Wie weit kommt ein Angreifer in Ihrem Unternehmen?

Ein Pentest identifiziert systematisch technische Schwachstellen in definierten Systemen - der Scope ist klar abgegrenzt, das Blue Team informiert. Red Teaming simuliert einen realen APT-Angriff über alle Vektoren: Technik, Mensch und Prozesse. Das Blue Team weiß nicht, wann und wie der Angriff kommt. Das Ziel ist nicht eine Schwachstellenliste, sondern die Antwort auf die Frage: Kann ein motivierter Angreifer Ihre Kronjuwelen erreichen - und wie schnell erkennt Ihre Verteidigung den Angriff?

Ein typisches Engagement dauert 4-8 Wochen: 1-2 Wochen Reconnaissance und OSINT, 2-4 Wochen aktive Angriffsphase (Initial Access, Lateral Movement, Zielerreichung), 1 Woche Reporting und Debrief. TIBER-DE-konforme Engagements für den Finanzsektor sind deutlich umfangreicher: Die aktive Red-Team-Phase dauert allein mindestens 12 Wochen, hinzu kommen Vorbereitungs- und Abschlussphase.

In der Regel kennt nur ein "White Team" den Zeitraum und Scope - typischerweise Geschäftsführung, CISO und ggf. Legal. Das Blue Team (SOC, IT-Security) wird bewusst nicht informiert, um die Reaktionsfähigkeit unter realen Bedingungen zu testen. Nach dem Engagement findet ein gemeinsames Purple-Team-Debrief statt, in dem wir die komplette Angriffskette offenlegen und gemeinsam Detektionslücken schließen.

Red Teaming eignet sich für Unternehmen, die bereits ein Sicherheitsfundament haben - ein SOC oder SIEM, Endpoint Detection, geschulte Mitarbeitende. Für KMU ohne existierendes Security-Team empfehlen wir zunächst einen Penetrationstest oder unsere KMU-Sicherheitsanalyse. Die Investition in ein Red-Team-Engagement lohnt sich erst, wenn Sie wissen wollen, ob Ihre bestehenden Schutzmaßnahmen einem koordinierten Angriff standhalten.

Die Kosten hängen von Scope, Dauer und Komplexität ab. Ein fokussiertes Red-Team-Engagement (primär technisch, 2-3 Wochen) beginnt ab ca. 15.000 EUR. Ein vollumfängliches Engagement mit Social Engineering und physischer Komponente über 4-8 Wochen liegt typischerweise bei 25.000-50.000 EUR. TIBER-DE-konforme Engagements (DORA-TLPT) für den Finanzsektor beginnen ab 50.000 EUR. Sie erhalten ein verbindliches Festpreisangebot: keine Stundensätze, keine Nachforderungen.

Wir dokumentieren alle Angriffstechniken nach MITRE ATT&CK - dem internationalen Standard für Adversary Behavior. Für regulierte Finanzunternehmen orientieren wir uns am TIBER-EU/TIBER-DE-Framework der EZB/Bundesbank. Zusätzlich nutzen wir die Lockheed Martin Cyber Kill Chain zur Strukturierung unserer Kampagnen und das PTES (Penetration Testing Execution Standard) als methodische Grundlage.

Im Assumed-Breach-Modell starten wir mit einem bereits kompromittierten Zugang innerhalb Ihres Netzwerks - z.B. einem regulären Mitarbeiter-Account oder einem infizierten Endgerät. Damit überspringen wir die Perimeter-Phase und testen gezielt Ihre internen Verteidigungsmaßnahmen: Netzwerk-Segmentierung, Privilege-Escalation-Schutz, Lateral-Movement-Detection und Incident-Response-Fähigkeit. Ideal für Unternehmen, die ihren Perimeterschutz bereits getestet haben.

Im Debrief legen wir Ihrem Blue Team die komplette Angriffskette offen - Schritt für Schritt, mit Zeitstempeln, verwendeten Tools und generierten Artefakten. Wir zeigen exakt, welche Logs und Alerts hätten ausgelöst werden müssen, warum sie es nicht wurden, und wie Sie Ihre Detektionsregeln anpassen können. Auf Wunsch führen wir die Techniken live vor, damit Ihr SOC die Artefakte in Echtzeit im SIEM sehen und Detektions-Use-Cases entwickeln kann.

NIS-2 (§ 30 BSIG) verlangt, die Wirksamkeit der Risikomanagementmaßnahmen zu bewerten, benennt aber Red Teaming nicht explizit als Pflicht. Für KRITIS-Betreiber und NIS-2-betroffene Unternehmen mit reifen Security-Programmen ist Red Teaming jedoch die effektivste Methode, die Wirksamkeit ihrer Schutzmaßnahmen nachzuweisen. Für von der zuständigen Behörde bestimmte Finanzunternehmen macht DORA (Art. 26-27) Threat-Led Penetration Testing (TLPT) alle 3 Jahre verbindlich. TIBER-EU ist die anerkannte Grundlage; TIBER-DE ist die deutsche Umsetzung davon.

Jedes Engagement beginnt mit einem signierten Rules-of-Engagement-Dokument (RoE), das von einer vertretungsberechtigten Person Ihres Unternehmens unterschrieben wird. Darin sind Scope, erlaubte Techniken, Notfallkontakte und Datenhandhabung klar definiert. Diese schriftliche Autorisierung schützt vor Strafbarkeit nach §§ 202a-c, 303a StGB. Alle Tester sind festangestellt bei AWARE7, unterliegen NDAs und verarbeiten Daten ausschließlich in Deutschland.

Ja. Wir führen Engagements nach dem TIBER-EU/TIBER-DE-Framework durch, das seit 2025 auch eine anerkannte Referenzmethodik für DORA-TLPT ist. Der Prozess umfasst: Threat-Intelligence-Phase (Targeted Threat Intelligence Report), Red-Team-Testphase gegen Live-Produktionssysteme und obligatorische Purple-Team-Phase. Die Ergebnisse werden an die zuständige TLPT-Behörde (BaFin, Bundesbank und ggf. EZB) berichtet.