Red Teaming & TLPT: Angriffssimulation für deine IT-Sicherheit

Eine bekannte Angreifertruppe nimmt dein Unternehmen ins Visier. Halten deine Sicherheitsmaßnahmen stand? Red Teaming ist der realistischste und umfangreichste Test für deine IT-Sicherheit.

Illustration: 3 Personen und Hund in relaxter Bürosituation, davor Ritter, der mit Schild einen Drachen abwehrt.

Warum klassische Penetrationstests oft nicht ausreichen

Klassische Penetrationstests sind ein wichtiger Baustein, aber begrenzt durch Zeit, Scope und vorab definierte Annahmen. Sie prüfen klar abgegrenzte Systeme, innerhalb eines definierten Scopes, mit vorab festgelegten Annahmen.

Reale Angreifer halten sich aber nicht an diese Grenzen. Sie suchen das schwächste Glied – und genau dort setzen wir an. Red Teaming bewertet eure Sicherheit als Gesamtsystem: Technik, Prozesse und Menschen.

Unsere Expert*innen kennen beide Seiten – wie Angreifer vorgehen und vor welchen Herausforderungen Verteidiger stehen

Timo Sablowski

Principal IT-Security Consultant

In der digitalen Forensik sehen wir es leider allzu häufig: Unternehmen werden komplett verschlüsselt – trotz teurer EDR-Lösungen. Ein einziger nicht bedachter Angriffsvektor kann zum Desaster führen. Nur ein realistischer Angriff deckt diese Lücken auf.

Timo Sablowski

Principal IT-Security Consultant

Red Teaming, Purple Teaming oder TLPT – was passt wann?

Red Teaming

Wähle Red Teaming, wenn du prüfen willst, wie gut deine Sicherheitsstrategie einem realen, unangekündigten Angriff standhält.

Purple Teaming

Wähle Purple Teaming, wenn du deine Erkennungslogiken (SIEM/EDR) gezielt verbessern willst und Wissen transparent zwischen Teams austauschen möchtest.

Threat-Led Penetration Testing

Wähle TLPT, wenn du regulatorische Anforderungen wie DORA erfüllen musst und einen aufsichtsfesten Nachweis benötigst.

Was du mit Red Teaming gewinnst

Versteckte Angriffspfade aufdecken

Breiter Scope, keine künstlichen Grenzen. Wir finden Angriffspfade, die Standardtests übersehen.

Physische Sicherheit mitdenken

Was nützt die beste Firewall, wenn wir uns ins Büro schleichen und ein Gerät ins Netzwerk stöpseln? Wir testen beides.

Detektion und Monitoring prüfen

Erkennen deine Sicherheitssysteme (SIEM, EDR) uns überhaupt? Wir arbeiten mit denselben Techniken wie Advanced-Persistent-Threat-Gruppen – darunter Living-off-the-Land-Angriffe, bei denen wir legitime Systemwerkzeuge missbrauchen, um unter dem Radar zu bleiben.

Blue Team trainieren

Wie schnell und koordiniert reagiert dein Team unter echten Bedingungen? Wir liefern die Antwort.

Purple Teaming – gemeinsam Security-Schwachstellen finden

Neben Red Teaming bieten wir auch Purple Teaming an. Hier arbeiten wir nicht autark, sondern entwickeln gemeinsam mit dir Angriffsszenarien, führen sie durch und bewerten die Reaktion des SOC. In begleitenden Workshops leiten wir konkrete Maßnahmen ab.

Threat-Led Penetration Testing nach DORA und TIBER

Für Banken und Versicherer ist TLPT keine Kür – es ist Pflicht. Wir kennen die TIBER-DE-Anforderungen und begleiten dich durch den gesamten Prozess: von der Threat Intelligence bis zum BaFin-konformen Abschlussbericht.

Gesteuerte Threat Intelligence: Wir finden die TTPs (konkrete Angriffstechniken und -taktiken), die Angreifer deiner Branche gerade benutzen.
Methodik nach TIBER-EU: Vorbereitung, Durchführung und Closure unter Einbeziehung eines White Teams.
MITRE ATT&CK Mapping: Gefundene Detektionslücken werden nach einem Standardframework dokumentiert und dadurch messbar und nachvollziehbar.
Aufsichtskonformes Reporting: Berichte nach BaFin- und EZB-Anforderungen inklusive.

So läuft Red Teaming & TLPT kontrolliert und sicher ab

Schritt 1: Gemeinsame Planung

Der Prozess startet mit einer gemeinsamen Planungsphase: unser Red Team und ein von dir definiertes White Team. Dieses White Team sollte sich aus zentralen Entscheidungsträgern zusammensetzen, die den Test begleiten und das Risikomanagement verantworten. Nur dieser Personenkreis weiß von der Durchführung – so können die Reaktionen des Blue Teams und aller beteiligten Schnittstellen objektiv bewertet werden.

Gemeinsam legen wir Umfang und Zielsetzungen fest. Auf Wunsch fließen Ergebnisse eines vorangegangenen Threat Intelligence Reports ein.

Schritt 2: Testdurchführung

Das Red Team sammelt zunächst öffentlich und technisch verfügbare Informationen und entwickelt darauf aufbauend realistische Angriffsszenarien – mit denselben Techniken wie echte Angreifer: von Spear-Phishing über physische Zugänge bis hin zu Living-off-the-Land-Methoden (LotL), bei denen wir vorhandene Systemwerkzeuge nutzen, um Sicherheitslösungen zu umgehen.

Währenddessen bewerten wir sowohl die Wirksamkeit der Angriffe als auch die Reaktion des Blue Teams. Das White Team überwacht den Test und stellt sicher, dass keine produktiven Schäden entstehen.

Schritt 3: Nachbereitung & Reporting

Nach Abschluss führen wir optional die Perspektiven von Red und Blue Team in einem Purple Team-Format zusammen. Wir besprechen die Erkenntnisse transparent, priorisieren Maßnahmen und leiten fundierte Handlungsempfehlungen ab. Weitere Angriffsszenarien sind auf Wunsch denkbar.

Du erhältst einen detaillierten Bericht – auf Wunsch nach TIBER-Standard – sowie praxisnahe Vorschläge zur Weiterentwicklung deiner Verteidigungsstrategie. Wer tiefer gehen will: Wir unterstützen gezielt durch Threat-Informed Defense oder SSDLC-Assessments.

Zertifizierte Expertise für deine IT-Sicherheit

Red Teaming erfordert ein hohes Verantwortungsbewusstsein und große technische Expertise. Deswegen bilden sich unsere Tester ständig weiter, sei es durch CTF-Wettbewerbe oder Zertifizierungen.

OffSec Certified Professional (OSCP+)

Certified Red Team Operator I & II (CRTO)

OffSec Certified Expert (OSCE)

Certified Red Team Expert (CRTE)

OffSec Experienced Penetration Tester (OSEP)

Certified Red Teamer (MRT)

Certified Red Team Professional (CRTP)

Häufige Fragen zu Red Teaming & TLPT

Wann ist Red Teaming sinnvoll, wann TLPT die bessere Wahl?

Red Teaming ist für dich sinnvoll, wenn du wissen möchtest, wie gut deine Organisation reale Angriffe erkennt, abwehrt und darauf reagiert. Es eignet sich besonders, wenn bereits eine solide Security‑Basis vorhanden ist und du Detection‑ und Incident‑Response‑Fähigkeiten realitätsnah weiterentwickeln willst. Im Fokus stehen kreative, unkonventionelle Angriffspfade sowie das Zusammenspiel von Technik, Prozessen und Menschen – ohne primären Fokus auf regulatorische Vorgaben.

Threat‑Led Penetration Testing (TLPT) ist die bessere Wahl, wenn du regulatorische Anforderungen erfüllen musst, insbesondere in stark regulierten Branchen wie dem Finanz‑ oder Versicherungswesen. TLPT folgt einer klar definierten Methodik (z. B. TIBER‑EU / TIBER‑DE) und basiert auf gesteuerter Threat Intelligence. Ziel ist der aufsichts‑ und auditfeste Nachweis deiner digitalen operationalen Resilienz, etwa im Rahmen der EU‑DORA‑Verordnung.

Besteht die Gefahr, dass der laufende Betrieb gestört wird?

Nein. Die Simulationen sind kontrolliert und eng mit deinem White Team abgestimmt. Kritische Geschäftsprozesse bleiben geschützt.

Warum reicht ein normaler Penetrationstest nicht mehr aus?

Pentests prüfen die Haustür. Red Teaming prüft, ob wir durch das Fenster kommen oder den Hausmeister täuschen können und testet damit die gesamte Verteidigungskette: Prävention, Detektion und Reaktion.

Muss das Blue Team informiert werden?

Beim Red Teaming in der Regel nicht, um authentische Reaktionen zu testen. Beim Purple Teaming hingegen arbeiten wir transparent mit deinem Blue Team Hand in Hand.

Wie geht ihr mit sensiblen Daten um?

Alle Daten werden vertraulich behandelt, verschlüsselt gespeichert und nach Projektabschluss sicher gelöscht. Wir behandeln deine Daten so, als wären es unsere eigenen. Auf Wunsch arbeiten wir ausschließlich auf deiner Infrastruktur.

Unterstützt ihr bei der DORA-Umsetzung?

Ja. Unsere TLPTs orientieren sich am TIBER‑DE‑Framework und sind auf die Anforderungen von DORA ausgelegt. Wir begleiten dich durch den gesamten Prozess.

Bereit für den Realitäts-Check?

Du weißt, wie gut deine Sicherheit auf dem Papier ist. Wir zeigen dir, wie sie unter echtem Druck hält.

Marc Lenze

IT-Security Business Development Lead