Was ist Purple Teaming?

Purple Teaming einfach erklärt

In der IT-Sicherheit stehen Farben für Rollen. Das Red Team spielt die Angreifer. Das Blue Team verteidigt – also etwa die IT-Abteilung oder ein Dienstleister, der die Systeme überwacht. Mischt man Rot und Blau, entsteht Lila, auf Englisch „purple“. Purple Teaming bedeutet also: Beide Seiten arbeiten zusammen, statt gegeneinander.

Ein Vergleich aus dem Sport macht den Unterschied deutlich. Im Spiel erfährt die Abwehr erst nach dem Abpfiff, wo ihre Lücken lagen. Im Training dagegen läuft der Stürmer denselben Spielzug mehrmals. Der Trainer unterbricht, die Abwehr stellt sich neu auf – so lange, bis sie steht. Ein verdecktes Red Teaming entspricht dem Spiel unter Wettkampfbedingungen, Purple Teaming dem gezielten Training.

Purple Teaming ist eine Variante bzw. Ergänzung des Red Teamings. Mehr zu beiden Formaten lesen Sie auf der Seite Red Teaming & APT-Simulation.

So läuft Purple Teaming ab

Eine typische Übung folgt diesen Schritten:

1. Szenarien auswählen: Beide Teams legen gemeinsam fest, welche Angriffe für das Unternehmen realistisch sind. Grundlage ist oft MITRE ATT&CK – eine frei zugängliche Wissensdatenbank, die das Vorgehen realer Angreifer systematisch beschreibt.
2. Technik ausführen: Das Red Team führt eine Angriffstechnik kontrolliert aus, zum Beispiel eine Anmeldung mit gestohlenen Zugangsdaten oder das Auslesen von Passwörtern aus dem Arbeitsspeicher.
3. Erkennung prüfen: Das Blue Team schaut zeitgleich in seine Werkzeuge – etwa in ein EDR-System, das Endgeräte überwacht, oder in ein SIEM, das Protokolle zentral auswertet. Wurde die Aktivität aufgezeichnet? Gab es einen Alarm? Hätte jemand reagiert?
4. Nachbessern: Fehlt die Erkennung, passt das Blue Team Regeln oder Einstellungen direkt an oder schließt Lücken in der Protokollierung.
5. Wiederholen: Das Red Team führt die Technik erneut aus, bis die Erkennung zuverlässig greift.
6. Festhalten: Am Ende steht eine Übersicht, welche Techniken erkannt werden und wo noch Handlungsbedarf besteht.

Der wichtigste Unterschied zum Red Teaming: Dort weiß das Blue Team nichts von der Übung, damit sich seine echte Reaktion zeigt. Beim Purple Teaming ist alles offen, denn das Ziel ist der größtmögliche Lerneffekt. Beide Formate ergänzen sich gut, etwa wenn nach einem Red Teaming die unentdeckten Schritte gemeinsam nachgespielt werden.

Ein Beispiel aus der Praxis

Ein erfundenes Szenario: Ein regionaler Energieversorger lässt seine IT von einem externen SOC überwachen – einem Team, das Sicherheitsmeldungen laufend auswertet. In einem Purple-Teaming-Workshop spielt das Red Team nacheinander typische Schritte eines Ransomware-Angriffs durch.

Das Ergebnis ist gemischt. Die Anmeldung mit gestohlenen Zugangsdaten erkennt das SOC sofort. Das Anlegen eines neuen Administratorkontos löst dagegen keinen Alarm aus, weil die Protokolle eines wichtigen Servers gar nicht im SIEM ankommen. Das Team behebt die Lücke noch während des Workshops, die Technik wird wiederholt – und diesmal schlägt das System an.

Warum ist das für Unternehmen wichtig?

Erkennungssysteme sind nur so gut wie ihre Regeln und die Daten, die sie erhalten. Viele Lösungen erkennen ab Werk typische Angriffe, müssen aber an die eigene Umgebung angepasst werden. Ob das gelungen ist, zeigt sich oft erst im Ernstfall. Purple Teaming holt diese Erkenntnis nach vorn.

Zugleich lernt das Blue Team, wie Angreifer denken und welche Spuren sie hinterlassen. Die Ergebnisse sind messbar: Sie sehen schwarz auf weiß, welche Angriffstechniken erkannt werden. Das hilft auch bei regulatorischen Anforderungen – so verlangt etwa die NIS2-Richtlinie, die Wirksamkeit von Sicherheitsmaßnahmen zu bewerten.

Worauf Sie achten sollten

• Grundlagen schaffen: Purple Teaming lohnt sich, wenn Erkennungswerkzeuge vorhanden sind und ein internes Team oder ein Dienstleister Alarme bearbeitet.
• Realistische Szenarien wählen: Konzentrieren Sie sich auf Angriffstechniken, die für Ihre Branche und Ihre Systeme relevant sind.
• Die richtigen Leute einbinden: Ihr Analyse- und Administrationsteam und gegebenenfalls Ihr SOC-Dienstleister brauchen Zeit für die Übung.
• Offene Fehlerkultur pflegen: Es geht ums Lernen, nicht um Schuldzuweisungen.
• Spielregeln festlegen: Abgestimmte Techniken und klare Grenzen schützen den laufenden Betrieb.
• Regelmäßig wiederholen: Angreifer entwickeln ihre Methoden weiter – Ihre Erkennung sollte mitwachsen.

Wie Rootsektor unterstützt

Rootsektor bietet Purple Teaming als Variante bzw. Ergänzung des Red Teamings an. Unser Team führt die vereinbarten Angriffstechniken Schritt für Schritt aus, Ihr Blue Team oder SOC-Dienstleister prüft parallel Erkennung und Alarmierung und passt die Regeln direkt an. Besonders wirksam ist das im Anschluss an ein verdecktes Red Teaming, um entdeckte Erkennungslücken gezielt zu schließen. Mehr dazu unter Red Teaming & APT-Simulation.