Wie realistisch ist die Simulation?
So realistisch, wie es verantwortbar ist. Wir nutzen die Taktiken, Techniken und Werkzeuge aktueller Angreifergruppen – von maßgeschneidertem Phishing über die Umgehung von Endpoint-Schutz bis zur Ausbreitung über Active Directory und Cloud-Identitäten. Was wir nicht tun: Produktivdaten verschlüsseln, löschen oder exfiltrieren. Ziele werden nachgewiesen, nicht ausgeführt.
Was ist, wenn unser Blue Team den Angriff entdeckt?
Dann hat Ihr Team etwas richtig gemacht – und wir dokumentieren genau, wann und wodurch. Gemeinsam mit dem Control Team entscheiden wir, ob der Test verdeckt fortgesetzt wird (etwa mit einem neuen Szenario) oder ob das Blue Team eingeweiht wird und die Übung in ein Purple Teaming übergeht. Beides ist wertvoll.
Wie viele Szenarien sind sinnvoll?
Für ein erstes Red Teaming empfehlen wir zwei bis drei Missionsziele, die unterschiedliche Bereiche abdecken – zum Beispiel ein Finanzprozess, ein Datenbestand und ein Produktionssystem. Bei DORA-TLPT sind mindestens drei Szenarien vorgeschrieben.
Können wir den Test auf die Technik beschränken?
Ja. Social Engineering und physische Komponenten sind optional. Ein rein technisches Red Teaming startet dann bei exponierten Systemen und Cloud-Identitäten oder als Assumed Breach von innen.
Wie oft sollte Red Teaming wiederholt werden?
Als Richtwert alle zwölf bis 24 Monate oder nach größeren Veränderungen wie Fusionen, Cloud-Migrationen oder einem neuen SOC. Dazwischen halten Purple-Team-Sprints und ein Retest der Maßnahmen das Niveau.
Weitere Leistungen
Passende Ergänzungen
Penetrationstest
Systematische Schwachstellenprüfung für Netzwerke, Webanwendungen, APIs und Cloud.
03Assumed Breach
Der Angreifer ist schon drin: Wie weit kommt er von einem kompromittierten Arbeitsplatz?
04Purple Teaming
Angriff und Verteidigung am selben Tisch – Erkennung messbar verbessern.
05Social Engineering & Phishing
Phishing, Vishing, Pretexting: Wie widerstandsfähig sind Ihre Mitarbeitenden?
06Physical Red Teaming
Zutritt, Zugang, Zugriff: Wir testen Gebäude, Schleusen und Empfang.
07TIBER-EU & DORA TLPT
Bedrohungsgeleitete Tests nach TIBER-EU und DORA für Finanzunternehmen.
08Ransomware-Simulation
Wie weit käme eine Ransomware-Gruppe? Vom Erstzugang bis zur Verschlüsselung – ohne Schaden.
09Active Directory & Cloud
Identitäten, Berechtigungen, Entra ID, AWS und Azure im Fokus.
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.