Red Team Pentest, Penetrationstest-Kosten & BSI-Standard erklärt

Red Team Pentesting – auch Red Teaming genannt – ist die ehrlichste Form, die Sicherheit eines Unternehmens zu prüfen: ein realistisch nachgestellter Cyberangriff durch professionelle Ethical Hacker, verdeckt, zielgerichtet und über alle denkbaren Wege. Während klassische Penetrationstests einzelne Systeme prüfen, beantwortet ein Red Team Assessment die entscheidende Frage: Würde ein echter Angreifer es schaffen, in Ihr Unternehmen einzudringen, unbemerkt zu bleiben und sein Ziel zu erreichen?

In diesem Leitfaden erklären wir was ein Red Team Pentest ist, wie er sich vom klassischen Pentest unterscheidet, welchen Ablauf ein Red Team Assessment hat und für wen sich Red Teaming in Deutschland lohnt. Wir beleuchten auch die Kosten für Red Teaming und geben eine klare Entscheidungshilfe, wann ein Red Team Test sinnvoller ist als ein klassischer Pentest.

Was ist ein Red Team Pentest? Definition einfach erklärt

Ein Red Team Pentest ist eine gezielte Angriffssimulation, bei der ein Team spezialisierter Sicherheitsexperten – die sogenannten Ethical Hacker – wie ein echter Angreifer vorgeht. Im Gegensatz zu einem regulären Pentest gibt es kein eingegrenztes Zielsystem und keine Vorwarnung der internen IT-Teams. Geprüft wird nicht eine einzelne Anwendung, sondern die gesamte Verteidigungsfähigkeit eines Unternehmens.

Ein professioneller Red Team Einsatz orientiert sich an realen Bedrohungsakteuren und nutzt deren typische Taktiken, Techniken und Vorgehensweisen (TTPs) – häufig angelehnt an das MITRE ATT&CK-Framework. Ziel ist es, ein vorab definiertes Angriffsziel (Crown Jewel) zu erreichen, zum Beispiel den Zugriff auf eine kritische Datenbank, ein Domain-Admin-Konto oder vertrauliche Geschäftsunterlagen.

Merke: Ein Red Team Pentest simuliert nicht nur Technik, sondern den gesamten Angriff – inklusive Social Engineering, gezielter Recherche und, je nach Auftrag, physischer Zutrittsversuche.

Red Team Pentest vs. klassischer Pentest: die wichtigsten Unterschiede

Beide Disziplinen gehören zur offensiven Sicherheit – aber sie beantworten unterschiedliche Fragen. Der klassische Pentest fragt: „Ist dieses System sicher?" Das Red Team fragt: „Ist unser Unternehmen sicher?"

Faktor	Klassischer Pentest	Red Team Pentest
Ziel	Schwachstellen in einem definierten System finden	Reales Angriffsziel erreichen, Verteidigung testen
Scope	Eng definiert (z. B. eine Web-App)	Gesamtes Unternehmen, alle Vektoren
Vorwarnung der IT	Ja, abgestimmt	Nein, verdeckt
Methoden	Technische Tests	Technik + Social Engineering + ggf. physisch
Dauer	Tage bis wenige Wochen	Mehrere Wochen bis Monate
Erkenntnis	Liste an Schwachstellen	Realitätsnahe Lagebeurteilung der Abwehr

Vereinfacht: Ein Pentest prüft die Schlösser. Ein Red Team Test prüft, ob jemand das Gebäude betreten, sich unbemerkt bewegen und mit den Akten wieder herauskommen kann.

Was kostet ein Penetrationstest? Realistische Preise 2026

Die häufigste Frage vor jedem Projekt lautet: Was kostet ein Penetrationstest? Die ehrliche Antwort: Es hängt vom Scope ab. Pentests werden in Deutschland fast immer nach Tagessätzen kalkuliert, üblich sind 1.200 bis 1.800 € netto pro Pentester-Tag. Daraus ergeben sich realistische Preisspannen:

• Webapplication Pentest (1 Anwendung, mittlere Komplexität): 5–10 Tage → ca. 6.000–18.000 €
• Externer Netzwerk-Pentest (öffentlich erreichbare Systeme): 3–7 Tage → ca. 4.000–13.000 €
• Interner Pentest / Active Directory: 5–10 Tage → ca. 6.000–18.000 €
• API-Pentest (REST/GraphQL, je nach Endpunkten): 4–8 Tage → ca. 5.000–14.000 €
• Social-Engineering- & Phishing-Kampagne: 3–6 Tage → ca. 4.000–10.000 €
• Red Team Assessment (alle Vektoren, mehrere Wochen): 15.000–60.000 € +

Was die Pentest-Kosten wirklich treibt: die Anzahl der Zielsysteme, die Tiefe der Tests (Black-/Grey-/White-Box), gewünschte Re-Tests nach Bugfixes und die Qualität des Reportings. Ein reiner Tool-Scan ist günstig, aber kein Pentest – ein manueller Test durch zertifizierte Experten (OSCP, OSEP, CRTO) ist die belastbare Investition. Eine maßgeschneiderte Aufwandsschätzung erhalten Sie über unsere Leistungsseite Pentest & Red Teaming.

Pentest nach BSI-Standard: was bedeutet das konkret?

Ein Pentest nach BSI-Standard orientiert sich am Leitfaden „Durchführungskonzept für Penetrationstests" des Bundesamts für Sicherheit in der Informationstechnik. Der BSI-Standard ist seit Jahren der Referenzrahmen für Pentests in Deutschland – besonders im öffentlichen Sektor, in KRITIS-Branchen und überall dort, wo audit-taugliche Nachweise gefordert sind.

Der BSI-Standard klassifiziert Pentests entlang sechs Kriterien:

1. Informationsbasis – Black-, Grey- oder White-Box
2. Aggressivität – passiv, vorsichtig, abwägend oder aggressiv
3. Umfang – vollständig, fokussiert oder begrenzt
4. Vorgehensweise – verdeckt oder offensichtlich
5. Technik – netzwerkbasiert, sonstige Kommunikation, physisch oder Social Engineering
6. Ausgangspunkt – von außen oder von innen

Daraus ergibt sich ein klar dokumentiertes Pentest-Profil, das im Abschlussbericht ausgewiesen wird – inklusive Risikobewertung pro Finding (CVSS-Score), Reproduktionsschritten und priorisierten Maßnahmenempfehlungen. Genau dieser strukturierte Aufbau ist es, der einen BSI-konformen Pentest für Audits, NIS2-Nachweise, Cyberversicherungen und ISO-27001-Zertifizierungen verwertbar macht.

Webapplication Pentest: der häufigste Pentest-Typ

Der Webapplication Pentest ist mit Abstand der am häufigsten beauftragte Pentest-Typ – aus gutem Grund: Webanwendungen sind öffentlich erreichbar, verarbeiten oft Kundendaten und sind das primäre Ziel automatisierter Angriffe. Ein professioneller Web-App-Pentest orientiert sich am OWASP Web Security Testing Guide (WSTG) und prüft systematisch:

• Authentifizierung & Session-Management – Brute Force, Session Fixation, Token-Sicherheit
• Autorisierung – Broken Access Control, IDOR, Privilege Escalation
• Injection-Schwachstellen – SQLi, NoSQLi, Command Injection, XSS, SSTI
• Geschäftslogik – Workflows, Rabatte, Race Conditions, Wertgrenzen
• API-Sicherheit – OWASP API Top 10 für REST und GraphQL
• Konfiguration & Härtung – Header, TLS, Fehlerseiten, Dependencies

Für DSGVO-relevante Anwendungen und alles, was unter NIS2 fällt, ist ein jährlicher Webapplication Pentest faktisch Pflicht – Cyberversicherungen verlangen ihn ohnehin zunehmend als Voraussetzung für Deckung.

Wie läuft ein Red Team Assessment ab? Der typische Ablauf

Ein professioneller Red Team Einsatz folgt einem klar strukturierten Ablauf, der sich an den Phasen realer Angriffe orientiert:

1. Zieldefinition und Regelwerk (Rules of Engagement)

Vorab werden mit einer kleinen, eingeweihten Gruppe (dem „White Team", meist Geschäftsführung oder CISO) die Ziele, der zulässige Aktionsrahmen und Eskalationswege festgelegt. Die operative IT bleibt bewusst uninformiert, um eine realistische Reaktion testen zu können.

2. Aufklärung (Reconnaissance)

Das Red Team sammelt öffentlich verfügbare Informationen über das Unternehmen – Mitarbeiter, Technologien, exponierte Dienste, Lieferanten. Das ist genau das, was auch echte Angreifer tun, bevor sie zuschlagen.

3. Initialer Zugriff

Über zielgerichtetes Spear-Phishing, kompromittierte Zugangsdaten, ungepatchte Systeme oder physische Zutrittsversuche verschafft sich das Team einen ersten Fuß in die Tür.

4. Ausbreitung und Privilegieneskalation

Vom ersten Zugang aus bewegt sich das Red Team durch das Netzwerk, eskaliert Rechte und versucht, dauerhafte Zugänge zu etablieren – verdeckt und mit Techniken, die typische Erkennungslösungen umgehen.

5. Zielerreichung

Das vorab definierte Angriffsziel wird erreicht – zum Beispiel der Zugriff auf eine produktive Datenbank oder ein Domain-Admin-Konto. Es wird nichts beschädigt; der Nachweis erfolgt sauber dokumentiert.

6. Reporting und Purple Team Workshop

Am Ende stehen ein detaillierter Bericht und ein gemeinsamer Workshop mit dem internen Blue Team. Dort werden Angriffsketten, übersehene Signale und konkrete Verbesserungen besprochen – aus dem Wettkampf wird gemeinsames Lernen.

Welche Angriffsvektoren nutzt ein Red Team im Pentest?

• Technische Angriffe: Schwachstellen in Webanwendungen, APIs, exponierten Diensten und im internen Netzwerk.
• Active Directory: Kerberoasting, Lateral Movement, Privilegieneskalation bis zum Domain Admin.
• Social Engineering: Spear-Phishing, Vishing (Telefon) und in seltenen Fällen physische Zutrittsversuche – ein Kernbestandteil vieler Social Engineering Pentests.
• Cloud & Identitäten: Missbrauch von Tokens, Fehlkonfigurationen in Microsoft 365, Azure oder AWS.
• Endpoint-Evasion: Umgehung gängiger EDR-/XDR-Lösungen mit aktuellen Angriffstechniken.

Welche Vektoren tatsächlich genutzt werden, hängt vom Auftrag und den Rules of Engagement ab – nicht jedes Red Teaming Projekt umfasst zwangsläufig physische Tests.

Was bringt Red Teaming einem Unternehmen? Die 5 wichtigsten Vorteile

Ein Red Team Assessment liefert Erkenntnisse, die kein klassischer Pentest leisten kann:

• Echte Lagebeurteilung: Sie erfahren, wie weit ein realer Angreifer kommen würde – nicht, ob ein Server theoretisch verwundbar ist.
• Test der Erkennung und Reaktion: Funktioniert Ihr SOC, MDR oder Ihre interne IT in der Praxis? Werden Angriffe gesehen, eskaliert, gestoppt?
• Schulung des Blue Teams: Im anschließenden Purple Team Workshop lernt Ihre Verteidigung von echten Angriffsmustern.
• Belastbare Argumente für die Geschäftsführung: Ein nachvollziehbar dokumentierter Angriff schafft Investitionsbereitschaft – kein Schwachstellenbericht ersetzt das.
• Nachweis für Compliance: Für regulierte Branchen und im Kontext von NIS2 und DORA sind realistische Angriffssimulationen ein anerkannter Bestandteil eines reifen Sicherheitsprogramms.

Red Team, Blue Team, Purple Team: was bedeuten die Begriffe?

Die Farbcodierung hilft, die Rollen bei einer Angriffssimulation zu verstehen:

• Red Team: Die Angreifer – externe oder interne Experten, die offensiv testen und versuchen, ins Unternehmen einzudringen.
• Blue Team: Die Verteidiger – Ihre interne IT, das SOC oder Ihr MDR-Anbieter, die Angriffe erkennen und abwehren.
• Purple Team: Die Zusammenarbeit beider Seiten nach dem Assessment, um aus Angriffswegen konkrete Verbesserungen zu ableiten und Wissen auszutauschen.

Der Red Team vs Blue Team Ansatz ist ein bewährtes Rahmenwerk: Während das Red Team die offensive Perspektive einnimmt, lernt das Blue Team aus den realen Angriffsmustern. Der Purple Team Workshop verbindet beide Welten zu einem kontinuierlichen Verbesserungsprozess.

Wann ist Red Teaming sinnvoll – und wann nicht?

Red Teaming entfaltet seinen Nutzen erst, wenn ein Unternehmen bereits ein gewisses Sicherheitsniveau erreicht hat. Wer noch keine Erkennungstechnologie, kein Incident-Response-Konzept und keine grundlegenden Härtungsmaßnahmen umgesetzt hat, sollte zunächst dort ansetzen – sonst werden teure Profis dafür bezahlt, das Offensichtliche zu finden.

Red Teaming ist die richtige Wahl, wenn:

• Sie ein MDR oder SOC im Einsatz haben und dessen Wirksamkeit überprüfen wollen,
• regelmäßige Pentests gemacht werden, aber unklar ist, ob die Verteidigung als Ganzes funktioniert,
• Sie unter regulatorische Anforderungen wie NIS2 oder DORA fallen,
• Geschäftsführung oder Aufsichtsrat eine realistische Risikoeinschätzung verlangen.

Ein klassischer Pentest ist sinnvoller, wenn: Sie eine konkrete neue Anwendung oder Infrastruktur prüfen lassen wollen, bevor sie produktiv geht.

Was kostet ein Red Team Pentest speziell? Ein realistischer Rahmen

Die Kosten für Red Teaming hängen stark vom Scope, der Dauer und der Komplexität der Umgebung ab. Im Gegensatz zum klassischen Pentest, der oft nach Tagessätzen abgerechnet wird, ist ein Red Team Assessment in der Regel ein Projekt mit fixem Budget.

Typische Preisspannen in Deutschland:

• Kompaktes Red Team Assessment (2–3 Wochen, technische Vektoren + Social Engineering): ab etwa 15.000–25.000 €
• Standard Red Teaming Projekt (4–8 Wochen, alle Vektoren, inkl. Reporting): 25.000–60.000 €
• Umfassendes Enterprise Red Team (mehrere Monate, internationale Standorte, physischer Zutritt): 60.000 €+

Die Investition lohnt sich, wenn das Ergebnis nicht nur ein Bericht ist, sondern eine nachweisbare Verbesserung der Sicherheitslage. Viele Unternehmen führen Red Teaming deshalb jährlich oder halbjährlich durch, um den Reifegrad kontinuierlich zu steigern.

Fazit: Red Teaming als Königsdisziplin der Sicherheitsprüfung

Red Team Pentesting ist die anspruchsvollste, aber auch aussagekräftigste Form der Sicherheitsprüfung. Es zeigt nicht nur, wo Schwachstellen liegen, sondern ob Ihr Unternehmen als Ganzes einem realen Angriff standhält – Technik, Mensch und Prozess inklusive. Für Unternehmen mit einem reifen Sicherheitsprogramm oder regulatorischen Anforderungen ist es der entscheidende nächste Schritt nach klassischen Pentests.

Wer verstehen will, wie gut seine Verteidigung wirklich ist, braucht keinen theoretischen Test – sondern einen Red Team Test, der die Realität simuliert.

Weiterlesen: Leistungsseite Pentest & Red Teaming · XDR vs. MDR vs. EDR · Managed Security & SOC as a Service

Nächste Schritte: persönliches Erstgespräch über /kontakt.