Cybersecurity-Wissen · Redaktion 360digital ·
Red Team oder Pentest: Was passt für Ihr Schweizer KMU?
Beide Verfahren suchen Schwachstellen, beantworten aber unterschiedliche Fragen. Ein Pentest prüft einen vereinbarten technischen Umfang möglichst systematisch. Ein Red Team prüft, ob ein Angreifer ein konkretes Schutzziel erreichen könnte, während Verteidigung, Erkennung und Reaktion mitbeobachtet werden. Für ein KMU ist die richtige Reihenfolge meist wichtiger als ein möglichst spektakulärer Test.
Die Frage hinter dem Test
Ein Pentest passt, wenn Sie eine Webanwendung, API, externe Angriffsfläche oder einen klar abgegrenzten Netzwerkbereich kennenlernen wollen. Der Auftrag beschreibt Ziele, Testzeiten und erlaubte Methoden. Das Ergebnis ist eine reproduzierbare Liste von Befunden mit Risiko, Beleg, betroffener Komponente und Korrekturhinweis. Ein Pentest sagt viel über den geprüften Umfang, aber wenig über nicht einbezogene Identitäten, Prozesse oder Überwachung.
Ein Red Team startet mit einem Schutzziel: etwa dem Nachweis, ob ein Angreifer vom Internet aus an eine bestimmte geschäftskritische Ablage gelangen könnte. Das Team darf dafür mehrere Schwachstellen und Fehlkonfigurationen kombinieren, soweit der Auftrag es erlaubt. Gleichzeitig wird geprüft, ob Überwachung und Eskalationswege den Versuch erkennen. Der Nachweis endet, sobald das Ziel sicher belegt ist; das Ziel ist kontrolliertes Lernen, nicht maximale Störung.
- Pentest: technische Tiefe und Abdeckung eines festgelegten Systems.
- Red Team: realistische Angriffskette gegen ein definiertes Schutzziel.
- Purple-Team-Nachbesprechung: Befund, Erkennungssignal und Abwehrmassnahme gemeinsam nachvollziehen.
Autorisierung und Stop-Regeln
Für unsere Prüfaufträge halten wir die Erlaubnis der zuständigen Verantwortlichen und den Umfang vorab schriftlich fest. Sie nennt die Organisationen, Domains, IP-Bereiche, Konten, Testfenster, Kontaktpersonen und die ausdrücklich ausgeschlossenen Systeme. Für Drittanbieter, Cloud-Dienste und Mitarbeitendengeräte müssen die jeweiligen Vertrags- oder Plattformregeln geklärt sein. Der Auftrag enthält ausserdem einen sicheren Weg für einen sofortigen Abbruch und eine Liste von Ereignissen, bei denen abgebrochen wird.
Typische Stop-Regeln sind eine erkennbare Beeinträchtigung der Produktion, Anzeichen für Datenveränderung, ein unerwarteter Zugriff auf Personaldaten oder ein Ausfall der Überwachung. Ein Notfallkontakt muss während des Fensters erreichbar sein. Testdaten sind zu bevorzugen; echte Daten werden weder kopiert noch in Berichte übernommen. Das Ergebnis darf keine Behauptung über Sicherheit ausserhalb des geprüften Umfangs enthalten.
- Schriftlicher Scope mit erlaubten und ausgeschlossenen Zielen.
- Abbruchsignal, Notfallkontakt und Wiederanlaufplan vor dem Start testen.
- Zugänge zeitlich begrenzen und nach der Übung widerrufen.
Beispiel und Entscheidung
Hypothetisches Beispiel: Ein regionaler Maschinenbauer möchte wissen, ob ein kompromittiertes Partnerkonto zu Konstruktionsdaten führen könnte. Ein Pentest der Lieferanten-Schnittstelle klärt zuerst Authentisierung, Autorisierung und Eingabevalidierung. Erst wenn die Anwendung ausreichend inventarisiert und ein Ansprechpartner verfügbar ist, kann eine eng gefasste Red-Team-Übung prüfen, ob die erlaubte Angriffskette bis zur definierten Testablage reicht. Das Team stoppt dort und meldet den Nachweis.
Entscheiden Sie sich für einen Pentest, wenn ein technischer Umfang, ein Release oder eine konkrete Änderung geprüft werden soll. Wählen Sie ein Red Team, wenn ein wichtiges Schutzziel, die Reaktionsfähigkeit und das Zusammenspiel mehrerer Kontrollen im Mittelpunkt stehen. In beiden Fällen sollten Sie Behebung, erneuten Test und Verantwortlichkeit im Voraus einplanen. Kein Verfahren garantiert, dass später kein Angriff gelingt.
Für die Auswertung hilft ein gemeinsamer Workshop mit IT, Geschäftsverantwortung und gegebenenfalls dem Sicherheitsdienst. Ordnen Sie jeden Befund einer Entscheidung zu: sofort isolieren, in einem Release beheben, kompensierende Kontrolle einrichten oder bewusst als Restrisiko akzeptieren. Halten Sie Begründung und Termin fest. So wird aus einem einmaligen Test ein nachvollziehbarer Lernzyklus, ohne aus einer Stichprobe eine pauschale Sicherheitszusage abzuleiten.
Häufige Fragen
Ist ein Red Team nur für Grossunternehmen sinnvoll?
Nein. Ein kleiner, klar begrenzter Schutzziel-Test kann für ein KMU sinnvoll sein, wenn ein Pentest allein die organisatorische Erkennung nicht beantwortet. Umfang und Risiko müssen zur Umgebung passen.
Darf ein Test Social Engineering enthalten?
Nur mit ausdrücklicher schriftlicher Freigabe, klaren Grenzen und einem sicheren Abbruchweg. Personal, Kunden und Drittanbieter dürfen nicht überraschend einbezogen werden.
Was ist nach dem Bericht wichtig?
Befunde priorisieren, Verantwortliche und Termine festlegen, Korrekturen verifizieren und die Erkennungs- und Eskalationswege mit dem Team nachbesprechen.
Von der Orientierung zur konkreten Prüfung
Zielorientierte Angriffssimulation: Erkennung, Reaktion und Schutzmassnahmen im vereinbarten Rahmen prüfen. Red Teaming für Schweizer Unternehmen.
Red Teaming: Leistung ansehen ↗Quellen und fachliche Orientierung
Die verlinkten Fachquellen erläutern die zugrunde liegenden Konzepte. Checklisten und Planungsbeispiele sind redaktionelle Orientierung für KMU; sie ersetzen keinen auf Ihre Umgebung abgestimmten Prüfauftrag.