Red Teaming, Blue Teaming und Purple Teaming

Was ist Red Teaming, Blue Teaming und Purple Teaming?

Red Teaming ist eine autorisierte, organisierte Emulation realistischer Angriffe; Blue Teaming verteidigt, Purple Teaming verbindet beide Seiten zur Verbesserung von Erkennung und Reaktion.

Technische Einordnung: Das Red Team bildet relevante gegnerische Fähigkeiten und Vorgehensweisen nach. Das Blue Team beobachtet, erkennt, verhindert und bearbeitet diese Aktivitäten. Beim Purple Teaming arbeiten offensive und defensive Funktionen transparent zusammen; dafür ist keine eigenständige Organisationseinheit erforderlich.

Für wen sind Red und Purple Teaming relevant?

Die Methoden sind für Organisationen relevant, die Systeme oder Sicherheitsfunktionen anhand plausibler Angriffspfade bewerten und ihre Erkennungs- und Reaktionsfähigkeit verbessern wollen. Der Einsatz ist nicht auf ein Security Operations Center beschränkt. Umfang und Vorgehen richten sich nach Umgebung, Bewertungsziel, Risiken und Risikotoleranz der auftraggebenden Organisation.

Quellengrenze: Die ausgewerteten technischen Quellen begründen keinen allgemein geltenden, branchenübergreifenden Pflichtanwendungsbereich.

Welche Voraussetzungen gelten vor Beginn einer Übung?

Vor Beginn müssen Auftrag und ausdrückliche Autorisierung sowie Umfang, Zielsysteme, Kontaktstellen, Informationsbehandlung und die anwendbaren Rules of Engagement festgelegt sein. Auftraggeber und autorisiertes Testteam müssen außerdem Vorkehrungen einplanen, damit Testhandlungen nicht irrtümlich als realer Sicherheitsvorfall behandelt werden oder eine Strafverfolgungsreaktion auslösen.

Eine gegenüber operativen Beschäftigten verdeckte Durchführung ersetzt nicht die Freigabe durch die zuständige Leitung. Die konkrete operative Ausgestaltung hängt von den Systemen, den Risiken und den geltenden Vereinbarungen ab.

Wie unterscheiden sich Red Teaming, Penetrationstest und Purple Teaming?

Red Teaming ist nicht mit jedem Penetrationstest gleichzusetzen. Maßgeblich sind ein vereinbartes Ziel, realitätsnahe gegnerische Vorgehensweisen und festgelegte Spielregeln. Ein Penetrationstest kann enger angelegt sein und gezielt technische Schwachstellen untersuchen. Purple Teaming stellt dagegen die Zusammenarbeit und das gemeinsame Verbessern der Verteidigung in den Mittelpunkt.

Die Begriffe werden nicht überall vollständig einheitlich verwendet. Red Teaming ersetzt weder das Schwachstellenmanagement noch sämtliche Penetrationstests.

Wie läuft die technische Zusammenarbeit ab?

Das Red Team emuliert zum Bedrohungsmodell und zum vereinbarten Umfang passende Angriffstechniken und prüft, ob definierte Ziele unter realistischen Bedingungen erreichbar sind. Dabei wird sichtbar, was die Verteidigung erkennt oder verhindert. Beim Purple Teaming werden Techniken transparent und schrittweise erprobt, damit offensive und defensive Funktionen Beobachtbarkeit, Detektion und Reaktion gemeinsam verbessern können.

MITRE ATT&CK kann dabei als gemeinsame Sprache und technisches Rahmenwerk dienen, ist jedoch keine Pflichtvorgabe. Ein Schwachstellenscan oder automatisierter Einzeltest bildet für sich genommen nicht ohne Weiteres vollständiges Red Teaming ab.

Welche Fristen, Intervalle oder Schwellenwerte gelten?

Für die allgemeinen technischen Begriffe gibt es keine universelle Frist, keine einheitliche Frequenz und keinen allgemeinen Schwellenwert. Zeitpunkt und Umfang folgen dem vereinbarten Testplan sowie dem Risiko- und Systemkontext. Sektorale, regulatorische oder vertragliche Vorgaben können eigene Werte festlegen; solche besonderen Vorgaben werden hier weder behauptet noch geprüft.

Woran lässt sich der Nutzen einer Übung erkennen?

Eine Übung sollte zeigen, ob definierte Angriffsziele erreichbar sind, welche Aktivitäten erkannt oder verhindert wurden und wo Überwachung, Reaktion oder Wiederherstellung verbessert werden müssen. Beim Purple Teaming steht zusätzlich im Vordergrund, Angriffstechniken gemeinsam nachzuvollziehen und erkannte Lücken unmittelbar in überprüfbare Verbesserungen zu überführen.

Häufige Fehlannahmen

• „Jeder Penetrationstest ist Red Teaming.“ Nein. Red Teaming erfordert ein vereinbartes Ziel, realitätsnahe gegnerische Vorgehensweisen und festgelegte Spielregeln.
• „Ein Purple Team muss eine eigene Abteilung sein.“ Nein. Entscheidend ist die Zusammenarbeit offensiver und defensiver Funktionen, nicht das Organigramm.
• „Eine verdeckte Übung braucht keine Leitungsfreigabe.“ Falsch. Verdecktheit gegenüber operativen Beschäftigten ersetzt weder Auftrag noch ausdrückliche Autorisierung.
• „Ein automatisierter Scan ist bereits vollständiges Red Teaming.“ Nicht ohne Weiteres. Ein Einzeltest bildet die organisierte, zielbezogene Emulation eines relevanten Angreifers nicht vollständig ab.
• „MITRE ATT&CK ist für jede Übung vorgeschrieben.“ Nein. Das Framework kann als gemeinsame Sprache dienen, ist aber keine allgemeine Pflichtvorgabe.
• „Red und Purple Teaming haben einen universellen Turnus.“ Nein. Zeitpunkte und Umfang hängen vom Testplan sowie vom Risiko- und Systemkontext ab; besondere Vorgaben können abweichen.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte sind fachliche Governance-Empfehlungen und keine behauptete allgemeine Rechtspflicht.

• Bewertungsziel, relevante Assets, plausible Angreifer und Risikoprioritäten festlegen.
• Auftrag, Rollen und Rules of Engagement vor der Übung ausdrücklich freigeben; Zielsysteme, Kontaktstellen, Informationsbehandlung sowie Abbruch- und Eskalationswege einbeziehen.
• Schutzvorkehrungen treffen, damit Testaktivitäten nicht mit einem realen Vorfall verwechselt werden und der Produktivbetrieb angemessen geschützt bleibt.
• Ergebnisse, erkannte und übersehene Aktivitäten sowie Entscheidungen nachvollziehbar dokumentieren und auswerten lassen.
• Erkenntnisse fortlaufend in Verbesserungen von Überwachung, Reaktion und Wiederherstellung überführen und deren Umsetzung überprüfen.

Für die Geschäftsleitung

Reichweite: Red und Purple Teaming dienen einer risikoorientierten technischen Sicherheitsbewertung; aus den ausgewerteten Quellen folgt keine allgemeine branchenübergreifende Einsatzpflicht. Entscheidung: Die Leitung sollte Ziel, Autorisierung, Rollen, Umfang und Spielregeln vorab festlegen. Nachweis: Auftrag, Freigaben, Testszenario, Beobachtungen, Ergebnisse und daraus abgeleitete Verbesserungsmaßnahmen sollten nachvollziehbar dokumentiert werden.

Quellen

• NIST CSRC: Red Team – Definition des autorisierten und organisierten Red Teams.
• NIST CSRC: Red Team/Blue Team Approach – technische Einordnung offensiver und defensiver Rollen.
• NIST SP 800-53A Rev. 5 – risikoorientierte Bewertungsverfahren und Red-Team-Übungen.
• NIST SP 800-115 – Planung und Rules of Engagement, insbesondere Abschnitte 5.5 und 5.5.1.
• UK NCSC: Could your choice of metrics be harming your SOC? – Einsatz von Red- und Purple-Team-Ansätzen zur Bewertung von Erkennung und Reaktion.
• UK NCSC Cyber Assessment Framework, Principle D1 – Übungen, Auswertung und Lessons Learned.
• MITRE ATT&CK: Adversary Emulation and Red Teaming – bedrohungsorientierte Emulation und ATT&CK als gemeinsame technische Sprache.