Pentests und Red-Team-Erfahrungen aus dem Verteidigungsumfeld Die wahre Sicherheitslücke der Rüs­tungs­industrie liegt in der Umsetzung

Pentests und Red-Team-Operationen im Verteidigungssektor offenbaren dieselben Muster. IAM-Lücken, unzureichende Segmentierung, Supply-Chain-Risiken und neue Angriffsflächen durch generative KI sind bekannt, werden aber selten konsequent geschlossen. Operative Disziplin in der Umsetzung bleibt die entscheidende Differenz zwischen robusten und verwundbaren Organisationen.

Nach Dutzenden Penetrationstests, Red-Team-Operationen und Sicherheitsaudits im ver­tei­di­gungs­in­dus­tri­ellen Umfeld zeigt sich ein wiederkehrendes Muster: Viele kritische Schwach­stellen sind nicht neu und selten überraschend. Sie entstehen weniger durch fehlende Tech­nologie als durch strukturelle Defizite in Umsetzung, Priorisierung und Betrieb. Das bedeutet nicht, dass technische Kontrollen keine Rolle spielen. Im Gegenteil. Fehl­kon­fi­gu­ra­ti­onen, unzureichend gehärtete Systeme oder Lücken in Endpoint- und Netzwerkschutz sind regel­mäßig Teil erfolgreicher Angriffe. In der Praxis zeigt sich jedoch: Die eigentliche Ursache liegt häufig darin, dass vorhandene Sicherheitsmechanismen nicht konsequent umgesetzt, integriert oder betrieben werden.

Geopolitische Konflikte

Google untersucht Risiken für Rüstungsunternehmen

Wiederkehrende Schwachstellen im Verteidigungssektor

Organisationen im Verteidigungsumfeld unterscheiden sich stark in ihrer Reife. Große Primes und Programme mit hohem Schutzbedarf sind oft deutlich weiter als mittelständische Zulieferer oder gewachsene Strukturen mit hohem Legacy-Anteil. Dennoch zeigen sich übergreifend wiederkehrende Muster.

Netzwerksegmentierung bleibt inkonsistent

In vielen Umgebungen existieren klare Zielbilder für die Trennung von Netzen mit unter­schied­lichem Schutzbedarf. In der Umsetzung werden diese jedoch häufig aufgeweicht. Gründe sind operative Zwänge, gewachsene Ausnahmen oder Integrationsanforderungen. Das Ergebnis sind Netzwerke, in denen laterale Bewegung nach initialem Zugriff deutlich einfacher ist, als es die Architektur eigentlich vorsieht.

OT/IT-Konvergenz erhöht die Komplexität

Die Anbindung von Produktionssystemen, Prüfständen und Integrationsumgebungen an IP-basierte Netze ist oft notwendig. Gleichzeitig bringt sie neue Angriffsflächen. Gerade bei Legacy-Systemen fehlen häufig grundlegende Sicherheitsmechanismen oder sie lassen sich nur eingeschränkt nachrüsten. Ohne saubere Segmentierung, Monitoring und Zugriffskontrolle entstehen hier reale Risiken.

Backdoor MiniJunk und Stealer MiniBrowse

Iranische Gruppe greift Verteidigungs- und Luftfahrtindustrie in Europa an

Identity & Access Management als wiederkehrender Schwachpunkt

IAM ist nicht der einzige, aber ein besonders konsistenter Angriffspunkt. In vielen Assessments finden sich privilegierte Konten ohne durchgängige MFA, dauerhaft vergebene Berechtigungen statt zeitlich begrenztem Zugriff und veraltete oder schlecht verwaltete Servicekonten. In Kom­bi­na­tion mit Phishing oder Endpoint-Kompromittierung wird IAM so zum effektiven Hebel für Privilege Escalation und laterale Bewegung.

Lieferketten als systemischer Risikofaktor

Gerade im Verteidigungssektor mit seinen komplexen Zulieferstrukturen ist die Supply Chain ein kritischer Punkt. Während große Organisationen oft über etablierte Sicherheitsprozesse verfügen, ist das Sicherheitsniveau entlang der Kette sehr unterschiedlich. Angreifer nutzen gezielt schwächere Glieder, um indirekt Zugang zu höher geschützten Umgebungen zu erhalten.

Incident Response ist oft nicht ausreichend operationalisiert

Viele Organisationen verfügen über definierte Prozesse und Playbooks. In der Praxis zeigt sich jedoch, dass diese selten unter realistischen Bedingungen getestet werden. Ohne regelmäßige Übungen fehlen im Ernstfall Geschwindigkeit, Abstimmung und klare Entscheidungs­struk­turen. Die zentrale Beobachtung ist keine neue Erkenntnis, sondern ein wiederkehrendes Muster: Die Herausforderungen liegen weniger im „Was“, sondern im „Wie konsequent“.

Deutschlands Cyberabwehr unter Druck

Warum Hacker Deutschland ins Visier nehmen

Penetrationstests und rechtliche Absicherung

Ein Bereich, der in der Praxis immer wieder zu Unsicherheiten führt, ist die rechtliche und organisatorische Absicherung von Penetrationstests. Grundsätzlich gilt: Auch autorisierte Tests bewegen sich in einem rechtlich sensiblen Rahmen, wenn Scope, Freigaben und Verantwort­lich­keiten nicht eindeutig geregelt sind. Das betrifft sowohl interne als auch externe Tester. Typische Schwächen sind unklare oder zu breit formulierte Scopes, die fehlende eindeutige Zuordnung von Systemen und Netzbereichen, unzureichend definierte Testzeiträume sowie fehlende Eskalations- und Abbruchkriterien und kein klarer Umgang mit Zufallsfunden, insbesondere in Drittsystemen.

Im Umfeld klassifizierter Projekte verschärfen sich diese Anforderungen zusätzlich durch Fragen der Informationsklassifizierung, Zugriffskontrolle und sicheren Verarbeitung von Ergebnissen.

Was sich in der Praxis bewährt, sind klare, schriftliche Rules of Engagement, die eindeutige Autorisierung auf Management- und Rechtsebene, definierte Ansprechpartner und Es­ka­la­ti­ons­pfade sowie abgestimmte Verfahren für kritische Findings. Das reduziert nicht nur rechtliche Risiken, sondern erhöht auch die Qualität und Aussagekraft der Tests.

Security-Insider Podcast – Folge 117

Wie steht es um Deutschlands digitale Verteidigung?

Generative KI im Verteidigungsumfeld

Der Einsatz generativer KI ist auch im Verteidigungssektor angekommen. Die Spannbreite reicht von unkontrollierter Nutzung frei verfügbarer Tools bis hin zu ersten strukturierten Enterprise-Ansätzen. Werkzeuge wie ChatGPT oder Microsoft Copilot werden genutzt, um Dokumentation zu erstellen, Code zu analysieren oder Inhalte zu strukturieren. Das kann Effizienzgewinne bringen. Gleichzeitig entstehen neue Risiken, insbesondere wenn Nutzung unkontrolliert erfolgt. Wichtige Risikofelder sind:

• Datenabfluss und Datensouveränität
  Nicht jede Nutzung erfolgt in kontrollierten, vertraglich abgesicherten Umgebungen. Insbesondere bei frei verfügbaren oder nicht freigegebenen Tools besteht das Risiko, dass sensible Inhalte ungewollt nach außen gelangen.

• Manipulation von KI-gestützten Prozessen
  Prompt Injection und ähnliche Techniken können dazu führen, dass Systeme unerwartet reagieren oder sensible Informationen preisgeben.

• Qualität und Verlässlichkeit von Ergebnissen
  KI-generierte Inhalte können plausibel wirken, aber fachlich falsch sein. In sicherheitskritischen Kontexten ist eine ungeprüfte Übernahme problematisch.

• Shadow IT
  Die Einführung erfolgt häufig bottom-up, ohne Einbindung von IT-Security oder Compliance. Gleichzeitig ist klar: Generative KI bietet auch Potenzial für defensive Anwendungsfälle, etwa in der Analyse, Automatisierung oder Unterstützung von Security Operations. Ein sinnvoller Ansatz liegt daher nicht im Verbot, sondern in Governance mit klaren Richtlinien für Nutzung und Datenarten, der Unterscheidung zwischen freigegebenen und nicht frei­gegebenen Tools, in technischen Kontrollen und Logging sowie der gezielten Schulung der Mitarbeitenden.

KI-Unterstützung für Penetrationstests mit Kali Linux

KaliGPT automatisiert Pentest in Kali Linux mit natürlicher Sprache

BSI Grundschutz im operativen Kontext

Der IT-Grundschutz des Bundesamt für Sicherheit in der Informationstechnik ist im Verteidigungsumfeld weit verbreitet. In der Umsetzung zeigt sich jedoch ein gemischtes Bild. Richtig angewendet bietet er einen strukturierten Rahmen, der viele der beschriebenen Problemfelder adressiert. Gleichzeitig wird er in der Praxis häufig stark formal interpretiert. Relevante Bausteine sind unter anderem:

• IND.1 für industrielle IT und OT-Umgebungen

• OPS.2.2 für Cloud-Nutzung und Datensouveränität

• DER.3.2 für Revisionen und Penetrationstests

• APP.6 für den Umgang mit Software

• ISMS.1 als Grundlage für Sicherheitsmanagement

Kritisch ist weniger der Standard selbst, sondern die Art der Umsetzung. Ohne ein gelebtes ISMS und eine Integration in operative Prozesse bleiben viele Maßnahmen auf Do­ku­men­ta­ti­ons­ebene. Gleichzeitig sollte berücksichtigt werden, dass in internationalen Kontexten oft weitere Standards wie ISO 27001 oder NIST-Frameworks parallel relevant sind. Entscheidend ist nicht der Standard allein, sondern seine wirksame Umsetzung.

Nato-Cyberabwehrübung „Locked Shields“

Hybride Attacken nehmen weiter zu

Fazit: Die Herausforderung liegt in der Umsetzung

Die wesentlichen Risiken im Verteidigungssektor sind bekannt. Technische Lösungen, Frameworks und Standards existieren. Die zentrale Herausforderung liegt in der konsequenten Umsetzung unter realen Bedingungen: komplexe Systeme, gewachsene Strukturen, hoher Zeitdruck und vielfältige Abhängigkeiten. Die Kombination aus sensiblen Daten, vernetzten Lieferketten und neuen Technologien wie generativer KI vergrößert die Angriffsfläche weiter. Am Ende geht es weniger um zusätzliche Strategien als um operative Disziplin. Organisationen, die bestehende Maßnahmen konsequent umsetzen, testen und weiterentwickeln, sind deutlich robuster als solche, die vor allem auf neue Konzepte setzen. Die Frage ist daher nicht, ob die Risiken bekannt sind, sondern wie konsequent mit ihnen umgegangen wird.

Über den Autor: Jan-Sebastian Schönbrunn ist Founder & CEO von Schönbrunn TASC, Information Security, Mitglied der Bundesfachkommission Cybersicherheit des Wirtschaftsrates der CDU e.V.

(ID:50874776)