Glossar · einfach erklärt

Red Team, Blue Team, Purple Team

Red greift an, Blue verteidigt, Purple verbindet beide: So wird aus simulierten Angriffen messbar bessere Abwehr.

Die Farbenlehre der Security beschreibt Rollen: Das Red Team simuliert realistische Angriffe auf Organisation, Technik und Menschen; das Blue Team verteidigt — es erkennt, analysiert und reagiert im Alltag. Purple Teaming ist keine dritte Mannschaft, sondern ein Arbeitsmodus: Angreifer und Verteidiger arbeiten offen zusammen, Technik für Technik.

Der Zweck ist immer derselbe: Annahmen durch Belege ersetzen. Nicht ob ein Angriff möglich wäre, sondern ob er erkannt und gestoppt wird — das ist die Frage.

Wie unterscheiden sich die Übungsformen?

Ein Penetrationstest sucht möglichst viele Schwachstellen in definiertem Umfang. Ein Red-Team-Einsatz verfolgt dagegen ein Ziel — etwa Zugriff auf ein bestimmtes System — auf beliebigem Weg, oft über Wochen und ohne Vorwarnung an die Verteidiger: ein Test der gesamten Erkennungs- und Reaktionskette.

Purple Teaming macht daraus einen Lernzyklus: Gemeinsam wird eine Technik (etwa aus MITRE ATT&CK) ausgeführt, geprüft, ob Alarme entstehen, die Erkennung nachgeschärft — und wiederholt. Das liefert pro Übungstag mehr messbare Verbesserung als jeder Blindtest.

Wann welche Übung passt

Penetrationstest: Schwachstellen einer Anwendung oder Umgebung systematisch finden.
Red Team: Reife von Erkennung und Reaktion realistisch prüfen — inklusive Mensch und Prozess.
Purple Team: Erkennungslücken gezielt schließen, Technik für Technik.
Tabletop-Übung: Entscheidungswege des Managements im Ernstfall proben.

Häufige Fragen zu Red Team, Blue Team, Purple Team

Was ist der Unterschied zwischen Pentest und Red Team?

Der Pentest inventarisiert Schwachstellen in definiertem Umfang und ist den Verteidigern bekannt. Das Red Team verfolgt verdeckt ein konkretes Ziel auf beliebigem Weg — getestet wird nicht nur Technik, sondern die gesamte Erkennungs- und Reaktionskette.

Braucht ein Purple Team eigenes Personal?

Nein — Purple ist ein Format, keine Abteilung: Angreifer- und Verteidigerseite (intern oder extern) arbeiten in gemeinsamen Sessions. Gerade Mittelständler holen die Red-Seite als Dienstleistung dazu und entwickeln ihr Blue Team dabei messbar weiter.

Wie oft sollte man solche Übungen durchführen?

Pentests für exponierte Systeme mindestens jährlich und nach großen Änderungen; Purple-Sessions funktionieren gut als wiederkehrender Rhythmus, etwa quartalsweise mit wechselnden Techniken; ein vollwertiges Red Teaming je nach Reifegrad alle ein bis zwei Jahre.

Was bringt eine Übung, wenn das Red Team immer gewinnt?

Der Gewinn liegt im Wie: Welche Schritte blieben unentdeckt, welche Alarme kamen zu spät, wo brach der Prozess? Ein gutes Red Team dokumentiert die Kette so, dass daraus konkrete Erkennungs- und Härtungsmaßnahmen entstehen — das ist der eigentliche Auftrag.

Was ist ein Tabletop im Vergleich dazu?

Eine Tabletop-Übung simuliert den Ernstfall am Tisch: Management und Fachbereiche spielen Entscheidungen, Kommunikation und Eskalation durch — ohne technische Angriffe. Sie ergänzt technische Übungen um die organisatorische Seite der Reaktionsfähigkeit.