Angriffssimulationen: sehen Sie, wie Ihr Unternehmen einem echten Angriff standhält

Ein Penetrationstest beantwortet, ob ein System geknackt werden kann, und strebt maximale Schwachstellenabdeckung in einem definierten Umfang an. Eine Angriffssimulation geht weiter und testet den gesamten Angreiferpfad zu einem konkreten Geschäftsziel sowie die Frage, ob Ihr Team es überhaupt bemerken würde.

In der Praxis ergänzen sich beide. Ein Pentest zeigt, wo die Lücken in einer einzelnen Anwendung sind. Eine Simulation zeigt, ob diese Lücken zu einem echten Einbruch zusammenlaufen und ob Monitoring und Reaktionsteam reagieren, bevor der Angreifer die Daten erreicht. Eine reife Organisation braucht beides.

Red Team führen wir ohne Wissen der Verteidiger durch, im Blind-Modus, um einen echten gezielten Angriff möglichst getreu abzubilden und die Erkennungsfähigkeit zu messen. Purple Team setzt Offensive und Defensive an denselben Tisch: unsere Operatoren und Ihr Team arbeiten offen und verbessern Erkennungsregeln schon während der Übung.

TLPT, also Threat-Led Penetration Testing, ist die am stärksten formalisierte Variante, durchgeführt nach dem TIBER-EU-Rahmen und von DORA für zentrale Finanzunternehmen gefordert. Die Wahl hängt von Reife und Ziel ab. Wenn Sie Erkennung erst aufbauen, beginnen Sie mit Purple Team. Wenn Sie die Bereitschaft unter realen Bedingungen prüfen wollen, wählen Sie Red Team.

Wir beginnen nicht bei den Werkzeugen, sondern bei der Threat Intelligence. Wir ermitteln, welche Gruppen Ihre Branche real angreifen und welche Techniken sie nutzen, und bilden dann ihr Vorgehen nach, abgebildet auf die MITRE-ATT&CK-Matrix. So testet die Übung die Bedrohungen, die Sie wirklich betreffen, kein generisches Lehrbuchszenario.

Die volle Kette umfasst den Einstieg, meist über Phishing oder Perimeter-Exposition, Persistenz, laterale Bewegung, Rechteausweitung und das Erreichen des vereinbarten Ziels, etwa Kundendaten oder eines Domänencontrollers. Jeder Schritt ist dokumentiert und reproduzierbar, sodass Sie nach dem Test nicht nur wissen, dass es geklappt hat, sondern genau wie.

Das Ergebnis einer Simulation ist keine Schwachstellenliste, sondern ein Bild Ihrer realen Resilienz. Wir messen, welche Aktionen erkannt wurden und welche unbemerkt blieben, und wie viel Zeit von der Aktion bis zu Erkennung und Reaktion verging. Das sind harte Zahlen, die Sie senken und beim nächsten Test vergleichen können.

Der Bericht enthält ein Schritt-für-Schritt-Angriffsnarrativ, eine Karte der eingesetzten Techniken auf ATT&CK und konkrete Erkennungslücken mit Empfehlungen für Ihr SOC. In der Purple-Team-Variante schließen wir mit einer gemeinsamen Session ab, in der wir Erkennungsregeln sofort verbessern, sodass ein Teil des Werts vor dem Bericht ankommt.

Für Finanzunternehmen ist TLPT eine ausdrückliche DORA-Anforderung, aufgebaut auf dem TIBER-EU-Rahmen. NIS2 erwartet wiederum, dass wesentliche und wichtige Einrichtungen ein Incident-Response-Verfahren nicht nur beschreiben, sondern ausführen können, und eine Simulation ist der beste Nachweis dieser Fähigkeit.

Wir erstellen unsere Berichte so, dass sie einer Aufsicht vorgelegt werden können, mit dokumentiertem Umfang, Methode und Nachweisen. Eine Simulation bestätigt, dass die auf dem Papier erklärten Erkennungs- und Reaktionsmechanismen unter realitätsnahen Bedingungen tatsächlich funktionieren.