„Wir brauchen ein Red Team." – „Habt ihr schon einen Pentest gemacht?" – „Was ist der Unterschied?"
Diese Konversation passiert täglich. In Vorstandssitzungen, in Ausschreibungen, in Erstgesprächen mit Sicherheitsdienstleistern. Die Begriffe Red Team, Penetrationstest, Purple Team, Blue Team kursieren – oft synonym verwendet, oft falsch verstanden, fast immer falsch beauftragt.
Das ist kein Kavaliersdelikt. Wer einen Penetrationstest beauftragt, wenn er ein Red-Team-Engagement braucht, bekommt eine Liste von CVEs – aber keine Aussage darüber, ob sein SOC einen laufenden Angriff erkennen würde. Wer ein Red-Team-Engagement beauftragt, wenn sein Sicherheitsprogramm noch keine Grundlage hat, verbrennt Budget für eine Übung, die kein verwertbares Ergebnis liefert.
Dieser Beitrag ist ein Lexikon und ein Entscheidungsrahmen. Jede Farbe bekommt ihre Definition, ihren Zweck, ihre Voraussetzungen – und eine klare Antwort auf die Frage: Wann brauche ich was?
Die häufigste Fehlannahme: „Red Team ist einfach ein ausführlicherer Pentest." Das ist falsch. Ein Pentest beantwortet: Welche Schwachstellen existieren? Ein Red-Team-Engagement beantwortet: Kann ein Angreifer sein Ziel trotz aller Gegenmaßnahmen erreichen? Zwei fundamental verschiedene Fragen.
Red, Blue, Purple, Black, Green: Was jedes Team tut – und was es nicht tut
- Simuliert einen echten, zielgerichteten Angreifer mit konkretem Ziel (z.B. Zugang zu Produktionsdaten)
- Operiert verdeckt – das Blue Team weiß nicht, wann und wie der Angriff stattfindet
- Nutzt alle verfügbaren Vektoren: physisch, digital, Social Engineering, kombiniert
- Misst Erfolg nicht an gefundenen Schwachstellen, sondern an erreichtem Ziel
- Zeitrahmen: Wochen bis Monate. Ergebnis: Nachweis echter Resilienz oder fehlender Detektion
- Voraussetzung: funktionierendes Blue Team, das getestet werden kann
- Betreibt und überwacht die Sicherheitsinfrastruktur: SIEM, EDR, Firewalls, IDS/IPS
- Erkennt, analysiert und reagiert auf Sicherheitsvorfälle (Incident Response)
- Pflegt Threat Intelligence, Detektionsregeln und Security Runbooks
- Führt Schwachstellenmanagement und Patch-Prozesse durch
- Ist das Team, das im Ernstfall reagiert – und das bei Red-Team-Übungen auf die Probe gestellt wird
- Intern oder als MSSP / SOC-as-a-Service ausgelagert
- Kein eigenständiges Team – sondern eine Arbeitsweise, bei der Red und Blue gemeinsam üben
- Red zeigt live: „So habe ich angegriffen." Blue analysiert: „Was haben wir gesehen? Was nicht?"
- Ziel: Detektionslücken schließen, Alarmierungsregeln verbessern, Playbooks entwickeln
- Transparent und kollaborativ – kein Versteckspiel zwischen Angreifer und Verteidiger
- Ideal für Teams, die ihre Detektionsfähigkeiten gezielt ausbauen wollen
- Voraussetzung: Blue Team vorhanden und bereit zur Lernkurve
- Spezialisiert auf physische Angriffsvektoren: Gebäudezugang, Tailgating, Lock Picking, Rogue Devices
- Operiert ohne jegliches Vorwissen über die Zielorganisation (Black Box / Zero Knowledge)
- Kein Briefing, keine Grundrisspläne, keine internen Kontakte – reiner Außenblick wie ein echter Angreifer
- In manchen Organisationen auch: das Team, das operative physische Sicherheit betreibt (Wachpersonal, Zutrittskontrolle)
- Eng verwandt mit dem Red Team – der Unterschied liegt im Scope: Black = physisch-first, ohne Vorinformation
- Ergebnis: realitätsnäheste Einschätzung physischer Resilienz ohne Heimvorteil der Zielfirma
- Setzt die Empfehlungen aus Pentests und Red-Team-Engagements konkret um
- Übersetzt Sicherheitsbefunde in Entwicklungs- und Infrastrukturaufgaben
- Schließt die Lücke zwischen „Schwachstelle gefunden" und „Schwachstelle behoben"
- Oft keine eigenständige Rolle – sondern Dev- und Ops-Teams mit klarem Security-Auftrag
- Ohne Green Team sind Pentest-Berichte Dokumente ohne Wirkung
- Misst Erfolg: Mean Time to Remediate (MTTR) kritischer Findings
Purple Teaming ist kein Kompromiss zwischen Red und Blue. Es ist eine Lernmethodik. Wer Purple Teaming mit Red-Team-Engagement verwechselt, erwartet einen Angriffssimulator und bekommt einen Workshop. Beides ist wertvoll – aber nicht dasselbe.
Warum ein Penetrationstest kein Red-Team-Engagement ist
Der Penetrationstest ist das meistbeauftragte Sicherheitsformat – und das meistmisstandene. Nicht weil er schlecht wäre, sondern weil er für einen spezifischen Zweck entwickelt wurde, der mit dem Zweck eines Red-Team-Engagements wenig gemein hat.
Was ein Penetrationstest ist
Ein Penetrationstest ist eine strukturierte Schwachstellensuche in einem definierten Scope. Der Tester sucht systematisch nach Schwachstellen in Systemen, Applikationen oder physischen Umgebungen – und dokumentiert sie mit Bewertung, Proof of Concept und Empfehlung. Der Test hat einen klaren Start, ein klares Ende, einen klar definierten Umfang.
Typische Fragestellung: „Welche Schwachstellen existieren in unserem Webserver / unserer Zutrittskontrolle / unserem internen Netzwerk?" Das ist eine technische Inventarfrage. Die Antwort ist eine priorisierte Liste.
Was ein Red-Team-Engagement ist
Ein Red-Team-Engagement ist eine zielorientierte Angriffssimulation gegen die gesamte Sicherheitsarchitektur eines Unternehmens. Das Red Team hat ein konkretes Ziel – zum Beispiel: Zugang zu Finanzberichten, Kompromittierung des Domain Controllers, physischer Zugang zum Rechenzentrum. Wie es dieses Ziel erreicht, ist offen. Welche Vektoren es nutzt, ist unbekannt. Ob es überhaupt erkannt wird, ist die eigentliche Messgröße.
Typische Fragestellung: „Könnte ein zielgerichteter Angreifer trotz aller unserer Maßnahmen sein Ziel erreichen – und würden wir es merken?" Das ist eine Resilienzfrage. Die Antwort ist ein Narrativ mit Beweisen.
| Merkmal | Penetrationstest | Red Team Engagement |
|---|---|---|
| Ziel | Schwachstellen finden und dokumentieren | Konkretes Angriffsziel erreichen oder scheitern |
| Scope | Klar definiert, begrenzt | Offen – alle Vektoren erlaubt (im Rahmen der Rules of Engagement) |
| Blue Team weiß davon? | Meist ja (announced) oder teilweise (unannounced) | Nein – verdeckte Operation ist Kernbestandteil |
| Vektoren | Definierter Bereich (z.B. nur Netzwerk oder nur physisch) | Alle: physisch, digital, Social Engineering, kombiniert |
| Dauer | Tage bis wenige Wochen | Wochen bis Monate |
| Messgröße | Anzahl und Schwere gefundener Schwachstellen | Zielerreichung ja/nein, Erkennungszeit, Detektionslücken |
| Ergebnis | Priorisierte Schwachstellenliste mit Remediation | Angriffs-Narrativ, TTP-Mapping, Detektions-Gaps |
| Voraussetzung | Keine spezifische Sicherheitsreife nötig | Funktionierendes Blue Team erforderlich |
| Kosten | €5.000–50.000 (je nach Scope) | €30.000–200.000+ (je nach Dauer und Komplexität) |
Ein Red-Team-Engagement ohne funktionierendes Blue Team ist sinnlos – es gibt niemanden, der erkannt oder nicht erkannt werden könnte. Wer noch keine Grundschutz-Maßnahmen hat, braucht zuerst einen Pentest – kein Red Team.
Von Yellow bis White: Was die weiteren Teams bedeuten
Über die fünf Kernfarben hinaus hat sich in der Security-Community ein erweitertes Farbspektrum etabliert. Nicht alle Begriffe sind standardisiert – manche variieren je nach Organisation – aber die wichtigsten haben sich als Fachvokabular durchgesetzt.
Die Farbterminologie ist kein Standard mit ISO-Nummer – sie ist ein Kommunikationsrahmen. Was in einer Organisation „Black Team" heißt, nennt eine andere „Physical Red Team". Wichtiger als die Farbe ist die Klarheit darüber, welche Frage beantwortet werden soll.
Wann brauche ich was? Das Reifegrad-Modell für Sicherheitstests
Die wichtigste Frage ist nicht „Was ist der Unterschied zwischen Red Team und Pentest?" – sondern: „Was brauche ich jetzt, bei meinem aktuellen Sicherheitsreifegrad?" Die Antwort hängt davon ab, was im Unternehmen bereits vorhanden ist und welche Frage beantwortet werden soll.
Die häufigste Fehlinvestition: ein Unternehmen auf Stufe 1–2 beauftragt ein Red-Team-Engagement, weil es „beeindruckend klingt". Das Ergebnis: Das Red Team findet triviale Schwachstellen, die ein einfacher Pentest günstiger gefunden hätte – und das Blue Team, das noch kein SOC betreibt, kann die Detektionsfragen gar nicht beantworten.
Die zweithäufigste Fehlinvestition: ein Unternehmen auf Stufe 3–4 beauftragt jährlich nur einen Standard-Pentest, weil „das reicht für Compliance". Das Ergebnis: Schwachstellen werden gefunden, aber die eigentliche Frage – erkennen wir einen laufenden Angriff? – bleibt unbeantwortet.
Entscheidungsbaum: Was beauftragt ihr?
- Ihr wisst nicht, welche Schwachstellen ihr habt: Startet mit einem Vulnerability Scan und anschließendem Penetrationstest. Erst wissen, was kaputt ist – dann testen, ob jemand es ausnutzen kann.
- Ihr habt Schwachstellen behoben und wollt wissen, ob weitere existieren: Penetrationstest mit erweitertem Scope. Jährlich, nach größeren Änderungen an Infrastruktur oder Anwendungen, und nach regulatorischer Anforderung (NIS2, ISO 27001).
- Ihr habt ein SOC oder MSSP und wollt wissen, ob es einen echten Angriff erkennen würde: Red-Team-Engagement. Ziel definieren, Rules of Engagement festlegen, Blue Team nichts sagen – und messen, was passiert.
- Ihr wollt eure Detektionsfähigkeiten gezielt verbessern: Purple Teaming. Nicht als einmalige Übung, sondern als kontinuierlicher Workshop-Prozess, der Detektionsregeln, Playbooks und Reaktionszeiten verbessert.
- Ihr wollt physische Sicherheit testen: Physical Pentest mit oder ohne Social-Engineering-Komponente. Kann als eigenständiger Test oder als Teilbereich eines Red-Team-Engagements beauftragt werden – mehr dazu im Post zu Physical Pentesting.
- Ihr braucht einen Compliance-Nachweis: Penetrationstest mit schriftlichem Bericht und CVSS-Bewertung. Für NIS2, ISO 27001, PCI-DSS oder Versicherungsanforderungen. Ein Red-Team-Bericht ist kein Compliance-Dokument – er ist ein Resilienzbericht.
Wie physische Sicherheit in diese Farblandschaft passt
Physical Pentesting ist kein eigenständiges Farbteam – es ist ein Vektor, der in mehrere Formate eingebettet sein kann. Ein Physical Pentest im klassischen Sinn ist Stufe 2: strukturierte Suche nach physischen Schwachstellen in definiertem Scope. Ein physischer Red-Team-Angriff ist Stufe 3: verdeckte Angriffssimulation, bei der physischer Zugang ein Mittel unter mehreren ist, um ein konkretes Ziel zu erreichen.
Der Unterschied in der Praxis: Ein Physical Pentest fragt „Welche Türen können wir öffnen?" Ein physisches Red-Team-Engagement fragt „Können wir den Serverraum kompromittieren – und wenn ja, auf welchem Weg, und merkt es jemand?" Dieselben Techniken, fundamental verschiedene Fragestellungen.
In unseren Engagements kombinieren wir beide Formate: ein Physical Pentest liefert die Schwachstellenliste, ein darauf aufbauendes Red-Team-Engagement testet, ob diese Schwachstellen in einer echten Angriffssimulation ausgenutzt werden können – und ob das SOC oder das Sicherheitspersonal reagiert. Mehr zu den einzelnen Vektoren in den Posts zu Visitor Management, REX-Sensor-Angriffen, Rogue Devices und Remote Recon to Physical Breach.
Physische Sicherheit ist kein Nischenthema für Hochsicherheitsbereiche. Sie ist der am häufigsten unterschätzte Angriffsvektor – weil er außerhalb des SIEM liegt, kein Log erzeugt und kein EDR auslöst. Ein Red Team, das physische Vektoren ignoriert, simuliert einen Angreifer von 2015.
Fazit: Die richtige Farbe ist die, die eure aktuelle Frage beantwortet
Red, Blue, Purple, Yellow, Black, White, Orange – die Farblandschaft der Security-Teams ist kein Selbstzweck. Sie ist ein Vokabular für präzise Kommunikation darüber, welche Frage mit welcher Methode beantwortet wird. Wer das Vokabular versteht, kann besser beauftragen, besser budgetieren und besser erklären, warum eine bestimmte Investition notwendig ist.
Die wichtigste Erkenntnis: Kein Format ersetzt ein anderes. Ein Pentest beantwortet nicht die Fragen eines Red-Team-Engagements. Ein Red-Team-Engagement ist kein Ersatz für Purple Teaming. Und ein Vulnerability Scan ist kein Pentest. Wer diese Hierarchie versteht, baut ein Sicherheitsprogramm, das wächst – statt eines, das jährlich denselben Pentest wiederholt und sich fragt, warum die Resilienz nicht besser wird.
Weiterführend: Warum ein ISO-Audit keines dieser Formate ersetzt, erklärt der Post zu ISO 27001 vs. Physical Pentest. Was ein Physical Pentest konkret testet, zeigt die gesamte Serie zu physischen Angriffsvektoren auf diesem Blog.
Welches Format braucht ihr – und warum?
Wir helfen euch, das richtige Engagement für euren Reifegrad zu definieren: vom ersten Physical Pentest bis zum vollständigen Red-Team-Programm. Kostenloses Erstgespräch.
Erstgespräch anfragen →