„Wir hatten doch gerade erst einen Pentest – wozu jetzt noch ein Red Teaming?“ Diese Frage hören wir in fast jedem Erstgespräch mit Geschäftsführung oder IT-Leitung. Sie ist berechtigt, denn beide Verfahren greifen die eigene Organisation an, beide liefern einen Bericht mit Findings, und beide werden oft von denselben Dienstleistern angeboten. Die Verwechslung kostet jedoch Geld: Wer einen Penetrationstest beauftragt und eine Aussage zur Angriffserkennung erwartet, bekommt sie nicht. Wer ein Red Teaming kauft, um alle Schwachstellen einer Webanwendung zu finden, zahlt für das falsche Werkzeug.
Der Kern des Unterschieds liegt nicht in der Technik, sondern in der Frage, die beantwortet wird. Ein Penetrationstest fragt: „Welche Schwachstellen hat dieses System?“ Ein Red Teaming fragt: „Erreicht ein realistischer Angreifer sein Ziel – und bemerkt es jemand?“ Aus dieser Differenz folgen alle anderen Unterschiede in Umfang, Dauer, Kosten und Aussagekraft.
Dieser Beitrag ordnet beide Verfahren ein, stellt sie dem Purple Teaming als drittem Format gegenüber und liefert eine Entscheidungsmatrix, mit der Sie das passende Verfahren für Ihre aktuelle Situation auswählen können.
Ziel und Fragestellung
Der Penetrationstest ist eine Prüfung der Prävention. Ein definiertes Prüfobjekt – eine Webanwendung, ein Netzsegment, eine Cloud-Umgebung, eine mobile App – wird systematisch auf Schwachstellen untersucht. Ziel ist Vollständigkeit: möglichst alle relevanten Schwachstellen im Prüfobjekt finden, nach Schweregrad bewerten und mit Behebungsempfehlungen dokumentieren. Der Tester arbeitet angekündigt, oft mit Zugangsdaten und Dokumentation, und muss sich nicht verstecken. Ob ein Alarm im Security Operations Center (SOC) ausgelöst wird, ist für das Ergebnis unerheblich.
Das Red Teaming ist eine Prüfung von Erkennung und Reaktion. Nicht ein System steht im Fokus, sondern die gesamte Organisation: Technik, Menschen, Prozesse und bei Bedarf Gebäude. Das Red Team erhält ein oder wenige Ziele, sogenannte Flags – etwa Domänen-Admin-Rechte, Zugriff auf eine Zahlungsfreigabe oder das Postfach eines Vorstandsmitglieds – und sucht den Weg dorthin, den ein echter Angreifer nehmen würde. Schwachstellen, die auf diesem Weg nicht liegen, werden nicht gesucht. Dafür wird jeder Schritt daraufhin ausgewertet, ob er protokolliert, erkannt oder blockiert wurde.
Das Purple Teaming schließlich verzichtet auf jede Verdeckung. Angreifer und Verteidiger sitzen gemeinsam am Tisch und prüfen Technik für Technik, ob die Erkennung funktioniert. Es misst keinen realen Reaktionsverlauf, verbessert dafür die Verteidigung unmittelbar.
Umfang und Stealth
Ein Pentest hat einen festen Scope: IP-Bereiche, URLs, Systeme. Alles außerhalb bleibt unberührt. Diese Begrenzung ist eine Stärke, denn sie erlaubt Tiefe und Vollständigkeit innerhalb der Grenzen. Social Engineering, physischer Zutritt oder die Ausnutzung von Dienstleisterzugängen gehören in der Regel nicht dazu.
Beim Red Teaming ist der Scope die Organisation. Ausgeschlossen werden nur Systeme, deren Störung nicht verantwortbar ist – etwa Produktionssteuerungen oder Patientendaten – und diese Ausschlüsse stehen schriftlich in den Rules of Engagement. Der Einsatz läuft verdeckt: Nur ein kleines Control Team im Unternehmen, meist CISO, IT-Leitung und Geschäftsführung, ist eingeweiht. SOC, Administratoren und Mitarbeitende wissen nichts davon. Genau diese Unwissenheit macht die Messung aussagekräftig: Wer weiß, dass getestet wird, reagiert anders.
Für das Red Team bedeutet Stealth erheblichen Mehraufwand. Jedes Werkzeug muss an die Umgebung angepasst werden, um nicht von der Endpoint Detection and Response (EDR) gestoppt zu werden, jede Aktion wird auf ihre Auffälligkeit geprüft, und Wartezeiten zwischen Schritten sind Teil der Methode. Das erklärt einen großen Teil des Zeit- und Kostenunterschieds.
Dauer und Kosten
Ein Penetrationstest dauert typischerweise ein bis drei Wochen, abhängig von der Größe des Prüfobjekts. Ein Red Teaming läuft in der aktiven Phase vier bis zwölf Wochen, mit Vorbereitung, Bericht und Nachbereitung insgesamt ein bis drei Monate. Für regulatorische Tests nach DORA (Threat-Led Penetration Testing, TLPT) schreibt die technische Regulierungsnorm RTS 2025/1190 eine aktive Red-Team-Phase von mindestens zwölf Wochen vor; der Gesamtzyklus inklusive Threat Intelligence und Nachbereitung erstreckt sich über sechs bis zwölf Monate.
Bei den Kosten gilt als Marktorientierung: Ein Pentest liegt im niedrigen fünfstelligen Bereich. Ein gezieltes Red Teaming beginnt bei etwa 40 Personentagen. TIBER- und TLPT-Tests liegen im sechsstelligen Bereich; als Referenz werden 90 bis 125 Personentage genannt. Diese Werte sind Orientierung, kein Festpreis – der tatsächliche Aufwand ergibt sich aus Scope, Zielen und Reifegrad der Organisation.
Vergleichstabelle: Pentest, Purple Teaming, Red Teaming
| Kriterium | Penetrationstest | Purple Teaming | Red Teaming |
|---|---|---|---|
| Zentrale Frage | Welche Schwachstellen hat dieses System? | Erkennen wir diese Angriffstechnik? | Erreicht ein Angreifer das Ziel, und bemerken wir ihn? |
| Prüfobjekt | Definiertes System oder Anwendung | Erkennungskette (Logging, SIEM, EDR, SOC) | Gesamte Organisation |
| Geprüfte Kontrollen | Präventiv | Detektiv, gemeinsam verbessert | Präventiv, detektiv und reaktiv |
| Stealth | Keine, angekündigt | Keine, offene Zusammenarbeit | Vollständig verdeckt, nur Control Team eingeweiht |
| Ergebnis | Vollständige Schwachstellenliste mit Schweregrad | ATT&CK-Heatmap mit verbesserten Regeln | Angriffs-Narrativ, Detection Gaps, Root Causes |
| Dauer | 1–3 Wochen | Sprints von wenigen Tagen, wiederholbar | 4–12 Wochen aktiv, TLPT mindestens 12 Wochen |
| Kostenrahmen | Niedrig fünfstellig | Tagessätze, nach Umfang skalierbar | Ab ca. 40 Personentage, TLPT sechsstellig |
| Voraussetzung | Keine besondere | Zentrales Logging, EDR oder SIEM vorhanden | Reife Grundsicherung und funktionierende Erkennung |
| Typischer Turnus | Jährlich oder bei Änderungen | Quartalsweise oder nach Bedarf | Alle 1–3 Jahre, DORA: mindestens alle 3 Jahre |
Aussagekraft: Was Sie am Ende wissen
Nach einem Pentest wissen Sie, wie gut ein bestimmtes System gegen Angriffe geschützt ist, und Sie haben eine Liste konkreter Behebungsaufgaben. Was Sie nicht wissen: ob jemand reagiert hätte, wenn ein Angreifer das System tatsächlich übernimmt, und wie weit er von dort aus kommen würde.
Nach einem Red Teaming wissen Sie, wie lange ein Angreifer unbemerkt in Ihrer Umgebung agieren konnte, welche Alarme ausgelöst wurden und was damit geschah, und an welchen Stellen die Angriffskette hätte unterbrochen werden können. Diese Aussage ist für Vorstand und Aufsichtsrat deutlich greifbarer als eine Schwachstellenliste. Die Zahlen aus der Praxis zeigen, warum das zählt: Laut Mandiant M-Trends 2026 lag die mediane Dwell Time, also die Zeit zwischen Kompromittierung und Entdeckung, bei 14 Tagen; nur 52 Prozent der Vorfälle wurden intern erkannt. Die CISA dokumentierte in ihrem Advisory AA23-059A einen dreimonatigen Red-Team-Test bei einer als reif geltenden Organisation, in dem EDR-Alarme ausgelöst wurden, aber niemand darauf reagierte. Genau solche Lücken macht ein Red Teaming sichtbar, ein Pentest nicht.
Was ein Red Teaming nicht liefert: Vollständigkeit. Wenn das Red Team über eine ungepatchte Schwachstelle und einen schwach gesicherten Dienstleisterzugang zum Ziel kommt, bleiben andere Schwachstellen unentdeckt. Deshalb ersetzt es den Pentest nicht, sondern setzt ihn voraus.
Praxis-Tipp: Wenn Sie zum ersten Mal ein Red Teaming beauftragen, wählen Sie Flags, deren Erreichen für den Vorstand unmittelbar verständlich ist – etwa „Zugriff auf die Zahlungsfreigabe“ statt „Domain Admin“. Der Angriffspfad dorthin führt in der Praxis ohnehin fast immer über das Active Directory. Die Übersetzung in ein Geschäftsrisiko erledigt die Flag für Sie, und das spätere Budgetgespräch wird deutlich einfacher.
Entscheidungsmatrix: Was passt wann
Die folgende Zuordnung hat sich in unseren Projekten bewährt. Sie ist keine starre Regel, sondern eine Ausgangsbasis für das Gespräch mit Ihrem Dienstleister.
- Neue Anwendung oder Infrastruktur geht in Betrieb. Penetrationstest. Sie brauchen Vollständigkeit auf einem klar umrissenen Objekt, bevor es produktiv wird.
- Compliance-Nachweis für ISO 27001, PCI DSS oder Kundenaudit. Penetrationstest. PCI DSS 4.0 verlangt in Anforderung 11.4 explizit Pentests; ISO 27001 fordert in A.8.8 Schwachstellenmanagement mit Wirksamkeitsprüfung.
- Sie haben kürzlich in SIEM, EDR oder ein SOC investiert und wollen wissen, ob es wirkt. Purple Teaming. Sie bekommen pro Angriffstechnik ein klares Ergebnis und verbessern die Regeln sofort.
- Regelmäßige Pentests laufen, Schwachstellen werden behoben, Logging und EDR sind vorhanden – aber niemand hat die Reaktion je unter Realbedingungen gesehen. Assumed Breach als Einstieg: Der Test startet mit einem bereitgestellten Zugang und prüft, wie weit ein Angreifer von dort kommt und ob er bemerkt wird.
- Vorstand oder Aufsichtsrat fragen, ob das Unternehmen einen gezielten Angriff überstehen würde. Full-Scope Red Teaming. Nur dieses Format beantwortet die Frage inklusive Initial Access über Phishing, Dienstleister oder physischen Zutritt.
- Sie sind Finanzunternehmen und von BaFin oder EZB für TLPT benannt. TLPT nach DORA Artikel 26 und 27 – ein Red Teaming mit vorgegebenem Rahmen, externem Threat-Intelligence-Provider und Behördenbeteiligung.
- Ihr Vorfall-Reaktionsplan existiert auf Papier, wurde aber nie unter Druck ausprobiert. Red Teaming oder Assumed Breach mit ausdrücklichem Fokus auf die Reaktionskette – oder zunächst Purple Teaming, wenn die Erkennung noch lückenhaft ist.
Ein Muster zieht sich durch alle Punkte: Red Teaming lohnt sich erst, wenn es etwas zu messen gibt. Ohne zentrales Logging, ohne EDR und ohne jemanden, der Alarme bearbeitet, lautet das Ergebnis vorhersehbar „Ziel erreicht, nichts bemerkt“ – eine teure Bestätigung dessen, was Sie ohnehin wussten. In diesem Fall ist das Geld in Pentests und dem Aufbau der Erkennung besser angelegt. Wie Sie Ihren Reifegrad einschätzen, beschreibt unser Beitrag Wann ist mein Unternehmen bereit für Red Teaming?.
Wie sich die Verfahren in der Praxis kombinieren
Die reifsten Sicherheitsorganisationen, die wir begleiten, nutzen alle drei Formate in einem Jahreszyklus. Penetrationstests sichern neue und geänderte Systeme ab und liefern den Compliance-Nachweis. Purple-Teaming-Sprints verbessern quartalsweise die Erkennung entlang des MITRE-ATT&CK-Frameworks. Alle ein bis drei Jahre prüft ein Red Teaming, ob das Zusammenspiel unter Realbedingungen funktioniert – und die dabei gefundenen Detection Gaps werden im nächsten Purple-Teaming-Sprint geschlossen.
Diese Reihenfolge ist auch regulatorisch vorgezeichnet: Die DORA-RTS verlangt nach der aktiven Red-Team-Phase einen Replay-Workshop und Purple Teaming, in dem Red und Blue Team die Angriffskette gemeinsam nachvollziehen. Was für Finanzunternehmen Pflicht ist, ist für alle anderen eine gute Praxis, denn der Lerneffekt eines Red Teamings entsteht nicht beim Lesen des Berichts, sondern beim gemeinsamen Nachvollziehen der Schritte.
Fazit
Penetrationstest und Red Teaming sind keine Alternativen, sondern Werkzeuge für verschiedene Fragen. Der Pentest liefert Vollständigkeit auf einem definierten System und prüft die Prävention; das Red Teaming liefert eine realistische Aussage über Erkennung und Reaktion der gesamten Organisation. Purple Teaming verbindet beide Welten und ist der schnellste Weg, die Erkennung konkret zu verbessern. Wer die Reihenfolge einhält – erst Grundsicherung und Pentests, dann Erkennung aufbauen, dann unter Realbedingungen messen – bekommt für jeden Euro den größten Erkenntnisgewinn. Wenn Sie unsicher sind, welches Format zu Ihrer Situation passt, sprechen wir das in einem unverbindlichen Erstgespräch durch; die Details zu unserem Red Teaming und zum Ablauf eines Einsatzes finden Sie auf den jeweiligen Seiten.
Quellen
- Mandiant, M-Trends 2026 – mediane Dwell Time, Anteil intern erkannter Vorfälle
- CISA, Cybersecurity Advisory AA23-059A: Red Team Assessment einer kritischen Infrastruktur, 2023
- Verordnung (EU) 2022/2554 (DORA), Art. 26 und 27; Delegierte Verordnung (EU) 2025/1190 (RTS zu TLPT), eur-lex.europa.eu
- PCI Security Standards Council, PCI DSS 4.0, Requirement 11.4
- ISO/IEC 27001:2022, Anhang A.8.8
- MITRE ATT&CK Enterprise, attack.mitre.org
Häufige Fragen zum Thema
Ersetzt Red Teaming den Penetrationstest?
Wie lange dauert ein Red Teaming im Vergleich zum Pentest?
Was kostet ein Red Teaming gegenüber einem Pentest?
Wer darf im Unternehmen vom Red Teaming wissen?
Was ist Purple Teaming im Vergleich?
Begriffe aus diesem Beitrag
Redaktion Gruppe RotDieser Beitrag wurde vom Red-Team von Gruppe Rot verfasst und fachlich geprüft. Er ersetzt keine Rechtsberatung. Zahlen und Quellen sind im Text genannt; bei Fragen oder Korrekturhinweisen freuen wir uns über eine Nachricht.