Blinde Flecken im Monitoring
Fehlende Log-Quellen, nicht angebundene Server oder unüberwachte Cloud-Dienste – Angreifer bewegen sich dort, wo niemand hinsieht.
Security Services
Red Teaming & APT-Simulation
Der Ernstfall – kontrolliert geprobt.
Beim Red Teaming greifen wir Ihr Unternehmen so an, wie es eine professionelle Angreifergruppe tun würde: zielgerichtet, verdeckt und auf allen Wegen – über Technik, Menschen und Gebäude. So erfahren Sie, ob Ihre Schutzmaßnahmen, Ihr Monitoring und Ihr Incident-Response-Team einem echten Angriff standhalten.
- Festpreis nach Scoping
- Kostenloser Retest
- Angebot in 24 h
Definition
Was ist Red Teaming?
Red Teaming – auch Red Team Assessment genannt – ist eine zielorientierte Angriffssimulation. Statt in einem fest abgegrenzten System möglichst viele Schwachstellen zu suchen, verfolgt das Red Team ein konkretes Ziel – etwa den Zugriff auf die Finanzbuchhaltung, auf Konstruktionsdaten oder auf das Produktionsnetz. Der Weg dorthin ist offen: eine Phishing-Mail, ein verwundbarer Server am Perimeter oder ein unbemerkter Gang durch die Eingangstür.
Dabei setzen wir die Taktiken, Techniken und Vorgehensweisen (TTPs) realer Angreifergruppen ein, wie sie im Framework MITRE ATT&CK dokumentiert sind. Weil ein Red Teaming verdeckt abläuft, prüft es nicht nur Ihre Technik, sondern Ihre gesamte Verteidigung: Erkennt Ihr EDR die Aktivitäten? Schlägt das SIEM Alarm? Und reagieren Ihr Team oder Ihr Dienstleister rechtzeitig und richtig?
Eine besondere Form ist die APT-Simulation. Advanced Persistent Threats sind gut ausgestattete Angreifer, die sich über lange Zeit unbemerkt in Netzwerken bewegen, um Daten abzuziehen oder Sabotage vorzubereiten. Im APT-Test bilden wir genau dieses Vorgehen nach: leise, ausdauernd und mit Fokus auf dauerhafte Zugänge.
Red Teaming lohnt sich vor allem für Organisationen, die bereits in Sicherheit investiert haben – mit regelmäßigen Penetrationstests, EDR, SIEM oder einem SOC. Für Finanzunternehmen hat das Thema zusätzlich regulatorisches Gewicht: DORA verpflichtet von der Aufsicht ausgewählte Unternehmen zu bedrohungsorientierten Penetrationstests (TLPT), deren Methodik sich am europäischen Rahmenwerk TIBER-EU orientiert. Und auch NIS2 verlangt, die Wirksamkeit von Sicherheitsmaßnahmen zu bewerten.
Unser Vorgehen
Wie wir einen realen Angriff simulieren
Jedes Red Teaming beginnt mit klaren Spielregeln. Gemeinsam mit einem kleinen, eingeweihten Kreis in Ihrem Unternehmen – dem White Team – definieren wir Ziele, erlaubte Angriffswege, Tabuzonen und Abbruchkriterien. Ihr Blue Team, also IT-Betrieb, SOC oder Managed-Security-Dienstleister, wird in der Regel nicht informiert.
Die Angriffsszenarien leiten wir aus einer Bedrohungsanalyse ab: Welche Angreifergruppen sind für Ihre Branche relevant? Welche Informationen über Ihr Unternehmen sind öffentlich verfügbar? Und welche Techniken setzen diese Gruppen typischerweise ein? Daraus entsteht ein realistischer Angriffsplan, der sich an MITRE ATT&CK orientiert.
Kompromittierte Systeme steuern wir während der Operation über kontrollierte Command-and-Control-Kanäle (C2), und jede Aktion wird mit Zeitstempel protokolliert. Destruktive Aktionen sind ausgeschlossen, Datenabflüsse simulieren wir mit Testdaten. So lässt sich später exakt nachvollziehen, welche Schritte Ihre Verteidigung erkannt hat – und welche nicht.
Typische Schwachstellen
Wo Angreifer im Ernstfall durchkommen
Alarme ohne Reaktion
Das EDR schlägt an, doch der Alarm wird als Fehlalarm geschlossen oder bleibt über das Wochenende liegen. Technik allein stoppt keinen Angriff.
Umgehbare MFA und Phishing
Adversary-in-the-Middle-Phishing stiehlt Sitzungstoken trotz MFA, Push-Anfragen werden aus Gewohnheit bestätigt, und der Helpdesk setzt Passwörter auf Zuruf zurück.
Angriffspfade im Active Directory
Verschachtelte Gruppen, riskante Berechtigungen und zwischengespeicherte Admin-Anmeldedaten führen oft in wenigen Schritten vom Standardkonto zum Domänen-Admin.
Flache Netzwerke
Fehlende Segmentierung öffnet den direkten Weg vom Büro-Client in Server-, Backup- oder Produktionsnetze.
Physische Zugangsschwächen
Tailgating, kopierbare Zutrittskarten oder aktive Netzwerkdosen in Besprechungsräumen bringen Angreifer direkt ins interne Netz.
Exponierte Systeme und geleakte Zugangsdaten
Ungepatchte VPN-Gateways, vergessene Subdomains und Passwörter aus fremden Datenlecks sind häufige Einstiegspunkte.
Unklare Abläufe im Ernstfall
Wer darf ein System isolieren, wer informiert die Geschäftsleitung? Fehlende Playbooks und Eskalationswege kosten im Vorfall wertvolle Zeit – mehr dazu unter Incident-Response-Management.
Varianten
Das passende Format für Ihren Reifegrad
Maximal realistisch
Full-Scope Red Teaming
Wir starten ohne Vorwissen und ohne Zugang – wie ein externer Angreifer. Geprüft wird die gesamte Kette von der Aufklärung bis zur Zielerreichung.
- Erstzugriff über Phishing, Perimeter oder physischen Zutritt
- Verdeckt – nur das White Team ist eingeweiht
- Prüft Prävention, Erkennung und Reaktion
Effizient
Assumed Breach
Wir starten mit einem kompromittierten Client oder Benutzerkonto, wie nach einem erfolgreichen Phishing-Angriff. Die Zeit fließt in Ausbreitung, Erkennung und Reaktion.
- Kein Aufwand für den Erstzugriff
- Start vor Ort oder remote per VPN bzw. bereitgestelltem Testsystem
- Fokus auf interne Angriffspfade
- Idealer Einstieg ins Red Teaming
Kollaborativ
Purple Teaming
Als Variante bzw. Ergänzung des Red Teamings arbeiten Red und Blue Team offen zusammen. Wir führen Angriffstechniken Schritt für Schritt aus, Ihr Team prüft parallel Erkennung und Alarmierung.
- Erkennungsregeln direkt testen und nachschärfen
- Wissenstransfer für SOC und IT-Betrieb
- Ideal im Anschluss an ein Red Teaming
Ablauf
So läuft ein Red Teaming ab
Ein Red Teaming folgt – wie alle unsere Security Services – einer klaren Struktur: von der Zieldefinition bis zur Nachbereitung mit Ihrem Blue Team.
-
01
Ziele & Spielregeln
Mit dem White Team definieren wir Ziele, Szenarien, Tabuzonen und Abbruchkriterien und dokumentieren alles in einer schriftlichen Autorisierung. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot.
-
02
Aufklärung & Bedrohungsanalyse
Wir sammeln im abgestimmten Rahmen öffentlich verfügbare Informationen über Ihr Unternehmen und Ihre Technik und wählen die Techniken relevanter Angreifergruppen aus.
-
03
Erstzugriff
Je nach Szenario verschaffen wir uns Zugang per Phishing, über Schwachstellen am Perimeter oder durch physischen Zutritt.
-
04
Ausbreitung & Zielerreichung
Wir weiten Rechte aus, bewegen uns lateral durchs Netz, halten Zugänge über kontrollierte C2-Kanäle aufrecht und arbeiten uns zu den vereinbarten Zielen vor. Jede Aktion wird mit Zeitstempel protokolliert.
-
05
Bericht & Nachbesprechung
Wir präsentieren das Angriffsnarrativ in einer Abschlussbesprechung. Auf Wunsch spielen wir kritische Schritte anschließend gemeinsam mit Ihrem Blue Team nach (Purple Teaming), um Erkennungslücken gezielt zu schließen.
-
06
Maßnahmen & Retest
Sie erhalten einen priorisierten Maßnahmenplan. Behobene Schwachstellen prüfen wir im kostenlosen Retest, abschließend erhalten Sie eine Prüfbescheinigung.
Ergebnisbericht
Vom Angriffsnarrativ zum Maßnahmenplan
Unser Bericht zeichnet den Angriff Schritt für Schritt nach – vom ersten Kontakt bis zur Zielerreichung. Für jede Phase zeigen wir, welche Schutzmaßnahmen gegriffen haben, wo Ihre Verteidigung eine Chance zur Erkennung hatte und welche Verbesserungen den größten Effekt bringen.
- Management Summary für Geschäftsleitung und Aufsichtsgremien
- Chronologisches Angriffsnarrativ mit Zeitstempeln
- Abbildung aller Techniken auf MITRE ATT&CK
- Übersicht: erkannt, gemeldet, gestoppt oder unbemerkt
- Technische Befunde mit CVSS-Bewertung und Nachweisen
- Priorisierte Maßnahmen für Prävention, Erkennung und Reaktion
- Prüfbescheinigung zur Vorlage bei Kunden, Partnern, Versicherern und Auditoren
Wie gut ist Ihre Verteidigung wirklich?
Lassen Sie uns gemeinsam Ziele und Szenarien festlegen. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot für Ihr Red Teaming.
FAQ
Häufige Fragen zum Red Teaming
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Was ist der Unterschied zwischen Red Teaming und einem Penetrationstest?
Ein Penetrationstest sucht in einem fest definierten Umfang möglichst viele Schwachstellen – angekündigt und mit dem Ziel, die geprüften Systeme abzusichern. Red Teaming verfolgt ein konkretes Ziel, nutzt jeden erlaubten Weg dorthin und läuft verdeckt ab. Damit prüft es neben der Technik auch Erkennung, Reaktion und Prozesse. Kurz gesagt: Der Pentest fragt „Wo sind wir verwundbar?“, das Red Teaming fragt „Würden wir einen Angriff bemerken und stoppen?“.
Für welche Unternehmen eignet sich Red Teaming?
Red Teaming entfaltet seinen Nutzen vor allem, wenn die Grundlagen stehen: regelmäßige Penetrationstests, ein funktionierendes Patch-Management und Erkennungsmechanismen wie EDR, SIEM oder ein SOC. Wer hier noch am Anfang steht, profitiert meist mehr von einem Penetrationstest oder einer Active-Directory-Analyse. Im Erstgespräch empfehlen wir Ihnen ehrlich den passenden Einstieg.
Wer in unserem Unternehmen weiß vom Red Teaming?
Nur ein kleines White Team, typischerweise Mitglieder der Geschäftsleitung, die Verantwortlichen für Informationssicherheit und eine Vertrauensperson aus dem IT-Betrieb. Das White Team kennt Ziele und Zeitraum, kann jederzeit eingreifen und entscheidet, ob ein vom Blue Team entdeckter Vorfall zur Übung gehört. So bleibt die Übung realistisch und zugleich kontrollierbar.
Wie schützen Sie unseren laufenden Betrieb?
Die Spielregeln legen fest, welche Systeme tabu sind und wann wir abbrechen. Wir führen keine destruktiven Aktionen aus, simulieren Datenabflüsse mit Testdaten und stimmen riskante Schritte vorab mit dem White Team ab. Weil alle Aktionen protokolliert werden, lässt sich jede Aktivität eindeutig der Übung zuordnen.
Wie lange dauert ein Red Teaming?
Das hängt von Zielen, Umfang und Variante ab. Ein Full-Scope Red Teaming erstreckt sich inklusive Vorbereitung, Aufklärung und Nachbereitung meist über mehrere Wochen, denn verdecktes Vorgehen braucht Zeit. Ein Assumed-Breach-Szenario oder ein Purple-Teaming-Workshop lässt sich deutlich kompakter umsetzen.
Was hat Red Teaming mit DORA und TIBER-EU zu tun?
DORA verpflichtet von der Aufsicht ausgewählte Finanzunternehmen, mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durchzuführen. Methodisch orientieren sich diese Tests am Rahmenwerk TIBER-EU, das in Deutschland als TIBER-DE umgesetzt ist. Ein Red Teaming nach vergleichbarer Methodik prüft Erkennungs- und Reaktionsfähigkeiten realistisch und bereitet gezielt auf solche Tests vor. Wie es sich in Ihre DORA-Testplanung einfügt, besprechen wir gern im Erstgespräch.
Sind Social Engineering und physische Tests erlaubt?
Mit sauberer Autorisierung und klaren Grenzen sind sie ein etablierter Bestandteil von Red Teamings. Grundlage ist eine schriftliche Beauftragung durch die Geschäftsleitung; bei physischen Tests führt unser Team standardmäßig zusätzlich ein Autorisierungsschreiben mit sich. In Abstimmung mit Ihnen binden wir Datenschutz und gegebenenfalls Betriebsrat frühzeitig ein. Einzelne Beschäftigte stellen wir im Bericht nicht bloß – wir werten standardmäßig anonymisiert aus und zeigen Schwächen in Prozessen und Abläufen auf.
Was ist Purple Teaming?
Beim Purple Teaming arbeiten Angreifer (Red Team) und Verteidiger (Blue Team) offen zusammen. Wir führen ausgewählte Angriffstechniken nacheinander aus, Ihr Team prüft in Echtzeit, ob und wie sie erkannt werden, und passt Erkennungsregeln direkt an. Wir bieten Purple Teaming als Variante bzw. Ergänzung des Red Teamings an – etwa als Abschluss eines Red Teamings, um Erkennungslücken gemeinsam mit Ihrem SOC zu schließen.
Weiterführende Seiten
Red Teaming planen
Erzählen Sie uns, welche Werte Sie schützen wollen und welche Verteidigungsmaßnahmen bereits im Einsatz sind. Wir besprechen vertraulich mögliche Szenarien und senden Ihnen nach dem Scoping innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot.