Red Teaming

Red Team Assessment

Red Teaming ist die kontrollierte Simulation eines echten Angriffs mit einem klar definierten Ziel: Zum Beispiel Zugriff auf Kundendaten zu erlangen. Ziel ist nicht die Identifzieren vieler Schwachstellen oder eine strukturierte Prüfung einer gesamten Angriffsoberfläche, sondern die realistische Bewertung, ob und wie verteidigende Maßnahmen, Prozesse und Mitarbeitende ein konkretes Bedrohungs­szenario erkennen, aufklären und stoppen können.

• Zielorientiert: Der Test verfolgt ein konkretes Mission-Objective; nur Wege, die zum Ziel führen, werden verfolgt.
• Ganzheitlich: Technik, Mensch und Prozesse sowie physische Sicherheitsmaßnahmen werden berücksichtigt (z. B. Social Engineering, physischer Zugang).
• Erkennung & Reaktion: Zentral ist nicht nur das Erreichen des Ziels, sondern ob und wie die Organisation Angriffe erkennt und darauf reagiert.
• Stealth: Red Teams versuchen, möglichst unentdeckt zu bleiben, um reale Detection-Gaps aufzuzeigen — das kann Zeit in Anspruch nehmen (häufig mehrere Wochen).
• Threat-orientiert: Tests orientieren sich an realistischen Bedrohungsprofilen (z. B. APTs) und an früheren Angriffen bzw. IT-Risiken des Kunden.

Die Simulation erfolgt anhand bekannter Taktiken, Techniken und Prozeduren (TTPs) echter Angreifer. Dabei wird beispielsweise auf Informationen von MITRE ATT&CK zurückgegriffen, einer Wissensdatenbank mit TTPs von vergangenen Sicherheitsvorfällen (Threat Intelligence), die in Zusammenhang mit bekannten Hacker-Gruppen / APTs (Advanced Persistent Threat) stehen.

Die Auswahl des zu prüfenden Threat Profils (welche Angreifer und TTPs) erfolgt gemeinsam mit dem Kunden unter Betrachtung der Branche des Kunden und der dafür typischen Angreifer. Dazu stellt eine ausgewählte Gruppe von Ansprechpartnern das White Team, welches in die Planung des Red Teaming Engagements involviert ist. Das Blue Team hingegen wird in der Regel nicht vorab eingeweiht, sodass die Abwehrmaßnahmen und die Reaktion der Mitarbeiter unter realen Bedingungen getestet werden kann.

Das Red Team beschränkt sich dabei nicht allein auf die IT, sondern könnte bspw. auch versuchen sich als Mitarbeiter auszugeben, um physischen Zugang zum Unternehmen zu erlangen. Grundsätzlich darf das Red Team darf jeden Weg zur Erreichung des Objectives nutzen, den auch böswillige Angreifer entsprechend des ausgewählten Threat Profiles nutzen würden. Dazu zählen auch der physische Zugang und der Faktor Mensch (Social Engineering). Welche Mittel erlaubt sind wird zuvor mit dem White Team abgestimmt und in den Rules of Engagement festgehalten.

Entscheiden ist, dass sich das Red Teaming einzig auf das vereinbarte Ziel konzentriert. Dabei werden lediglich die Schwachstellen identifiziert und ausgenutzt, die zur erreichung des Ziels dienen. Andere Schwachstellen werden nicht systematisch gesammelt und dokumentiert. Wenn ein Weg zum Erfolg führt, werden keine zusätzlichen Wege getestet. Das heißt: Wenn es nicht nötig ist DA-Zugang zu bekommen, um auf das Ziel bspw. Datenbank zuzugreifen, dann wird das auch nicht versucht.

Die Durchführung des Red Team Engagements erfolgt anhand definierter Stufen (auch Kill Chain):

1. Reconnaissance: OSINT, Mitarbeiterinfos, externe Infrastruktur.
2. Initial Access: z. B. Phishing, Ausnutzen einer Schwachstelle, Dropper via USB.
3. Persistence & Privilege Escalation: Backdoors, lokale Adminrechte, AD-Privilegien.
4. Lateral Movement: Pivoting ins interne Netz, Übernahme weiterer Systeme.
5. Action on Objectives: Zielmission erfüllen (z. B. Datenabzug).