Die Firma hat den Pentest bestanden, wurde aber trotzdem gehackt? Erfahre, warum Red Teaming und APT-Simulationen die IT-Abwehr verbessern.
Der Pentest ist abgeschlossen, der Bericht sieht gut aus und kritische Sicherheitslücken wurden nicht gefunden. Also alles sicher? Ganz so einfach ist es leider nicht. Ein Penetrationstest kann wertvolle Schwachstellen aufdecken. Wie aussagekräftig das Ergebnis ist, hängt jedoch davon ab, wie getestet wurde. Automatisierte Scans und standardisierte Prüfungen stoßen dort an Grenzen, wo ein echter Angreifer beginnt, verschiedene Schwächen miteinander zu kombinieren.
Nach dem Pentest: Ein grüner Bericht ist kein Freifahrtschein
Ein Penetrationstest ist zunächst eine Momentaufnahme, denn er untersucht einen bestimmten Bereich zu einem bestimmten Zeitpunkt und unter vorher festgelegten Bedingungen. Schon deshalb kann ein positives Ergebnis nicht bedeuten, dass ein Unternehmen dauerhaft gegen jeden Angriff geschützt ist.
Entscheidend ist außerdem die Prüftiefe: Automatisierte Scanner sowie bekannte Frameworks wie Metasploit leisten zwar wertvolle Dienste bei der Suche nach bekannten Sicherheitslücken, veralteter Software oder Standard-Fehlkonfigurationen. Solche Tools bilden jedoch nur einen Teil des Werkzeugkastens ab. Wenn es um komplexe Logikfehler oder das Zusammenspiel mehrerer Systeme geht, geraten reine Standard-Verfahren schnell an ihre Grenzen. Echte Angreifer verlassen sich nicht nur auf fertige Exploits aus bekannten Frameworks, sondern entwickeln individuelle Wege, um Systeme zu unterwandern.
Genau hier setzt manuelles Testing an. Unternehmen, die komplexe Angriffspfade mit einem professionellen Pentest aufdecken möchten, können beispielsweise untersuchen lassen, wie weit ein Angreifer mit einer zunächst unscheinbaren Schwachstelle tatsächlich gelangen würde. Nach Erfahrungen aus der Praxis von Offensive-Security-Spezialisten wie Exfilion aus Deutschland oder SEC Consult aus Österreich oder von der Schweizer Compass Security erfordert dies zielgerichtetes manuelles Testing und weiterführende Simulationen, die über das klassische Pentesting hinausgehen.
Vom Pentest zum Red Teaming und zur APT-Simulation
Während ein Standard-Penetrationstest meist eine möglichst vollständige Liste von Schwachstellen in einem definierten Bereich liefert, Verfolgen Red Teaming und APT-Simulationen (Advanced Persistent Threat) ein grundlegend anderes Ziel: Sie testen die tatsächliche Abwehrberechtigung und Reaktionsfähigkeit der gesamten Organisation unter realen Bedingungen.
- Reale Angreifer-Taktiken: Bei einer APT-Simulation wird die Vorgehensweise hochentwickelter, meist staatlicher oder hochgradig organisierter Hackergruppen nachgebildet. Es geht nicht darum, in kurzer Zeit möglichst viele Türen einzutreten, sondern um leise, schrittweise Versteckspiel-Taktiken (Persistence, Evasion, Lateral Movement).
- Ganzheitlicher Ansatz: Ein Red Team simuliert einen echten Gegner. Es kombiniert technische Exploits mit Social Engineering, Spear-Phishing oder physischen Zugangsversuchen.
- Prüfung des Blue Teams: Ein zentraler Vorteil des Red Teamings ist die Validierung der eigenen Sicherheitszentrale (SOC / Blue Team). Es wird nicht nur geprüft, ob Sicherheitslücken existieren, sondern ob die internen Systeme und Analysten den verdeckten Angriff überhaupt bemerken und rechtzeitig reagieren können.
Nochmals kurz erklärt: Was bedeutet Red Teaming? Das ist im Bereich der IT-Sicherheit eine umfangreiche wie realistische Angriffssimulation. Dabei schlüpft das „Red Team“ in die Rolle einer Gruppe Hacker. Das „Blue Team“ versucht hingegen im Rechenzentrum der Behörde oder Firma die Angriffe abzuwehren.
Ein kleiner Fehler kann plötzlich große Folgen haben
Nicht jede Sicherheitslücke ist für sich genommen eine Katastrophe. Eine zu großzügig vergebene Berechtigung, ein vergessener Test-Account oder eine intern erreichbare Konfigurationsdatei wirken im Pentest-Bericht oft harmlos.
In einer echten APT-Simulation wird jedoch genau diese Verkettung gefährlich:
- Aus einem Phishing-Klick oder einem unscheinbaren Login entsteht ein erster Fuß in der Tür (Initial Access).
- Über lokale Berechtigungsschwächen werden höhere Rechte erlangt (Privilege Escalation).
- Der Angreifer bewegt sich unbemerkt im Netzwerk weiter (Lateral Movement), bis er Zugriff auf kritische Kerndaten oder die Domänensteuerung erhält.
Ein Angreifer fragt nicht danach, wie kritisch ein einzelnes Finding im Isolationszustand bewertet wurde. Ihn interessiert ausschließlich, ob es ihn seinem eigentlichen Ziel, dem Diebstahl von Betriebsgeheimnissen oder der vollständigen Übernahme der IT näherbringt.
Business-Logik passt in keine einfache Checkliste
Besonders deutlich werden die Grenzen automatisierter Tests bei der Geschäftslogik einer Anwendung. Ein System kann technisch genau das tun, wofür man es programmiert hat. Es kann trotzdem passieren, dass das System einen problematischen Ablauf ermöglicht. Denkbar sind beispielsweise Rollen- und Berechtigungskonzepte, bei denen Nutzer auf Funktionen zugreifen können, die für sie eigentlich nicht vorgesehen sind. Auch ungewöhnliche Kombinationen regulärer Funktionen können Sicherheitsprobleme verursachen.
Solche Fehler müssen nicht zwangsläufig auf einer klassischen Softwarelücke beruhen. Um sie zu erkennen, muss ein Tester verstehen, wie eine Anwendung funktionieren soll und welche Möglichkeiten sich ergeben, wenn einzelne Abläufe anders genutzt werden als vorgesehen. Ein automatisierter Scan kann Hinweise liefern, den Kontext einer komplexen Anwendung zu erfassen, ist jedoch eine andere Aufgabe.
Was Unternehmen aus Audits und Simulationen mitnehmen sollten
Ein bestandener Pentest ist ein guter erster Schritt, um die IT-Hygiene zu überprüfen. Wer jedoch wissen möchte, wie gut die eigene Organisation gegen motivierte und zielgerichtete Angriffe geschützt ist, muss die Perspektive wechseln:
- Sicherheit als Prozess verankern: Sicherheitsmaßnahmen, Patchmanagement und automatisierte Scans bilden das Fundament.
- Ergebnisse aktiv aufarbeiten: Das reine Wissen um Schwachstellen reicht nicht – Erkenntnisse aus Pentests und Red Teaming müssen in konkrete Härtungsmaßnahmen und verbesserte Detection-Regeln einfließen.
- Erkennungs- und Reaktionszeiten testen: Erst durch Red Teaming zeigt sich, wie effektiv das Zusammenspiel aus Technik, Prozessen und Mitarbeitern im Ernstfall funktioniert.
Sicherheit ist kein Haken auf einer Checkliste
Ein grüner Prüfbericht ist beruhigend, darf aber nicht zu trügerischer Sicherheit verleiten. Moderne Cyberangriffe sind dynamisch, anpassungsfähig und zielgerichtet. Ein umfassender Schutz entsteht erst, wenn Unternehmen neben klassischen Pentests auch verdeckte Angriffs- und APT-Szenarien simulieren lassen, um ihre Abwehr unter realistischen Bedingungen zu härten.
Hinweis: Wir haben für die Veröffentlichung dieses Gastartikels zum Thema „Pentest bestanden und trotzdem gehackt: Wo Red Teaming und APT Simulationen mehr bieten“ eine Kompensation* erhalten. Damit finanzieren wir unsere Kosten, um euch an 365 Tagen im Jahr neue Interviews und News präsentieren zu können. Würden wir ausreichend viele Spenden erhalten, dann müssten wir darauf nicht zurückgreifen.
(*) Alle mit einem Stern gekennzeichneten Links sind Affiliate-Links. Wenn Du über diese Links Produkte oder Abonnements kaufst, erhält Tarnkappe.info eine kleine Provision. Dir entstehen keine zusätzlichen Kosten. Wenn Du die Redaktion anderweitig finanziell unterstützen möchtest, schau doch mal auf unserer Spendenseite oder in unserem Online-Shop vorbei.
