Physical Red Teaming: Zutrittsschutz unter realen Bedingungen testen

Ein Unternehmen kann Millionen in Firewalls, EDR und Identitätsschutz investieren und trotzdem an einer offenen Glastür scheitern. Wer sich physisch Zutritt verschafft, umgeht die meisten digitalen Kontrollen: Eine Netzwerkdose im Besprechungsraum, ein unbeaufsichtigter Arbeitsplatz oder ein Serverraum mit Zahlencode an der Tür hebelt Schutzmechanismen aus, die gegen Angriffe aus dem Internet ausgelegt sind. Der Mensch am Empfang ist dabei selten das Problem, sondern ein fehlender Prozess, der ihm den Rücken stärkt.

Physical Red Teaming prüft genau diese Lücke: Kann sich eine unbefugte Person Zutritt zu Gebäuden, Räumen und Systemen verschaffen, und wird sie dabei bemerkt und gestoppt? Die Disziplin ist in Deutschland lange als Randthema behandelt worden. Mit dem KRITIS-Dachgesetz, das seit dem 17. März 2026 in Kraft ist, rückt physische Resilienz jedoch ins Pflichtenheft vieler Betreiber.

Dieser Beitrag erklärt, warum physischer Zugang so wirksam ist, welche Szenarien in einem Test geprüft werden, welche Rolle das KRITIS-Dachgesetz spielt, wie ein Einsatz mit klaren Regeln und Autorisierung abläuft und wo die Grenzen liegen. Am Ende steht eine Checkliste für Empfang und Facility Management.

Warum physischer Zugang digitale Kontrollen aushebelt

Digitale Sicherheit geht in der Regel davon aus, dass der Angreifer von außen kommt, über das Netzwerk. Wer vor dem Gerät steht, unterläuft diese Annahme. Ein Laptop, der kurz unbeaufsichtigt bleibt, lässt sich mit physischem Zugriff oft in Minuten manipulieren. Eine Netzwerkdose in einem öffentlich zugänglichen Bereich verbindet ein mitgebrachtes Gerät direkt mit dem internen Netz, hinter der Firewall. Ein ausgedruckter Zettel mit Zugangsdaten am Monitor, Akten auf dem Drucker oder ein nicht gesperrter Rechner in der Mittagspause liefern Informationen, für die ein Angreifer aus dem Internet erheblichen Aufwand treiben müsste.

Hinzu kommt die menschliche Komponente. Höflichkeit und Hilfsbereitschaft sind in jedem Unternehmen erwünscht, und genau sie nutzen physische Angriffe aus. Die meisten Menschen halten die Tür auf, weisen den Weg oder helfen jemandem, der gestresst und mit vollen Händen vor einer verschlossenen Tür steht. Physical Red Teaming ist deshalb immer auch eine Form des Social Engineering, bei der nicht Technik, sondern soziale Normen überwunden werden.

Typische Szenarien im Test

Ein physischer Einsatz bildet nach, was ein realer Angreifer versuchen würde. Die folgenden Szenarien gehören zum Standardrepertoire. Sie werden nicht einzeln abgearbeitet, sondern zu einem glaubwürdigen Gesamtbild kombiniert.

• Tailgating: Das Mitgehen durch eine gesicherte Tür im Windschatten einer berechtigten Person. Ein freundliches Nicken, ein Kaffeebecher in der Hand, ein Gespräch am Telefon, und die Tür bleibt auf. Tailgating ist der häufigste und oft erfolgreichste Weg hinein.
• Pretexting am Empfang: Ein vorbereiteter Vorwand, der Zutritt rechtfertigt. Ein angekündigter Termin, der nicht existiert, eine Prüfung der Klimaanlage, ein neuer Kollege am ersten Tag. Der Pretext ist umso wirksamer, je besser er zu dem passt, was am Empfang ohnehin erwartet wird.
• Lieferanten-Cover: Die Rolle einer Person, deren Anwesenheit niemand hinterfragt: Paketdienst, Handwerk, Reinigung, IT-Dienstleister. Eine Warnweste und ein Klemmbrett öffnen erfahrungsgemäß mehr Türen als jeder technische Trick.
• USB-Drop: Präparierte Datenträger werden an Stellen platziert, an denen Mitarbeitende sie finden und aus Neugier anschließen, etwa auf dem Parkplatz oder in der Teeküche. Im Test enthalten sie keine Schadsoftware, sondern melden lediglich, dass und wo sie geöffnet wurden.
• Netzwerkdose im Besprechungsraum: Besprechungsräume sind oft für Gäste zugänglich und zugleich ans interne Netz angebunden. Ein unauffällig angeschlossenes Gerät kann von dort aus eine dauerhafte Verbindung nach außen aufbauen und den physischen Zugang in einen digitalen verwandeln.

Das Ziel ist nie, möglichst viel Schaden anzurichten, sondern den Nachweis zu führen: Bis hierher sind wir gekommen, dies hätten wir erreichen können, an dieser Stelle hätte uns jemand stoppen müssen. Der Nachweis ersetzt die reale Tat, genau wie bei einem digitalen Red Teaming.

Das KRITIS-Dachgesetz als Treiber

Lange war physische Sicherheit Sache des Facility Managements und von der IT-Sicherheit getrennt. Das KRITIS-Dachgesetz, in Kraft seit dem 17. März 2026, ändert das für Betreiber kritischer Infrastrukturen. Es setzt die europäische CER-Richtlinie zur Resilienz kritischer Einrichtungen um und verlangt, dass Betreiber nicht nur ihre digitale, sondern auch ihre physische Widerstandsfähigkeit nachweisen. Dazu gehören die Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, Risikoanalysen und Resilienzmaßnahmen gegen physische Bedrohungen wie unbefugten Zutritt, Sabotage oder Naturereignisse.

Physical Red Teaming ist eines der wenigen Verfahren, das die Wirksamkeit dieser Maßnahmen tatsächlich prüft, statt sie nur zu dokumentieren. Für KRITIS-Betreiber wird es damit von der Kür zum belastbaren Nachweis. Das Gesetz steht dabei nicht allein: Für Einrichtungen im Anwendungsbereich von NIS2 ergänzt es die Anforderungen an die digitale Sicherheit um die physische Dimension, und beide gemeinsam machen regelmäßige Wirksamkeitskontrollen zum Standard. Die Zusammenhänge der NIS2-Pflichten vertieft unser Beitrag NIS2-Pflichten für die Geschäftsleitung.

Ablauf mit Rules of Engagement und Autorisierungsschreiben

Kein Teil des Red Teamings verlangt so klare Regeln wie der physische Einsatz. Hier bewegen sich Menschen auf fremdem Gelände, und ein Missverständnis kann zu einem Polizeieinsatz führen. Deshalb steht am Anfang ein sorgfältiges Scoping und eine schriftliche Vereinbarung.

1. Scoping und Rules of Engagement: Gemeinsam mit dem Control Team legen wir fest, welche Standorte und Räume in Frage kommen, welche Zeiten gelten, welche Ziele erreicht werden sollen und welche Methoden ausgeschlossen sind. Die Rules of Engagement werden schriftlich fixiert und von beiden Seiten unterzeichnet.
2. Autorisierungsschreiben: Jede Person im Einsatz trägt ein unterschriebenes Autorisierungsschreiben bei sich, im Fachjargon „Get out of jail letter“. Es benennt die Auftraggeberin, den Zeitraum, den Umfang und eine rund um die Uhr erreichbare Kontaktperson, die den Einsatz jederzeit bestätigen kann. Wird das Team gestellt, legt es das Schreiben vor, und der Einsatz endet an dieser Stelle als Erfolg für die Organisation.
3. Notfallkontakte und Abbruchkriterien: Beide Seiten benennen Ansprechpartner. Es wird vereinbart, unter welchen Umständen der Einsatz sofort abgebrochen wird, etwa bei Eintreffen der Polizei, bei Gefahr für Personen oder wenn der Betrieb gestört würde.
4. Durchführung: Das Team dokumentiert jeden Schritt mit Zeitstempel und, wo vereinbart, mit Fotos als Nachweis. Störende oder riskante Aktionen erfolgen nur nach ausdrücklicher Freigabe.
5. Auswertung und Rückbau: Alle platzierten Geräte und Datenträger werden vollständig entfernt, alle Änderungen rückgängig gemacht. Im Bericht steht, welche Wege funktioniert haben und welche Prozesse versagt haben, nicht die Namen einzelner Mitarbeitender.

Die rechtliche Grundlage ist dabei zwingend. Ohne schriftliche Autorisierung der berechtigten Leitung wäre das Vorgehen nicht zulässig; der Hausfriedensbruch und verwandte Tatbestände stehen im Raum. Die Autorisierung muss von einer Person kommen, die tatsächlich über die betroffenen Gebäude verfügen darf. Bei angemieteten Objekten oder geteilten Liegenschaften ist das im Scoping sorgfältig zu klären.

Grenzen des Einsatzes

Ein verantwortungsvoller physischer Einsatz hat feste Grenzen, die nicht verhandelbar sind:

• Keine Gewalt: Gegen Personen wird unter keinen Umständen vorgegangen. Auch Drohung oder Einschüchterung sind ausgeschlossen. Wird das Team angesprochen oder festgehalten, kooperiert es und weist sich aus.
• Keine Beschädigung: Türen, Schlösser, Fenster oder Einrichtung werden nicht beschädigt. Geprüft wird, was ohne Zerstörung möglich ist; destruktive Methoden bilden kein realistisches Risiko für die meisten Angreifer ab und richten echten Schaden an.
• Keine Gefährdung des Betriebs: Produktionsanlagen, Sicherheitssysteme und sensible Bereiche werden nicht so manipuliert, dass der Betrieb oder die Sicherheit von Menschen leidet. Für kritische Bereiche gilt der Nachweis des Zugangs, nicht der Eingriff.
• Keine Bloßstellung: Wer getäuscht wurde, wird im Bericht nicht benannt. Die Lücke liegt im Prozess, nicht in der einzelnen Person.
• Datenschutz: Erlangte personenbezogene Daten werden geschützt behandelt, nur zum Nachweis verwendet und nach Projektende gelöscht.

Diese Grenzen schränken die Aussagekraft nicht ein. Ein realer Angreifer, der Gewalt anwendet oder Türen aufbricht, ist ein Fall für die physische Sicherung und die Polizei, nicht für ein Red Team. Die interessante und testbare Frage ist, wie weit jemand mit sozialer Geschicklichkeit, einer Warnweste und einem guten Vorwand kommt.

Checkliste für Empfang und Facility Management

1. Werden alle Besucher angemeldet, ausgewiesen, mit sichtbarem Ausweis versehen und auf dem Gelände begleitet?
2. Ist es am Empfang ausdrücklich erlaubt und erwünscht, auch bei gut gekleideten oder scheinbar wichtigen Personen nach dem Ausweis zu fragen?
3. Gibt es eine klare Regel, dass gesicherte Türen nicht für Unbekannte aufgehalten werden, und kennen alle Mitarbeitenden sie?
4. Werden Lieferanten, Handwerk und Reinigung anhand einer geführten Liste erwartet und ihr Zutritt verifiziert, statt sie allein auf die Arbeitskleidung hin durchzulassen?
5. Sind Netzwerkdosen in öffentlich zugänglichen Räumen deaktiviert oder in ein isoliertes Gast-Netz getrennt?
6. Gilt eine Clean-Desk-Regel, und sperren Mitarbeitende ihre Rechner beim Verlassen des Platzes?
7. Sind Server- und Technikräume mit mehr als einem Zahlencode gesichert, und wird protokolliert, wer sie betritt?
8. Werden gefundene Datenträger gemeldet statt angeschlossen, und kennen Mitarbeitende den Meldeweg?
9. Reagiert jemand auf Alarme der Zutrittskontrolle außerhalb der Bürozeiten, und wie schnell?
10. Wurde die Wirksamkeit dieser Maßnahmen in den letzten zwölf bis vierundzwanzig Monaten praktisch getestet?

Fazit

Physischer Zugang hebelt digitale Kontrollen aus, weil er eine Annahme unterläuft, auf der sie beruhen: dass der Angreifer von außen kommt. Die wirksamen Gegenmaßnahmen sind überwiegend organisatorisch und kulturell, allen voran eine Kultur, in der Nachfragen erwünscht ist. Mit dem KRITIS-Dachgesetz wird die Prüfung der physischen Resilienz für viele Betreiber zur Pflicht. Ein physischer Einsatz liefert den belastbaren Nachweis, aber nur mit klaren Rules of Engagement, einem Autorisierungsschreiben und festen Grenzen. Wie wir einen solchen Einsatz für Ihre Standorte planen, zeigt unsere Leistung Physical Red Teaming; ein erstes Gespräch beginnt bei Kontakt.

Quellen

• KRITIS-Dachgesetz, in Kraft seit 17. März 2026; Umsetzung der CER-Richtlinie (EU) 2022/2557 zur Resilienz kritischer Einrichtungen, eur-lex.europa.eu.
• MITRE ATT&CK Enterprise, Technik T1200 „Hardware Additions“ und T1091 „Replication Through Removable Media“, attack.mitre.org.
• § 123 StGB (Hausfriedensbruch) und § 202a ff. StGB als rechtlicher Rahmen für die erforderliche schriftliche Autorisierung.

Häufige Fragen zum Thema