Red Teaming ist die anspruchsvollste Form der Sicherheitsprüfung – und genau deshalb nicht für jede Organisation der richtige nächste Schritt. Wir erleben regelmäßig, dass Unternehmen nach einem Vorfall beim Wettbewerber oder nach einer Vorstandssitzung ein Red Teaming beauftragen wollen, obwohl weder ein zentrales Logging noch eine Endpunkt-Erkennung vorhanden sind. Das Ergebnis eines solchen Tests steht vorher fest: Das Red Team erreicht sein Ziel, niemand bemerkt es, und der Bericht enthält Empfehlungen, die jeder erfahrene Administrator auch ohne sechswöchigen Angriff hätte aufschreiben können.
Ein Red Teaming misst Erkennung und Reaktion. Wo es nichts zu messen gibt, misst es nichts. Die Frage „Sind wir bereit?“ ist deshalb keine Frage der Unternehmensgröße oder des Budgets, sondern der Sicherheitsreife: Gibt es Kontrollen, deren Wirksamkeit der Test prüfen kann?
Dieser Beitrag liefert eine Checkliste mit sechs Reifekriterien, ordnet daraus fünf Reifestufen ab und nennt für jede Stufe das Prüfformat, das den größten Erkenntnisgewinn pro investiertem Euro bringt. Ziel ist nicht, Sie vom Red Teaming abzuhalten, sondern Sie dorthin zu bringen, wo es sich lohnt.
Warum der Reifegrad über den Nutzen entscheidet
Ein Red Teaming liefert drei Arten von Erkenntnissen: welchen Weg ein Angreifer zum Ziel nimmt, an welchen Stellen die Erkennung versagt hat, und wie die Organisation auf die Alarme reagiert hat, die ausgelöst wurden. Die erste Erkenntnis bekommen Sie in jeder Organisation. Die zweite setzt voraus, dass Erkennungstechnik existiert. Die dritte setzt voraus, dass jemand die Alarme bearbeitet und ein Prozess vorgibt, was dann geschieht.
Fehlen die Voraussetzungen zwei und drei, reduziert sich der Test auf einen teuren Angriffspfad-Nachweis. Dafür gibt es günstigere Werkzeuge. Die CISA hat in ihrem Advisory AA23-059A dokumentiert, wie ein dreimonatiger Red-Team-Test bei einer als reif geltenden Organisation verlief: Das Team erreichte Domain-Admin-Rechte, EDR-Alarme wurden erzeugt, aber nicht bearbeitet. Diese Erkenntnis war wertvoll – weil es überhaupt EDR und Alarme gab, deren Nichtbearbeitung man adressieren konnte. Ohne EDR hätte der Bericht lediglich festgestellt, dass EDR fehlt.
Reifegrad-Checkliste: Sechs Kriterien
Gehen Sie die folgenden Punkte ehrlich durch. „Vorhanden“ heißt dabei: in Betrieb, gepflegt und mit einer verantwortlichen Person, nicht „einmal beschafft“.
- Regelmäßige Penetrationstests. Externe Prüfungen Ihrer Systeme finden mindestens jährlich statt, zusätzlich bei größeren Änderungen. Die Findings der letzten Tests sind nachweislich behoben oder mit begründeter Risikoakzeptanz dokumentiert. Wer offene kritische Findings aus dem Vorjahr hat, braucht kein Red Team, um zu erfahren, wo es hineinkommt.
- Schwachstellenmanagement. Ein Schwachstellenscan läuft automatisiert und regelmäßig, Ergebnisse werden priorisiert und mit Fristen abgearbeitet. Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum durchschnittlich 119 neue Schwachstellen pro Tag bekannt; ohne Prozess ist das nicht beherrschbar. Patch-Zyklen für kritische Schwachstellen liegen bei Tagen, nicht Monaten.
- Zentrales Logging. Sicherheitsrelevante Ereignisse von Domänencontrollern, Servern, Clients, Firewalls, VPN und Cloud-Identitäten laufen in einem zentralen SIEM oder einer vergleichbaren Plattform zusammen. Die Aufbewahrung reicht mindestens einige Monate zurück. Authentifizierungsereignisse, PowerShell-Protokolle und Prozessstarts sind enthalten – ohne sie bleibt Lateral Movement unsichtbar.
- Endpoint Detection and Response. Eine EDR-Lösung ist auf allen Servern und Clients ausgerollt, nicht nur auf einem Teil. Die Alarme landen bei jemandem, der sie bewertet. Ausnahmen und Allowlists werden dokumentiert und regelmäßig überprüft.
- SOC oder MSSP. Es gibt eine Stelle – intern als Security Operations Center oder extern als Managed Security Service Provider –, die Alarme rund um die Uhr oder zumindest zu definierten Zeiten bearbeitet. Eskalationswege zu IT-Leitung und Geschäftsführung sind festgelegt. Ein Postfach, das irgendjemand gelegentlich liest, erfüllt dieses Kriterium nicht.
- Incident-Response-Plan. Ein schriftlicher Incident-Response-Plan regelt Rollen, Entscheidungsbefugnisse, Kommunikation und erste Maßnahmen. Er wurde in den letzten zwölf Monaten mindestens einmal geübt, etwa als Tabletop-Übung. Die Beteiligten kennen ihn, ohne nachschlagen zu müssen.
Zählen Sie die Kriterien, die Sie uneingeschränkt mit „vorhanden“ beantworten. Diese Zahl ordnet Sie in der folgenden Tabelle ein.
Reifestufen und Empfehlung
| Stufe | Erfüllte Kriterien | Typische Situation | Empfohlenes Prüfformat | Was Sie damit lernen |
|---|---|---|---|---|
| 1 – Grundlagen | 0–1 | Keine regelmäßigen Tests, Patches ad hoc, Logs lokal auf den Systemen | Schwachstellenscan und Härtung der Basis | Welche bekannten Lücken offen sind; schnelle, günstige Verbesserung |
| 2 – Prävention | 2–3 | Scans laufen, Patches werden eingespielt, aber keine zentrale Erkennung | Penetrationstest der kritischen Systeme | Wie tief ein Angreifer in einzelne Systeme eindringt; Compliance-Nachweis |
| 3 – Erkennung im Aufbau | 3–4, darunter Logging oder EDR | SIEM oder EDR beschafft, Regeln noch dünn, Alarme werden gelegentlich bearbeitet | Purple Teaming | Welche Angriffstechniken geloggt, erkannt und blockiert werden; Regeln werden sofort verbessert |
| 4 – Erkennung etabliert | 4–5, darunter EDR und SOC/MSSP | Alarme haben Empfänger, Reaktion ist definiert, aber nie unter Realbedingungen geprüft | Assumed Breach | Wie weit ein Angreifer von einem kompromittierten Client kommt und ob SOC und Prozesse greifen |
| 5 – Reaktion geübt | Alle 6 | Pentests, Erkennung und Incident Response laufen; Vorstand fragt nach dem Gesamtbild | Full-Scope Red Teaming, bei Finanzunternehmen TLPT | Ob die gesamte Kette von Initial Access bis zur Reaktion unter realistischen Bedingungen hält |
Die Stufen bauen aufeinander auf, aber nicht als starre Treppe. Wer auf Stufe 3 steht, kann durchaus einen Assumed-Breach-Test beauftragen – er sollte dann aber wissen, dass der Schwerpunkt der Erkenntnisse auf dem Angriffspfad liegen wird, nicht auf der Reaktion.
Stufe 3 und 4: Wo die meisten Mittelständler stehen
Die große Mehrheit der Unternehmen, mit denen wir sprechen, liegt zwischen Stufe 3 und 4. Pentests finden statt, ein EDR ist ausgerollt, ein SIEM oder ein MSSP-Vertrag existiert. Was fehlt, ist der Nachweis, dass das Zusammenspiel funktioniert. Genau hier liegt der Sweet Spot für zwei Formate.
Purple Teaming ist die richtige Wahl, wenn Sie vermuten, dass Ihre Erkennungsregeln Lücken haben. Angreifer und Verteidiger arbeiten offen zusammen: Eine Technik wird ausgeführt, gemeinsam wird geprüft, ob sie im Log auftaucht, ob ein Alarm entsteht und ob sie blockiert wurde, dann wird die Regel angepasst. Nach wenigen Tagen haben Sie eine Heatmap Ihrer Erkennungsabdeckung und messbar bessere Regeln. Ausführlich beschreiben wir das im Beitrag zu Purple Teaming und Detection Engineering.
Assumed Breach ist die richtige Wahl, wenn Sie wissen wollen, wie weit ein Angreifer kommt, der bereits drin ist – und ob Ihr SOC ihn dabei bemerkt. Der Test startet mit einem bereitgestellten Zugang, etwa einem Standard-Domänenkonto auf einem Client, und überspringt die Phase des Erstzugriffs. Das spart Zeit und Geld und konzentriert den Test auf die Fragen, die auf Stufe 4 offen sind: Lateral Movement, Privilege Escalation, Erkennung und Reaktion. Die CrowdStrike-Zahl zur durchschnittlichen Breakout Time von 29 Minuten im Global Threat Report 2026 beschreibt genau diese Phase – die Zeit, die ein Angreifer vom ersten System bis zum nächsten braucht.
Praxis-Tipp: Bevor Sie ein Red Teaming oder einen Assumed-Breach-Test beauftragen, prüfen Sie eine einzige Sache selbst: Erzeugen Sie an einem Freitagnachmittag einen harmlosen, aber eindeutigen Testalarm – etwa die Ausführung eines bekannten Testwerkzeugs auf einem Client – und messen Sie, wann wer reagiert. Wenn am Montag noch nichts passiert ist, kennen Sie Ihr erstes Finding und haben es kostenlos gefunden. Dann lohnt sich zunächst ein Purple-Teaming-Sprint, der diese Lücke schließt.
Häufige Fehleinschätzungen
„Wir haben ein EDR, also erkennen wir Angriffe.“ EDR ist ein Werkzeug, keine Erkennung. Laut CrowdStrike Global Threat Report 2026 waren 82 Prozent der Erkennungen malware-frei – Angreifer nutzen legitime Werkzeuge und gestohlene Zugangsdaten. Ein EDR, dessen Alarme niemand bewertet oder dessen Verhaltenserkennung aus Bequemlichkeit abgeschwächt wurde, erkennt solche Angriffe nicht.
„Der MSSP kümmert sich um alles.“ Ein externer Dienstleister bearbeitet Alarme nach dem, was im Vertrag steht. Ob er bei einem Alarm um drei Uhr nachts den Client isolieren darf oder nur eine E-Mail schreibt, entscheidet über den Ausgang. Prüfen Sie den Vertrag auf Reaktionsbefugnisse, nicht nur auf Reaktionszeiten.
„Wir sind zu klein für Red Teaming.“ Die Größe entscheidet nicht. Ein Unternehmen mit 300 Mitarbeitenden, das alle sechs Kriterien erfüllt, zieht aus einem Assumed-Breach-Test mehr Nutzen als ein Konzern, bei dem die Hälfte der Clients ohne EDR läuft. Mit dem NIS2-Umsetzungsgesetz, das seit Dezember 2025 rund 29.500 Einrichtungen ab 50 Beschäftigten erfasst, gelten Wirksamkeitskontrollen wie Pentests und Red Teaming ohnehin für deutlich mehr Mittelständler als bisher.
„Erst die ISO-Zertifizierung, dann die Tests.“ Umgekehrt ist es sinnvoller. ISO 27001 fordert Wirksamkeitsprüfungen; ein Test vor der Zertifizierung liefert die Nachweise, die der Auditor sehen will, und deckt Lücken auf, bevor sie zur Abweichung werden.
Der Weg zur nächsten Stufe
Wenn Sie auf Stufe 1 oder 2 stehen, ist der Weg klar: Schwachstellenmanagement etablieren, kritische Systeme pentesten, Findings beheben, dann zentrales Logging und EDR aufbauen. Das ist keine Beratungsleistung, die Sie extern einkaufen müssen – es ist Betriebsarbeit, die Priorität und Budget braucht.
Auf Stufe 3 beschleunigt Purple Teaming den Aufbau der Erkennung erheblich, weil Sie nicht abstrakt Regeln schreiben, sondern gegen reale Angriffstechniken testen. Auf Stufe 4 zeigt ein Assumed-Breach-Test, ob SOC, MSSP und Incident-Response-Plan unter Druck funktionieren. Die Findings daraus fließen zurück in Purple-Teaming-Sprints. Nach ein bis zwei Zyklen sind Sie auf Stufe 5 und das Full-Scope Red Teaming beantwortet die Frage, die Vorstand und Aufsichtsrat eigentlich stellen: Hält das Ganze?
Für Finanzunternehmen, die unter DORA fallen, ist dieser Pfad zusätzlich regulatorisch vorgezeichnet: TLPT nach Artikel 26 setzt einen Reifegrad voraus, den die Aufsicht bei der Benennung berücksichtigt. Wer die Stufen vorher durchlaufen hat, geht gut vorbereitet in einen Test, der auf Produktivsystemen stattfindet und mindestens zwölf Wochen dauert.
Fazit
Red Teaming lohnt sich, wenn es etwas zu messen gibt: Erkennungstechnik, die Alarme erzeugt, Menschen, die sie bearbeiten, und Prozesse, die festlegen, was dann geschieht. Die sechs Kriterien der Checkliste zeigen Ihnen, wo Sie stehen; die Reifestufen-Tabelle nennt das Format, das jetzt den größten Nutzen bringt. Für die meisten Mittelständler ist das nicht das Full-Scope Red Teaming, sondern ein Purple-Teaming-Sprint oder ein Assumed-Breach-Test – schneller, günstiger und mit Erkenntnissen, die Sie sofort umsetzen können. Wenn Sie Ihre Einordnung gemeinsam mit uns prüfen möchten, nehmen Sie Kontakt auf; wir sagen Ihnen offen, wenn ein Red Teaming für Sie noch zu früh ist.
Quellen
- BSI, Die Lage der IT-Sicherheit in Deutschland 2025 – Schwachstellen pro Tag, bsi.bund.de
- CISA, Cybersecurity Advisory AA23-059A, 2023, cisa.gov
- CrowdStrike, Global Threat Report 2026 – Breakout Time, Anteil malware-freier Erkennungen
- NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BGBl. 2025 I Nr. 301
- Verordnung (EU) 2022/2554 (DORA), Art. 26; Delegierte Verordnung (EU) 2025/1190
- ISO/IEC 27001:2022, Anhang A.8.8
Häufige Fragen zum Thema
Brauche ich ein eigenes SOC für ein Red Teaming?
Was passiert, wenn wir das Red Teaming zu früh beauftragen?
Reicht ein jährlicher Pentest als Vorbereitung?
Wie lange dauert es, von Stufe zwei auf Stufe vier zu kommen?
Begriffe aus diesem Beitrag
Redaktion Gruppe RotDieser Beitrag wurde vom Red-Team von Gruppe Rot verfasst und fachlich geprüft. Er ersetzt keine Rechtsberatung. Zahlen und Quellen sind im Text genannt; bei Fragen oder Korrekturhinweisen freuen wir uns über eine Nachricht.