Red Teaming vs. Penetrationstest: Was der Mittelstand wirklich braucht
Die Kurzantwort
Der Pentest findet die Lücken. Red Teaming zeigt, was ein Angreifer daraus macht.
- Penetrationstest: Ein festgelegter Umfang wird systematisch geprüft. Ergebnis ist eine bewertete Liste von Schwachstellen. Er beantwortet die Frage „Was ist verwundbar?“.
- Red Teaming: Ein Angreifer verfolgt ein konkretes Ziel und nimmt den Weg, der funktioniert. Er beantwortet „Wie weit kommt jemand — und merkt es einer?“.
- Für die meisten Mittelständler kommt der Pentest zuerst. Red Teaming lohnt sich, wenn die offensichtlichen Lücken geschlossen sind oder wenn Sie Ihre Erkennung testen wollen.
- Ein günstiger Mittelweg: ein kleiner externer Red-Teaming-Starter als erster Blick von außen, zum Festpreis.
Zwei Tests, zwei Fragen
„Red Teaming“ klingt nach dem gründlicheren, ernsthafteren Test. Da liegt die Frage nahe, ob man nicht gleich das machen sollte. Die ehrliche Antwort: Es ist nicht der gründlichere Test, sondern ein anderer. Er beantwortet eine andere Frage.
Ein Pentest ist wie eine Inspektion: Jemand geht das Haus Raum für Raum durch und notiert jedes offene Fenster. Red Teaming ist wie ein Einbruchsversuch: Jemand will an den Tresor, nimmt das erste Fenster, das aufgeht, und schaut, ob die Alarmanlage anschlägt. Beides ist nützlich. Aber wer noch nie eine Inspektion hatte, erfährt beim Einbruchsversuch vor allem, dass das erste Fenster offen war.
Der Vergleich auf einen Blick
| Penetrationstest | Red Teaming | |
|---|---|---|
| Leitfrage | Welche Schwachstellen hat dieses System? | Kommt ein Angreifer an ein bestimmtes Ziel — und merkt es jemand? |
| Vorgehen | Abdeckungsorientiert: der vereinbarte Umfang wird systematisch durchgegangen, inklusive angemeldeter Bereiche und Rollen | Zielorientiert: ein Angriffsweg wird so weit verfolgt, bis das Ziel erreicht ist oder nicht |
| Wer Bescheid weiß | IT und Betrieb wissen in der Regel vom Test | Oft nur ein kleiner Kreis, damit sich zeigt, ob Erkennung und Reaktion funktionieren |
| Ergebnis | Befundliste mit Schweregrad, Reproduktion und Empfehlung, plus Re-Test | Angriffspfad bis zum Ziel, die Lücken auf dem Weg und — bei einer Detection-Übung — was erkannt wurde und was nicht |
| Dauer | Wenige Tage bis einige Wochen, je nach Umfang | Vom kompakten Starter (Bericht in 10 Werktagen) bis zu mehrwöchigen Kampagnen |
| Kosten bei uns | Ab €3.500, Festpreis nach Scoping | Starter €2.500 Festpreis; Assumed Breach, Purple Teaming und Kampagnen nach Scoping |
| Passt, wenn … | … Sie einen Nachweis brauchen, eine neue Anwendung live geht oder noch nie getestet wurde | … Pentests kaum noch Neues finden oder Sie wissen wollen, ob ein Angriff bemerkt würde |
Wann ein Penetrationstest der richtige Schritt ist
Sie wurden noch nie getestet, oder der letzte Test ist Jahre her
Das ist der häufigste Fall. Seit dem letzten Test sind neue Releases, Schnittstellen und Dienstleister dazugekommen. Ein Pentest zeigt den heutigen Stand vollständig, Red Teaming nur den einen Weg, den der Angreifer nimmt.
Ein Kunde, Auditor oder Gesetz verlangt einen Nachweis
Für ISO 27001, TISAX, Kundenaudits oder den Wirksamkeitsnachweis unter NIS2 zählt ein datierter Bericht mit Umfang, Befunden und Re-Test. Mehr dazu in unserem Artikel zum NIS2-Nachweis.
Eine neue Anwendung oder API geht live
Hier wollen Sie jede Rolle, jeden angemeldeten Bereich und jede Schnittstelle geprüft haben. Das leistet nur ein abdeckungsorientierter Test.
Was ein Pentest kostet und wovon der Preis abhängt, steht in unserem Überblick Pentest-Kosten 2026. Den Preis für Ihren Umfang sehen Sie vorab im Pentest-Rechner.
Wann sich Red Teaming lohnt
Ihre Pentests finden kaum noch Neues
Wenn die einzelnen Systeme sauber sind, stellt sich die nächste Frage: Lassen sich kleine, einzeln harmlose Schwächen zu einem Angriffsweg verketten?
Sie haben Monitoring und wollen wissen, ob es anschlägt
Red Teaming mit Detection-Messung gleicht jeden Angriffsschritt mit Ihren Logs und Alarmen ab. Danach wissen Sie, was erkannt wurde, was nicht und woran es lag.
Die Geschäftsleitung will den Ernstfall sehen
Eine Befundliste überzeugt selten den Vorstand. Ein nachvollziehbarer Weg vom Internet bis zu den Kundendaten schon.
Der Mittelweg: ein Red-Teaming-Starter
Klassisches Red Teaming ist für viele Mittelständler zu groß. Deshalb gibt es bei uns einen bewusst kleinen Einstieg: einen externen Angriff zum Festpreis, mit einer konkreten Frage statt „Prüfen Sie mal unsere Sicherheit“.
Was dazugehört
- Angriff von außen, ohne Zugangsdaten
- Eine Domain, bis zu fünf Systeme, eine öffentliche Anwendung, ein Angriffsziel
- Security-Experte mit KI-Unterstützung, jeder Fund von Hand geprüft
- Bericht mit Maßnahmenliste in 10 Werktagen, 60 Minuten Ergebnisbesprechung
- Zweite fachliche Prüfung, Freigabe durch den deutschen Security-Lead
- €2.500 Festpreis, optionaler Retest €300
Was nicht dazugehört
- Interne Angriffe und Assumed Breach (auf Anfrage)
- Angemeldete Bereiche, Benutzerrollen, Mandantentrennung
- Phishing und Social Engineering (auf Anfrage)
- Messung Ihrer Erkennung mit Logzugriff (auf Anfrage)
- Zerstörende Tests, Denial of Service, Massen-Download
Der Starter ersetzt keinen Pentest. Was er findet, ist oft der Anlass, einzelne Systeme danach im Pentest gründlicher zu prüfen. Details auf der Seite Red Teaming.
Was wir nicht anbieten
Kein TLPT nach TIBER-DE oder DORA. Threat-Led Penetration Testing richtet sich an einen kleinen Kreis benannter Finanzinstitute, verlangt Tester, die strenge regulatorische Anforderungen erfüllen, und mindestens zwölf Wochen Testdauer. Wenn Ihre Aufsicht TLPT verlangt, brauchen Sie einen anderen Anbieter. Wir bieten TIBER-inspirierte Szenarien für den Mittelstand an und sagen offen, dass das kein regulatorisch anerkanntes TLPT ist.
Wir betreiben auch kein 24/7-SOC und keine Incident Response. Red Teaming zeigt Ihnen, ob Ihre Erkennung funktioniert; den Betrieb dieser Erkennung übernehmen wir nicht.
Die sinnvolle Reihenfolge
Sicherheit ist kein einzelner Test, sondern ein Kreislauf. Wir nennen ihn den Security Cycle:
- 1
Sehen
Was von außen erreichbar ist, laufend beobachten. Der kostenlose Angriffsflächen-Check ist der Einstieg, das Monitoring kostet ab €249 im Monat.
Angriffsflächen-Monitoring - 2
Prüfen
Die wichtigsten Systeme im Penetrationstest systematisch prüfen lassen, ab €3.500.
Penetrationstest - 3
Angreifen
Mit Red Teaming testen, ob ein Angreifer sein Ziel erreicht und ob Sie es bemerken. Der Starter kostet €2.500.
Red Teaming - 4
Häufige Fragen zu Red Teaming und Pentest
Was ist der Unterschied zwischen Red Teaming und Penetrationstest?
Ein Penetrationstest sucht in einem festgelegten Umfang möglichst viele Schwachstellen und bewertet sie. Red Teaming verfolgt ein konkretes Angriffsziel, so wie ein echter Angreifer, und prüft dabei auch, ob der Angriff bemerkt wird. Der Pentest beantwortet „Was ist verwundbar?“, Red Teaming „Wie weit kommt ein Angreifer, und sieht ihn jemand?“.
Brauchen wir zuerst einen Pentest oder Red Teaming?
Für die meisten Unternehmen zuerst den Pentest. Red Teaming setzt voraus, dass die offensichtlichen Lücken geschlossen sind; sonst bestätigt es nur teuer, was ein Pentest günstiger gefunden hätte. Eine Ausnahme ist ein kleiner externer Red-Teaming-Starter als erster Blick von außen.
Was kostet Red Teaming?
Das hängt stark vom Umfang ab. Unser Red-Teaming-Starter kostet €2.500 zum Festpreis (eine Domain, bis zu fünf Systeme, ein Angriffsziel, Bericht in 10 Werktagen), ein optionaler Retest €300. Assumed Breach, Purple Teaming und mehrwöchige Kampagnen kalkulieren wir nach einem Scoping-Gespräch.
Reicht ein Red-Teaming-Starter als NIS2-Nachweis?
Er zeigt die Wirksamkeit Ihrer Maßnahmen von außen, deckt aber bewusst nur eine kleine Fläche ab. Als Wirksamkeitsnachweis nach § 30 Abs. 2 Nr. 6 BSIG ist ein Penetrationstest der wichtigsten Systeme die belastbarere Grundlage. Der Starter ergänzt ihn. Dieser Artikel ist keine Rechtsberatung.
Bieten Sie TLPT nach TIBER-DE oder DORA an?
Nein. Threat-Led Penetration Testing nach TIBER-DE beziehungsweise DORA richtet sich an einen kleinen Kreis benannter Finanzinstitute, verlangt Tester, die strenge regulatorische Anforderungen erfüllen, und mindestens zwölf Wochen Testdauer. Dafür brauchen Sie einen anderen Anbieter.
Nicht sicher, welcher Test passt?
In einem 30-minütigen Gespräch ordnen wir Ihren Stand ein und sagen Ihnen ehrlich, ob ein Pentest, ein Red-Teaming-Starter oder erst einmal der kostenlose Angriffsflächen-Check der richtige nächste Schritt ist.
