Das Purple Team ist kein eigenes drittes Team, sondern ein Arbeitsmodus, in dem Red Team und Blue Team eng zusammenarbeiten. Statt gegeneinander zu arbeiten, verbessern sie gemeinsam die Sicherheit – mit dem Ziel, die Erkennung und Reaktion auf Angriffe messbar zu stärken.
Warum Purple Teaming?
In klassischen Übungen liefert das Red Team einen Bericht ab, und das Blue Team arbeitet ihn ab – oft mit wenig Austausch. Beim Purple Teaming tauschen beide Seiten in Echtzeit Informationen aus: Welche Angriffe waren erfolgreich? Welche Detections haben gegriffen? Wo blieb der Angriff unsichtbar? So werden Testergebnisse direkt in Verbesserungen übersetzt.
Ablauf einer Purple-Team-Übung
Eine typische Session folgt einem Kreislauf: Das Red Team führt eine Angriffstechnik aus, das Blue Team beobachtet live im SIEM und in den EDR-Alarmen, gemeinsam identifizieren beide Lücken in der Erkennung, und anschließend werden neue Regeln, Playbooks oder Monitoring-Konfigurationen umgesetzt. Danach testet das Red Team die Maßnahme erneut – ein kontinuierlicher Verbesserungsprozess.
Gemeinsame Sprache: MITRE ATT&CK
Das MITRE-ATT&CK-Framework dient beiden Seiten als gemeinsame Sprache: Angreifer beschreiben damit ihre TTPs, Verteidiger ordnen ihre Detections denselben Techniken zu. Detection-Gaps werden dadurch direkt sichtbar. Auch das Threat Hunting profitiert, denn die gewonnenen Hypothesen speisen die proaktive Suche nach Angreifern.
Verwandte Grundlagen: Red Team, Blue Team, Patch-Management.