Firewalls, Richtlinien und Schulungen sehen auf dem Papier gut aus. Ob sie einem echten Angriff standhalten, zeigt sich erst, wenn jemand ernsthaft versucht, hineinzukommen. Genau das tut Red Teaming - kontrolliert, realistisch und auf Ihrer Seite. In einer Welt, in der Cyber-Bedrohungen ständig zunehmen, reicht reaktive Verteidigung nicht mehr aus. Wer wissen will, wie widerstandsfähig die eigene IT-Infrastruktur wirklich ist, muss sie unter realen Bedingungen testen. Red Teaming macht genau das: Es simuliert die Vorgehensweise echter Angreifer, bevor es echte Angreifer tun. Stellen Sie sich vor, ein Team von Spitzenexperten evaluiert die Sicherheit Ihres «Hauses», in diesem Fall Ihrer IT-Infrastruktur. Es prüft jede Tür, jedes Fenster und jedes Schloss, sucht nach übersehenen Einbruchspunkten und versucht, Kontrolle über die sensibelsten Bereiche zu erlangen. Am Ende steht nicht der Schaden, sondern die Erkenntnis: Wo sind Sie verwundbar, und wie schliessen Sie diese Lücken, bevor jemand mit schlechten Absichten sie findet? Was Red Teaming ist und was nicht Red Teaming ist eine umfassende, massgeschneiderte Angriffssimulation. Ziel ist es, die Reaktionsfähigkeit eines Unternehmens auf Cyber-Angriffe ganzheitlich und unter möglichst realistischen Bedingungen zu testen. Anders als bei einem klassischen Schwachstellen-Scan geht es nicht darum, eine Liste technischer Lücken abzuhaken. Entscheidend ist die Frage: Was kann ein motivierter Angreifer in Ihrem Unternehmen tatsächlich erreichen? Dabei werden nicht nur vorhandene Schwachstellen identifiziert, sondern auch die Wirksamkeit Ihrer Reaktionsstrategien in einem kontrollierten Umfeld bewertet. Erkennen Ihre Systeme den Angriff? Reagiert Ihr Team richtig? Wie weit kommt ein Eindringling, bevor er gestoppt wird? Red Teaming liefert Antworten auf Fragen, die ein reiner Technik-Test nie beantworten kann. Der Kerngedanke lautet deshalb nicht «Haben wir Lücken?», sondern: «Was passiert, wenn jemand sie ernsthaft ausnutzt?» -und halten Ihre Abwehr, Ihre Prozesse und Ihre Mitarbeitenden dem stand? So läuft ein Red-Teaming-Projekt ab Ein professionelles Red-Teaming-Projekt folgt einem klaren, nachvollziehbaren Prozess. Jede Phase baut auf der vorherigen auf - von der gemeinsamen Zielsetzung bis zur konkreten Handlungsempfehlung.

Stellen Sie sich das folgende Szenario vor: Ein Unternehmen nutzt einen KI-Assistenten, der interne Sicherheitsrichtlinien durchsucht und bei Bedarf Tickets im IT-System vorbereitet. In die Wissensdatenbank gelangt ein manipuliertes Dokument, das eine veraltete Freigaberegel als aktuell ausgibt und zusätzlich eine versteckte Anweisung an die KI enthält. Einige Wochen später fragt eine Führungskraft ab, ob ein externer Dienstleister Zugriff auf bestimmte Systeme erhalten darf. Dies stuft der KI-Assistent als unkritisch ein und bereitet das entsprechende Ticket vor – auf Grundlage einer falschen Information. Dieses Szenario ist durchaus technisch realistisch. Nicht umsonst warnt das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) davor, dass KI-Sprachmodelle ungeprüfte Inhalte aus Websites oder Dokumenten verarbeiten und zugleich auf E-Mail-Postfächer oder andere Anwendungen zugreifen können. Dadurch kann aus einer manipulierten Antwort eine unerwünschte Aktion werden. Zwei Angriffswege, die Sie kennen sollten Beim Data Poisoning manipulieren Angreifende Daten, aus denen ein KI-System lernt oder die es als Informationsquelle verwendet. Das System kann dadurch falsche oder verzerrte Antworten liefern. Forschende der ETH Zürich haben gezeigt, dass gezielt eingeschleuste schädliche Daten das Verhalten von Sprachmodellen beeinflussen können und sich nachträglich nur schwer zuverlässig entfernen lassen. Für Unternehmen ist dabei nicht nur das Training grosser Sprachmodelle relevant. Viele KI-Assistenten greifen auch auf interne Dokumente, Richtlinien, Wikis oder Datenbanken zu. Sind diese Quellen veraltet, falsch oder gezielt manipuliert, kann die KI die Angaben als vertrauenswürdige Informationen weitergeben.

Eine Maschine steht still. Der Hersteller soll per Fernzugriff prüfen, ob ein Firmware-Update Abhilfe schafft. Ein ERP-Partner benötigt kurzfristig Administratorrechte, da ein Prozess nach dem letzten Release nicht mehr ordnungsgemäss funktioniert. Die Webagentur erhält Zugang zum CMS, der IT-Dienstleister wartet die Firewall und der Lieferant betreut eine Schnittstelle zum Bestellsystem. Solche Situationen gehören in vielen Unternehmen zum Alltag. Ohne externe Partner würde vieles langsamer, teurer oder gar nicht funktionieren. Doch jeder dieser Zugriffe öffnet eine Tür ins Unternehmen. Die entscheidende Frage lautet daher: Wie kontrolliert ist dieser Zugriff? Externe Dienstleister, Lieferanten und Technologiepartner sind oft tief in Geschäftsprozesse eingebunden. Sie betreuen Systeme, kennen Abläufe und lösen Probleme, wenn es schnell gehen muss. Eine Studie von Imprivata und dem Ponemon Institute zeigt, wie relevant dieses Thema ist: 51 Prozent der befragten deutschen Unternehmen haben bereits einen Datenverlust oder eine Cyberattacke als Folge eines Drittanbieterzugriffs erlebt. Ein häufiger Grund dafür sind zu weitreichende Berechtigungen. Auch für Schweizer Unternehmen ist das Thema hochaktuell. Laut der Studie KMU Cybersicherheit 2025 von YouGov Schweiz arbeiten 63 Prozent der Schweizer KMU mit einem oder mehreren externen IT-Dienstleistern für Informatik, Telefonie, Software oder Hardware zusammen. Das ist sinnvoll und oft notwendig. Gleichzeitig braucht diese Zusammenarbeit klare Sicherheitsregeln.

Ein verdächtiger Zugriff, ungewöhnliche Systemaktivitäten, verschlüsselte Daten oder der Verdacht auf Datenabfluss: Wenn ein Cybervorfall entdeckt wird, zählt nicht nur die technische Reaktion. Es zählt auch, ob ein Unternehmen schnell einschätzen kann, was passiert ist, welche Systeme betroffen sind und welche nächsten Schritte notwendig sind. In der Schweiz ist dieses Thema zusätzlich durch die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen in den Fokus gerückt. Betroffene Organisationen müssen bestimmte Cyberangriffe innerhalb von 24 Stunden nach Entdeckung beim Bundesamt für Cybersicherheit melden. Das betrifft nicht jedes Unternehmen in gleicher Weise, zeigt aber sehr deutlich: Cybervorfälle sind längst kein rein technisches Problem mehr. Sie verlangen klare Prozesse, belastbare Informationen und schnelle Entscheidungen. Aus unserer Sicht liegt die eigentliche Herausforderung dabei selten in der Meldung selbst. Kritisch ist die Frage, ob ein Unternehmen im Ernstfall überhaupt schnell genug weiss, was passiert ist und was zu tun ist. Zu Beginn ist oft nicht klar, ob es sich um einen Fehlalarm, eine technische Störung oder einen ernsthaften Sicherheitsvorfall handelt. Gleichzeitig müssen IT, Geschäftsleitung, Datenschutz, Kommunikation und gegebenenfalls externe Partner abgestimmt handeln. Wer erst im Ernstfall klärt, wer entscheidet, wer informiert werden muss und welche technischen Daten verfügbar sind, verliert wertvolle Zeit. Unternehmen können mit einigen zentralen Fragen überprüfen, wie gut sie vorbereitet sind.

Cloud-Services sind ein fester Bestandteil der IT-Architektur vieler Unternehmen. Sie sind schnell verfügbar, skalierbar und ermöglichen den Zugang zu Technologien, die sich intern kaum wirtschaftlich realisieren lassen. Gleichzeitig wächst jedoch die Abhängigkeit von einzelnen Anbietern, Plattformen und Ökosystemen. Damit rückt das Thema digitale Souveränität stärker in den Fokus. Hyperscaler bieten hohe Leistungsfähigkeit, schnelle Innovation und zahlreiche Dienste, die Unternehmen direkt nutzen können. Das gilt besonders für KI, Datenanalyse, globale Plattformdienste oder Entwicklungsumgebungen. Digitale Souveränität bedeutet jedoch nicht, jede Cloud-Abhängigkeit zu vermeiden. Entscheidend ist, welche Abhängigkeiten bewusst eingegangen werden. Nicht jede Anwendung hat denselben Schutzbedarf. Ein Kollaborationstool ist beispielsweise anders zu bewerten als ein System mit Kundendaten, Produktionsinformationen oder geschäftskritischen Prozessen. Souveränität beginnt mit der Frage, welche Workloads wohin gehören. Durch KI wird die Frage nach digitaler Souveränität noch konkreter. Viele leistungsfähige KI-Dienste laufen über grosse Cloud-Plattformen. Für Unternehmen ist das attraktiv, weil sie so neue Funktionen schnell nutzen können. Gleichzeitig stellt sich die Frage, welche Informationen in Prompts, Analysen oder Automatisierungen einfliessen. Vor allem bei Kundendaten, internen Geschäftsprozessen, Forschungsinformationen oder in regulierten Bereichen sind klare Regeln erforderlich. KI darf nicht dazu führen, dass sensible Daten in Anwendungen gelangen, bei denen nicht ausreichend nachvollziehbar ist, wie diese Daten verarbeitet, gespeichert oder weiterverwendet werden.

IT-Infrastrukturen sind zunehmend Angriffen ausgesetzt, die nicht spontan erfolgen, sondern langfristig vorbereitet werden. Darauf weist der DNS Threat Report 2025 von EfficientIP hin. Cyberkriminelle agieren heute schneller, unauffälliger und stärker industrialisiert als noch vor wenigen Jahren. Sie bauen bösartige Infrastrukturen im Voraus auf, halten sie über längere Zeit inaktiv und aktivieren gezielt nur einzelne Teile davon, wenn der grösste Schaden zu erwarten ist. Konkret bedeutet das: Angreifende registrieren massenhaft Domains, bündeln ihre Infrastruktur zentral und automatisieren ihre Kampagnen so weit, dass bereits kleine Gruppen weltweit operieren können. Zugleich stimmen sie ihre Aktivitäten gezielt auf geschäftskritische Phasen ab, etwa auf umsatzstarke Zeiten im Handel oder auf besonders sensible Ereignisse im Unternehmensalltag. Die Folge: Angriffe verbreiten sich in hoher Geschwindigkeit, während Phishing, Malware und betrügerische Kampagnen immer professioneller orchestriert werden. All diese Beispiele zeigen dieselbe Entwicklung: Cyberangriffe werden heute langfristig vorbereitet, hochgradig automatisiert gesteuert und gezielt zum passenden Zeitpunkt ausgelöst. Für Unternehmen ist dabei aus unserer Sicht vor allem eines entscheidend: Viele dieser Angriffe beginnen nicht erst mit einer infizierten E-Mail oder einer kompromittierten Website. Sie kündigen sich schon früher an, nämlich in der DNS-Infrastruktur. Dort werden verdächtige Domains angelegt, wiederverwendet, verzögert aktiviert oder für burst-gesteuerte Kommunikation vorbereitet. Genau diese Phase bleibt in klassischen Sicherheitskonzepten oft unsichtbar. Genau deshalb betrachten wir DNS als wertvollen Frühindikator für gestaffelte Angriffe. Richtig ausgewertet, liefert es frühe Hinweise auf koordinierte Angriffskampagnen, noch bevor Mitarbeitende, Kunden oder Geschäftsprozesse konkret betroffen sind. Für Security Teams ist das ein entscheidender Vorteil: Wer solche Signale früh erkennt, kann eingreifen, bevor aus Vorbereitung ein echter Vorfall wird. Das ist auch der Grund, warum rein manuelle Analysen heute kaum noch ausreichen. Die Menge, Geschwindigkeit und Komplexität moderner Angriffsmuster übersteigen längst das, was sich mit klassischen Mitteln zuverlässig überblicken lässt. Gefragt sind deshalb Lösungen, die DNS-Daten laufend auswerten, Anomalien erkennen und verdächtige Verhaltensmuster mit weiteren Kontextinformationen verknüpfen. EfficientIP verfolgt dafür einen KI-gestützten Ansatz. Die Plattform kombiniert Echtzeit-DNS-Überwachung mit cloud-basierter Threat Intelligence und analysiert nicht nur einzelne Auffälligkeiten, sondern auch das technische Umfeld von Domains, Clients und Infrastrukturen. So lassen sich Muster erkennen, die auf Phishing, DGA-Malware, betrügerische Websites oder ruhende Angriffsinfrastrukturen hinweisen. Wer DNS gezielt als Frühindikator nutzt, verbessert nicht nur die Erkennung, sondern stärkt die eigene Handlungsfähigkeit insgesamt. Denn bei modernen Cyberangriffen reicht es nicht mehr, erst auf sichtbare Schäden zu reagieren. Entscheidend ist, Angriffe bereits in ihrer Vorbereitungsphase zu erkennen und möglichst früh zu unterbrechen. Dabei unterstützen wir Sie mit fundierter Beratung und passenden Lösungen für eine proaktive DNS-basierte Sicherheitsstrategie.