Was ist ein Red Team?

Red Team einfach erklärt

Der Begriff stammt aus militärischen Planspielen: Die rote Partei spielte den Gegner, die blaue verteidigte. In der IT-Sicherheit ist es genauso. Das Red Team greift an, das Blue Team verteidigt – also IT-Betrieb, Sicherheitsteam oder ein Dienstleister, der die Systeme überwacht.

Stellen Sie sich vor, ein Museum beauftragt Profis, unangekündigt ein bestimmtes Gemälde zu „stehlen“. Welchen Weg sie wählen, bleibt ihnen überlassen: einen Trick am Empfang, einen gefälschten Handwerkerauftrag, ein offenes Fenster im Lager. Das Wachpersonal weiß von nichts. Am Ende kennt das Museum nicht nur seine Schwachstellen, sondern weiß auch, ob Alarmanlage und Wachleute im Ernstfall funktionieren. Genau das leistet ein Red Team – über technische, menschliche und physische Wege.

Der Unterschied zum Penetrationstest: Ein Pentest sucht in einem klar abgegrenzten Bereich möglichst viele Schwachstellen. Ein Red Team verfolgt dagegen ein konkretes Ziel, wählt den Weg selbst und prüft zugleich, ob Ihr Unternehmen den Angriff erkennt und richtig reagiert. Der Pentest beantwortet also die Frage „Wo sind wir angreifbar?“, das Red Team die Frage „Würden wir einen echten Angriff rechtzeitig bemerken?“. Wie solche Übungen ablaufen, beschreibt unsere Seite Red Teaming & APT-Simulation.

So arbeitet ein Red Team

An einer Red-Team-Übung sind drei Gruppen beteiligt: das Red Team als Angreifer, das ahnungslose Blue Team und ein kleines White Team. Das White Team ist eingeweiht, steuert die Übung und kann jederzeit eingreifen. Der Ablauf:

1. Ziele und Spielregeln: Mit dem White Team werden Ziele festgelegt, etwa der Zugriff auf Finanzdaten oder Produktionssysteme. Erlaubte Wege, Tabus und Abbruchkriterien halten die Rules of Engagement schriftlich fest.
2. Aufklärung: Das Red Team sammelt öffentlich verfügbare Informationen über das Unternehmen, seine Beschäftigten und seine Technik (OSINT).
3. Erstzugriff: Je nach Szenario gelingt der Einstieg über eine Phishing-Mail, eine Schwachstelle in einem Server oder physischen Zutritt zum Gebäude.
4. Ausbreitung: Das Team weitet Rechte aus, bewegt sich unauffällig durchs Netz (Lateral Movement) und arbeitet sich zum Ziel vor.
5. Zielerreichung: Am Ziel wird zum Beispiel ein Datenabfluss mit Testdaten simuliert – ohne destruktive Aktionen.
6. Auswertung: Der Bericht zeichnet den Angriff Schritt für Schritt nach und zeigt, welche Schritte erkannt wurden und welche nicht. Oft folgt ein gemeinsames Purple Teaming, um Erkennungslücken zu schließen.

Eine besondere Form ist die APT-Simulation. APT steht für „Advanced Persistent Threat“ – gut ausgestattete Angreifergruppen, die sich lange unbemerkt in Netzwerken bewegen. Viele Red Teams orientieren sich an MITRE ATT&CK, einer frei zugänglichen Wissensdatenbank über Angriffstechniken.

Ein Beispiel aus der Praxis

Ein erfundenes Szenario: Ein Hersteller von Medizintechnik lässt seit Jahren Pentests durchführen und seine Systeme von einem Dienstleister überwachen. Nun will er wissen, ob seine Entwicklungsdaten einem gezielten Angriff standhalten. Das Red Team findet in einem Karrierenetzwerk die Namen neuer Mitarbeitender, schickt eine gefälschte E-Mail im Namen der Personalabteilung und gelangt so auf den Rechner einer neuen Kollegin. Von dort arbeitet es sich über mehrere Wochen bis zu den Entwicklungsservern vor.

Die Auswertung zeigt: Einige Beschäftigte hatten die Phishing-Mail gemeldet, doch die Meldungen blieben ohne Reaktion. Das Schutzprogramm auf einem Server schlug an, der Alarm wurde aber als Fehlalarm geschlossen. Die Technik funktionierte also – die Abläufe dahinter nicht. Diese Erkenntnis hätte ein klassischer Pentest nicht geliefert.

Warum ist das für Unternehmen wichtig?

Ein Red Team prüft, ob Technik, Menschen und Abläufe im Ernstfall zusammenspielen. Gerade wer bereits in Überwachung und Angriffserkennung investiert hat, erfährt so, ob sich das bewährt.

Für Finanzunternehmen hat das Thema zusätzlich regulatorisches Gewicht. Die EU-Verordnung DORA verpflichtet von der Aufsicht ausgewählte Finanzunternehmen, in der Regel mindestens alle drei Jahre einen bedrohungsorientierten Penetrationstest (TLPT) durchzuführen. Methodisch ist das ein Red-Team-Test, der sich am europäischen Rahmenwerk TIBER-EU orientiert.

Worauf Sie achten sollten

• Reifegrad prüfen: Red Teaming lohnt sich vor allem, wenn die Grundlagen stehen – regelmäßige Pentests, ein funktionierendes Patch-Management und Erkennungswerkzeuge. Andernfalls ist ein Penetrationstest der bessere Einstieg.
• Konkrete Ziele setzen: Definieren Sie die Werte, die wirklich zählen, statt „alles“ testen zu lassen.
• Kreis der Eingeweihten klein halten: Nur so bleibt die Übung realistisch.
• Rechtlich sauber beauftragen: Grundlage ist eine schriftliche Beauftragung durch die Geschäftsleitung mit klaren Tabus und Abbruchkriterien. Binden Sie Datenschutz und gegebenenfalls Betriebsrat frühzeitig ein.
• Gemeinsam auswerten: Nutzen Sie die Ergebnisse zum Lernen, nicht für Schuldzuweisungen.

Wie Rootsektor unterstützt

Mit Red Teaming & APT-Simulation simuliert Rootsektor zielgerichtete Angriffe über Technik, Menschen und Gebäude – orientiert an MITRE ATT&CK und auf Wunsch angelehnt an die Methodik von TIBER-EU. Je nach Reifegrad wählen Sie ein Full-Scope-Szenario ohne Vorwissen, einen Start mit bereits kompromittiertem Konto (Assumed Breach) oder Purple Teaming als offene Variante bzw. Ergänzung des Red Teamings. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot.