Ein Red Team simuliert Angriffe, um die Verteidigung eines Unternehmens zu testen. Die Mitglieder denken wie Angreifer. Sie analysieren das Ziel, finden Schwachstellen und nutzen diese aus. Ziel ist es nicht, Systeme zu zerstören, sondern herauszufinden, was passieren würde, wenn ein echter Angreifer dies versuchen würde. Red-Team-Übungen gehen über Penetrationstests hinaus. Ein Penetrationstest konzentriert sich auf einen bestimmten Bereich. Eine Red-Team-Übung simuliert hingegen eine komplette Kampagne, oft über Wochen oder Monate, mit mehreren Phasen und Zielen.

Red Teams nutzen dieselben Werkzeuge und Techniken wie echte Angreifer. Sie versuchen, Mitarbeiter per Phishing anzugreifen, nutzen Sicherheitslücken aus, erweitern Berechtigungen und bewegen sich lateral im Netzwerk. Sie testen Erkennung und Reaktion, nicht nur Prävention. Ein Red Team, das unbemerkt eindringt, hat eine Sicherheitslücke gefunden. Ein Red Team, das frühzeitig entdeckt wird, hat die Verteidigungsmaßnahmen validiert. Beide Ergebnisse sind wertvoll. Die Erkenntnisse führen zu Verbesserungen. Red Teaming erfordert klare Einsatzregeln. Der Kunde definiert den Umfang, die Tabus und das Vorgehen im Fehlerfall. Ohne diese Grenzen kann eine Red-Team-Übung echten Schaden anrichten. Mit ihnen ist sie eine der wertvollsten Sicherheitsinvestitionen, die ein Unternehmen tätigen kann.

Übungsphasen des roten Teams

• Aufklärung – Informationen über das Ziel sammeln
• Erster Zugang – einen Weg hinein finden
• Persistenz – den Zugriff über die Zeit hinweg aufrechterhalten
• Privilegienausweitung – höhere Rechte erlangen
• Seitliche Bewegung – Erreichen zusätzlicher Systeme
• Ziele – das definierte Ziel erreichen, häufig Datenexfiltration

Ein Red Team ist nicht der Feind. Es ist der Gegner, den man anheuert, um die eigenen Schwächen aufzudecken, bevor es jemand anderes tut.