Pentest oder Red Teaming? Die falsche erste Frage

„Wir brauchen einen Pentest." – „Wir wollen ein Red Teaming."

So beginnen viele Anfragen, die ich in den letzten Jahren gesehen habe. Und fast genauso oft stellt sich im ersten Gespräch heraus: Die gewünschte Prüfung passt gar nicht zu dem, was das Unternehmen eigentlich erreichen will. Die Prüfart wurde gewählt, bevor die eigentliche Frage geklärt war – nämlich: Was wollt ihr durch diese Überprüfung herausfinden – und welches Ziel verfolgt ihr damit?

Das ist keine akademische Spitzfindigkeit. Wer die falsche Prüfart beauftragt, bezahlt entweder zu viel für Erkenntnisse, die es günstiger gegeben hätte – oder bekommt einen Bericht, der die wichtigsten Fragen gar nicht beantwortet.

Eine kleine Serie

Deshalb starte ich mit diesem Beitrag eine Serie über Sicherheitsüberprüfungen und ihre richtige Auswahl. In den nächsten Tagen erscheinen hier drei weitere Teile:

• Teil 2 – Die Landkarte: Welche Prüfarten es gibt, was ihr jeweiliges Ziel ist – und welche Prüfart zu welchem Unternehmensziel passt
• Teil 3 – Die Reifegrad-Treppe: Warum die richtige Prüfart von eurem Reifegrad abhängt – und aufwendige Prüfungen ohne Grundhygiene rausgeworfenes Geld sind
• Teil 4 – Regulatorik & Motivation: Was NIS2, CRA und DORA wirklich verlangen – und warum Compliance das Minimum ist, nicht das Ziel

Alles dasselbe? Eben nicht.

Pentest, Red Teaming, Schwachstellenscan, Audit, Assessment – diese Begriffe werden im Alltag oft synonym verwendet. Dabei bezeichnen sie sehr unterschiedliche Prüfarten mit sehr unterschiedlichen Zielen: Ein Schwachstellenscan beantwortet eine andere Frage als ein Pentest, ein Pentest eine andere als ein Red Teaming, und ein Audit wieder eine ganz andere.

Bevor man also über eine konkrete Prüfung spricht, sollte man sich drei Fragen stellen:

1. Was wollen wir wissen? Ob wir angreifbar sind? Ob wir einen Angriff bemerken und darauf reagieren würden? Oder ob wir bestimmte Anforderungen erfüllen?
2. Wo stehen wir heute? Haben wir unsere Grundlagen – Patch-Management, Härtung, Berechtigungskonzepte – bereits im Griff, oder fangen wir gerade erst an?
3. Was passiert mit dem Ergebnis? Wer setzt die Erkenntnisse um, mit welchem Budget, in welchem Zeitrahmen?

Wie sehr die Antworten auf diese Fragen die Wahl der Prüfart verändern, zeigen zwei Beispiele aus meiner Projektpraxis.

Zwei Anekdoten aus der Praxis

Das AD-Assessment, das keines mehr brauchte. Ein Unternehmen beauftragte ein Active-Directory-Assessment. Nach Abschluss des Projekts sagte der durchführende Kollege sinngemäß: „90 % dieses Berichts hätte ich schon nach dem ersten Interview schreiben können, ohne das System je gesehen zu haben – denn aus dem Gespräch ging bereits hervor, dass bislang überhaupt keine Härtung der AD-Infrastruktur stattgefunden hatte." In den ersten Stunden fand er mehr Findings, als sinnvoll in einen Abschlussbericht passen. Das Assessment war nicht wertlos – aber ein Bruchteil des Budgets hätte gereicht, um zum selben Ergebnis zu kommen: Erst härten, dann prüfen.

Das Red Teaming, das es zu einfach hatte. In einem anderen Projekt gelang dem Red Team der Initial Access über einen veralteten Drucker. Und dabei blieb es nicht: Im Netz fanden sich so viele veraltete und schwach konfigurierte Systeme, dass die Kompromittierung des gesamten Netzes zum Selbstläufer wurde. Der Haken daran: Genau diese Systeme hätte ein Schwachstellenscan erkannt – zu einem Bruchteil der Kosten. So hat das Red Teaming nur den einfachsten Weg gefunden. Seine eigentliche Stärke – komplexe Angriffspfade aufzudecken, die automatisierte Scans nicht erkennen können – kam gar nicht erst zum Zug.

Beide Unternehmen haben etwas gelernt. Aber beide hätten mit einer anderen – deutlich günstigeren – Prüfart mehr für ihre Sicherheit erreicht: das eine mit einem Härtungs-Review samt klarer Umsetzungsmaßnahmen, das andere mit einem Schwachstellenscan und konsequentem Patch- und Konfigurationsmanagement. Ein Red Teaming wäre danach immer noch sinnvoll gewesen – dann aber mit echtem Erkenntnisgewinn.

Die richtige Prüfung schlägt die teure Prüfung

Genau darum geht es in dieser Serie: nicht darum, welche Prüfart die „beste" ist – sondern welche die richtige für euer Ziel und euren Reifegrad ist.

Die Auswahl der passenden Sicherheitsüberprüfung ist selbst schon Beratungsleistung. Ich unterstütze Unternehmen genau dabei: bei der Auswahl der wirksamsten Maßnahmen – ob im Rahmen eines Secure Software Development Lifecycle (SSDLC) oder in der Security-Beratung zur Erhöhung der Resilienz. Wenn ihr gerade vor der Frage steht, welche Überprüfung ihr braucht: Meldet euch gerne, bevor ihr beauftragt – nicht danach.

Demnächst in Teil 2: Die Landkarte der Sicherheitsüberprüfungen – welche Prüfart welches Ziel verfolgt und welche zu eurem passt.