Cyberpediavon Brain
DEENFR

Pentest, Red Team, Blue Team und Purple Team

Penetrationstest, simulierte Angriffsübung, Verteidigungsteams: was diese Begriffe bedeuten und was Sie bei verdächtigem Verhalten tun.

In 30 Sekunden

Wo es vorkommt
Im Postfach oder auf dem Arbeitsrechner, wenn etwas aus dem Rahmen fällt, ob ein Test angekündigt ist oder nicht.
Was der Angreifer will
Bei einem Penetrationstest setzt der Tester dieselben Werkzeuge und Techniken ein wie ein Gegner, um die Widerstandsfähigkeit eines Systems zu prüfen1.
Der Reflex
Melden Sie dem Support oder dem SOC rasch, was Ihnen verdächtig vorkommt, ohne mit dem mutmaßlichen Urheber darüber zu sprechen und ohne den Rechner auszuschalten, solange man Sie nicht darum bittet.
Wenn es schon passiert ist
Schildern Sie genau, was Sie gesehen haben, zu welchem Zeitpunkt und was Sie angeklickt oder eingegeben haben.

Worum es geht

In einem Unternehmen hört man von Pentest, Red Team, Blue Team oder Purple Team. Diese Begriffe beschreiben Test- und Verteidigungsaktivitäten, die Spezialisten durchführen. Für Beschäftigte dienen sie vor allem einem Zweck: Sie wissen dann, dass ein seltsames Verhalten auf dem Arbeitsrechner oder im Postfach von einer genehmigten Übung, von einem echten Angriff oder von einer einfachen Störung herrühren kann und dass es in allen drei Fällen gemeldet werden muss.

Die für diesen Beitrag zusammengetragenen Quellen beschreiben den Penetrationstest und das Incident Management genau. Die Begriffe Red Team, Blue Team und Purple Team definieren sie nicht. Der Beitrag hält sich deshalb an das, was diese Quellen sagen, und unterstellt ihnen nichts darüber hinaus.

Direkte Fragen

Was ist ein Pentest?

Das britische NCSC definiert ihn als Methode, um die Sicherheit eines IT-Systems sicherzustellen, indem man versucht, einen Teil oder die Gesamtheit davon zu überwinden, mit den Werkzeugen und Techniken, die ein Gegner einsetzen würde1. Es vergleicht ihn mit einer Finanzprüfung: Das interne Team verfolgt die Ausgaben Tag für Tag, und eine externe Prüfung kontrolliert, ob seine Verfahren ausreichen1.

Das NIST veröffentlicht seinerseits einen technischen Leitfaden zur Vorbereitung und Durchführung von Sicherheitstests, zur Auswertung der Ergebnisse und zu Abhilfemaßnahmen. Zu den genannten Einsatzzwecken gehören die Suche nach Schwachstellen in einem System oder Netzwerk und die Überprüfung der Einhaltung einer Sicherheitsrichtlinie2.

Was macht das Red Team, was das Blue Team, und was das Purple Team?

Keine der hier zitierten Quellen definiert diese drei Bezeichnungen. Das NCSC beschreibt einen szenariobasierten Test, der auch die Erkennungs- und Reaktionsfähigkeit der Organisation messen soll, um deren Wirksamkeit und Abdeckung in einem bestimmten Szenario zu kennen1. Für Beschäftigte betrifft vor allem die Erkennung: Ihre Meldung gehört dazu.

Zwei Wissensbasen von MITRE dienen als gemeinsame Bezugspunkte. ATT&CK erfasst Taktiken und Techniken von Angreifern, die aus realen Beobachtungen stammen7. D3FEND ist ein Wissensgraph von Gegenmaßnahmen der Cybersicherheit8.

Kann ein Test meine Arbeit stören?

Das NCSC schreibt, dass Tester vermeiden müssen, das getestete System zu beeinträchtigen, dass sich aber nicht garantieren lässt, dass keine unerwartete Reaktion auftritt1. Während eines Tests kann es also zu einer Verlangsamung oder zu merkwürdigem Verhalten kommen. Melden Sie es im Zweifel dem Support oder dem SOC.

Warum zählt meine Meldung?

Die Meldung ist ein Schritt der Erkennung. Das NCSC stellt das Incident Management als Zyklus in fünf Phasen dar, der vom NIST übernommen wurde: identifizieren, schützen, erkennen, reagieren, wiederherstellen3. Seine Sammlung von Empfehlungen zählt Erkennung und Meldung zu den Grundfragen der Reaktion auf Vorfälle3. Das NIST erinnert daran, dass eine Reaktionsfähigkeit dazu dient, Vorfälle rasch zu erkennen, Verluste und Zerstörung zu begrenzen, die ausgenutzten Schwächen zu beheben und Dienste wiederherzustellen5.

1Wie es funktioniert1 min

Ein Penetrationstest folgt im Allgemeinen einem Ablauf in fünf Schritten: Kontaktaufnahme, Abgrenzung, Tests, Bericht und Nachverfolgung. Die gefundenen Probleme erhalten einen Schweregrad1. Die Abgrenzung legt die technischen Grenzen, die erwarteten Testarten und den Zeitplan fest1. Der Bericht listet die Schwachstellen auf, dazu das Risikoniveau jeder einzelnen und eine Möglichkeit, sie zu beheben1.

Die Tester können das System vorab kennen oder nicht. Bei einem Black-Box-Test erhalten sie keine internen Informationen: Der Test erfolgt von außen und bildet das Risiko durch der Organisation unbekannte Angreifer besser ab1. Bei einem White-Box-Test verfügen sie über alle Informationen zum Ziel1. Das NCSC fügt hinzu, dass auch das Wissen der Administratoren über den Test von Test zu Test unterschiedlich ist1. Ein Pentest hat Grenzen. Er bestätigt nur, dass am Testtag keine bekannten Schwachstellen vorhanden sind, und zwischen zwei Tests kann ein Jahr oder mehr vergehen1. Die Erkennung durch die Beschäftigten und durch das Sicherheitsteam bleibt daher zwischen zwei Tests nützlich.

Danach folgt die Reaktion auf Vorfälle. Das NIST hat im April 2025 die Revision 3 seines Leitfadens veröffentlicht, die die Reaktion auf Vorfälle in das umfassende Risikomanagement des Cybersecurity Framework 2.0 einordnet46. Sie soll die Reaktionen besser vorbereiten, die Zahl und die Auswirkungen von Vorfällen verringern und die Erkennung, die Reaktion und die Wiederherstellung verbessern6.

2Was Sie konkret tun1 min

Der folgende Text ist eine praktische Anweisung und keine Tatsache aus einer Quelle: Das Verfahren Ihres Unternehmens hat immer Vorrang.

  • Melden Sie, sobald Ihnen etwas ungewöhnlich vorkommt. Wenden Sie sich an den Support oder das SOC, je nachdem, was Ihr Unternehmen vorgibt.
  • Beschreiben Sie die Fakten: Uhrzeit, was angezeigt wurde, was Sie geöffnet oder eingegeben haben. Ein scheinbar nebensächliches Detail kann dem Team helfen, mehrere Signale miteinander zu verbinden.
  • Antworten Sie dem Absender einer verdächtigen Nachricht nicht und konfrontieren Sie die Person nicht, deren Handeln Sie vermuten.
  • Schalten Sie den Rechner nicht aus, solange man Sie nicht darum bittet, und warten Sie auf die Anweisungen des Supports oder des SOC.
  • Erfahren Sie später, dass es eine Übung war, war die Meldung nicht umsonst: Sie hat die Erkennungskette in Gang gesetzt.
3Typische Fehler1 min

Eine Übung für einen echten Angriff halten oder umgekehrt. Weil die Tester möglicherweise keine internen Informationen erhalten haben und das Wissen der Administratoren über den Test unterschiedlich ist1, ist der Unterschied von Ihrem Rechner aus nicht unbedingt erkennbar. Melden Sie in beiden Fällen.

Aus Angst vor Schuldzuweisungen nicht melden. Das NCSC geht davon aus, dass Vorfälle eintreten können und werden und dass gerade die Vorbereitung hilft, sie gut zu bewältigen3.

Zu spät melden. Das NIST beschreibt das Ziel einer Reaktionsfähigkeit als rasche Erkennung von Vorfällen und Begrenzung von Verlusten5.

Glauben, die Sicherheit liege bei den Testern. Das NCSC stellt klar, dass die Risikobewertung und die Entscheidungen über Abhilfemaßnahmen in der Verantwortung der Organisation bleiben und dass die Risikominderung ein Geschäftsprozess ist, der nicht vollständig dem Testteam überlassen werden sollte1.

Merkblatt

Kennung
CP-247
Flügel
3. Protokolle und Abwehr
Brain-Kompetenz
Vorfälle melden (report_incidents)
Brain-Reflex
cr-014
Schema
G4 · Vorfallchronologie (Fallanalyse)
Sprachen
de, en, fr
Quellen
8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
  1. NCSC (Royaume-Uni), „Penetration testing“, 8. August 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (abgerufen am 3. November 2026)
  2. NIST, „Technical Guide to Information Security Testing and Assessment“. https://csrc.nist.gov/pubs/sp/800/115/final (abgerufen am 3. November 2026)
  3. NCSC (Royaume-Uni), „Incident management“, 19. September 2019. https://www.ncsc.gov.uk/collection/incident-management (abgerufen am 3. November 2026)
  4. NIST, „Cybersecurity Framework“. https://www.nist.gov/cyberframework (abgerufen am 3. November 2026)
  5. NIST, „Computer Security Incident Handling Guide“, 6. August 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (abgerufen am 3. November 2026)
  6. NIST, „Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile“. https://csrc.nist.gov/pubs/sp/800/61/r3/final (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „MITRE ATT&CK®“. https://attack.mitre.org/ (abgerufen am 3. November 2026)
  8. MITRE, „MITRE D3FEND Knowledge Graph“. https://d3fend.mitre.org/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Pentest, Red Team, Blue Team und Purple Team“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/pentest-red-team-blue-team-purple-team/

BibTeX 
@misc{brain_cp247_de_2026,
  author = {Brain},
  title = {Pentest, Red Team, Blue Team und Purple Team},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/pentest-red-team-blue-team-purple-team/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0