Red Teaming beantwortet die wichtigste Frage der Cybersicherheit: Könnte ein echter Angreifer unser Unternehmen kompromittieren — und würden wir es bemerken?
Red-Team-Methodik — die Anatomie eines simulierten Angriffs
Ein Red-Team-Engagement folgt der Cyber Kill Chain (Lockheed Martin) bzw. dem MITRE ATT&CK Framework: Phase 1 — Reconnaissance (2–4 Wochen): OSINT (LinkedIn, Firmenwebsite, GitHub, Shodan), Subdomain-Enumeration, E-Mail-Harvesting, Technology Stack identifizieren. Phase 2 — Weaponization: Phishing-Infrastruktur aufbauen (Domains, Zertifikate, E-Mail-Server), Payloads entwickeln (Macro-Documents, HTA, ISO/IMG), C2-Infrastruktur deployen. Phase 3 — Delivery & Initial Access: Spear Phishing, Watering Hole, Exploitation öffentlicher Dienste. Phase 4 — Post-Exploitation: Persistence, Privilege Escalation, Credential Access, Lateral Movement. Phase 5 — Actions on Objectives: Datenzugriff, Domain Admin, Exfiltration (simuliert).
- OSINT & Reconnaissance Tools: theHarvester — E-Mail-Adressen, Subdomains, IPs aus öffentlichen Quellen. Amass (OWASP) — umfassendste Subdomain-Enumeration (DNS Brute-Force, Certificate Transparency, ASN-Mapping). SpiderFoot — automatisierte OSINT-Plattform mit über 200 Modulen. LinkedIn-Harvesting — Mitarbeiternamen für E-Mail-Format-Erkennung und Spear-Phishing-Targeting. Shodan/Censys — internet-exponierte Dienste und deren Versionen. GitHub Dorking — Quellcode-Suche nach API-Keys, Credentials, internen URLs. Google Dorking —
site:target.com filetype:pdffür Metadaten-Extraktion (Autorennamen, Software-Versionen). - Initial Access Techniken 2026: Spear Phishing (weiterhin Nr. 1) — KI-generierte E-Mails mit makro-freien Payloads: HTML Smuggling (JavaScript baut Payload clientseitig zusammen), OneNote-Attachments (eingebettete Skripte), QR-Code-Phishing (umgeht E-Mail-Filter). Exploitation öffentlicher Dienste: VPN-Gateways (Ivanti, Fortinet, Citrix), Exchange-Server (ProxyShell/ProxyNotShell), Webserver (Log4Shell, Spring4Shell). Password Spraying: Wenige Passwörter gegen viele Benutzer testen (umgeht Account-Lockout). Vishing + Callback Phishing: Telefonischer Social Engineering, Remote-Access-Software installieren. Physical Access: USB-Drop, Rogue Device (WiFi Pineapple), Tailgating.
- Post-Exploitation Workflow: Nach dem Initial Access: 1) Situational Awareness:
whoami /all,net user /domain,ipconfig, Prozessliste (EDR identifizieren). 2) Persistence: Registry Run Keys, Scheduled Tasks, WMI Subscriptions, DLL Side-Loading, Golden Ticket (nach Domain Admin). 3) Credential Access: LSASS-Dump (Mimikatz/Nanodump), Kerberoasting, AS-REP Roasting, DPAPI-Secrets, Browser-Passwörter. 4) Lateral Movement: PsExec, WMI, WinRM, RDP, DCOM, SMB. 5) Domain Escalation: BloodHound-Analyse → kürzester Pfad zu Domain Admin (ACL-Ketten, Kerberos Delegation, AD CS). 6) Data Access: SharePoint, Fileshares, Datenbanken, E-Mail-Postfächer. - Assumed Breach vs. Full Red Team: Full Red Team: Der Angreifer startet von außen — muss Initial Access selbst erlangen. Vorteil: Testet die gesamte Kill Chain inkl. Perimeter-Security und Phishing-Resilienz. Nachteil: Zeitaufwändig (4–12 Wochen), teuer. Assumed Breach: Das Red Team erhält einen initialen Zugang (z. B. VPN-Account, Workstation-Zugang, C2-Implant auf einem Endpunkt) und testet ab dort. Vorteil: Fokussiert auf interne Verteidigung (Detection, Response, Segmentierung), schneller (2–4 Wochen), kosteneffizienter. 2026-Trend: Assumed Breach ist die bevorzugte Methode für die meisten Unternehmen, da der Initial Access (Phishing) fast immer erfolgreich ist.
C2 Frameworks & Infrastruktur — die Werkzeuge des Red Teams
Command & Control (C2) Frameworks ermöglichen die Fernsteuerung kompromittierter Systeme: Der C2-Server sendet Befehle, der Agent (Implant/Beacon) auf dem Zielsystem führt sie aus und sendet Ergebnisse zurück. Kommunikationskanäle: HTTP/HTTPS (am häufigsten — verschmilzt mit normalem Web-Traffic), DNS (extrem verdeckt — DNS-Queries als Datenkanal), SMB Named Pipes (für Peer-to-Peer-Kommunikation innerhalb des Netzwerks), DoH (DNS over HTTPS), WebSocket. Malleable C2 Profiles (Cobalt Strike) ermöglichen die vollständige Anpassung des Netzwerk-Traffics: Der HTTP-Request kann wie ein Google Analytics Beacon, ein Microsoft 365 API-Call oder ein jQuery CDN-Request aussehen — für Netzwerk-Monitoring schwer von legitimem Traffic zu unterscheiden.
- Cobalt Strike — der Industriestandard: Cobalt Strike (Fortra, kommerziell, ~6.000 USD/Jahr) ist das meistgenutzte C2-Framework — sowohl von Red Teams als auch von Ransomware-Gruppen (gecrackte Versionen). Features: Beacon (Agent mit Sleep, Jitter, Malleable C2), BOFs (Beacon Object Files) (In-Memory-Ausführung von C/C++-Code — kein Prozess-Spawn), Aggressor Scripts (Automatisierung), Team Server (Multi-Operator). Einschränkung 2026: Cobalt Strike ist das am besten erkannte C2-Framework — alle EDR-Produkte haben spezifische Signaturen. Deshalb: Custom Loader (Shellcode-Verschlüsselung, Sleep-Obfuscation, Indirect Syscalls) sind Pflicht.
- Sliver — die Open-Source-Alternative: Sliver (BishopFox, Open Source, Go) ist 2026 die beliebteste kostenlose Alternative zu Cobalt Strike: Cross-Platform (Windows, Linux, macOS), Multiple C2 Channels (mTLS, HTTP/S, DNS, WireGuard), Stager + Stageless Implants, In-Memory .NET Assembly Execution, Armory (Extension-System ähnlich BOFs), Multiplayer-Mode (mehrere Operatoren). Vorteil gegenüber Cobalt Strike: Weniger Signaturen bei EDR-Produkten (noch), kostenlos, aktive Community. Nachteil: Weniger ausgereifte Malleable-C2-Fähigkeiten, kleineres Ökosystem.
- Red-Team-Infrastruktur: Professionelle Red-Team-Infrastruktur besteht aus mehreren Schichten: Redirectors (Apache/Nginx Reverse Proxies mit Domain-Fronting oder CDN-Fronting — der echte C2-Server ist nie direkt erreichbar). Phishing-Infrastruktur (GoPhish + eigene Domains mit SPF/DKIM, gealterte Domains für bessere Reputation). Payload-Hosting (separate Server für Payload-Download — werden nach Zustellung zerstört). Exfil-Server (dedizierter Server für Datenexfiltration — getrennt vom C2). Long-Haul vs. Short-Haul C2: Short-Haul (schnelle Kommunikation, höheres Entdeckungsrisiko) für aktive Operationen, Long-Haul (DNS-basiert, langsames Beaconing alle 24h) für Persistenz.
- Evasion-Techniken für C2: Sleep Obfuscation: Der Beacon verschlüsselt seinen eigenen Speicher, während er „schläft“ (zwischen Callbacks) — Memory-Scanner finden keinen Schadcode im RAM. Techniken: Ekko (ROP-basiertes Sleep mit verschlüsseltem Speicher), Foliage (APC-basiert). Domain Fronting: Der C2-Traffic wird über CDNs (CloudFront, Fastly) geroutet — im TLS-SNI steht ein legitimer Hostname (z. B.
cdn.microsoft.com), aber der HTTP-Host-Header zeigt auf den C2. Verschlüsselte C2-Channels: mTLS (Mutual TLS) für authentifizierte, verschlüsselte Kommunikation. Custom Protocols: C2-Daten in DNS-TXT-Records, ICMP-Paketen, oder sogar Steganographie (Daten in Bildern).
Purple Teaming & Verbesserung — aus Angriffen lernen
Purple Teaming ist die Synthese aus Red und Blue: Beide Teams arbeiten zusammen, um die Detection-Fähigkeit systematisch zu verbessern. Der Prozess: Das Red Team führt eine ATT&CK-Technik aus → das Blue Team prüft, ob ein Alert generiert wurde → wenn nicht: Detection Gap dokumentiert und neue Sigma-Regel/SIEM-Rule erstellt → Technik erneut testen → Alert validiert. Ergebnis: Eine ATT&CK Heat Map, die zeigt, welche Techniken erkannt werden (grün) und welche nicht (rot). Jedes Purple-Team-Engagement verbessert die Coverage messbar.
- Red-Team-Report-Struktur: Ein professioneller Red-Team-Report enthält: Executive Summary (Ergebnisse für das Management — 1 Seite), Scope & Rules of Engagement (was wurde getestet, welche Einschränkungen), Attack Narrative (chronologische Darstellung des gesamten Angriffspfads — von Recon bis Objective), TTP-Mapping (jede verwendete Technik auf MITRE ATT&CK gemappt), Detection Gaps (welche Techniken wurden NICHT erkannt — das wertvollste Kapitel), Findings & Recommendations (priorisiert nach Risiko), IOCs (Indicators of Compromise — IPs, Domains, Hashes, die das Blue Team für Detection nutzen kann).
- TIBER-EU & regulatorische Red-Team-Standards: TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) — EU-Framework für Red Teaming im Finanzsektor: Phase 1: Threat Intelligence (TI-Provider erstellt ein maßgeschneidertes Threat Profile). Phase 2: Red Team Test (basierend auf dem TI-Report — simuliert die identifizierten Threat-Akteure). Phase 3: Purple Team Replay (Blue Team erhält Details und optimiert Detection). CBEST (UK), STAR (Singapur), AASE (Australien) — nationale Varianten von TIBER. Für KRITIS-Betreiber und Finanzinstitute in der EU wird TIBER-EU zunehmend regulatorisch gefordert.
- Adversary Simulation vs. Pentest vs. Red Team: Vulnerability Assessment: Automatisierter Scan, identifiziert bekannte Schwachstellen, keine manuelle Exploitation. Penetration Test: Manuell + automatisiert, exploited Schwachstellen, Scope begrenzt (z. B. „nur Web-App“ oder „nur externes Netzwerk“), zeitlich begrenzt (1–2 Wochen), Blue Team ist informiert. Red Team Engagement: Simuliert echten Angreifer, unbegrenzter Scope (alles ist Ziel), länger (4–12 Wochen), Blue Team ist NICHT informiert (testet Detection + Response), Ziel ist ein konkretes Objective (z. B. „Zugriff auf Finanzdaten“). Adversary Simulation: Wie Red Team, aber automatisiert (Atomic Red Team, Caldera) — kontinuierlich, nicht einmalig.
- Continuous Red Teaming (2026-Trend): Statt jährlicher Red-Team-Engagements: Continuous Automated Red Teaming mit Plattformen wie AttackIQ, SafeBreach, Picus Security. Diese simulieren täglich hunderte ATT&CK-Techniken und messen die Detection Coverage. Breach and Attack Simulation (BAS): Automatisierte, sichere Simulation von Angriffstechniken in der Produktionsumgebung. Ergebnis: Echtzeit-Security-Posture-Score — „Heute erkennen wir 67 % der MITRE-Techniken, letzte Woche waren es 63 %“. Integration mit SIEM: Jeder nicht erkannte Angriff wird automatisch als Detection-Engineering-Ticket erstellt.
Sie benötigen Unterstützung?
Red Teaming beantwortet die Frage, die kein Vulnerability Scan beantworten kann: „Könnte ein echter Angreifer unser Unternehmen übernehmen?“ Wir führen Red-Team-Engagements, Assumed-Breach-Assessments und Purple-Team-Übungen durch — mit detaillierten TTP-Reports und konkreten Detection-Empfehlungen.
Security & Firewall ansehen →
