Im Kopf eines modernen Red Teamers: Systeme herausfordern
Kevin Ott kam über strukturierte Unternehmensnetzwerke und ein duales Studium bei der Deutschen Bank in die Welt der Cybersicherheit. Doch unter dem Anzug und den geordneten Abläufen braute sich längst eine Leidenschaft zusammen: der Reiz simulierter Angriffe, die Jagd nach Schwachstellen und der Antrieb, Lücken aufzudecken, bevor es echte Angreifende tun.
Heute ist Kevin Principal Red Team Consultant bei NVISO Security und Instructor am SANS Institute, wo er anderen beibringt, Systeme für einen guten Zweck zu knacken.
Für Kevin ist Red Teaming mehr als das Testen von Abwehrmaßnahmen. Es geht ihm um Realismus, Vertrauen und darum, die Widerstandsfähigkeit von Unternehmen zu schärfen. Wir haben Kevin getroffen, um tief in die Denkweise eines modernen Red Teamers einzutauchen: jemand, der ethische Offensive mit Wissensvermittlung verbindet und Cyberbedrohungen als technische wie kulturelle Herausforderung begreift.
Wie hat Ihr Weg ins Red Teaming begonnen – und was begeistert Sie bis heute daran?
„Ich habe tatsächlich auf der anderen Seite angefangen – in der klassischen Unternehmens-Cybersicherheit. Ich habe Wirtschaftsinformatik dual bei der Deutschen Bank studiert und im Bereich Netzwerksicherheit gearbeitet. Aber schon damals hat mich Pentesting fasziniert. Nach dem Abschluss habe ich schnell gemerkt, dass die Konzernwelt mit all ihren Meetings und der zähen Politik nichts für mich ist. Ich hatte mir da schon vieles selbst beigebracht, und 2016 bin ich beruflich ins Pentesting gewechselt. Von dort war Red Teaming die natürliche Weiterentwicklung. Es ist einfach viel ganzheitlicher. Man schaut nicht nur auf eine Anwendung oder einen Ausschnitt des Netzwerks, sondern simuliert vollständige, realitätsnahe Angriffe. Diese Komplexität, dieser Realismus – das begeistert mich.“
Was ist der größte Unterschied zwischen klassischem Pentesting und Red Teaming?
„Es kommt auf Haltung und Reifegrad an. Viele Unternehmen machen Pentests, weil sie ein Häkchen setzen und Compliance-Anforderungen erfüllen müssen. Red Teaming ist anders. Kunden wollen es in der Regel. Sie haben einen bestimmten Sicherheitsreifegrad erreicht und sind bereit, sich selbst herauszufordern. Das macht die Arbeit partnerschaftlicher und erfüllender. Mit neuen Regulierungen wie DORA wird Red Teaming in einigen Branchen zur Pflicht – ich hoffe aber, dass dabei der Geist der freiwilligen Gründlichkeit nicht verloren geht.“
Wie planen und führen Sie eine realitätsnahe Red-Team-Simulation durch?
„Unsere Red-Team-Einsätze simulieren den gesamten Angriffslebenszyklus. Oft gehören Spear-Phishing-Kampagnen dazu. Wir testen nicht einfach allgemeine Awareness, sondern bauen personalisierte, situationsspezifische Köder auf Basis realer Daten. Wenn ein Unternehmen gerade eine Fusion hinter sich hat oder ein neues Projekt angekündigt wurde, nutzen wir genau diesen Kontext. Die Idee ist, genau das nachzubilden, was echte Angreifende tun würden. Wir recherchieren tief, erstellen Profile von Mitarbeitenden und gestalten Angriffe so passgenau, dass sie legitim wirken. So decken wir echte Lücken auf – und bewegen uns manchmal monatelang unentdeckt in der Umgebung eines Ziels.“
Wie hat KI das Spiel für Red Teamer und Verteidiger verändert?
„Ich war anfangs skeptisch. Aber heute ist KI ein echter Gamechanger. Ich nutze sie, um Phishing-E-Mails zu schreiben, Landingpages zu erzeugen und sogar Websites aus einem einzigen Screenshot zu klonen. Tools wie ChatGPT oder Claude helfen uns, in wenigen Minuten überzeugende Assets zu erstellen. Einige meiner Kolleginnen und Kollegen bringen sogar Deepfakes und Voice Cloning in die Simulationen ein. Auf der anderen Seite verlassen sich Verteidiger noch immer auf veraltete Ratschläge wie ‚Achten Sie auf Grammatikfehler‘, obwohl KI inzwischen fehlerfreies Englisch schreibt. Die Bedrohungslage hat sich verschoben, und die meisten Unternehmen sind nicht darauf vorbereitet, wie gut diese Angriffe geworden sind.“
Sie sind außerdem Instructor bei SANS. Was motiviert Sie am Unterrichten?
„Ich habe so viel von anderen gelernt – aus Blogbeiträgen, Vorträgen, Open-Source-Tools. Es ist Zeit, etwas zurückzugeben. Bei SANS unterrichte ich Red Teaming und entwickle neue Kurse mit, die sich auf Phishing, Initial Access und KI-gestützte Angriffe konzentrieren. Es ist beruflich ungemein bereichernd, zu sehen, wie jemand ein schwieriges Konzept endlich versteht, mit dem er lange gerungen hat. Beim Unterrichten geht es nicht nur darum, Wissen zu teilen, sondern darum, die nächste Generation von Red Teamern zu prägen.“
Welche einfache Veränderung könnte Unternehmen aus technischer Sicht heute sicherer machen?
„Awareness der Nutzenden wird weiterhin unterschätzt. Und zwar nicht im Sinne von Häkchen-Trainings. Es braucht echte, kontextbezogene Awareness. Aber auch: Wenn ein einziger Klick Ihr gesamtes Unternehmen lahmlegen kann, ist das kein Nutzerproblem, sondern ein Architekturfehler. Unternehmen brauchen gestaffelte Abwehr, schnelle Reaktion und vor allem Agilität. Bedrohungen entwickeln sich schnell. Wenn Ihre Abwehr nicht Schritt hält, fallen Sie zurück. KI ist keine Option mehr. Sie ist der Weg, über den Angreifende skalieren. Genau so sollten es Verteidiger auch tun.“
{{quote}}
Sie haben die vorderste Linie der Simulation erlebt – welcher Moment ist Ihnen besonders im Gedächtnis geblieben?
„Da ist immer diese Spannung: Man entwirft eine hochausgefeilte Phishing-Kampagne, und niemand beißt an. Dann wirft man etwas ganz Simples ein, etwa einen gefälschten Teams-Login oder einen SharePoint-Link, und plötzlich fallen vier oder fünf Personen darauf herein. Das ist ein Weckruf. Komplexität bedeutet nicht automatisch Wirksamkeit. Die eigentliche Magie entsteht aber, wenn Nutzende diese Angriffe melden. Die Unternehmen, die uns am schnellsten stoppen, sind die, in denen die Menschen aufmerksam und handlungsfähig sind. Das ist gelebte Verteidigung.“
Zum Schluss: Welche Quellen empfehlen Sie allen, die die Bedrohungslage besser verstehen wollen?
„Ich bin selbst kein Podcast-Mensch, aber zwei empfehle ich immer. Darknet Diaries ist ein Klassiker; der Podcast erzählt echte Cyber-Geschichten mit Tiefe und Dramatik. Und You Are F***ed – darin geht es um den ersten erklärten Cyber-Katastrophenfall Deutschlands in Anhalt-Bitterfeld. Das ist völlig irre. Die Bundeswehr musste eingreifen, was zeigt, wie schlimm es werden kann, wenn die Systeme versagen.“
