Ein Red Team ist eine Gruppe von Sicherheitsexperten, die ein Unternehmen gezielt so angreift, wie es ein realer Angreifer tun würde. Ziel ist nicht der Nachweis einzelner Schwachstellen, sondern die Antwort auf die Frage: Würde unsere Verteidigung einem ernsthaften Angriff standhalten?
Was ein Red Team von einem Penetrationstest unterscheidet
Ein klassischer Penetrationstest prüft in einem klar abgegrenzten Umfang definierte Systeme auf technische Schwachstellen. Ein Red Team arbeitet dagegen wie eine echte Kampagne: über einen längeren Zeitraum, mit kombinierter Ausnutzung von Exploits, Phishing und Social Engineering – und mit dem ausdrücklichen Ziel, die Erkennung durch das Blue Team zu umgehen.
Vorgehen nach MITRE ATT&CK
Moderne Red Teams arbeiten mit dem MITRE-ATT&CK-Framework: Sie wählen reale Bedrohungsgruppen aus, deren Taktiken und Techniken (TTPs) sie nachahmen. Typische Phasen sind Reconnaissance, erster Zugang über Zero-Day- oder bekannte Schwachstellen, seitliche Bewegung im Netzwerk (Lateral Movement), das Einrichten dauerhafter Hintertüren und schließlich der Abfluss von Daten.
Werkzeuge und Regeln
Häufig eingesetzte Werkzeuge sind Cobalt Strike und Metasploit für Post-Exploitation und laterale Bewegung. Entscheidend sind klare Spielregeln (Rules of Engagement): ein definierter Auftrag, vereinbarte Grenzen, keine Beeinträchtigung des Produktivbetriebs und ein fester Kommunikationsweg mit dem Auftraggeber.
Ergebnis
Der Abschlussbericht dokumentiert nachvollziehbare Angriffspfade. Daraus leiten sich konkrete Verbesserungen für Detektion und Reaktion ab – oft umgesetzt gemeinsam mit dem Purple Team.
Verwandte Grundlagen: Blue Team, Purple Team, Penetrationstest.