Wenn Sie mehr dar\u00fcber erfahren m\u00f6chten, wie Sie den richtigen Pentest-Anbieter f\u00fcr Ihr Unternehmen finden, werfen Sie einen Blick in unser Whitepaper<\/a>.<\/code><\/pre>\n\n\n\nIm Gegensatz dazu ist Red Teaming ein umfassenderer und gegnerischer Ansatz, bei dem reale Cyberangriffe auf ein Unternehmen simuliert werden, um dessen allgemeine Verteidigungsf\u00e4higkeit zu testen. Daher wird es in der Regel von der F\u00fchrungsebene angeordnet und keinem Teil des Unternehmens, auch nicht der IT-Abteilung, angek\u00fcndigt. Er wird in der Regel von einer Gruppe ethischer Hacker, dem so genannten Red Teaming, durchgef\u00fchrt, die versuchen, mit allen Mitteln \u2013 physisch, digital oder sozial \u2013 in die Verteidigungssysteme eines Unternehmens einzudringen, die \u00fcblicherweise als blaues Team bezeichnet werden. Das Hauptziel besteht nicht nur darin, Schwachstellen zu finden, sondern zu verstehen, wie sich reale Bedrohungen auf ein Unternehmen auswirken w\u00fcrden, und so die Bereitschaft des Unternehmens zu testen.<\/p>\n\n\n\n
Umgang und Tiefe<\/h5>\n\n\n\n
Ein Pentest ist in der Regel enger gefasst und konzentriert sich auf bestimmte Ziele wie Webanwendungen, Netzwerke oder physische Sicherheit. Der Umfang ist im Voraus festgelegt, und der Pr\u00fcfer oder das Team folgt einem strukturierten Ansatz, oft unter Verwendung einer Checkliste mit bekannten Schwachstellen. Da sie enger gefasst sind, liegt der Schwerpunkt in der Regel darauf, festzustellen, ob eine Organisation gegen bestimmte Schwachstellen gesch\u00fctzt ist.<\/p>\n\n\n\n
Red-Teaming-\u00dcbungen sind breiter angelegt und weniger vorhersehbar. Der allgemeine Zweck besteht darin, die Erkennungs- und Reaktionsf\u00e4higkeiten einer Organisation zu testen, und hier kommt das Blue Team der Organisation ins Spiel. Das Read-Teaming ahmt reale Angreifer nach, d. h. es entscheidet spontan, welche Taktiken, Techniken und Verfahren es einsetzt, um vordefinierte Ziele zu erreichen. Letztere sind im Vergleich zu Pen-Tests lockerer definiert und lauten oft Ziele wie „das Backup-System infiltrieren und einen Code-Schnipsel platzieren“ oder „das ERP-System infiltrieren und Daten exfiltrieren“. Im Allgemeinen kann der ganzheitliche Ansatz alles umfassen, von Phishing-Versuchen bei Mitarbeitern \u00fcber das Sammeln von Anmeldeinformationen als Grundlage f\u00fcr laterale Bewegungen bis hin zum physischen Einschleichen in Geb\u00e4ude.<\/p>\n\n\n\n
Dauer und H\u00e4ufigkeit<\/h5>\n\n\n\n
Pen-Tests sind in der Regel von k\u00fcrzerer Dauer und dauern oft nur wenige Tage bis mehrere Wochen. Unternehmen k\u00f6nnen sie in regelm\u00e4\u00dfigen Abst\u00e4nden, oft j\u00e4hrlich, oder nach wesentlichen \u00c4nderungen an ihrer IT-Infrastruktur oder ihren Systemen durchf\u00fchren. In einigen Branchen sind regelm\u00e4\u00dfige Pen-Tests sogar vorgeschrieben, um bestimmte Gesetze oder Vorschriften einzuhalten.<\/p>\n\n\n\n
Aufgrund seines umfassenden Charakters kann das Red Teaming bis zu mehreren Monaten dauern. Es wird weniger h\u00e4ufig durchgef\u00fchrt als Pentests, da diese umfangreich und oft ressourcenintensiv sind. Die l\u00e4ngere Dauer hat zwei Gr\u00fcnde: Erstens m\u00f6chte das Red Team m\u00f6glichst unbemerkt bleiben, was umso schwieriger wird, je schneller es sich in der Infrastruktur bewegen und Angriffe durchf\u00fchren muss. Eine gute Faustregel ist, die Dauer mit dem 1,5- oder 2-fachen der geplanten Personentage des roten Teams zu berechnen. Zweitens: Um einen realen Angriff so gut wie m\u00f6glich zu simulieren, ist es von Vorteil, ein breiteres Spektrum an Zielen und Angriffen abzudecken. Das bedeutet, dass das rote Team m\u00f6glicherweise damit beginnen muss, sich \u00fcber Social Engineering oder einen physischen Einbruch Zugangsdaten zu beschaffen, um in das Notebook eines Mitarbeiters einzudringen, damit es dann auf der Grundlage dieser Zugangsdaten das Backup-System angreifen kann.<\/p>\n\n\n\n
Berichterstattung und Ergebnisse<\/h5>\n\n\n\n
Das Ergebnis eines Pentests ist ein detaillierter Bericht, in dem die entdeckten Schwachstellen, ihr Schweregrad, ihre potenziellen Auswirkungen und Empfehlungen f\u00fcr ihre Behebung aufgef\u00fchrt sind.<\/p>\n\n\n\n
Red Teaming liefert einen eher narrativ ausgerichteten Bericht, in dem die Angriffsroute (auch Kill-Chain genannt) beschrieben wird – wie sie in das System eingedrungen sind, welche Taktiken sie verwendet haben und die Abfolge ihrer Aktionen (der sogenannte Angriffspfad). Dieser Bericht gibt Aufschluss \u00fcber das Verhalten der Bedrohungsakteure und die Reaktionen des Unternehmens. Au\u00dferdem sollte er eine Zuordnung zu einem gemeinsamen Sprachrahmen wie MITRE<\/a> und Empfehlungen enthalten, wie solche Angriffe in Zukunft abgewehrt werden k\u00f6nnen. Diese Empfehlungen umfassen technische, organisatorische, physische und prozessuale Ma\u00dfnahmen.<\/p>\n\n\n\nDenkweise und Ansatz<\/h5>\n\n\n\n
Pentester gehen von einer probleml\u00f6senden Denkweise aus. Sie suchen Schwachstellen mit Hilfe einer Reihe von vordefinierten Tools und Methoden und arbeiten innerhalb der festgelegten Parameter.<\/p>\n\n\n\n
Red Teamer gehen von einer gegnerischen Denkweise aus. Sie denken und handeln wie echte Angreifer und erforschen jede noch so unkonventionelle Angriffsm\u00f6glichkeit.<\/p>\n\n\n\n
Fazit<\/h5>\n\n\n\n
Obwohl sowohl Pentests als auch Red Teaming eine zentrale Rolle in der Cybersicherheitsstrategie eines Unternehmens spielen, dienen sie unterschiedlichen Zwecken und bieten verschiedene Erkenntnisse. Pentests bieten eine gezielte, eingehende Analyse spezifischer Schwachstellen, w\u00e4hrend Red Teaming einen ganzheitlichen \u00dcberblick \u00fcber die Verteidigungs- und Reaktionsf\u00e4higkeiten eines Unternehmens gegen\u00fcber realen Bedrohungen bietet.<\/p>\n\n\n\n
Die Wahl zwischen den beiden Methoden (oder die Entscheidung f\u00fcr beide) h\u00e4ngt von den individuellen Sicherheitsanforderungen, dem Risikoprofil und dem Reifegrad der Sicherheitsvorkehrungen eines Unternehmens ab. Wenn Unternehmen die Feinheiten beider Ans\u00e4tze verstehen, k\u00f6nnen sie ihre Cybersicherheitsbem\u00fchungen besser auf ihre spezifischen Anforderungen abstimmen und eine solide Verteidigungsposition im heutigen digitalen Zeitalter sicherstellen.<\/p>\n\n\n\n