schwerpunkt
Offensive Security
Sicherheit beweist sich unter Beschuss. Ich prüfe sie so, wie echte Angreifer vorgehen: methodisch, geduldig und mit dem Ziel, die Wege zu finden, die in der Realität funktionieren. In sechs Jahren habe ich über 150 Tests in führender Rolle verantwortet, vom gezielten Web-Assessment bis zur vollständigen Red-Team-Operation.
Was das umfasst
- Full-Scope Red Teaming & Adversary Emulation
- Social Engineering, Phishing & physischer Zugang
- OSINT-gestützte Aufklärung (GOSINTCon-Referent 2023)
- Web- & API-Tests, Active Directory, Assumed Breach
- Bedrohungsorientiert nach MITRE ATT&CK, TIBER-EU / TLPT
- Klare Reports, priorisierte Findings, Retests
Mein Schwerpunkt liegt auf Full-Scope Red Teaming Assessments und Social Engineering. Solche Operationen simulieren einen realen Gegner, beispielsweise APTs und Nation State Threat Actors über den gesamten Angriffspfad hinweg: von der Aufklärung über den ersten Zugang bis zum eigentlichen Ziel. Getestet wird dabei nicht nur die Technik, sondern die gesamte Kette aus Menschen, Prozessen und Detection-Capabilities.
Am Anfang steht fast immer OSINT. Der Digitale Fußabdruck eines Unternehmens entscheidet häufig darüber, welche Wege realistisch offenstehen, lange bevor das erste Paket eines Angreifers das Netz erreicht. Zu diesem Thema habe ich im November 2023 auf der German OSINT Konferenz (GOSINTCon) den Fachvortrag „From Shadows to Strategies: OSINT im Vorfeld von proaktiven Red-Teaming-Maßnahmen“ gehalten und erläutert, wie ich als Hacker vorgehe, Red Teaming Assessments vorbereite und was mir immer wieder auffällt.
Neben meinen Red Teaming Assessments prüfe ich Webanwendungen und APIs, interne Netzwerke und Active Directory Strukturen sowie physische Zutrittswege. Ziel meiner Maßnahmen ist selten das reine Aufdecken von Schwachstellen, sondern eine Gesamtschau auch auf die Detection und Response-Fähigkeiten.
Dabei nutze ich neben meinem technischen state-of-the-art Werkzeugkasten, wie C2-Infrastrukturen, auch eigene Tool- und Malware-Entwicklungen zur Umgehung gängiger Schutzmechanismen.
Die eigentliche Erkenntnis aus diesen Einsätzen ist selten die Frage, ob und wie ein Angreifer hereinkommt. Für die meisten Organisationen ist die größere Herausforderung in der Regel die zuverlässige Detection, besonders gegen einen Angreifer ohne Zeitdruck, der leise vorgeht. Auch zeigt sich der echte Reifegrad einer Verteidigungsinfrastruktur erst danach, in der Response: einen Vorfall sauber einzudämmen und den Angreifer nachhaltig aus dem Netz zu entfernen, gelingt in der Praxis unterschiedlich gut. Genau diese Lücke mache ich sichtbar.
Methodisch arbeite ich entlang etablierter Rahmenwerke: MITRE ATT&CK, TIBER-EU und TLPT für bedrohungsorientierte Tests, OWASP im Web, ergänzt um PTES und OSSTMM. Belegt ist das durch einschlägige GIAC-Zertifizierungen, unter anderem GXPN, GRTP, GWAPT, GOSI und GDAT.
Ausgewählte Einsätze
Full-Scope Red Team, Finanzsektor
Über ein interessantes OSINT-Finding und eine darauffolgende zielgerichtete Spear-Phishing-Kampagne initialen Zugang erlangt, ohne aufzufallen und einen Alarm auszulösen. Von dort über Wochen unauffällig bis zu domänenweiten Rechten und dem Zugriff auf ein geschäftskritisches System (kritische und wichtige Funktion). Der Kernbefund war nicht der Einbruch selbst, sondern dass der Zugang bis zur Offenlegung unentdeckt blieb.
Social Engineering & physischer Zugang, KRITIS
Kombination aus offener Aufklärung (OSINT), einem gezielten Vorwand vor Ort und physischem Zutritt bis in den Serverraum. Der Einsatz zeigte, wie technische Kontrollen ausgehebelt werden, wenn der menschliche Faktor als Hebel genutzt wird, um eine Abkürzung zu gehen.
Web-Schwachstelle als Brückenkopf, Rüstungszulieferer
Von einer einzelnen Schwachstelle in einer nach außen exponierten Webanwendung, einer wenig überwachten DMZ über Lateral Movement bis zu den internen Kronjuwelen. Dieser Einsatz war Beleg dafür, dass eine übersehene Web-Schwachstelle in einem scheinbar unwichtigen System zum Einstieg ins interne Netz werden kann.