Würde Ihr SOC einen Angreifer bemerken, der über Wochen verdeckt auf ein einziges Ziel hinarbeitet?
Red Teaming ist eine zielorientierte, verdeckte Angriffssimulation über Technik, Menschen und physischen Zutritt. Wir bilden dabei Taktiken und Techniken realer Angreifergruppen (APT) nach MITRE ATT&CK ab. Das Format richtet sich an Unternehmen mit SOC/SIEM oder CERT, die ihre Erkennung und Reaktion unter echten Bedingungen messen wollen. Für Finanzunternehmen unter DORA ist Red Teaming die methodische Grundlage des Threat-Led Penetration Testing (TLPT) nach TIBER-DE und der Delegierten Verordnung (EU) 2025/1190 (RTS zu TLPT).
Ab einem bestimmten Reifegrad liefert der nächste Test des nächsten Systems kaum neue Erkenntnisse. Sie haben ein SOC, Sie nutzen ein SIEM, Sie setzen EDR ein und haben vielleicht ein CERT etabliert. Die offene Frage ist nicht mehr, ob irgendwo eine Schwachstelle steckt, sondern ob Ihre Erkennung und Reaktion greifen, wenn jemand über Wochen und über alle Vektoren hinweg ein konkretes Ziel verfolgt.
Genau das prüft unser Red Teaming. Statt einen Scope abzuarbeiten, geben Sie uns ein Ziel vor, etwa den Zugriff auf ein definiertes kritisches Asset. Den Weg dorthin leiten wir aus den Bedrohungsszenarien für Ihr Unternehmen ab, innerhalb der vereinbarten Rules of Engagement: über die Technik, über den Menschen, über den physischen Zutritt. Wir arbeiten verdeckt und bilden die Vorgehensweisen realer Angreifergruppen entlang von MITRE ATT&CK nach. Der Wert liegt nicht in einer Liste von Befunden, sondern in der Antwort auf die Frage, wie weit jemand kommt und ob Sie es bemerken und angemessen handeln können.
Wir definieren mit Ihnen ein oder mehrere realistische Angriffsziele. Den Weg dorthin bestimmen die Szenarien aus der Bedrohungsanalyse, die Grenzen legen die Rules of Engagement fest.
Wir bilden die Taktiken, Techniken und Prozeduren realer Gruppen nach, mit verdecktem Vorgehen, eigener Angriffsinfrastruktur und gezielter Umgehung von Erkennungsmechanismen.
Externe Angriffsfläche, Social Engineering, physischer Zutritt und laterale Bewegung greifen ineinander, so wie in einem echten Angriff.
Wir dokumentieren, wo Ihre Abwehr uns bemerkt hat und an welchen Stellen sie uns hätte stoppen können. Die Erkennungs- und Reaktionszeiten gelten für die getesteten Angriffspfade: Sie zeigen als Indikatoren, wo SOC, SIEM, EDR und interne Prozesse greifen, und sind kein Maß für deren Wirksamkeit insgesamt.
Für Finanzunternehmen im Anwendungsbereich von DORA lässt sich diese Simulation als Threat-Led Penetration Testing nach den technischen Vorgaben und dem Rahmen TIBER-DE bzw. TIBER-EU ausgestalten. Details dazu auf der Branchenseite Finanzen & Versicherungen.
Red Teaming simuliert verdeckt einen zielgerichteten Angriff auf ein vorher vereinbartes kritisches Ziel und nutzt dafür technische, menschliche und physische Wege. Es zeigt, wo Ihre Abwehr hätte eingreifen können, und eignet sich, wenn Pentests, Schwachstellenmanagement und Erkennung durch SOC oder EDR etabliert sind. Der Start erfolgt je nach Scoping von außen oder szenariobasiert aus einem angenommenen Erstzugang (Assumed Breach). Kombinieren lässt es sich mit der Ransomware-Simulation. Pflicht ist der Replay-Workshop mit Ihrem Blue Team; optional folgt eine Purple-Team-Übung, auf Wunsch gemeinsam mit ProSec Defense.
Im Kick-off benennen Sie ein kleines Steuerungsteam. Im Scoping vereinbaren wir mit ihm Ziel, Startpunkt, Grenzen und Eskalationswege und halten sie in den Rules of Engagement fest. Außer dem Steuerungsteam wissen nur wenige Personen vom Test, damit die Reaktion echt bleibt. Von Ihrer Seite braucht es dafür Zeit: Das Steuerungsteam muss über die gesamte Laufzeit erreichbar sein und kurzfristig entscheiden können.
Wir leiten aus der für Sie relevanten Bedrohungslage konkrete Angriffsszenarien ab und stellen sie dem Steuerungsteam im Szenario-Briefing zur Freigabe vor.
Wir führen die Szenarien verdeckt und über einen realistischen Zeitraum durch und dokumentieren jeden Schritt mit Zeitstempel. Das Steuerungsteam begleitet diese Phase, gibt bei Bedarf vereinbarte Hilfestellungen (Leg-ups) frei und entscheidet bei Eskalationen.
Sie erhalten den Red-Team-Bericht mit Angriffsdarstellung, Activity Log und einer Einordnung für die Führungsebene. Im Debriefing besprechen wir die Ergebnisse mit dem Steuerungsteam.
Im verpflichtenden Replay-Workshop spielen wir Angriff und Abwehr mit Ihrem Blue Team Schritt für Schritt durch und arbeiten heraus, wo Erkennung und Reaktion gegriffen haben. Auf Wunsch folgen eine Purple-Team-Übung und eine Management-Präsentation.
Zuerst die technischen Erkenntnisse für Ihr IT-Team, dann der Plan für die Behebung, dann die Zusammenfassung für Ihre Geschäftsführung und auf Wunsch die Bescheinigung für Kunden, Auditoren oder Versicherer. Alles beruht auf denselben Befunden.
Der Bericht erzählt den Angriff als Narrativ: die Kill Chain(s) mit Zeitstempeln, die Befunde, die den Weg zum Ziel ermöglicht haben, qualitativ bewertet, dazu Erkennungs- und Reaktionslücken mit Empfehlungen. Das Activity Log mit allen Aktionen und Zeitstempeln erlaubt Ihrem Blue Team den direkten Abgleich mit der eigenen Detection.
Ein priorisierter Actionplan mit klaren Verantwortlichkeiten. Im Debriefing und im Replay-Workshop gehen wir den Angriff gemeinsam mit Ihrem Blue Team durch: welche Technik wann lief, was erkannt wurde und welche Maßnahme welche Lücke schließt. Auf Wunsch schließt sich eine Purple-Team-Übung an.
Lage, Risiko und Entscheidungsbedarf auf wenigen Seiten, verständlich ohne technisches Vorwissen. Damit nehmen Sie Geschäftsführung, Gremien und Fachbereiche mit, um das Ergebnis zu vermitteln und Handlungsbedarf aufzuzeigen.
Die Bestätigung der durchgeführten Prüfung, ohne technische Details preiszugeben. Für Kunden, Auditoren, Aufsicht und Ihre Cyberversicherung.
Ein Beispiel-Report als PDF für IT-Admins und Verantwortliche für Informationssicherheit.
Sie erhalten: Exklusiver Red Teaming Report
„‚Nur ein realer Angriff erzielt auch ein echtes Ergebnis.‘ Nichts hat sich so sehr bewahrheitet wie dieses Credo von ProSec.“
Dominique Doré, Leitung IT, VRM Service GmbH & Co. KG
Die Simulation beantwortet, ob Ihre Verteidigung als Ganzes greift, und liefert dafür bewusst keine vollständige Schwachstellenliste. Offenere oder gezieltere Formate bereiten sie vor oder vertiefen einzelne Erkenntnisse.
Wenn Sie die Angriffswege im Inneren vorher offen ausleuchten wollen, schafft der interne Pentest nach dem Assumed-Breach-Prinzip die Grundlage, auf der sich die Simulation lohnt.
Zur LeistungWenn Ransomware das Szenario ist, das Ihre Geschäftsleitung am meisten beschäftigt, bewertet die Ransomware-Simulation diesen Verlauf gezielt.
Zur LeistungKombinierbar, sobald die Simulation abgeschlossen ist: In der Purple-Team-Übung spielen Angriff und Abwehr die unbemerkten Schritte gemeinsam nach.
Zur LeistungWenn Sie den Faktor Mensch in der Breite prüfen wollen, statt nur entlang eines Angriffswegs, ergänzt Social Engineering & Phishing die Simulation.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Red Teaming misst Ihre Verteidigungsfähigkeit als Ganzes, ein Penetrationstest die Schwachstellen eines definierten Scopes. Der Pentest will im vereinbarten Umfang möglichst viele Schwachstellen finden. Red Teaming verfolgt verdeckt ein Ziel und misst dabei Ihre Erkennung und Reaktion.
Nicht ganz: TLPT ist die regulierte Form des Red Teamings für Finanzunternehmen unter DORA. Sie folgt den technischen Vorgaben der RTS zu TLPT und dem Rahmen TIBER-DE, den in Deutschland die Bundesbank operativ begleitet und für den die BaFin als Behörde zuständig ist. Methodisch ist es eine bedrohungsgeleitete Angriffssimulation, formal gelten zusätzliche Anforderungen an Ablauf, Testerqualifikation und die aktive Angriffsphase.
Red Teaming erstreckt sich je nach Ziel über mehrere Monate, weil verdecktes Vorgehen Zeit braucht. Dazu gehören die Vorbereitung mit Kick-off, Scoping und Threat Intelligence, die aktive Angriffsphase und der Abschluss mit Bericht, Debriefing und Replay-Workshop. Die aktive Phase dauert in der freien Ausprägung mehrere Wochen, abhängig von Ziel und Vektoren, in der regulierten Ausprägung nach DORA mindestens zwölf Wochen. Den Zeitplan halten wir im Scoping fest.
Wenn regelmäßige Pentests stattfinden und ihre wesentlichen Befunde behoben sind, ein Schwachstellenmanagement gelebt wird und Erkennung und Reaktion eingespielt sind, etwa über ein SOC oder ein EDR mit festen Abläufen für Alarme. Dazu kommen ein Auftrag der Geschäftsleitung und ein Steuerungsteam, das über die gesamte Laufzeit erreichbar ist. Ohne SOC oder EDR misst eine Simulation vor allem, dass niemand hinschaut, und das lässt sich mit weniger Aufwand feststellen. Dann ist ein Pentest der Internen Infrastruktur & Active Directory (Assumed Breach) der sinnvollere Schritt.
Nur ein kleines Steuerungsteam, das den Test beauftragt und begleitet. Die TLPT-Vorgaben nennen es Kontrollteam. SOC und IT-Betrieb werden nicht informiert, damit ihre Reaktion unter realen Bedingungen gemessen wird. Das Steuerungsteam kann jederzeit eingreifen, wenn der Betrieb gefährdet wäre.
Dann ist das ein Erfolg Ihrer Verteidigung und wird als solcher dokumentiert. Über das Steuerungsteam stimmen wir ab, ob die Simulation an einem vereinbarten Punkt fortgesetzt wird, damit auch die weiteren Stufen der Angriffskette geprüft werden. So misst die Simulation Erkennung und Angriffstiefe in einem Durchgang.
Eine schriftliche Beauftragung durch die Geschäftsleitung mit klar festgelegten Zielen, Grenzen und Ausschlüssen. Für physischen Zutritt und Social Engineering kommen Legitimationsschreiben für die Tester und Regeln zum Umgang mit personenbezogenen Daten hinzu. Datenschutz und, wo nötig, Betriebsrat beziehen wir je nach Szenario frühzeitig ein.
Auf Grundlage einer Bedrohungsanalyse für Ihre Branche und Ihr Unternehmen. Wir wählen Gruppen, deren Ziele und Vorgehensweisen zu Ihrer Lage passen, und bilden ihre Techniken entlang von MITRE ATT&CK nach. In der TLPT-Ausprägung erstellt diese Analyse ein Threat-Intelligence-Anbieter in eigener Rolle.
Vor allem von Zahl und Art der Ziele, den einbezogenen Vektoren und der Dauer der aktiven Phase. Physischer Zutritt und Social Engineering erhöhen den Vorbereitungsaufwand, weil Aufklärung vor Ort und Legitimationen nötig sind. In der TLPT-Ausprägung kommen die formalen Phasen, ein eigener Threat-Intelligence-Anbieter und die Abstimmung mit der Aufsicht hinzu.
In der TLPT-Ausprägung schreibt DORA grundsätzlich mindestens alle drei Jahre einen Test vor, die Aufsicht kann den Turnus anpassen. Frei ist eine neue Simulation sinnvoll, wenn die Lücken der letzten behoben sind oder sich SOC, EDR oder Infrastruktur wesentlich ändern. So wird sichtbar, ob die Verbesserungen wirken.
Das Risiko wird über die Rules of Engagement begrenzt, also die vorab festgelegten Regeln des Tests. Darin stehen ausgenommene Systeme, nicht erlaubte Techniken und Abbruchkriterien. Das eingeweihte Steuerungsteam kann jederzeit eingreifen, wenn der Betrieb gefährdet wäre.
Ein Red Team Lead verantwortet den Einsatz und ist fester Ansprechpartner Ihres Steuerungsteams. Ein Senior-Pentester führt als Red Team Operator die Angriffe, unterstützt von weiteren Pentestern. Ein Projektmanager koordiniert Termine, Statusmeldungen und Eskalationswege.
Üblicherweise gibt es während der Durchführung vereinbarte Statustermine und Meilensteine mit festgelegten Schlüsselpersonen. Das aufbereitete Gesamtergebnis erhalten Sie am Ende. Wie offen kommuniziert wird, legen wir im Scoping fest.
Das klären wir im Scoping. Meist erhält ein kleiner, eingeweihter Personenkreis beim Dienstleister eine Eskalationsnummer, damit ein Alarm richtig eingeordnet wird, ohne den Test zu verraten.
Weitere Hintergründe, Szenarien und Details zum Red Teaming.
Beide nutzen ähnliche Methoden, beantworten aber unterschiedliche Fragen.
| Penetrationstest | Red Teaming | |
|---|---|---|
| Leitfrage | Wie gut sind Ihre Sicherheitskomponenten aufgestellt? | Wie reagieren Ihre Personen und Prozesse auf einen echten Angriff? |
| Umfang | In der Breite, in der Regel alle Systeme im Scope | Ein festgelegtes Ziel (Objective), der Weg folgt realen Bedrohungsszenarien im Rahmen der Rules of Engagement |
| Informationen | Sie stellen Informationen bereit, damit wir in kurzer Zeit umfassend prüfen | Wir beschaffen Informationen selbst, wie ein echter Angreifer |
| Beispiel | Ein extern gehosteter Webserver wird geprüft, sofern er nicht ausgeschlossen ist | Ziel ist der Zugriff auf das ERP-System. Der Webserver wird nur genutzt, wenn er dem Ziel dient |
| Dauer | Wenige Tage bis einige Wochen | Mehrere Monate |
Für die Zieldefinition nutzen wir unter anderem MITRE ATT&CK: Wir identifizieren primäre und sekundäre Assets, ordnen externe und interne Bedrohungsgruppen zu und leiten daraus die Szenarien ab.
Wie unsere Red-Team-Dokumentation mit Kill Chain und Handlungsempfehlungen aussieht, zeigt ein anonymisierter Beispiel-Report.
