Schwachstellenscan, Pentest oder Red Teaming? Die Unterschiede

Das Transkript wurde aus den Untertiteln des Experteninterviews erstellt und redaktionell bei Schreibweise und Sonderzeichen bereinigt.

00:06 Drei Tests, drei Wahrheiten: Scan, Pentest und Red Teaming

Wir haben ein neues accompio Fokusthema für Sie. Herzlich willkommen! Heute dreht es sich um drei Tests und damit drei Wahrheiten Schwachstellenscan, Pentest und Red Teaming. Und das Ganze mit Fabian Mosch. Herzlich willkommen! Magst du uns gerade sagen, wer du bist, was du bei accompio machst? Und ja, was dieses Thema, warum uns das so brennend heute interessiert?

00:27 Fabian Mosch und Offensive Services

Ja, mein Name ist Fabian Mosch. Ich bin Head of Offensive Services. Ich leite das Team, was Angriffssimulationen jeglicher Art im Unternehmen durchführt, für unsere Kunden. Das sind sowohl technische Angriffssimulationen und Schwachstellen als auch menschliche. Und genau, unter anderem machen wir Schwachstellenscans, Pentests und Red Teaming Projekte. Und warum es uns so interessiert ist, weil meistens diese drei Tests so ein bisschen über einen Kamm geschoren werden, oder?

00:49 Was Schwachstellenscan, Pentest und Red Teaming unterscheidet

Also Unternehmen sind da ganz schnell dabei zu sagen ach, was davon jetzt oder wie ich das kombiniere, ist auch egal, aber die haben ganz unterschiedliche Ziele eigentlich. Was unterscheidet diese drei Tests? Also sagen wir mal so, es sind nicht nur die Unternehmen, die das durcheinander bringen, es sind tatsächlich auch die Dienstleister, die das durcheinander bringen oder Dienstleister, die das eine als das andere verkaufen auf dem Markt. Leider ist das, leider ist es so, aber das ist leider der Markt. Beim Schwachstellenscan ist es so, dass das Ganze komplett automatisiert von einer Software erfolgt. Das heißt, man hat eigentlich gar keinen Aufwand, hat deswegen geringe Kosten.

Man gibt quasi ein, welche Systeme sollen überprüft werden, drückt auf Start,

01:28 Wie ein automatisierter Schwachstellenscan arbeitet

wartet ein paar Minuten, hat Ergebnisse und die Ergebnisse kann man dann dem Kunden an die Hand geben. Das heißt, man kann in sehr kurzer Zeit sehr viele Systeme überprüfen und hat dann einen Überblick. Das geht allerdings nicht wirklich in die Tiefe. Bei dem Pentest geht es auch darum, das Ganze zu. Also auf der einen Seite, da steckt ein Mensch dahinter, man guckt erst automatisiert und danach guckt der Mensch drüber und filtert quasi aus und guckt, was lässt sich wirklich ausnutzen, was lässt sich nicht ausnutzen und geht auch noch mal mit logischem Denken dran und überlegt, was kann ich denn jetzt da noch ausnutzen, anstatt nur eine Software laufen zu lassen, auch wirklich die Angriffspfade von vorne bis hinten durchzugehen.

Das heißt, man hat mehr Schwachstellen, man hat eine tiefergehende Überprüfung.

02:08 Was bei einem Pentest zusätzlich geprüft wird

Aber es ist natürlich etwas teurer mit etwas mehr Zeit verbunden, weil der Mensch dahinter steckt und die menschliche Komponente da mit drin ist. Und beim Red Teaming geht es gar nicht darum, technische Schwachstellen zu finden. Es geht auch gar nicht darum, in erster Linie überhaupt Schwachstellen zu finden, sondern es geht eher darum zu gucken, wie funktioniert die Angriffserkennung. Wie schnell bin ich darin, Angriffe zu erkennen? Wann erkenne ich die und wie kann ich meine Angriffserkennung vielleicht auch verbessern? Und das, was du jetzt beschrieben hast, steigen wir auch gleich noch ein bisschen konkreter ein. Sind das denn aber auch die Erwartungen, die Unternehmen dann haben oder wo liegen die dann da oft falsch?

02:40 Welches Ziel Red Teaming verfolgt

Ja, ich würde sagen, in den meisten Fällen ist es tatsächlich nicht so, weil in den meisten Fällen treffen wir auf Unternehmen, die vielleicht vorher schon mal mit anderen Dienstleistern Pentests gemacht haben und die der Meinung waren, dass sie einen Pentest gemacht haben. Dann haben sie mit uns einen Pentest gemacht, haben ganz andere Ergebnisse vorliegen gehabt und waren überrascht. Und wenn wir dann die Reports von den anderen Unternehmen gesehen haben,

03:00 Warum die Testmethoden häufig verwechselt werden

zum Beispiel oder mit dem Kunden gesprochen haben, haben wir relativ schnell gesehen, das sind Schwachstellenscan Ergebnisse. Da ist nichts, was ein Mensch gefunden hat, sondern das sind alles Dinge, die von der Software gefunden wurden und die wurden als Pentest verkauft. Leider passiert das häufig, weil dann kann man halt schnell günstig das verkaufen, schreibt Pentest dran, aber eigentlich war es nur ein Scan. Auf der anderen Seite haben wir aber auch Kunden, die sagen, ich möchte gerne einen Schwachstellen- /Pentest-Scan oder einen Red-Team-Test machen. Das heißt, die wissen nicht was ist das eine? Die wissen nicht, was ist das andere? Genau da werden einfach die Begriffe alle durcheinander geworfen.

Ich habe irgendwo mal gehört, ich kann einen Angreifer simulieren lassen und dann benutzen sie das eine oder andere Wort, aber wissen selber noch gar nicht, was dahinter steckt. Und dann erklären wir das halt im Presales initial. Und es kann auch sein, dass ein Unternehmen gesagt hat ich möchte eigentlich ein Red-Teaming-Projekt machen, weil sie den Begriff gehört haben irgendwo und im Gespräch stellt sich heraus, ach nee, die wollen eigentlich eher einen Pentest machen. Dann erklären wir es jetzt auch noch mal ganz kurz. Also Schwachstellenscan, fangen wir damit an, ist eher begrenzt. Hast du eben schon gesagt. Was genau leistet denn so ein klassischer Schwachstellenscan?

04:00 Typische Ergebnisse eines Schwachstellenscans

Also, was sind so die typischen Produkte, die Hersteller zum Beispiel von Tenable Nessus wäre das zum Beispiel. Was die machen ist ja im Endeffekt, die gucken nach offenen Diensten, das heißt die scannen IPs oder Domänen und gucken nach Diensten. Sagen wir mal, ich habe ein Webserver gefunden oder ich habe einen SSH gefunden oder ein FTP oder irgendwas anderes. Die gucken auch nach Versionsständen, das heißt, sie gucken. Ich habe das in der und der Version gefunden und gleichen das automatisch ab mit Schwachstellen, die es online so zu finden gibt und sagen dann okay, ich habe die veraltete Version gefunden, da gibt es die Schwachstelle, das kann man ausnutzen und zeigen einem das an, die haben teilweise auch die Logik eingebaut, um Schwachstellen auszunutzen.

Also dann nutzen sie die halt aus, um aufzuzeigen, dass sie da ist. Die können einem aber auch Sachen an die Hand geben wie Ich habe irgendwie eine veraltete Verschlüsselung oder ähnliches. Genau. Aber die gehen halt nicht wirklich in die Tiefe, weil alles, was ja. Das bringt dann ein Risiko mit sich. Richtig, wenn ich jetzt nur ausschließlich Schwachstellenscans durchführe? Ja, ich würde sagen, wenn man nur das macht und sich vollkommen darauf verlässt, ist das eine fälschliche Sicherheit. Sagen wir mal so. Weil dann bin ich der Meinung,

05:08 Wo automatisierte Scanner an Grenzen stoßen

okay, ich habe diese Schwachstellen alle angegangen. Jetzt ist da alles grün. Auch das ist tatsächlich sehr schwierig. Bei so einem Schwachstellenscanner mittlerweile alles auf Grün und auf keine Schwachstellen zu bekommen. Kann man sehr viel Zeit reinstecken. Aber in den meisten Unternehmen, wenn wir da einen Schwachstellenscan laufen lassen übers Internet oder intern, können wir, ich würde mal sagen 90 % der Dinge gar nicht in der Realität ausnutzen. Also 90 % dieser Schwachstellen, die angezeigt werden von einem Scanner, die können wir als Angreifer gar nicht ausnutzen, weil es keine Details gibt, weil es keine Exploits gibt, also keine Software, um diese Schwachstellen auszunutzen.

Und naja, wenn man halt nicht jemanden hat, der sich das genau anguckt und der weiß, was davon ist ausnutzbar und was nicht, dann glaube ich, gibt das eine fälschliche Sicherheit oder man kann halt auch zu viel Zeit da reinstecken, Sachen zu fixen, die halt einen nicht so sehr weiterbringen. Und es gibt ja Schwachstellen, die auch gar nicht erkannt werden. Welche Art von Schwachstellen sind das typischerweise? Ja, muss man in die verschiedenen Bereiche gucken.

06:00 Welche zusätzlichen Erkenntnisse ein Pentest liefert

Also sagen wir mal, bei einer Webanwendung kann ein Scanner jetzt nicht sehen wenn ich eine Dokumenten Download Funktion habe und da ist eine ID, sagen wir mal, dieses Dokument mit der Nummer 106 ist meine Gehaltsabrechnung, dann kann ich ja in der Webanwendung hergehen und die 106 zu 805 abändern und dann sich die Gehaltsabrechnung von einem anderen Mitarbeiter anzeigen lassen. Das kann ein Scanner, eine Software gar nicht finden. Rein logisch, rein technisch, weil die kann ja nicht unterscheiden. Ist das ein Dokument? Für mich? Ist das ein Dokument von einem anderen Benutzer? Das heißt, da muss man irgendwie einen Menschen haben, der da mit draufguckt, der das beurteilt, um überhaupt zu sagen geht das, geht das nicht.

Und das habe ich dann mit dem Pentest, da habe ich eine gezielte, manuelle Prüfung. Richtig, genau. Also was macht das im Kern aus? Dann so einen Pentest. Also ist wieder die Frage, was man prüft. Bei einer Webanwendung, das Beispiel hatten wir gerade. Sagen wir mal, wir kommen über das Internet und versuchen über das Internet beim Unternehmen reinzukommen. Bei einem Scanner würde der mir jetzt sagen, da ist eine Patch- Version, die ist veraltet, da habe ich eine Schwachstelle und aktualisiere das mal. Wenn wir einen Pentest machen, würden wir wahrscheinlich eher sagen, der Max Muster hat ein Passwort.

07:00 Die Perspektive eines Angreifers

Sommer 2026 Ausrufezeichen. Das haben wir erraten. Deswegen sind wir reingekommen und danach konnten wir das und das damit erreichen. Das ist halt eine Schwachstelle. Ein Scanner wird nicht hergehen, sich eine E-Mail-Liste erstellen, Passwörter erraten und versuchen ins Unternehmen reinzukommen. Halte ich für utopisch. Ist glaube ich auch mit gewissen Risiken verbunden, wenn er das automatisiert prüft. Deswegen machen wir das kontrolliert und manuell. Aber es gibt da ja auch Unterschiede in der Qualität, muss man durchaus sagen bei den Pentests. Welche Faktoren bestimmen da so die Qualität? Boah, das ist natürlich auf der einen Seite wahrscheinlich die Frage der Erfahrung von den Personen, die das machen, kann ich mir vorstellen.

Also auf der anderen Seite vielleicht auch was für Tools, was für Werkzeuge werden benutzt. Ja, aber ich glaube, primäre Dinge sind, was ist da für eine Erfahrung hinter, was ist da für ein Team hinter was haben die vielleicht für eine Knowledge Base, was haben die für eigene Tools für eigene Techniken? Wie lange sind die auf dem Markt? Machen die vielleicht schon Research oder sowas, veröffentlichen die eigene Sachen? Ich glaube das sind so Kriterien, an denen man zumindest erkennen kann, steckt da eher mehr Qualität dahinter oder ist das eher nur ein 08/15-Scan, der als Pentest verkauft wird? Was habe ich denn dann jetzt noch für einen Unterschied zum Red-Teaming?

Da habe ich dann tatsächlich ja realistische Angriffssimulationen, richtig? Realistische Angriffssimulation verkaufen wir noch mal als ein anderes Projekt.

08:20 Red Team und Blue Team im Zusammenspiel

Da machen wir quasi die Pentest-Vorgehensweise, sehr laut, und sehr, also sehr sehr schnell um möglichst viel zu erreichen. Beim Red Teaming ist es eher so, dass wir versuchen, nicht erkannt zu werden. Ach ja, okay. Wir haben die Zielstellung zu versuchen, ins Unternehmensnetz reinzukommen oder im Unternehmensnetz uns auszubreiten. Wir kriegen irgendeine Zielstellung an die Hand gegeben. Das kann sein, versucht mal, auf das Postfach vom CEO zuzugreifen, versucht mal auf die Gehaltsabrechnungen zuzugreifen, versucht mal auf dieses, jenes, welches zuzugreifen. Das ist euer Ziel. Da versuchen wir uns entlang zu hangeln. Es geht nicht darum, möglichst viele Schwachstellen aufzufinden und dem Kunden Schwachstellen an die Hand zu geben, sondern es geht für uns nur darum, unser Ziel zu erreichen und dabei möglichst nicht erkannt zu werden.

Und auf der anderen Seite fürs Blue Team. Das Blue Team sind ja quasi die Leute, die im SOC arbeiten. Im Security Operations Center die, die die Alerts, die Warnungen, wenn ein Angreifer da ist, auswerten und bewerten und beurteilen. Für die geht es darum zu erkennen, dass wir im Netz sind, dass wir bestimmte Dinge versuchen auszunutzen und uns auch wieder rauszukicken. Das heißt, das mitzubekommen und auf der anderen Seite zu reagieren und aktiv Maßnahmen zu ergreifen, dass wir wieder rauskommen. Und genau dann geht es darum, wie schnell hat das funktioniert?

09:30 Welche Testmethode für welches Unternehmen passt

Wurden bestimmte Dinge übersehen? Wurden die nicht erkannt? Können manche Sachen technisch gar nicht erkannt werden, weil bestimmte Logs fehlen zum Beispiel. Und solche Sachen kann man halt über ein Red-Teaming-Projekt herausfinden. Das sind ja schon eine Menge Ergebnisse, die die anderen Tests schon mal nicht bieten, richtig? Also. Und ich gucke in alle Richtungen wirklich. Also ich gucke auf die Technik, auf die Prozesse, auf den Menschen. Alles mit inkludiert. Ist die komplette Kette. Das ist die komplette Kette von A bis Z. In den meisten Fällen in so einem Projekt ist halt auch nicht das Blue Team vorher informiert, sondern nur einzelne, wenige Personen im Unternehmen sind involviert und die wissen dann halt auch, ist das jetzt ein realer Angreifer oder ist das das Red Team um das abgleichen zu können.

Weil wenn parallel zu so einem Projekt ein echter Angriff kommt, sollte man das natürlich auch unterscheiden können und auch einschätzen können. Genau. Aber deswegen müssen die Leute halt auch unter genau diesen, dieser Drucksituation quasi dann halt arbeiten, so wie wenn da gerade wirklich ein echter Angriff ist und bis es halt irgendwann aufgeklärt wird. Wenn es aufgeklärt wird, ja, muss man dann überlegen, wie man weiter das Ganze angeht. Ab dem Moment ist natürlich der Switch bei den Verteidigern auch anders im Kopf. Wie reagiere ich? Aber wenn wir jetzt diese drei Methoden, sagen wir mal, oder diese drei Tests

10:40 Wie häufig Tests sinnvoll sind

miteinander vergleichen, wofür würdest du noch mal jetzt sagen, ist welche Methode am besten geeignet und wo ergänzen die sich vielleicht auch ganz gut? Also ich würde sagen, ein Scan ist für jedes Unternehmen geeignet. Ja, die meisten unserer Kunden machen auch selbst Scans auf ihrer eigenen Umgebung. Das heißt, sie haben sich selber Scanner eingekauft und scannen ihre eigene Umgebung, so dass wir bei einem, wenn wir den Scan durchführen, fast gar nichts mehr finden. Deswegen ist das auch meistens oder das am seltensten gewählte Projekt bei uns, dass jemand einen Scan durchführen möchte, weil das relativ einfach sich auch selber machen lässt. Ähm, ein Pentest würde ich sagen, ist ja grundsätzlich für jedes Unternehmen geeignet, was in irgendeiner Art und Weise dafür schon Budget aufbringen kann.

Die ganz kleinen Unternehmen können es meistens nicht. Also man muss schon so mindestens 5.000 bis 10.000 € ausgeben für so ein Projekt und das Budget offen zu haben jedes Jahr, das geht halt auch erst ab einer bestimmten Unternehmensgröße. Wenn man das kann, wenn man das Budget hat oder wenn man das fest einplant, dann ist es auf jeden Fall sinnvoll. Weil dann kriegt man noch mal ganz neue Erkenntnisse an die Hand. Und Red Teaming, lohnt sich eigentlich nur dann, wenn man schon ein Blue Team hat, wenn man schon ein Security Operations Center hat. Wenn man schon der Meinung ist, ich kann Angriffe erkennen, ich habe da etwas aufgebaut und wenn man testen möchte, funktioniert das eigentlich.

Das heißt, ein Red-Team-Projekt zu machen, wenn man gar kein Blue Team hat und gar keine Angriffserkennung hat, macht nicht so viel Sinn. Maximal um dem Management zu sagen, ihr erkennt nichts. Deswegen solltet ihr das vielleicht mal etablieren. Und wie häufig sollte ich solche Tests dann machen? Also die jeweiligen? Genau, Scans kann man quasi immer machen? Die kann man theoretisches täglich laufen lassen, um auch zu sehen, was wird wann behoben? In der Realität ist täglich übertrieben. In der Realität kann man das vielleicht alle paar Wochen oder einmal pro Quartal machen. Intern, extern und danneinen Abgleich machen, welche Schwachstellen gibt es noch, welche sind neu dazugekommen, welche fallen weg?

Das heißt, das kann man sehr regelmäßig machen, das ist ja auch komplett automatisiert. Einen Pentest würde ich empfehlen alle, ist auch wieder von Unternehmensgröße zu Unternehmensgröße unterschiedlich. Manche machen bei uns 100 bis 200 Tage Pentest im Jahr, manche machen und das sind dann halt 10 / 20 Projekte. Manche machen einen Pentest pro Jahr, manche machen einen Pentest alle zwei Jahre.

12:50 Wie Unternehmen mit den Ergebnissen weiterarbeiten

Ich glaube, das Wichtige ist nur, dass man es wiederkehrend macht, dass man es nicht nur einmal macht. Dass man dran bleibt. Und das. man es nach Zeit X wieder macht, weil es ist immer eine Momentaufnahme. Es ist immer der Zeitpunkt, in dem wir geprüft haben, was ist da erreichbar. Und das kann sich natürlich ändern. In einem Monat, in einem Jahr, wenn man es mehrere Jahre gar nicht macht, wird man wahrscheinlich einiges nicht mehr auf dem Schirm haben. Ja, und jetzt kriege ich ganz viele Erkenntnisse aus diesen Tests. Was mache ich mit denen im Idealfall? Im Idealfall werden sowohl Schwachstellenscanner-Ergebnisse als auch Pentest-Ergebnisse jeweils als Security Incident im Prozess aufgenommen.

Das heißt, man sagt, ich habe hier ein Problem, ich habe hier ein Security-Problem, das muss angegangen werden, das wird irgendwo im Ticketsystem erfasst werden. Das muss von irgendwem bearbeitet werden, das muss getrackt werden, das muss angegangen werden, das muss behoben werden. Die Maßnahmen müssen angegangen werden und so sollte das im kompletten Prozess untergebracht werden. Aus seiner Erfahrung wird es auch so gemacht? Häufig nicht. Glaube ich. Zumindest. nicht aus dem, was ich mitbekommen habe. Wenn ein Unternehmen gut aufgestellt ist, und das auch häufig macht, dann tun die das schon so. Es gibt auch einige Fälle, da wird einfach nur der Bericht an die IT-Abteilung weitergeleitet und es wird gesagt, mach mal!

14:00 Warum Tests keinen Sicherheitsprozess ersetzen

Und vielleicht sieht es nach ein oder zwei Jahren ähnlich aus. Oder die Hälfte wurde behoben und die andere Hälfte nicht. Deswegen ja. Aber wir müssen jetzt auch noch mal deutlich sagen alleine die Tests bezeichnen keine laufenden Sicherheitsprozesse, oder? Also ich kann mich jetzt nicht nur auf meine Tests verlassen. Nein, es gibt ja also außerhalb von Pentests, außerhalb von Scans, außerhalb von Red Teaming gibt es diverse Dinge, die ein Unternehmen auf dem Schirm haben muss und sollte im Security-Umfeld Und dafür gibt es sicherlich sehr viele andere Interviews mit auch noch anderen Leuten die einem das alles an die Hand geben. Aber die die Dinge, die ein Unternehmen auf dem Schirm haben muss, sind sehr viel mehr als als nur mach mal einen Scan, mach mal einen Pentest.

Da gehört sehr viel mehr dazu, aber das würde den Rahmen sprengen. Dafür haben wir die anderen Talks. Genau so machen wir das. Alles entwickelt sich weiter. Die Angreifer, die Technologien, die Prozesse. Wo müssen wir damit rechnen, wo sich diese Tests hin entwickelt?

15:00 Wie sich Angriffe und Pentests verändern

Also bei uns, wir versuchen zumindest immer, das darzustellen mit unseren Tests. Also bei Schwachstellenscans jetzt nicht, die entwickeln sich halt so, wie sie vom Hersteller weiterentwickelt werden und was der halt einbaut. Bei den Pentests versuchen wir möglichst immer das abzubilden, was wir auch sehen in der Welt und was wir auch sehen in Incidents und was wir auch sehen, was wo wie ausgenutzt wird. Das heißt jetzt zum Beispiel immer mehr künstliche Intelligenz reinbringen in die Tests zum Beispiel, weil das ist genau das, was gerade im Kommen ist und das ist das, wodurch man neue, andere Angriffspfade findet als vorher. Genau. Wir versuchen halt immer, möglichst up to date zu bleiben und unsere Projekte auch entsprechend up to date zu halten.

Wie genau sich das entwickeln wird? Es geht auf jeden Fall alles sehr schnell. Wenn wir jetzt langsam schon zum Schluss kommen tatsächlich, kannst du noch mal für uns in einem Satz jeweils diese Testmethoden zusammenfassen? Fangen wir mit dem Schwachstellenscan wieder an.

16:00 Die passende Methode beginnt beim Sicherheitsziel

Also Schwachstellen scannen ist über sehr viele Systeme in kurzer Zeit mit kleinem Kostenaufwand: Einen guten ersten Überblick über Schwachstellen bekommen, technische Schwachstellen. Pentest ist mit etwas mehr Aufwand und etwas mehr Kosten verbunden. Eine tiefere Analyse auf einen nicht ganz so großen Scope. Etwas weniger Systeme, aber dafür halt auch mit neuen, anderen Erkenntnissen, die man sonst gar nicht gewinnt und die man sonst auch gar nicht technisch mit einer Software alleine erkennen kann. Und beim Red-Teaming, im Gegensatz zu beiden anderen, geht es nicht darum, Schwachstellen zu finden primär, sondern es geht darum, die Angriffe Angriffserkennung zu bewerten, zu gucken, was wird wann, wie erkannt, was für Maßnahmen sollte man noch ergreifen oder wie sollte man den Prozess optimieren, um besser Sachen zu erkennen?

Also eine komplett andere Zielstellung. Ja. Aber sie haben trotzdem noch ein gemeinsames Ziel, nämlich. die IT-Sicherheit zu verbessern.

17:00 Fazit

Im besten Falle. Fabian, ganz herzlichen Dank Dir für das Gespräch. Ihnen ganz herzlichen Dank fürs Zusehen und Zuhören. Wir sehen uns gerne wieder beim nächsten accompio Fokus-Talk.