Wenn Red Teams das Unvorstellbare aufdecken

Viele Organisationen glauben, sie seien sicher – bis ein Red Team das Gegenteil beweist.

In meinen 28 Jahren im Bereich Offensiver Sicherheit habe ich selbst gesehen, wie schnell das Vertrauen in die eigene Sicherheit zusammenbricht, wenn realistische Angriffstaktiken auf die Unternehmensverteidigung angewendet werden. Red-Team-Operationen testen nicht nur Systeme, sondern drücken die Grenzen des Zugangs aus der Perspektive eines entschlossenen, sophisticateden Angreifers aus. Oft sind die Regeln des Engagements weiter gefasst, so dass nicht nur Server-Seite-Angriffe, sondern auch soziale Manipulation, Wireless- und sogar physische Techniken erlaubt sind. Was wir oft in unseren Operationen feststellen, ist, dass katastrophale Zugriffsebenen möglich sind

Mein Team und ich haben Netzwerk-Fußfasern erlangt und Privilegien eskaliert, um Zugriff auf und sogar Kontrolle über kommerzielle Hochöfen, Treiber-Code-Signier-Infrastruktur, Gehalts-Systeme, sensible IP, Bank-Host-Systeme, CCTV-Systeme, CFO-Postfächer, MRI/X-Ray-Maschinen-Ergebnisse, Dateifreigaben voller PHI, zahlreiche interessante Dateien, 2. Wohnsitze von CEOs, die VPN-verknüpft mit Unternehmensnetzwerken waren, und vollständige Hash-Dumps vieler, vieler Active-Directory-Wälder.

Wir haben uns von Cloud-Ressourcen auf Unternehmensnetzwerke verlagert und umgekehrt. Manchmal ist das größere Ziel das einfacherere, unabhängig von der Größe des Infosec-Budgets. Dies liegt an der natürlichen Asymmetrie zwischen Angreifern und Verteidigern. Größere Skala bedeutet mehr Chancen für ungewollt exponierte Schwachstellen. Diese Risiken sind nicht theoretisch. Sie sind real, und mehr Organisationen sind anfällig für dieses Ausmaß an Kompromittierung, als sie sich bewusst sind.

Fußfasern

Externe Datenlecks beginnen mit einer Fußfaser – einem initialen Zugriffspunkt, der die Tür zu tieferer Kompromittierung öffnet. In unserer Arbeit kategorisieren wir Fußfasern in vier primäre Arten:

1. Soziale Manipulation

Obwohl häufig, betrachten wir sie als die wenigsten lohnenswerten. Benutzer dazu zu bringen, Links zu klicken oder Anmeldedaten preiszugeben, ist effektiv, aber es spiegelt nicht die Fähigkeit eines sophisticateden Angreifers wider. Dennoch haben wir gesehen, wie Angreifer CFO-E-Mails spoofen, um “dringende” Überweisungen zu initiieren oder AI-generierte Stimmenklone verwenden, um Help-Desk-Protokolle zu umgehen.

2. Passwort-Spraying

Diese langsame und sichere Technik bleibt eine der effektivsten. Durch erraten von häufigen Passwörtern über große Benutzerlisten hinweg, vermeiden Angreifer Sperren und haben oft Erfolg. Wir haben Netzwerke geknackt, indem wir nichts weiter als “Summer2025!” über Tausende von Benutzernamen verwendet haben, die aus öffentlichen Quellen gesammelt wurden. Ich würde schätzen, dass mehr als 1 von 1000 Unternehmensbenutzer es verwenden würde, es sei denn, ein Verbot von Wörtern wie “Summer” und “2025” und “25” ist in Kraft, um solche Zeichenfolgen zu blockieren. Für eine längere Passwort-Richtlinie würde ich “Summertime2025!” als Beispiel schätzen.

3. MFA-Schwachstellen

Mehr-Faktor-Authentifizierung ist essentiell, aber nicht unfehlbar. Wie bei allen Sicherheitskontrollen ist eine gründliche, konsistente Bereitstellung der Schlüssel. Wir haben MFA umgangen, indem wir Push-Fatigue, bedingte Zugriffs-Schleifen und veraltete Registrierungs-Links verwendet haben. In einem Fall haben wir unser eigenes Gerät registriert, indem wir einen sechs Monate alten Link in einem kompromittierten Postfach gefunden haben.

4. Exploitable Schwachstellen

Benutzerdefinierte Web-Anwendungen sind besonders anfällig. Wir haben alles von SQL-Injection bis Pfad-Traversierung bis Objekt-Deserialisierungs-Bugs bis Logik-Fehler ausgenutzt, die es basic-Benutzern ermöglichen, ihre eigenen Preise bei der Abrechnung festzulegen oder sich zu Admin-Zugriff zu erhöhen. Veraltete kommerzielle Software-Komponenten können sogar zu Remote-Code-Ausführung führen, wenn sie nicht gepatcht werden.

Realitäts-Check: Compliance vs. Exposition

Sicherheits-Audits malen oft ein rosige Bild. Aber Red-Teams operieren außerhalb des Skripts. Regeln des Engagements bei Red-Team-Operationen sind oft viel weiter gefasst als Standard-Pen-Testing – wir simulieren Angreifer mit präzisen Zielen.

In vielen Engagements haben Kunden oft eine Sammlung von vielen vergangenen Penetrations-Tests von verschiedenen Firmen, mit wenig bis gar keiner Demonstration von “Penetration”. Es ist nicht ungewöhnlich, dass wir diese Wahrnehmung korrigieren, indem wir signifikante Zugriffsebenen von grundlegenden, unauthentifizierten, externen Pen-Tests erreichen. Die Lücke zwischen wahrgenommener und tatsächlicher Risiken kann enorm sein. Qualität, Abdeckung, Pen-Testing ist wertvoller als zielorientierte Red-Team-Operationen für Organisationen mit weniger ausgereiften Sicherheits-Posturen.

AIs Rolle in Offensiver Sicherheit

Obwohl AI noch nicht die menschliche Erfindungsgabe im Red-Teaming ersetzt hat, beschleunigt es unsere Arbeitsabläufe. Wir verwenden generative AI, um Proof-of-Concept-Exploits schneller zu erstellen, Angriffsflächen zu analysieren, Stimmen während Vishing-Operationen zu simulieren und sogar authentisch aussehende Phishing-Kampagnen zu erstellen. Der Aufstieg von agenter AI, die auf öffentlichen Bug-Bounty-Listen Spitzenplätze erreicht, ist ein Zeichen dessen, was kommt.

Empathie für Verteidiger

Trotz unserer offensiven Rolle respektieren wir Verteidiger tief. Die Asymmetrie ist real: Verteidiger müssen 24/7 perfekt sein; Angreifer benötigen nur einen Fehler. Deshalb enthalten unsere Berichte nicht nur Schwachstellen, Kill-Chains, Screenshots und realen Einfluss; an der Spitze unseres Executive-Summaries stehen positive Praktiken, die wir während der Tests festgestellt haben. Wir genießen es, diese mehr als die Ergebnisse selbst zu schreiben. Wir sind Teil Ihres Teams, um zu bilden und zu beheben, nicht um aufzudecken.

Schlussfolgerung: Das Unvorstellbare ist oft direkt vor Ihnen

Red-Teams entdecken nicht nur Schwachstellen – sie zwingen Organisationen, unangenehme Wahrheiten zu konfrontieren. Die Fassade der Sicherheit versteckt oft fragile Systeme, Fehlkonfigurationen und übersehene Risiken. Und wenn wir das Unvorstellbare aufdecken, ist es nicht, um zu kritisieren – es ist, um zu stärken.

Weil in der Cybersicherheit Realitäts-Checks nicht optional sind. Sie sind das Einzige, was zwischen “sicher auf dem Papier” und einem Front-Page-Datenleak steht.