RED TEAMING · ANGREIFERSIMULATION · AUTORISIERTE ÜBUNGEN
Safematix führt autorisierte Red-Team- und Angreifersimulations-Übungen durch, die prüfen, wie Menschen, Prozesse und Technik einem realistischen Eindringversuch gemeinsam standhalten. Der Auftrag wird schriftlich vereinbart, von Ihren eigenen Teams beobachtet und mit einem detektionsorientierten Debriefing abgeschlossen. Das Ergebnis sind Nachweise über Ihre Verteidigung, nicht die Erzählung eines Angriffs.
AUF EINEN BLICK
01 / PASSENDE SITUATIONEN
Ein Penetrationstest beantwortet, ob ein definiertes System überwunden werden kann. Eine Red-Team-Übung beantwortet, ob Ihre Organisation bemerkt, begrenzt und reagiert, wenn jemand in einer realistischen Abfolge vorgeht. Dafür braucht es eine Verteidigung, die geprüft werden darf, und nicht nur ein Ziel, das getestet wird.
01
Sie haben Schutzmassnahmen, Protokollierung und ein Response-Team, aber kaum Nachweise darüber, wie sie sich gegen einen denkenden Angreifer verhalten. Eine Übung liefert diese Nachweise: welche Schritte bemerkt wurden, welche Alarme ausgelöst haben, wie lange eine Entscheidung dauerte und wo die Reaktion ins Stocken geriet. Lücken werden zu Befunden mit Zuständigkeit statt zu einem allgemeinen Eindruck.
02
Ein Framework-Review oder Fragebogen beschreibt eine Absicht; eine Übung zeigt, wie die vereinbarten Abläufe tatsächlich durchlaufen werden. Safematix dokumentiert, was versucht wurde, was beobachtet wurde und zu welchem Schluss die Verteidigung gelangte. Das Ergebnis lässt sich mit einer Prüfstelle oder einem Risikoverantwortlichen besprechen, ohne als Zertifizierung oder behördliche Freigabe ausgegeben zu werden.
03
Eine Migration, ein Zukauf, eine neue Cloud-Umgebung oder mobiles Arbeiten können Pfade schaffen, die kein einzelnes Team vollständig überblickt. Eine Übung folgt diesen Pfaden über organisatorische Grenzen hinweg und zeigt, wo Annahmen zu Zuständigkeit, Überwachung oder Segmentierung nicht mehr tragen.
04
Ransomware, Diebstahl von Zugangsdaten, Business E-Mail Compromise und Missbrauch von Lieferanten werden oft besprochen und selten geübt. Innerhalb eines vereinbarten Umfangs kann Safematix das relevante Verhalten mit kontrollierten, nicht destruktiven Nachbildungen simulieren. Ihre Teams üben dann die Entscheidung, statt darüber zu lesen.
02 / LEISTUNGEN
Jede Übung wählt aus den folgenden Arbeiten und legt ihre Grenzen schriftlich fest. Dass es kein festes Paket gibt, ist beabsichtigt: Eine Red-Team-Übung wird um Ihre Umgebung, Ihre Detektionsfähigkeit und die zu stützende Entscheidung herum abgegrenzt und nicht als Katalogartikel verkauft.
01
Safematix plant einen realistischen Eindringpfad über die Elemente, die ein Angreifer tatsächlich nutzen würde: Identitäten, exponierte Dienste, Vertrauen von Nutzenden, Lieferantenbeziehungen sowie physische oder organisatorische Abläufe. Die Übung prüft, ob diese Elemente zu einer Route zusammenwachsen, die Ihre Organisation bemerken und stoppen würde, statt jedes Element isoliert zu testen.
02
Das vereinbarte Verhalten orientiert sich an einer dokumentierten, für Ihre Branche relevanten Bedrohung. Techniken, Zeitfenster und Geräuschpegel werden vor der Übung festgehalten. Safematix protokolliert, welche Technik in welchem Schritt verwendet wurde, damit Ihr Detektionsteam seine Telemetrie mit dem tatsächlichen Verlauf vergleichen kann und nicht mit einem allgemeinen Bericht.
03
Wenn der schriftliche Umfang es einschliesst, setzt Safematix kontrollierte, nicht destruktive Nachbildungen ein, die Malware- oder Ransomware-Verhalten imitieren – Ausführung, Persistenz, Zugriff auf Zugangsdaten, Verschlüsselung von Wegwerf-Testdaten –, und zwar in einer vorab vereinbarten, isolierten Umgebung. Es handelt sich um Simulationen mit ausdrücklichem Abbruchschalter und benannter Abbruchkontaktperson, nicht um echten Schadcode, und sie verlassen die vereinbarte Grenze nie.
04
Nach der Übung geht Safematix die Zeitachse mit Ihren Detektions- und Response-Teams durch: welche Ereignisse sichtbar waren, welche Regeln Lärm erzeugt haben, welche Alarme ungelesen blieben und wo der Eskalationsweg brach. Die Ergebnisse verbinden jede Beobachtung mit einer konkreten Änderung an Detektion, Prozess oder Zuständigkeit.
03 / ERGEBNISSE
Die Übung hat zwei Publika und zwei Detailstufen: eine Entscheidungsgrundlage für die Leitung und eine technische Aufzeichnung für Detection Engineering, Response und Infrastruktur. Umfang, Grenzen und Regeln der Übung bleiben in beiden sichtbar.
01
Die vereinbarten Ziele, Techniken, Zeitfenster, Abbruchbedingungen, Kontaktpersonen und der Umgang mit Nachweisen, unterschrieben von einer autorisierten Vertretung, bevor eine Tätigkeit beginnt. Dieses Dokument ist zugleich die Referenz dafür, was die Übung tun darf und was nicht; alles ausserhalb wird nicht ausgeführt.
02
Eine schrittweise Darstellung, was versucht wurde, was gelang, was scheiterte und wann, zugeordnet zu den im Umfang genannten Techniken. Die Darstellung unterscheidet nachgewiesenen Zugriff von Annahmen und markiert jeden Punkt, an dem eine Schutzmassnahme oder eine menschliche Entscheidung den Ausgang verändert hat.
03
Eine Aufzeichnung der während der Übung beobachteten Telemetrie, Alarme und Eskalationen einschliesslich der Lücken. Sie zeigt, wie lange jede Phase unentdeckt blieb und welche Signale diese Zeit verkürzt hätten. Damit erhält Detection Engineering eine priorisierte Grundlage für Regeln und Log-Quellen.
04
Jeder Befund nennt die beobachtete Bedingung, ihre praktische Bedeutung, die betroffene Kontrolle und ein Kriterium zur Prüfung einer Verbesserung. Die Befunde umfassen technische, verfahrensbezogene und organisatorische Schwächen; eine Übung, die nur fehlende Patches meldet, hat die beauftragte Verteidigung nicht geprüft.
05
Ein strukturiertes Debriefing mit den beteiligten Teams, das Nachgewiesenes von noch Ungetestetem trennt. Wenn vereinbart, führt Safematix zusätzlich einen Workshop zur Behebung durch, der die Befunde in einen geordneten Plan überführt. Vereinbarte Verbesserungen lassen sich in einem separaten, ausdrücklich abgegrenzten Auftrag nachtesten.
04 / ERFAHRUNG
Sie arbeiten direkt mit Robert Ressl. Sein öffentlicher CV dokumentiert Offensive-Security-Leitung und Umsetzung in regulierten Umgebungen. Die Beispiele beschreiben diesen Hintergrund, keine erfundenen Kundenergebnisse und keine Aussagen über die Bereitschaft Ihrer Organisation.
Roberts öffentlicher CV dokumentiert die Leitung internationaler Offensive-Security-Arbeit sowie Einsätze in FINMA-, DORA- und TLPT-Umgebungen. Das belegt Erfahrung mit den Dokumentations-, Autorisierungs- und Nachweisanforderungen regulierter Übungen – keine behördliche Zulassung, unabhängige Zertifizierung oder Zusage, dass eine Kundenorganisation ihre Verpflichtungen erfüllt.
Die Arbeit verbindet Angriffstechnik mit der Telemetrie, die sie erzeugt. Roberts Hintergrund umfasst Infrastruktur-, Cloud- und Anwendungssicherheit. Eine Übung lässt sich daher um das technisch Erreichbare planen und anschliessend gegen das prüfen, was Ihre Überwachung realistisch beobachten kann.
Robert veröffentlicht Werkzeuge, Modellartefakte und Engineering-Material, darunter KI-Security-Arbeiten zur Werkzeugnutzung über MCP. Dieser praxisnahe Hintergrund macht ein Szenario glaubwürdig: Die simulierten Schritte sind solche, die eine Ingenieurin oder ein Ingenieur tatsächlich umsetzen kann, und keine aus einem Framework kopierte Liste.
05 / Vorgehen
Die Übung wird wie eine Operation geplant und wie eine Prüfung dokumentiert. Jeder Schritt legt fest, was autorisiert ist, was beobachtet wird und wer den Abbruch entscheidet.
Safematix klärt, welche Entscheidung die Übung stützen soll, welche Teile der Organisation im Blick sind und welche Detektions- und Response-Fähigkeit besteht. Safematix vereinbart Bedrohungsmodell, die Techniken im Umfang und die Fragen, die die Übung nicht beantwortet.
Ihr Beitrag Benennen Sie die entscheidungsverantwortliche Person und die beteiligten Verteidigungsteams und beschreiben Sie die Umgebung so weit, dass eine Planung möglich ist.
Vor jeder Tätigkeit unterzeichnet die autorisierte Vertretung die Übungsregeln: Ziele, Techniken, Zeitfenster, Abbruchbedingungen, Eskalationskontakte und den Umgang mit Nachweisen. Safematix bestätigt die sicheren Nachbildungen für allfällige Malware- oder Ransomware-Simulationen und die isolierte Umgebung, die sie einschliesst.
Ihr Beitrag Unterzeichnen Sie die Autorisierung, bestätigen Sie die benannten Kontaktpersonen und stellen Sie den vereinbarten Zugang und die Umgebung bereit.
Safematix folgt dem vereinbarten Pfad und protokolliert jeden Schritt mit Zeitstempel, Technik und beobachteter Wirkung. Die Übung endet an der dokumentierten Nachweisgrenze und bei jeder Abbruchbedingung; weicht das beobachtete Verhalten vom Plan ab, wird pausiert, bis die entscheidungsverantwortliche Person über das weitere Vorgehen entscheidet.
Ihr Beitrag Halten Sie die vereinbarten Kontaktpersonen erreichbar, beobachten Sie über Ihre eigene Telemetrie und veranlassen Sie einen Abbruch, wenn es erforderlich ist.
Safematix geht die Zeitachse mit Detektions-, Response- und Infrastrukturteams durch und liefert anschliessend Befunde mit Zuständigkeiten und Prüfkriterien. Das Debriefing trennt nachgewiesene Schwächen von ungetesteten Bereichen und hinterlässt Ihrer Organisation einen geordneten, überprüfbaren Plan.
Ihr Beitrag Nehmen Sie am Debriefing teil, bestätigen Sie die Zuständigkeit für die Befunde und entscheiden Sie, welche Verbesserungen geplant und geprüft werden.
06 / KONDITIONEN
Red-Team- und Angreifersimulations-Arbeiten werden anhand des vereinbarten Ziels, der Umgebung, der Techniken und des Beobachtungsfensters angeboten und nicht als festes Paket verkauft. Safematix bestätigt Umfang, Autorisierungsanforderungen, Ergebnisse, Verantwortlichkeiten, Überprüfung, Vergütung und Starttermin schriftlich. Die veröffentlichten Tagessätze bilden den kommerziellen Ausgangspunkt; anwendbarer Satz und Aufwand werden im Angebot bestätigt.
Flexible Mandate: CHF 2’200 pro Arbeitstag. Längere, klar definierte Remote-Projekte: CHF 2’000–2’100. Kurzfristige OT-, Red-Team- und Hochsicherheitseinsätze: CHF 2’400–2’600, nach Scope. Paketpreise entsprechen Fixpreis-Äquivalenten von CHF 1’850–2’100 pro Arbeitstag; der Tagessatz gilt, wenn sich der Umfang nicht im Voraus festlegen lässt.
Alle Paketpreise und Tagessätze verstehen sich exkl. allfälliger MwSt. sowie vorab genehmigter Reise- und Drittkosten, sofern nicht ausdrücklich im Auftragsformular enthalten. Fixpreispakete gelten im genannten Umfang. Scope, Autorisierung und Starttermin werden vor Arbeitsbeginn schriftlich vereinbart. Die Zuordnung zu regulatorischen Anforderungen erfolgt technisch und ist keine Rechtsberatung. Einsparungen und Compliance werden nicht zugesichert.
Übung besprechen07 / FAQ
Nein. Ein Penetrationstest untersucht ausnutzbare Schwachstellen innerhalb eines definierten technischen Umfangs, meist einer Anwendung oder eines Systems. Eine Red-Team-Übung prüft die Verteidigung als Ganzes: ob Menschen, Prozesse und Technik eine realistische Abfolge von Handlungen bemerken und begrenzen. Beides kann sich ergänzen; Safematix hält schriftlich fest, was der Auftrag umfasst.
Eine autorisierte Vertretung der Organisation, der die Ziele gehören, muss Umfang und Übungsregeln vor jeder Tätigkeit bestätigen und unterzeichnen. Gehören Infrastruktur oder Dienste Dritten, ist auch deren Zustimmung erforderlich. Safematix beginnt keine Übung auf eine informelle Anweisung hin und führt keine Arbeiten ausserhalb der unterzeichneten Grenze aus.
Die Übungsregeln legen Techniken, Zeitfenster und Umgebungen fest, die nicht berührt werden dürfen. Safematix plant um die Verfügbarkeit herum, setzt bei simuliertem Verhalten kontrollierte, nicht destruktive Nachbildungen ein und endet an der dokumentierten Nachweisgrenze. Verfügbarkeits- und Änderungssperren werden vorab vereinbart; eine Abbruchbedingung kann die Tätigkeit jederzeit beenden.
Sie verwendet kontrollierte Nachbildungen, die das relevante Verhalten in einer vorab vereinbarten isolierten Umgebung imitieren, mit dokumentiertem Abbruchschalter, benannter Abbruchkontaktperson und ohne Reichweite in produktive Systeme oder Drittinfrastruktur. Die Simulation ist kein echter Schadcode und bleibt nie zurück; der Bericht beschreibt, was simuliert wurde und wie es eingeschlossen blieb.
Das hängt vom Ziel ab und wird schriftlich entschieden. Eine Übung ohne Vorwarnung prüft Detektion und Eskalation im Ist-Zustand; eine angekündigte Übung lässt Response-Teams ein bestimmtes Szenario durchspielen. Häufig wird ein hybrides Vorgehen gewählt: Ein kleiner Kreis benannter Kontaktpersonen kennt das Zeitfenster, die übrige Organisation nicht. Safematix dokumentiert, welches Modell gewählt wurde und warum.
Beschreiben Sie, welche Entscheidung die Übung stützen soll, welche Teile der Organisation im Blick sind und welche rechtlichen, regulatorischen oder verfügbarkeitsbezogenen Grenzen bestehen. Ein vollständiger Netzwerkplan ist zum Einstieg nicht nötig. Bitte senden Sie keine Zugangsdaten, Produktivarchitektur oder Vorfalldetails in der ersten Anfrage; eine sichere Übergabe lässt sich während der Auftragsklärung vereinbaren. Ich antworte persönlich, in der Regel innerhalb eines Arbeitstages (Mo–Fr, MEZ).
08 / Kontakt
Beschreiben Sie Safematix, was die Übung zeigen soll, welche Teile der Organisation im Blick sind und was die Arbeit begrenzt. Daraus lässt sich ein Umfang, ein Satz von Techniken und ein schriftlicher Autorisierungsweg vorschlagen. Zugangsdaten, Architekturdetails und Vorfalldetails gehören nicht in die erste Nachricht.
Übung besprechen