Ein Red Team Assessment beantwortet eine andere Frage als ein klassischer Penetrationstest: nicht „welche Schwachstellen haben wir“, sondern „würden wir einen echten, gezielten Angriff überhaupt bemerken und stoppen“. Statt möglichst vollständig alle Lücken aufzulisten, simuliert das Red Team realistisch das Vorgehen eines entschlossenen Angreifers und weist pragmatisch nach, wie weit dieser tatsächlich käme.
Was ein Red Team Assessment ausmacht
Im Zentrum steht der realistische Nachweis: Die gravierendsten Lücken sollen gefunden und der komplette Angriffspfad samt der verwendeten Techniken dokumentiert werden. Dabei bearbeitet ein Red Team gezielt jene Themen, die ein Penetrationstest nicht oder nur am Rand berücksichtigt, etwa Lateral Movement, Persistence, Privilege Escalation und Exfiltration.
Je nach Auftrag kommen auch Social-Engineering-Aktivitäten zum Einsatz: physischer Zugang zu Büros, Gebäuden oder Produktionshallen, Phishing-Mails oder Anrufe. So entsteht eine ganzheitliche Angriffssimulation, die die drei realen Einfallstore kombiniert, über die Angreifer tatsächlich vorgehen: den Menschen, die physische Umgebung und die Technik.
Wie wir vorgehen
Ein Red Team Engagement folgt einem realistischen Angriffslebenszyklus, wie ihn auch echte Angreifer durchlaufen. Wir orientieren uns dabei am MITRE ATT&CK Framework, das die Taktiken und Techniken realer Bedrohungsakteure systematisch beschreibt, und können reale Angriffsmuster bekannter APT-Gruppen (Advanced Persistent Threats) nachstellen. So lässt sich unter kontrollierten Bedingungen feststellen, bis zu welchem Grad Ihre Organisation für konkrete Szenarien angreifbar ist.
Zusammenarbeit mit dem Blue Team
Ein Red Team Assessment lässt sich auch in direkter Zusammenarbeit mit dem Blue Team durchführen, dem defensiven Team des Kunden. In diesem als Purple Teaming bekannten Modus wird festgehalten, welche Angriffsmethoden erkannt werden und ob die Eskalation von Sicherheitsvorfällen sinnvoll aufgebaut ist. Der eigentliche Wert entsteht dabei weniger durch die Frage, ob ein Einbruch gelingt, sondern durch die Erkenntnis, wie schnell er bemerkt und gestoppt wird.
Abgrenzung: Red Team oder Penetrationstest?
Red Team und Penetrationstest ergänzen sich, verfolgen aber unterschiedliche Ziele. Ein Penetrationstest steht für Breite und Vollständigkeit: er soll möglichst alle real ausnutzbaren Schwächen eines Bereichs finden und wird offen durchgeführt. Ein Red Team Assessment steht für Tiefe und Realismus: es simuliert verdeckt einen gezielten Angriff und prüft auch, ob die Verteidigung ihn bemerkt.
- Verdeckte, realistische Angriffssimulation
- Ziel: nachweisen, wie weit ein echter Angreifer käme
- Lateral Movement, Persistence, Exfiltration
- Social Engineering und physischer Zugang möglich
- Testet Erkennung und Reaktion (Blue Team)
- Vollständige, strukturierte Prüfung eines Bereichs
- Ziel: möglichst alle real ausnutzbaren Schwächen finden
- Offen durchgeführt, das IT-Team ist informiert
- Ideale Grundlage vor einem Red Team Assessment
- Ergebnis: priorisierte Liste zum Beheben
Für die meisten Organisationen ist der interne Penetrationstest die sinnvolle Grundlage, auf der ein Red Team Assessment später aufbaut. Wer seine grundlegenden Schwächen bereits kennt und behoben hat, holt aus einem Red Team den grössten Erkenntnisgewinn heraus.
Frameworks und Werkzeuge
Zerberos führt Red Team Assessments auf Basis von MITRE ATT&CK durch und berücksichtigt bei Bedarf auch etablierte Prüfrahmen wie TIBER-EU, CBEST oder die Vorgaben des CCDCOE. Zum Einsatz kommt ein bewährtes Arsenal aus Werkzeugen der offensiven Sicherheit, darunter Cobalt Strike, Metasploit, Gophish, BloodHound, Mimikatz und Responder, ergänzt um massgeschneiderte, auf das jeweilige Szenario zugeschnittene Techniken.
Der Schweizer Kontext
Im Schweizer Finanzsektor haben sich bedrohungsorientierte Prüfungen nach dem Vorbild von TIBER-EU etabliert, um die Widerstandsfähigkeit gegen realistische Angriffe nachzuweisen. Darüber hinaus gilt seit dem 1. April 2025 eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen: Betroffene Betreiber müssen einen Vorfall innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Ein Red Team Assessment liefert genau die Grundlage, um vorab zu prüfen, ob ein realer Angriff überhaupt erkannt und die Meldung rechtzeitig ausgelöst würde.
Gerade für Organisationen mit erhöhtem Schutzbedarf, etwa Finanzinstitute, Versicherungen, Betreiber kritischer Infrastruktur oder Unternehmen mit wertvollem geistigem Eigentum, ist die realistische Simulation der beste Weg, die eigene Abwehr unter kontrollierten Bedingungen auf die Probe zu stellen, bevor es ein echter Angreifer tut.
Was danach kommt
Die Resultate eines Red Team Szenarios sind die Grundlage für gezielte Folgemassnahmen: das Überprüfen und Erstellen von Incident-Response-Plänen, die Einführung von Data-Loss-Prevention-Lösungen, strukturierte Penetrationstests von Webanwendungen sowie externen und internen Netzwerken oder die gezielte Schulung von Mitarbeitenden nach einem Social-Engineering-Angriff.
Wir erstellen gemeinsam mit Ihnen ein massgeschneidertes Szenario für Ihr Red Team Engagement und ergänzen es bei Bedarf um Penetration Testing, Security Consulting und weitere Dienstleistungen im Bereich Cyber Security.
Kontaktieren Sie uns für eine unverbindliche Beratung und weitere Informationen.
Verwandte Services: Interner Penetrationstest | Phishing Simulation | Social Engineering | Web Application Pentest