Zwei Angebote: klassischer Pentest vs. Red-Teaming zum dreifachen Preis — lohnt sich der Aufpreis?

Beim Red Teaming geht es nicht nur ums Reinkommen, sondern vor allem darum, die Erkennungsfähigkeiten des Blue Teams (der Verteidigung) zu messen. Wenn im Netzwerk keine zentralen SIEM- oder EDR-Logs zusammenlaufen, verpufft der Effekt völlig. Ein Pentest bringt euch aktuell viel greifbarere Ergebnisse, um konkrete Lücken im Code zu stopfen.

wir haben uns vor zwei jahren mal voller elan ein red team geholt. die typen haben unserem prakti ne gefälschte paket-mail geschickt sind so reingekommen und haben uns dann nen 40-seiten-bericht hingeklatscht. also fühlte sich an wie 50 tausend sar für die tonne man muss halt erst mal die grundlegenden lücken dichtmachen.

Bei einer Plattform mit 300 Großhändlern kommen bei einem Standard-Penetrationstest im Schnitt 8 bis 12 mittlere und schwerwiegende Schwachstellen raus. Wir haben bei unserem Test im Rahmen von 25.000 SAR 3 kritische Privilege-Escalation-Lücken gefunden und innerhalb von zwei Wochen gepatcht. Das Geld, das wir für ein Red Team ausgegeben hätten, ist stattdessen in die Infrastruktur geflossen.

Ihre Entscheidung sollte denkbar einfach sein: Nehmen Sie den Pentest für 25.000 SAR und buchen Sie für 5.000–10.000 SAR im Jahr eine Software für Security Awareness und Phishing-Simulationen dazu. Das Social Engineering, das ein Red Team anwenden würde, testen Sie damit intern um ein Vielfaches günstiger.

Viele Anbieter nutzen das Label „Red Teaming“ einfach als schickes Marketing-Buzzword und treiben damit die Preise hoch. Von den angeblichen 4 Wochen Laufzeit besteht die meiste Zeit sowieso aus passivem Warten und Recon. Für kleine Unternehmen ist das meistens reiner Luxus.

Bei einem 15-köpfigen Team sorgt ein Red-Teaming-Einsatz im Büro nur für unnötige Paranoia da misstraut plötzlich jeder jedem. Sichert erst mal euren Code und die Server ab. Wenn die Haustür sperrangelweit offen steht, muss man nicht den Bewegungsmelder im Garten testen.

Wenn man weder eine Alarmanlage noch einen Wachdienst hat, einem Einbrecher 75.000 SAR in die Hand zu drücken nach dem Motto „Mal sehen, ob du unbemerkt reinkommst“, ist natürlich eine geniale Budgetverwendung. Nur um zu sehen, dass sie durch die offene Tür spazieren, ist das Geld echt zu schade.

Gibt es denn in den Verträgen mit Ihren B2B-Kunden oder den Auflagen Ihrer Payment-Provider überhaupt eine explizite Klausel, die ein Red-Teaming vorschreibt oder reicht ein ganz normaler Audit-Bericht?

Wie habt ihr das Problem gelöst? Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Wer bei red teaming cyber security hetzt, stolpert alle an derselben Stelle. Wenn deine Situation anders ist, ändert sich das natürlich.

So klar geschriebene Texte sind selten.

ich würde mich freuen wenn du das Ergebnis postest.

Ich bin derselben Meinung. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn es jemand anders macht, würde mich das auch interessieren.

Gespeichert.

Der am häufigsten übersehene Punkt bei red teaming cyber security ist dieser: Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Korrigiert mich, falls ich falsch liege.

Ich möchte kurz warnen. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Du hast recht. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Korrigiert mich, falls ich falsch liege.

Ich stimme zu möchte das sogar besonders betonen. Wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Schreibt mir wenn ihr Fragen habt, ich antworte so gut ich kann.