TLPT, Red Teaming und Tabletop Exercises

Wie Unternehmen ihre Cyber-Resilienz ganzheitlich testen können

In der Welt der Informationssicherheit gibt es eine Vielzahl an Methoden, um die Widerstandsfähigkeit von Unternehmen zu überprüfen. Begriffe wie Pentest, TLPT, Red Teaming und Tabletop Exercise tauchen häufig auf und werden nicht selten miteinander verwechselt. Dabei verfolgen sie sehr unterschiedliche Ziele und liefern verschiedene Erkenntnisse. In diesem Beitrag werfen wir einen tiefen Blick auf die drei fortgeschrittenen Methoden TLPT, Red Teaming und Tabletop Exercise und stellen sie dem klassischen Penetrationstest gegenüber. Außerdem schauen wir uns praxisnahe Beispiele an, die verdeutlichen, wie diese Methoden in realen Organisationen wirken.

TLPT – Bedrohungsorientierte Simulation

Während ein Pentest eine generische Schwachstellensuche ist, wird ein TLPT auf Basis realer Bedrohungsinformationen entwickelt. Zunächst analysieren Threat-Intelligence-Spezialisten, welche Angreifergruppen für das Unternehmen tatsächlich relevant sind (etwa bestimmte APT-Gruppen, die für Angriffe auf den Finanzsektor bekannt sind). Anschließend werden Szenarien entworfen, die diese realistischen Gegner nachahmen, und ein Red Team setzt sie um.

Das Besondere an TLPT: Hier steht nicht nur das Auffinden von Lücken im Vordergrund, sondern das Testen der gesamten Cyber-Resilienz. Es geht um die Frage, ob ein Angriff überhaupt erkannt wird, wie lange das dauert und wie gut die Incident-Response-Prozesse greifen. In Europa hat sich dafür das TIBER-EU-Framework etabliert, das klare Vorgaben macht und insbesondere von Banken und Betreibern kritischer Infrastrukturen genutzt wird.

Ein typisches Beispiel: Eine Bank lässt einen TLPT durchführen, bei dem eine gezielte Phishing-Kampagne gegen ausgewählte Mitarbeiter gefahren wird. Nachdem das Red Team Zugangsdaten erbeutet hat, versucht es, sich schrittweise im Netzwerk auszubreiten, bis es auf das zentrale Zahlungsfreigabesystem zugreifen kann. Das Security Operations Center ist nicht vorgewarnt und muss den Angriff in Echtzeit erkennen. Das Ergebnis zeigt oft, wie lange ein solcher Angriff unentdeckt bleiben würde, welche Alarme zwar generiert, aber nicht korrekt priorisiert wurden, und an welchen Stellen organisatorische oder technische Verbesserungen nötig sind. Der Mehrwert liegt darin, dass man nicht nur Schwachstellen schließt, sondern Detection-Use-Cases optimiert und den Reifegrad der eigenen Verteidigung nachvollziehbar erhöht.

Red Teaming – die realitätsnahe Angriffsübung

Red Teaming ist noch flexibler und weniger formalisiert als TLPT. Auch hier wird ein realistischer Angreifer simuliert, allerdings liegt der Schwerpunkt auf dem Erreichen der sogenannten „Crown Jewels“ – also der wichtigsten Assets des Unternehmens – unter möglichst realistischen Bedingungen. Das Red Team arbeitet verdeckt, das Blue Team (SOC, IT-Security) weiß in der Regel nicht, dass ein Test stattfindet. Ziel ist es nicht nur, Schwachstellen zu finden, sondern auch zu prüfen, ob die Verteidigung sie erkennt und die Reaktion angemessen ist.

In der Praxis kann ein Red Team zum Beispiel bei einem Energieversorger versuchen, vom Büro-Netzwerk in das Produktionsnetz vorzudringen. Das Team startet mit einem Phishing-Angriff, bewegt sich lateral durch das Active Directory, sucht nach privilegierten Konten und testet, ob es den Sprung in das OT-Netz schafft. Oft zeigt sich, dass einzelne Segmente zu durchlässig sind oder dass bestimmte Anomalien zwar geloggt, aber nicht ausgewertet werden. Das Ergebnis ist eine realistische Einschätzung der eigenen Erkennungs- und Reaktionsfähigkeit und liefert eine Roadmap für Verbesserungen, die weit über technische Patches hinausgeht.

Tabletop Exercises – das Planspiel für Krisen

Während Pentests, TLPT und Red Teaming echte technische Angriffe simulieren, sind Tabletop Exercises ein strategisches Instrument. Sie finden in Form eines Workshops statt, bei dem das Management, die IT-Security, die Kommunikationsabteilung und andere Schlüsselrollen an einem Tisch sitzen. Gemeinsam wird ein realistisches Szenario durchgespielt – zum Beispiel ein Ransomware-Ausbruch, der die Produktion lahmlegt.

Die Teilnehmer müssen in Echtzeit entscheiden, welche Maßnahmen ergriffen werden: Soll das Incident-Response-Team aktiviert werden? Wie informiert man Kunden und Partner? Muss man Behörden einschalten, um gesetzlichen Meldepflichten nachzukommen? Tabletop Exercises decken häufig organisatorische Schwächen auf, etwa unklare Verantwortlichkeiten, fehlende Freigabeprozesse für externe Kommunikation oder veraltete Kontaktlisten. Am Ende steht ein verbessertes Krisenhandbuch, klare Eskalationspfade und oft auch eine gestärkte Zusammenarbeit zwischen den Abteilungen.

Penetrationstests – der technische Basis-Check

Ein Pentest ist der Klassiker unter den Sicherheitsüberprüfungen. Hier geht es darum, technische Schwachstellen in Systemen oder Anwendungen aufzuspüren, bevor sie von echten Angreifern ausgenutzt werden können. Das Vorgehen ist relativ klar strukturiert: Nach einer sorgfältigen Auftragsklärung und Definition des Scopes analysieren Sicherheitsexperten die Angriffsfläche, suchen nach bekannten Schwachstellen und versuchen diese auszunutzen, um ihre Auswirkung zu demonstrieren. Am Ende steht ein Report, der die gefundenen Lücken beschreibt, nach Risiko priorisiert und konkrete Empfehlungen zur Behebung enthält.

In der Praxis kann ein Pentest beispielsweise ein Kundenportal überprüfen: Die Tester entdecken vielleicht eine Insecure-Direct-Object-Reference-Schwachstelle in einer API, eine offene Umleitung oder eine schlecht konfigurierte Content Security Policy. Solche Ergebnisse sind wertvoll, um die technische Basis abzusichern, doch ein Pentest beantwortet nicht die Frage, wie schnell ein Unternehmen einen Angriff bemerken und darauf reagieren würde.

Vergleich und Zusammenspiel der Ansätze

Pentests, TLPT, Red Teaming und Tabletop Exercises sind keine konkurrierenden, sondern sich ergänzende Maßnahmen. Pentests sind ideal, um die technische Angriffsfläche regelmäßig zu überprüfen und konkrete Lücken zu schließen. TLPT und Red Teaming liefern ein realistisches Bild der eigenen Sicherheitslage unter echten Angreiferbedingungen und zeigen, ob Detection und Response funktionieren. Tabletop Exercises stellen sicher, dass im Ernstfall die richtigen Entscheidungen schnell getroffen werden und Kommunikation sowie Verantwortlichkeiten klar sind.

Unternehmen mit einem hohen Sicherheitsanspruch kombinieren diese Methoden: Zunächst sorgen regelmäßige Pentests für eine solide technische Basis. Anschließend prüfen Red Teaming und TLPT, ob diese Basis auch im Kontext realistischer Angriffe standhält. Schließlich trainieren Tabletop Exercises die Krisenreaktion und stellen sicher, dass Management und Kommunikation ebenso vorbereitet sind wie die Technik.

Fazit

Die Bedrohungslage entwickelt sich ständig weiter, und damit auch die Anforderungen an die Sicherheitsüberprüfung. Pentests bleiben ein wichtiger Grundbaustein, reichen jedoch nicht aus, um die Resilienz einer Organisation ganzheitlich zu beurteilen. TLPT, Red Teaming und Tabletop Exercises liefern den nötigen Realitätscheck und stellen sicher, dass nicht nur Systeme, sondern auch Menschen und Prozesse bereit für den Ernstfall sind. Wer alle vier Ansätze regelmäßig und abgestimmt einsetzt, entwickelt eine robuste Verteidigungsstrategie, die sowohl Prävention als auch Detektion und Reaktion umfasst.

Wie pen.sec Sie dabei unterstützt

Bei pen.sec verstehen wir Sicherheitsüberprüfungen nicht als reines Pflichtprogramm, sondern als strategisches Werkzeug für Ihre Cyber-Resilienz. Unser Ansatz geht über das Aufdecken von Schwachstellen hinaus: Wir helfen Ihnen, Risiken zu priorisieren, Maßnahmen zielgerichtet umzusetzen und die Wirksamkeit Ihrer Verteidigung messbar zu steigern.

Mit unseren Pentests geben wir Ihnen eine klare Roadmap, um Ihre Systeme abzusichern. Threat-Led Penetration Tests (TLPT) liefern Ihnen realistische Einblicke, wie echte Angreifer vorgehen würden, inklusive messbarer Kennzahlen wie „Mean Time to Detect“. In Red-Teaming-Übungen testen wir gemeinsam mit Ihnen, wie gut Ihre Organisation Angriffe erkennt und abwehrt, und geben konkrete Empfehlungen, wie Sie Ihre Detection- und Response-Prozesse optimieren. Und in Tabletop Exercises stellen wir sicher, dass Ihre Entscheidungswege, Kommunikationsprozesse und Eskalationsstufen auch in einer echten Krise funktionieren.

Das Ergebnis: Sie gewinnen nicht nur technisches Wissen, sondern auch organisatorische Sicherheit. Sie können Risiken fundiert gegenüber dem Management kommunizieren, Ihre Sicherheitsinvestitionen priorisieren und Ihre Kunden und Partner davon überzeugen, dass Sie vorbereitet sind.