Der falsche Techniker im Serverraum
Firewalls, SOC, Awareness-Trainings:
Viele Unternehmen haben in Cybersicherheit investiert. Doch funktionieren Technik, Prozesse und Menschen auch unter realistischen Angriffsbedingungen?
Red Teaming liefert die Antwort.
In Kürze
Red Teaming zeigt, wie gut Cybersicherheit im Ernstfall wirklich funktioniert - unter realistischen Bedingungen, aus Sicht echter Angreifender und mit dem Ziel, die Abwehr messbar zu verbessern.
- Realistischer Reality Check: Red Teams simulieren echte Angriffsszenarien und zeigen, wo Technik, Prozesse oder Sicherheitskultur angreifbar sind.
- Mehr als Technik: Getestet werden nicht nur IT-Systeme, sondern auch Menschen, Helpdesk-Prozesse, Zutrittskontrollen und Reaktionsketten.
- Messbare Abwehrfähigkeit: Unternehmen erfahren, wie schnell Angriffe erkannt und eingedämmt werden - etwa über Time-to-Detect und Time-to-Mitigate.
- Kontinuierliche Verbesserung: Aus den Ergebnissen entstehen konkrete technische und organisatorische Maßnahmen nach dem Prinzip: Hack. Respond. Repeat.
Unscheinbarer Angriff
Ein Gewitter zieht auf. Zwei vermeintliche Servicetechniker betreten eine Filiale und fragen, ob das Internet noch funktioniert. In der Nachbarschaft sei es teilweise ausgefallen, erklären sie. Für das Geschäft wäre ein Ausfall kritisch: Ohne Internet funktionieren die Kassensysteme nicht. Die Techniker bieten an, vorsorglich eine Notversorgung einzurichten. Bereitwillig werden sie zum Serverraum geführt. Dort installieren sie allerdings keine Notversorgung, sondern platzieren ein Gerät an einem freien Netzwerkanschluss.
Der Perimeter ist überwunden. Nicht durch eine hochkomplexe technische Schwachstelle, sondern durch einen glaubwürdigen Vorwand.
Die Szene stammt aus einem Red Team Assessment. Also aus einem kontrollierten Sicherheitstest, bei dem ethische Hacker unter klar definierten Regeln prüfen, wie weit sie in ein Unternehmen eindringen könnten. Das Beispiel zeigt, worum es bei moderner Cybersicherheit geht: Nicht nur Firewalls, Endgeräte und Cloudsysteme sind Teil der Angriffsfläche. Auch Routinen, Zuständigkeiten, Zutrittsprozesse, Hilfsbereitschaft und Zeitdruck können zum Risiko werden.
Sicherheit auf dem Papier reicht nicht
Viele Unternehmen haben ihre Cyberabwehr in den vergangenen Jahren deutlich ausgebaut. Sie betreiben Security Operations Center, setzen Schutzlösungen für Endgeräte wie Laptops, Server oder Arbeitsrechner ein, definieren Prozesse für Incident Response, schulen Mitarbeitende und überwachen kritische Systeme. Das ist notwendig. Aber es beantwortet noch nicht die entscheidende Frage: Funktioniert das Zusammenspiel im Ernstfall?
Klassische Prüfungen zeigen häufig, ob Sicherheitskontrollen vorhanden sind. Red Teaming zeigt, ob sie unter Druck wirken. Denn reale Angriffe laufen selten entlang sauber dokumentierter Prozessketten. Angreifende suchen nicht nach dem stärksten Schutzmechanismus, sondern nach dem schwächsten Übergang: zwischen Technik und Organisation, zwischen Richtlinie und gelebter Praxis, zwischen Alarm und Reaktion. Genau hier setzt Red Teaming an.
Farbenlehre der offensiven Cybersicherheit
Rot und Blau stammen aus militärischen Übungsszenarien: rot steht traditionell für die gegnerische, angreifende Seite, blau für die eigene, verteidigende Seite. Der Kalte Krieg hat diese Farblogik durch die Gegenüberstellung von „blauer“ NATO und „rotem“ Warschauer Pakt bzw. Ostblock-Staaten zusätzlich geprägt.
Red und Blue Teaming sind tatsächlich aber aus der militärischen Übungs- und Kartensymbolik übernommen.
Neben Red Team und Blue Team spielt vor allem das White Team eine zentrale Rolle: Es definiert Auftrag, Regeln und Grenzen des Assessments. Wenn Red und Blue ihre Erkenntnisse anschließend gemeinsam auswerten und die Abwehr verbessern, spricht man von Purple Teaming.
Die Angriffsfläche ist größer als die IT
Red Teaming macht sichtbar, dass Cybersicherheit nicht allein eine technische Disziplin ist. Ein realistischer Angriff kann über verschiedene Wege beginnen.
- Technical Breach: Der Einstiegspunkt ist die technische Angriffsfläche: öffentlich erreichbare Systeme, Subdomains, offene Dienste, Fehlkonfigurationen, exponierte Schnittstellen oder Hinweise aus öffentlich verfügbaren Informationen. Typischerweise beginnt das Vorgehen mit OSINT und Reconnaissance, also dem Sammeln, Auswerten und Korrelieren frei zugänglicher Informationen sowie der technischen Aufklärung der IT-Infrastruktur.
- Social Engineering: Der Einstiegspunkt ist der Mensch: eine E-Mail, ein Anruf, eine glaubwürdige Geschichte oder eine Situation, in der Zeitdruck entsteht. Das Whitepaper beschreibt beispielsweise Szenarien mit Helpdesk-Anrufen zur Passwortänderung und Phishing-Versuchen, bei denen Aufmerksamkeit, Skepsis und klare Prozesse entscheidend sind.
- Physical Breach: Der Einstiegspunkt ist der physische Zugang: Gebäude, Empfangsbereiche, Besprechungsräume, Serverräume oder frei erreichbare Netzwerkanschlüsse. Das Beispiel mit den vermeintlichen Servicetechnikern zeigt, wie ein plausibler Vorwand Besucherprozesse, Rollenvertrauen und Zutrittskontrollen auf die Probe stellt.
Die Erkenntnis: Physische Sicherheit, IT-Sicherheit und organisatorische Abläufe lassen sich nicht getrennt betrachten. Ein offener Netzwerkanschluss kann genauso kritisch sein wie eine technische Fehlkonfiguration.
Nach dem Eindringen beginnt die eigentliche Prüfung
Den Perimeter zu überwinden, ist nur der erste Schritt. Danach stellt sich die wichtigere Frage: Wie weit könnte ein Angreifer kommen? Red Teamer prüfen, ob laterale Bewegung im Netzwerk möglich ist, welche Zugriffsrechte bestehen, ob sensible Daten erreichbar wären und ob kritische Systeme kontrolliert werden könnten. Sie führen keine Sabotagehandlungen aus. Aber sie zeigen, was möglich wäre. Gerade dieser Perspektivwechsel ist wertvoll. Unternehmen sehen ihre Sicherheitslage nicht aus Sicht der eigenen Architektur, sondern aus Sicht eines motivierten Angreifers. Das Ergebnis ist ein realistischeres Risikobild.
„Wer Cybersicherheit nur im Labor testet, verwechselt pure Hoffnung mit erhärteter Abwehrfähigkeit.“
Olaf Reimann, Marketing Manager Cybersicherheit bei Telekom Security
Der eigentliche Nutzen: Lernen, bevor es ernst wird
Ein gutes Red Team Assessment endet nicht mit dem Nachweis einer Schwachstelle. Es endet mit konkreten Verbesserungen. Dazu gehören ein detaillierter Bericht, dokumentierte Angriffspfade, eine Zeitleiste der Ereignisse und praxisnahe Handlungsempfehlungen. Bewertet wird auch, wie gut die Organisation Angriffe erkennt und darauf reagiert. Unser Whitepaper beschreibt diesen Verbesserungsprozess als Zusammenspiel aus Red Teaming und Blue Teaming: Aus Angriff und Verteidigung entsteht Purple Teaming – mit dem Ziel, Detektionslücken zu erkennen, Feedbackschleifen zu beschleunigen und die Cyberabwehr kontinuierlich zu verbessern. Red Teaming ist deshalb kein Misstrauensvotum gegen die eigene Cyberabwehr. Es ist ein Belastungstest für ihre Wirksamkeit.
Für wen Red Teaming besonders relevant ist
Besonders relevant ist Red Teaming für Unternehmen, die bereits in Cyberabwehr investiert haben und nun wissen müssen, ob diese Abwehr im Ernstfall trägt: etwa Organisationen mit eigenem oder ausgelagertem SOC, Unternehmen im KRITIS-Umfeld, regulierte Branchen, Finanzdienstleister oder Unternehmen mit komplexen Cloud- und Hybrid-Umgebungen.
Auch nach größeren Veränderungen kann ein Assessment belastbare Klarheit schaffen: nach Cloud-Migrationen, Mergers-and-Acquisitions-Projekten, neuen Standorten, neuen Security-Prozessen oder grundlegenden Veränderungen der IT-Landschaft.
Hinzu kommen regulatorische Anforderungen. NIS2 und DORA erhöhen den Druck, Sicherheitsmaßnahmen nicht nur zu dokumentieren, sondern regelmäßig zu überprüfen. Für bestimmte Finanzunternehmen geht DORA mit Threat-Led Penetration Testing noch weiter.
Red Teaming in der Praxis
Wie läuft ein Red Team Assessment konkret ab? Welche Szenarien sind möglich? Was unterscheidet Technical Breach, Social Engineering, Physical Breach und Assumed Breach? Und welche Ergebnisse erhalten Unternehmen am Ende? Das Whitepaper „Red Teaming. Reality Check für Cybersicherheit“ zeigt anhand konkreter Praxisbeispiele, wie Red Teams vorgehen, welche Rolle Blue und White Teams spielen und wie Unternehmen aus Angriffssimulationen belastbare Verbesserungen ableiten.
Autor: Olaf Reimann
Olaf Reimann ist erfahrener B2B-Marketingexperte mit Schwerpunkt auf Cybersicherheit, digitalem Marketing und technologiegetriebenen Geschäftsmodellen.
Als Marketing Manager Cybersicherheit bei T Business übersetzt er komplexe Security-Themen in klare Botschaften für Entscheiderinnen und Entscheider. Sein Fokus liegt darauf, Cyberrisiken verständlich zu machen und Sicherheitslösungen als Grundlage für Vertrauen, Resilienz und nachhaltiges Wachstum zu positionieren.