Breach and Attack Simulation

Hintergrund und normative Einordnung

Breach and Attack Simulation entstand als Antwort auf eine strukturelle Schwäche klassischer Sicherheitstests: Der Penetrationstest liefert einen tiefen, manuellen Befund zu einem bestimmten Zeitpunkt, lässt aber die Frage offen, ob die Detektions- und Reaktionskapazitäten des SOC im täglichen Betrieb tatsächlich wirksam sind. Vulnerability-Scanner identifizieren bekannte Schwachstellen signaturbasiert, prüfen aber nicht, ob eine vorhandene Schwachstelle unter realen Betriebsbedingungen ausnutzbar ist und ob die Verteidigungstools den Angriffsversuch erkennen würden. BAS schließt diese Lücke: Die Plattform simuliert vollständige Angriffsketten, von der initialen Kompromittierung über Lateral Movement bis zur Datenexfiltration, auf Basis der MITRE ATT&CK Enterprise Matrix v16, und misst dabei quantitativ, welcher Anteil der simulierten Techniken durch die implementierten Kontrollen (EDR, SIEM, XDR, NDR, WAF) erkannt, blockiert und eskaliert wurde. Gartner hat BAS ab 2022 als eigenständige Markt-Kategorie definiert, die im Rahmen des Continuous Threat Exposure Management (CTEM) die Validierungsphase übernimmt: Die fünf CTEM-Phasen Scoping, Discovery, Priorisierung, Validierung und Mobilisierung werden durch BAS-Plattformen in der Validierungsphase operationalisiert. Repräsentative Anbieter in der Gartner-Kategorie Adversarial Exposure Validation (Nachfolge-Kategorie von BAS ab 2026) sind AttackIQ, SafeBreach, Cymulate, Picus Security und XM Cyber, die BAS in Richtung autonomer Red-Team-Simulation weiterentwickeln.

In der deutschen und europäischen Compliance-Landschaft gewinnt BAS an Bedeutung, weil NIS-2 (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 lit. f) wesentliche und wichtige Einrichtungen verpflichtet, Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen zu implementieren. Der Begriff Wirksamkeitsbewertung ist normativ entscheidend: Er verlangt nicht nur die Inventarisierung von Schwachstellen, sondern den Nachweis, dass implementierte Kontrollen unter realen Angriffsbedingungen funktionieren. BSI Grundschutz-Baustein DER.1 (Detektion sicherheitsrelevanter Ereignisse, Edition 2023) fordert als Standardanforderung DER.1.A3 die Auswertung von Protokolldaten durch Detektionssysteme und als erhöhte Anforderung DER.1.A11 den Einsatz von Intrusion-Detection-Systemen mit regelmäßiger Überprüfung der Detektionsqualität. BAS ist das operative Instrument, diese Überprüfung kontinuierlich, messbar und reproduzierbar zu gestalten: Anstelle eines einmaligen manuellen Tests validiert BAS täglich oder wöchentlich, ob DER.1-Anforderungen im laufenden Betrieb erfüllt bleiben. Im Kontext einer vollständigen ISO 27001 Zertifizierung liefert BAS für Annex A 8.8 und Annex A 8.29 quantitative, auditierbare Metriken auf Basis der MITRE ATT&CK Enterprise Matrix und ergänzt den manuellen Penetrationstest um die kontinuierliche Validierungsdimension. ISO/IEC 27001:2022 Annex A 8.8 (Management of technical vulnerabilities) und Annex A 8.29 (Security testing in development and acceptance) bilden den normativen ISO-Rahmen, in dem BAS als kontinuierliches Validierungsinstrument verankert ist.

Normative Bezüge:

Vorgehen in der Praxis

Ein normkonformer BAS-Einsatz folgt einem vierstufigen Zyklus, der kontinuierlich durchlaufen wird und nicht wie der Penetrationstest an ein einmaliges Prüffenster gebunden ist. Die Kontinuität ist das definitorische Merkmal: BAS produziert täglich oder wöchentlich aktualisierte Metriken zur Kontrolleffektivität, damit Sicherheitsteams Regressions-Drifts (verschlechterte Detektionsrate nach Systemänderungen) sofort erkennen und beheben können. Voraussetzung für einen validen BAS-Einsatz ist die schriftliche Autorisierung aller Simulationsaktivitäten im Testplan, die Kennzeichnung von BAS-Verkehr in SIEM-Systemen und die Abstimmung mit dem SOC-Team, um BAS-ausgelöste Alarme von realen Incidents zu trennen.

Abgrenzung zu verwandten Begriffen

BAS ergänzt bestehende Sicherheitstestmethoden und ersetzt diese nicht. Die folgende Abgrenzung zeigt, wie BAS zu verwandten Instrumenten wie dem Penetrationstest, dem Vulnerability Scan und der Red Team Exercise positioniert ist. Ebenso relevant ist die Abgrenzung zum Blackbox-Test, der die externe Angriffsperspektive einmalig und manuell prüft, während BAS permanent und systematisch die interne Kontrollwirksamkeit validiert.

Typische Fehler und wie ihr sie vermeidet

BAS entfaltet seine Wirksamkeit nur dann vollständig, wenn operative und strategische Voraussetzungen erfüllt sind. Auch die Abgrenzung der eigenen Bedrohungslandschaft und der relevanten Attack Surface ist Voraussetzung für einen zielgerichteten BAS-Einsatz.

• BAS ohne SOC-Abstimmung und Alert-Kennzeichnung: Der häufigste operative Fehler beim BAS-Einsatz ist das Fehlen einer schriftlichen Abstimmung mit dem SOC-Team und einer technischen Kennzeichnung von BAS-generiertem Verkehr im SIEM. Ohne diese Voraussetzungen kann BAS-Simulation zum SOC-Alarm führen, der als echter Incident behandelt wird, was Ressourcen bindet und die Glaubwürdigkeit des Sicherheitsprozesses beschädigt. Die korrekte Lösung ist die Kennzeichnung von BAS-Verkehr mit einem definierten Tag (z.B. via spezifischen User-Agent oder Quell-IP-Range), der es dem SIEM ermöglicht, BAS-Alarme parallel zu echten Alarmen zu erzeugen und beide separat auszuwerten. BSI DER.1.A3 fordert eine systematische Auswertung von Protokolldaten; ein BAS-Deployment ohne SIEM-Kennzeichnung unterläuft diese Anforderung.
• ATT&CK-Coverage-Illusion durch Technik-Overload: BAS-Plattformen ermöglichen die Simulation von mehreren hundert ATT&CK-Techniken gleichzeitig. Organisationen, die ohne Priorisierung den gesamten Techniksatz aktivieren, erzeugen einen Befundbericht mit scheinbar umfassender Abdeckung, der aber strategisch wertlos ist: Ohne Threat-Modellierung ist unbekannt, welche der 600+ ATT&CK-Techniken für die eigene Bedrohungslandschaft (Branche, Unternehmensgröße, Technologiestack) tatsächlich relevant sind. MITRE ATT&CK Groups (bekannte Threat-Actor-Gruppen mit dokumentierten TTPs) bieten den richtigen Ausgangspunkt. NIS-2 Art. 21 Abs. 1 schreibt einen risikobasierten Ansatz vor; ein BAS ohne Threat-Modellierung als Basis widerspricht diesem Prinzip.
• BAS-Ergebnisse ohne Maßnahmenplanung und Retest-Zyklus: BAS erzeugt kontinuierlich Befunde, die nur dann Sicherheitsgewinn bringen, wenn sie in einen strukturierten Maßnahmenkreislauf münden: Jede nicht erkannte ATT&CK-Technik muss mit einer konkreten Maßnahme (neue SIEM-Regel, EDR-Policy-Anpassung, NDR-Signatur-Update) adressiert werden, und die Wirksamkeit der Maßnahme muss im nächsten BAS-Zyklus verifiziert werden. ISO/IEC 27001:2022 Kap. 10.1 (Kontinuierliche Verbesserung) verlangt, dass identifizierte Nichtkonformitäten in Maßnahmen mit Wirksamkeitsprüfung münden; BAS-Befunde ohne Retest-Zyklus erfüllen diese Anforderung nicht.
• Fehlende Autorisierung und rechtliche Absicherung: BAS-Simulationen, die ohne schriftliche Autorisierung aller beteiligten Systemverantwortlichen durchgeführt werden, können rechtliche Konsequenzen nach Paragraph 202a StGB (Ausspähen von Daten) haben, auch wenn die Simulation von einer internen Sicherheitsabteilung durchgeführt wird. Dies gilt insbesondere, wenn BAS-Simulationen Cloud-Infrastruktur (AWS, Azure, GCP) oder von Dritten betriebene Systeme einbeziehen: Hier ist zusätzlich die Genehmigung des Cloud-Providers oder des externen Dienstleisters erforderlich. Das BSI betont im Praxis-Leitfaden IS-Penetrationstest, dass eine schriftliche Autorisierungsklausel als Pflichtbestandteil jedes Sicherheitstests gilt; diese Anforderung gilt analog für BAS-Deployments.

Relevanz im regulatorischen Kontext

Breach and Attack Simulation ist kein eigenständiger Regelungsgegenstand in europäischen Rechtsakten, aber als Wirksamkeitsprüfungsinstrument direkt durch mehrere Normen adressiert. NIS-2 (Richtlinie (EU) 2022/2555) verpflichtet in Art. 21 Abs. 2 lit. f wesentliche und wichtige Einrichtungen zu Konzepten und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Art. 21 Abs. 2 lit. e schreibt Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen einschließlich Behandlung und Offenlegung von Schwachstellen vor. BAS ist das operative Instrument, das die Wirksamkeitsbewertung nach lit. f in ein messbares, kontinuierliches Verfahren überführt: Anstelle jährlicher manueller Prüfungen liefert BAS täglich aktualisierte Metriken zur Kontrolleffektivität. Die Umsetzung der NIS-2-Anforderungen in deutsches Recht durch das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) überträgt diese Anforderungen auf Unternehmen der kritischen Infrastruktur mit entsprechenden Nachweispflichten gegenüber dem BSI.

ISO/IEC 27001:2022 verankert die normativen Grundlagen für BAS an mehreren Stellen. Annex A 8.29 (Security testing in development and acceptance) fordert definierte Sicherheitstestprozesse, die explizit Penetrationstests als Methode nennen; BAS ist die kontinuierliche, automatisierte Ausprägung dieses Testprozesses. Annex A 8.8 (Management of technical vulnerabilities) verlangt ein systematisches Schwachstellen- und Kontroll-Management, für das BAS die kontinuierliche Validierungsdimension beisteuert. BSI IT-Grundschutz-Kompendium Edition 2023, Baustein DER.1 (Detektion sicherheitsrelevanter Ereignisse), fordert in Anforderung DER.1.A3 die Auswertung von Protokolldaten durch qualifizierte Detektionssysteme und in der erhöhten Anforderung DER.1.A11 den Einsatz von Intrusion-Detection-Systemen mit Überprüfung der Detektionsqualität. BAS erfüllt diese Überprüfungsanforderung als kontinuierliches, metrisches Messinstrument. Für Finanzinstitutionen mit DORA-Pflichten (Verordnung (EU) 2022/2554) ist BAS zudem als Instrument zur Vorbereitung und Ergänzung von Threat-Led Penetration Testing (TLPT) gemäß Art. 26 DORA relevant.

Häufige Fragen