Was macht ein Red Team?

Ein Red Team nimmt die Perspektive realer Angreifer ein und versucht, mit deren Techniken in die Systeme einer Organisation einzudringen — verdeckt, zielgerichtet und über längere Zeit. Anders als ein klassischer Penetrationstest, der breit nach Schwachstellen sucht, verfolgt ein Red Team meist ein konkretes Angriffsziel und testet dabei auch, ob und wie schnell die Verteidigung den Angriff überhaupt bemerkt.

Was macht ein Blue Team?

Das Blue Team ist die Verteidigung — die Personen und Funktionen, die Angriffe erkennen, analysieren und abwehren. Dazu gehören das Monitoring im SOC, die Auswertung von Alarmen aus dem SIEM, das Threat Hunting und die Reaktion auf Vorfälle. Das Blue Team arbeitet im Dauerbetrieb, nicht nur während einer Übung, und wird durch Red-Team-Übungen gezielt auf die Probe gestellt.

Was ist ein Purple Team?

Ein Purple Team ist keine eigene dritte Mannschaft, sondern ein Arbeitsmodus; Red und Blue Team arbeiten eng und transparent zusammen, statt gegeneinander. Das Red Team zeigt offen, wie es vorgegangen ist, das Blue Team prüft direkt, ob seine Erkennung gegriffen hätte, und beide verbessern gemeinsam die Abwehr. Purple Teaming maximiert den Lerneffekt und ist gerade für kleinere Organisationen mit begrenzten Ressourcen effizient.

Was ist der Unterschied zu einer Tabletop Exercise?

Eine Tabletop Exercise ist diskussionsbasiert — sie spielt ein Szenario am Tisch durch und prüft Entscheidungen und Abläufe, ohne in echte Systeme einzugreifen. Red-/Blue-Team-Übungen sind operativ; hier wird real angegriffen und verteidigt. Beide ergänzen sich; die Tabletop testet die organisatorische Reaktion, die Red-/Blue-Übung die technische Erkennungs- und Abwehrfähigkeit.

GlossarDefinition

Red Team, Blue Team, Purple Team — was ist der Unterschied?

Zuletzt aktualisiert: 27. August 2026

Kurz erklärt: Red Team, Blue Team und Purple Team beschreiben Rollen in operativen, übungsbasierten Sicherheitstests. Das Red Team nimmt die Angreiferperspektive ein und versucht, realistisch in Systeme einzudringen. Das Blue Team ist die Verteidigung — es erkennt, analysiert und wehrt diese Angriffe ab. Das Purple Team ist keine dritte Mannschaft, sondern der Ansatz, Rot und Blau eng zusammenarbeiten zu lassen, damit aus jedem Angriff sofort eine konkrete Verbesserung der Verteidigung wird. Anders als die diskussionsbasierte Tabletop Exercise sind diese Übungen operativ und technisch.

Red Team, Blue Team und Purple Team bezeichnen Rollen in operativen, übungsbasierten Sicherheitstests: Das Red Team greift an, das Blue Team verteidigt, und das Purple Team verbindet beide, damit aus dem Schlagabtausch echtes Lernen wird. Anders als die diskussionsbasierte Tabletop Exercise sind diese Übungen technisch und finden an realen Systemen statt.

Foundational Facts

Red Team: Angreiferrolle, realistische Angriffssimulation
Blue Team: Verteidigung, Erkennung und Abwehr (Dauerbetrieb)
Purple Team: Arbeitsmodus, der Rot und Blau koppelt
Charakter: operativ/technisch (vs. diskussionsbasierte Tabletop)
Bezug: Angriffstechniken nach MITRE ATT&CK

Die drei Rollen im Detail

Red Team

Das Red Team denkt und handelt wie ein echter Angreifer. Es verfolgt ein definiertes Ziel — etwa „Zugriff auf die Gehaltsdaten” — und nutzt dieselben Techniken wie reale Akteure, oft orientiert an der Cyber Kill Chain und am MITRE-ATT&CK-Katalog. Dabei testet es nicht nur Schwachstellen, sondern auch, ob die Verteidigung den Angriff bemerkt.

Blue Team

Das Blue Team ist die Verteidigung im Alltag: Monitoring im SOC, Auswertung von Alarmen, Threat Hunting und Reaktion auf Vorfälle. Eine Red-Team-Übung ist für das Blue Team die Belastungsprobe — sie zeigt, ob Erkennung und Reaktion unter realen Bedingungen greifen.

Purple Team

Das Purple Team ist die Erkenntnis, dass Rot gegen Blau allein Punkte zählt, aber wenig verbessert. Im Purple Teaming arbeiten beide transparent zusammen: Das Red Team legt seine Schritte offen, das Blue Team prüft direkt, an welcher Stelle seine Erkennung hätte greifen müssen, und beide schließen die Lücke gemeinsam. Das maximiert den Lerneffekt pro investierter Stunde.

Abgrenzung zu Pentest und TLPT

Die Begriffe überschneiden sich, meinen aber Unterschiedliches:

Format	Schwerpunkt
Penetrationstest	breite Schwachstellensuche in definiertem Scope
Red Teaming	zielgerichteter, verdeckter Angriff inkl. Erkennungstest
TLPT	bedrohungsgeführtes Red Teaming nach reguliertem Rahmen (z. B. DORA)

Bedeutung für den Mittelstand

Vollständige Red-Team-Kampagnen sind für viele KMU zu aufwendig — der pragmatische Einstieg ist Purple Teaming mit einem externen Dienstleister: gezielte Angriffssimulationen, bei denen das eigene (oft ausgelagerte) Blue Team direkt mitlernt. So entsteht messbarer Sicherheitsgewinn, ohne ein dauerhaftes Angriffsteam vorhalten zu müssen. Die organisatorische Reaktion auf einen erkannten Angriff wird ergänzend in einer Tabletop Exercise geprüft.

Weiterführende Links

Häufige Fragen

Was macht ein Red Team?: Ein Red Team nimmt die Perspektive realer Angreifer ein und versucht, mit deren Techniken in die Systeme einer Organisation einzudringen — verdeckt, zielgerichtet und über längere Zeit. Anders als ein klassischer Penetrationstest, der breit nach Schwachstellen sucht, verfolgt ein Red Team meist ein konkretes Angriffsziel und testet dabei auch, ob und wie schnell die Verteidigung den Angriff überhaupt bemerkt.
Was macht ein Blue Team?: Das Blue Team ist die Verteidigung — die Personen und Funktionen, die Angriffe erkennen, analysieren und abwehren. Dazu gehören das Monitoring im SOC, die Auswertung von Alarmen aus dem SIEM, das Threat Hunting und die Reaktion auf Vorfälle. Das Blue Team arbeitet im Dauerbetrieb, nicht nur während einer Übung, und wird durch Red-Team-Übungen gezielt auf die Probe gestellt.
Was ist ein Purple Team?: Ein Purple Team ist keine eigene dritte Mannschaft, sondern ein Arbeitsmodus; Red und Blue Team arbeiten eng und transparent zusammen, statt gegeneinander. Das Red Team zeigt offen, wie es vorgegangen ist, das Blue Team prüft direkt, ob seine Erkennung gegriffen hätte, und beide verbessern gemeinsam die Abwehr. Purple Teaming maximiert den Lerneffekt und ist gerade für kleinere Organisationen mit begrenzten Ressourcen effizient.
Was ist der Unterschied zu einer Tabletop Exercise?: Eine Tabletop Exercise ist diskussionsbasiert — sie spielt ein Szenario am Tisch durch und prüft Entscheidungen und Abläufe, ohne in echte Systeme einzugreifen. Red-/Blue-Team-Übungen sind operativ; hier wird real angegriffen und verteidigt. Beide ergänzen sich; die Tabletop testet die organisatorische Reaktion, die Red-/Blue-Übung die technische Erkennungs- und Abwehrfähigkeit.