Red Team oder Penetrationstest: Was brauchen Sie?
Kurze Antwort: Ein Penetrationstest identifiziert und bewertet so viele ausnutzbare Schwachstellen wie möglich innerhalb eines definierten Scopes, mit dem Wissen Ihres Teams. Ein Red Team verfolgt ein einzelnes Ziel wie ein echter Angreifer, unbemerkt, um zu testen, ob Ihre Verteidiger den Angriff erkennen und stoppen. Wenn Sie noch nie Sicherheitstests durchgeführt haben oder einen Auditor oder Versicherer zufriedenstellen müssen, benötigen Sie einen Penetrationstest. Zu einem Red Team wechseln Sie erst, wenn Sie ein Security-Team haben, das es zu testen lohnt.
Vertriebspräsentationen verwenden „Red Team“ und „Penetrationstest“ oft so, als handele es sich um denselben Premium-Service unter zwei Namen. Das stimmt nicht. Sie beantworten unterschiedliche Fragen, arbeiten in unterschiedlichen Scopes und haben aus guten Gründen unterschiedliche Preise. Wenn Sie solche Leistungen einkaufen, führt die Verwechslung leicht dazu, dass Sie Red-Team-Preise für eine Aufgabe zahlen, die auch ein Pentest erledigt hätte, oder einen Pentest buchen, wenn Sie eigentlich wissen wollen, ob überhaupt jemand einen Angreifer im Netz bemerken würde. Hier ist der ehrliche Unterschied.
Wozu ein Penetrationstest dient
Ein Penetrationstest beantwortet eine Frage: Was kann ein Angreifer innerhalb dieses definierten Scopes ausnutzen und wie schwerwiegend ist das? Die Tester arbeiten sich durch die freigegebenen Systeme, finden Schwachstellen und belegen, wo es die Regeln erlauben, durch Verkettung die tatsächlichen Auswirkungen. Das US National Institute of Standards and Technology beschreibt Penetrationstests in seinem Leitfaden NIST SP 800-115 als Sicherheitstests, bei denen Tester reale Angriffe nachstellen, um Wege zu finden, die Sicherheitsfunktionen einer Anwendung, eines Systems oder eines Netzwerks zu umgehen.
Der Schwerpunkt liegt auf Abdeckung. Ein guter Pentest versucht, während des Testzeitraums so viele ausnutzbare Schwachstellen wie möglich im Scope zu finden. Ihr Team weiß in der Regel Bescheid, da das Ziel Tiefe bei den Erkenntnissen ist und nicht Geheimhaltung. Am Ende erhalten Sie eine priorisierte Liste der Schwachstellen und Empfehlungen, was zuerst behoben werden muss.
Wozu ein Red Team dient
Ein Red-Team-Einsatz beantwortet eine andere Frage: Wenn ein echter Angreifer ein bestimmtes Ziel verfolgen würde, würden Ihre Mitarbeiter, Prozesse und Technologien ihn stoppen, und würde es überhaupt jemand bemerken? NIST definiert eine Red-Team-Übung als simulierten gegnerischen Angriff unter realen Bedingungen, um die Ziele oder Geschäftsprozesse einer Organisation zu kompromittieren und die Sicherheitsfähigkeit des Systems sowie der Organisation zu bewerten.
Lesen Sie das sorgfältig. Ein Red Team wird nicht daran gemessen, wie viele Schwachstellen es auflistet. Es wird an einem Ziel gemessen, etwa dem Zugriff auf eine bestimmte Datenbank oder ein Zahlungssystem, über jeden Weg, der funktioniert: ein ungepatchter Dienst, eine Phishing-E-Mail, eine physische Tür, ein wiederverwendetes Passwort. Es simuliert das Vorgehen echter Angreifer, oft ausgerichtet an einer öffentlichen Wissensdatenbank für Angreiferverhalten wie MITRE ATT&CK. Tarnung ist Teil des Tests, denn getestet werden unter anderem Ihre Erkennung und Reaktion.
Auch Regulierungsbehörden sehen das so. Das 2018 veröffentlichte TIBER-EU-Framework der Europäischen Zentralbank nutzt bedrohungsorientiertes Red Teaming, um die Widerstandsfähigkeit von Finanzunternehmen gegen realistische Angriffe zu testen, genau weil es die Reaktion misst und nicht nur die Angriffsfläche.
Die tatsächlichen Unterschiede im Vergleich
| Penetrationstest | Red Team | |
|---|---|---|
| Ziel | Maximale Anzahl ausnutzbarer Befunde im Scope | Ein Ziel erreichen und berichten, wie weit der Angriff kam |
| Scope | Eine Liste von Assets und Techniken | Ein Ziel und Regeln, mit wesentlich mehr erlaubten Wegen |
| Tarnung | Dem eigenen Team meist bekannt | Verdeckt, da getestet wird, ob Sie es bemerken |
| Was getestet wird | Ihre Systeme | Ihre Verteidiger ebenso wie Ihre Systeme |
| Kosten und Dauer | Kürzer, günstiger | Länger, unauffälliger, teurer |
| Am besten geeignet für | Erste Tests, Audits, Versicherer, Unternehmenskunden | Fortgeschrittene Teams, die Erkennung und Reaktion prüfen |
Assumed Breach: die sinnvolle Mitte
Nicht jedes Red Team fängt bei null an. Eine häufige Variante ist „Assumed Breach“, bei der Sie dem Team einen Einstiegspunkt bereitstellen, etwa einen Laptop oder einen Satz Mitarbeiter-Zugangsdaten, und sehen wollen, wie weit es von dort aus kommt. Das überspringt die langsame Initial-Access-Phase und setzt das Budget dort ein, wo getestet wird, was passiert, wenn ein Angreifer bereits im Netz ist, was für die meisten Unternehmen die bedrohlichere und realistischere Frage ist.
Was Ihr Unternehmen tatsächlich braucht
Hier ist der Teil, den die meisten Anbieter nicht offen aussprechen. Ein Red Team testet Ihr Blue Team. Wenn Sie kein Blue Team haben, also weder Personal noch Tools, die Angriffe überwachen und darauf reagieren, gibt es für ein Red Team kaum etwas zu messen. Sie zahlen dann einen Aufpreis für Erkenntnisse, die Ihnen ein Pentest günstiger geliefert hätte. Eine Erkennung, die nicht existiert, wird auch das Red Team nicht erkennen.
Grob zusammengefasst:
- Sie hatten noch nie Sicherheitstests. Sie brauchen kein Red Team. Finden Sie zuerst heraus, was erreichbar und ausnutzbar ist. Das ist das Terrain von Pentests und Attack-Surface-Analysen.
- Sie müssen einen Auditor, Versicherer oder Unternehmenskunden zufriedenstellen. Diese meinen fast immer einen Penetrationstest. Bestätigen Sie den genauen Wortlaut, bevor Sie etwas kaufen, denn das Wort „Red Team“ in einem Vertrag bedeutet manchmal einfach nur „Pentest“.
- Sie führen bereits Pentests durch, haben ein Security-Team und wollen wissen, ob dieses einen echten Gegner bemerken würde. Jetzt rechtfertigt ein Red Team seine Kosten.
Der Reifegrad ist der entscheidende Faktor. Red Teaming ist der nächste Schritt, wenn die Grundlagen abgedeckt sind, nicht der Ausgangspunkt.
Kennen Sie zuerst Ihre Angriffsfläche
Egal in welche Richtung Sie gehen, der erste ehrliche Schritt ist derselbe: Wissen Sie, was ein Angreifer von außen bereits über Sie sehen kann, denn genau dort beginnt jeder, egal ob Pentester oder Red Teamer.
Unser $100-Check ist genau dieser erste fundierte Blick: eine gezielte Überprüfung Ihrer externen Angriffsfläche in einem Scope, den Sie nachweislich besitzen und schriftlich autorisiert haben, bewertet von einem Senior Operator und geliefert inklusive einer 30-minütigen Besprechung. Seien Sie sich im Klaren darüber, was es ist. Es ist kein Red Team und kein vollständiger Penetrationstest. Es ist der günstige, ehrliche Ausgangspunkt, der Ihnen auf Basis konkreter Nachweise zeigt, was Sie als Nächstes wirklich brauchen.
Red Team vs. Penetrationstest: Kurze Antworten
Was ist der Unterschied zwischen einem Red Team und einem Penetrationstest?
Ein Penetrationstest identifiziert und bewertet so viele ausnutzbare Schwachstellen wie möglich innerhalb eines definierten Scopes, gewöhnlich mit dem Wissen Ihres Teams. Ein Red Team verfolgt ein einzelnes Ziel wie ein echter Angreifer, unbemerkt, um zu testen, ob Ihre Verteidiger den Angriff erkennen und stoppen. Ein Pentest testet Ihre Systeme; ein Red Team testet Ihre Systeme und Ihre Mitarbeiter.
Ist ein Red Team gründlicher als ein Penetrationstest?
Nicht direkt. Ein Red Team geht auf einem schmalen Pfad zu einem Ziel sowie bei Erkennung und Reaktion tiefer, aber ein Penetrationstest ist breiter angelegt, um ausnutzbare Probleme im gesamten Scope zu finden. Sie beantworten unterschiedliche Fragen, daher hängt „gründlicher“ davon ab, welche Frage Sie haben.
Was sollte ein kleines Unternehmen zuerst durchführen?
Fast immer einen Penetrationstest oder davor einen günstigeren Attack-Surface-Check. Ein Red Team misst Ihr Blue Team. Wenn Sie also noch kein Personal und keine Tools haben, die Angriffe überwachen, gibt es kaum etwas zu messen, und Sie zahlen einen Aufpreis für Erkenntnisse, die Ihnen auch ein Pentest geliefert hätte.
Meint ein Auditor oder Versicherer, der nach einem „Red Team“ fragt, wirklich ein Red Team?
Oft meinen sie einen Penetrationstest und verwenden die Begriffe ungenau. Bestätigen Sie die genaue Anforderung schriftlich vor dem Kauf, da der Preisunterschied erheblich ist.
Ähnliche Artikel
Unsicher, was Sie benötigen?
Die meisten Unternehmen benötigen einen Penetrationstest, kein Red Team, und oft ist der günstigste erste Schritt, einfach die eigene Angriffsfläche zu kennen. Unser $100-Check ist genau dieser erste Blick.
$100-Check buchen