Was sind Rules of Engagement?

Rules of Engagement einfach erklärt

Bei einem Penetrationstest greifen Fachleute Ihre Systeme mit den Methoden echter Angreifer an – allerdings mit Ihrer Erlaubnis und unter kontrollierten Bedingungen. Damit das funktioniert, braucht es klare Absprachen. Genau das sind die Rules of Engagement, kurz RoE, auf Deutsch etwa „Einsatzregeln“.

Ein Vergleich aus dem Alltag: Bevor die Feuerwehr eine Großübung in einem Betrieb durchführt, wird genau vereinbart, welche Gebäude betroffen sind, wann geübt wird, welche Bereiche tabu sind und wer die Übung jederzeit abbrechen darf. Niemand soll glauben, es brenne wirklich, und der Betrieb soll so wenig wie möglich gestört werden. Die Rules of Engagement leisten dasselbe für einen simulierten Cyberangriff.

Sie bauen auf dem Scope auf, dem vereinbarten Prüfumfang. Vereinfacht gesagt beantwortet der Scope die Frage „Was wird geprüft?“. Die Rules of Engagement beantworten zusätzlich die Frage „Wie wird geprüft?“.

So funktionieren Rules of Engagement

Die Regeln werden vor Testbeginn gemeinsam erarbeitet und schriftlich festgehalten. Typische Inhalte sind:

1. Zielsysteme und Ausschlüsse: Welche Anwendungen, IP-Adressbereiche oder Standorte getestet werden – und welche ausdrücklich nicht, etwa Systeme von Dienstleistern.
2. Zeitraum und Testfenster: An welchen Tagen und zu welchen Uhrzeiten getestet wird, zum Beispiel nachts bei besonders sensiblen Systemen oder nicht während des Monatsabschlusses.
3. Erlaubte und verbotene Techniken: Ob etwa Social Engineering – die gezielte Täuschung von Menschen – erlaubt ist, ob Schwachstellen aktiv ausgenutzt werden dürfen und welche riskanten Angriffe tabu sind, etwa Überlastungsangriffe.
4. Ansprechpersonen und Eskalationswege: Wer auf beiden Seiten erreichbar ist und wer sofort informiert wird, wenn das Prüfteam eine kritische Schwachstelle findet oder ein System instabil wird.
5. Abbruchkriterien: Unter welchen Umständen der Test pausiert oder beendet wird.
6. Umgang mit Daten: Wie mit vertraulichen Informationen umgegangen wird, auf die das Prüfteam stößt, und wann sie gelöscht werden.

Beim Red Teaming, einem verdeckten, simulierten Angriff über einen längeren Zeitraum, kommt eine Besonderheit hinzu: Nur ein kleiner, eingeweihter Kreis kennt die Übung – das sogenannte White Team. Die Rules of Engagement regeln dann auch, wie dieser Kreis einen echten Vorfall von der Übung unterscheidet.

Ein Beispiel aus der Praxis

Ein Logistikunternehmen lässt sein internes Netz prüfen. In den Rules of Engagement wird festgelegt: Getestet wird an fünf Werktagen, das Lagerverwaltungssystem nur nachts, wenn kaum Waren gebucht werden. Überlastungsangriffe sind ausgeschlossen, und der IT-Leiter ist während des gesamten Tests telefonisch erreichbar.

Am zweiten Testtag entdeckt das Prüfteam auf einer Dateifreigabe ein Skript mit dem Passwort eines Administratorkontos. Wie vereinbart ruft es sofort den IT-Leiter an. Das Passwort wird noch am selben Tag geändert – lange bevor der Abschlussbericht vorliegt.

Warum ist das für Unternehmen wichtig?

Ohne Erlaubnis kann ein Angriff auf fremde IT-Systeme strafbar sein. Das deutsche Strafrecht stellt etwa das unbefugte Verschaffen von Zugang zu besonders gesicherten Daten unter Strafe (§ 202a StGB). Erst die Einwilligung einer dazu berechtigten Person – in der Praxis eine schriftliche Beauftragung – macht aus dem Angriff einen erlaubten Test. Die Rules of Engagement dokumentieren, wofür diese Erlaubnis gilt.

Damit schützen sie beide Seiten: Ihr Unternehmen, weil empfindliche Systeme geschont und kritische Zeiten ausgespart werden – und das Prüfteam, weil klar ist, was es darf. Sie verhindern Missverständnisse, etwa wenn Ihr IT-Dienstleister einen Test für einen echten Angriff hält. Und sie sorgen dafür, dass der Test genau die Fragen beantwortet, die Ihnen wichtig sind.

Worauf Sie achten sollten

• Schriftlich und vorab: Lassen Sie die Vereinbarung vor Testbeginn von einer zeichnungsberechtigten Person unterschreiben.
• Zuständigkeiten klären: Werden Systeme bei einem Hosting-Anbieter, in der Cloud oder von einem IT-Dienstleister betrieben, klären Sie, ob dessen Zustimmung nötig ist.
• Erreichbarkeit sicherstellen: Benennen Sie Ansprechpersonen mit Vertretung, die während des gesamten Testzeitraums erreichbar sind.
• Sensible Systeme benennen: Weisen Sie auf Systeme hin, die empfindlich reagieren könnten, und auf Zeiten, in denen nicht getestet werden darf.
• Mitwissende festlegen: Entscheiden Sie bewusst, wer vom Test weiß – beim Pentest meist der IT-Betrieb, beim Red Teaming nur ein kleiner Kreis.
• Änderungen festhalten: Ändern sich Ziele oder Zeitraum, passen Sie die Vereinbarung schriftlich an.

Wie Rootsektor unterstützt

Ob Penetrationstest oder Red Teaming & APT-Simulation: Die Spielregeln erarbeiten wir gemeinsam mit Ihnen und halten sie schriftlich fest. Sie haben bei uns eine feste Ansprechperson, und kritische Schwachstellen melden wir schon während des Tests sofort telefonisch oder per E-Mail an die vereinbarte Ansprechperson. Auf Wunsch unterzeichnen wir vorab eine Vertraulichkeitsvereinbarung. Nach dem Scoping erhalten Sie ein Festpreisangebot – anfragen können Sie es über unser Pentest-Angebot.