← Alle Beiträge Erklärung

Adversarial Exposure Validation vs. Breach and Attack Simulation

Vom Pathbreak-Team · 11. August 2026 · 6 Min. Lesezeit

Wichtigste Erkenntnisse

AEV fragt, ob ein Angreifer Ihre sensibelsten Systeme und Daten erreichen kann. BAS fragt, ob Ihre Kontrollen bekannte Techniken erkennen.
Sie beantworten unterschiedliche Fragen. AEV misst ausnutzbare Exposure und Angriffspfade, BAS misst den defensiven Stack.
Beide speisen die Validierungsphase eines CTEM-Programms, und die besten Programme setzen sie gemeinsam ein.
AEV ist das, was Ihnen sagt, welche Findings aus Tausenden sich zu einem Pfad verketten, der zuerst zu beheben ist.
Pathbreak ist cloud-natives AEV. Es validiert reale Angriffspfade read-only und zeigt die eine Änderung, die jeden einzelnen unterbricht.

Zwei Akronyme tauchen immer dann auf, wenn Teams darüber sprechen, zu beweisen, dass ihre Sicherheit funktioniert: AEV, Adversarial Exposure Validation, und BAS, Breach and Attack Simulation. Sie klingen ähnlich, beide versprechen Validierung, und sie werden ständig verwechselt. Sie sind nicht dasselbe, und den Unterschied zu kennen ändert, was Sie kaufen und was Sie damit tun.

Was Breach and Attack Simulation prüft

BAS kam zuerst. Eine BAS-Plattform führt eine Bibliothek bekannter Angreifer-Techniken aus, Malware-Samples, laterale Bewegungen, Datenexfiltrationsmuster, gegen Ihre Live-Umgebung und meldet dann, welche davon Ihre Kontrollen erfasst haben und welche durchgeschlüpft sind. Der Prüfgegenstand ist Ihr defensiver Stack: Endpoint-Erkennung, Netzwerkkontrollen, Ihre SIEM-Regeln. BAS beantwortet eine spezifische, wertvolle Frage: wenn ein Angreifer diese Technik ausführte, würden wir sie sehen und stoppen?

Das ist Kontrollvalidierung. So finden Sie den blinden Fleck, an dem eine Technik läuft und kein Alert ausgelöst wird. Was BAS Ihnen nicht sagt, ist, ob ein Angreifer überhaupt in die Position gelangen könnte, diese Technik auszuführen.

Was Adversarial Exposure Validation prüft

AEV setzt am anderen Ende an. Es fragt, ob ein Angreifer überhaupt etwas Wertvolles erreichen könnte. Es nimmt Ihre Exposures, die Fehlkonfigurationen, zu breiten Berechtigungen, erreichbaren Services, und validiert, welche davon sich zu einem funktionierenden Pfad zu einem Crown Jewel verketten lassen. Der Prüfgegenstand ist Ihre Exposure.

Viele Tools listen Exposures auf. AEV geht weiter und bestätigt, welche davon real und erreichbar sind. Was Ihnen bleibt, ist eine Route, die ein Angreifer gehen könnte. Ein Scanner kann Ihnen sagen, dass Sie zehntausend Findings haben. AEV ist das, was zeigt, dass sich drei davon zu einem Pfad zu Ihren Produktionsdaten verketten.

AEV vs. BAS auf einen Blick

Dimension	Adversarial Exposure Validation	Breach and Attack Simulation
Kernfrage	Kann ein Angreifer erreichen, worauf es ankommt?	Erkennen unsere Kontrollen die Technik?
Prüfgegenstand	Exposures und Angriffspfade	Erkennungs- und Präventionskontrollen
Hauptergebnis	Validierte, erreichbare Pfade und der Fix	Kontrolllücken und Abdeckungswerte
Verantwortlich	Exposure Management, Cloud-Sicherheit	Detection Engineering, SOC
Hauptnutzen	Priorisiert, was zu beheben ist	Verbessert, was Sie erkennen

Was jede Methode für sich allein übersieht

Wenn Sie nur BAS ausführen, können Sie die Erkennung wunderschön abstimmen und trotzdem einen weit offenen Pfad hinterlassen, den ein Angreifer gehen kann, ohne einen einzigen Alert auszulösen, weil es sich durchweg um autorisierte Aktivität handelt, das Übernehmen einer Rolle, das Lesen eines Secrets, das Nutzen einer Berechtigung. Wenn Sie nur Exposures ohne Validierung hinterherjagen, ertrinken Sie, denn die rohe Liste von Fehlkonfigurationen ist riesig und meist unerreichbar. AEV engt diese Liste auf die Pfade ein, die sich auflösen, und BAS härtet die Kontrollen um sie herum. Die meisten Teams brauchen beide Antworten, weshalb die beiden im selben Programm auftauchen.

Wo beide in CTEM passen

Continuous Threat Exposure Management, das von Gartner populär gemachte Framework, läuft in fünf Phasen: Scoping, Discovery, Priorisierung, Validierung und Mobilisierung. AEV und BAS leben beide in der Validierung, und sie validieren Unterschiedliches. AEV validiert, welche Exposures erreichbar sind, sodass die Priorisierung auf Nachweisen läuft. BAS validiert, dass Ihre Kontrollen die Techniken erkennen würden, die ein Angreifer unterwegs nutzen würde. Speisen Sie beide in die Mobilisierung, und Ihre Remediation wird davon getrieben, was ausnutzbar und was erkennbar ist, statt von rohen Schweregradwerten, die Erreichbarkeit ignorieren.

Wo Pathbreak hineinpasst

Pathbreak ist Adversarial Exposure Validation, gebaut für die Cloud. Es schlussfolgert über Ihre Identitäten, Rollen und Vertrauensbeziehungen hinweg und validiert die realen Angriffspfade, die Admin oder sensible Daten erreichen. Es validiert read-only, indem es die tatsächliche Autorisierung durchgängig auflöst, sodass Sie den Pfad nicht von Hand testen müssen, um herauszufinden, ob er funktioniert. Für jeden validierten Pfad gibt es Ihnen die eine Änderung, die ihn unterbricht.

Es ist keine Breach and Attack Simulation. Pathbreak feuert keine Test-Payloads auf Ihre Kontrollen ab, um die Erkennung zu messen. Es beweist, wohin ein Angreifer gelangen könnte, und gibt Ihnen den Fix. BAS prüft, ob Sie den Angriff erkennen würden. Pathbreak prüft, ob der Angriff überhaupt möglich ist, und gibt Ihnen die Änderung, die ihn schließt. Wie die Validierung funktioniert, lesen Sie unter So funktioniert es, die Ketten, die wir abdecken, sehen Sie unter Angriffspfade, und gehen Sie bei einem konkreten Beispiel tiefer in unserem Beitrag über AWS IAM Privilege Escalation.

Häufig gestellte Fragen

Was ist Adversarial Exposure Validation (AEV)?

AEV ist die Praxis, Exposures so zu validieren, wie es ein Angreifer täte, indem bestätigt wird, welche Schwachstellen sich zu einem realen Pfad zu einem Administrator oder zu sensiblen Daten verketten lassen. Es beantwortet, ob eine Exposure in Ihrer Umgebung ausnutzbar ist, was eine andere Frage ist als die, ob sie existiert. Pathbreak ist eine AEV-Plattform für AWS, die jeden Angriffspfad schreibgeschützt validiert und die Änderung benennt, die ihn unterbricht.

Wie unterscheidet sich AEV von Breach and Attack Simulation?

BAS prüft, ob Ihre Sicherheitskontrollen bekannte Techniken erkennen und blockieren, es misst also den defensiven Stack. AEV prüft, ob ein Angreifer Ihre Crown Jewels überhaupt erreichen könnte, es misst also ausnutzbare Exposure und Angriffspfade. Pathbreak steht auf der AEV-Seite und konzentriert sich auf Angriffspfade in AWS.

Wo passen AEV und BAS in CTEM?

Beide unterstützen die Validierungsphase von Continuous Threat Exposure Management. AEV validiert, welche Exposures erreichbar und behebenswert sind, damit Sie priorisieren können, und BAS validiert, dass Kontrollen die Techniken erkennen, die Ihnen wichtig sind. Sie decken unterschiedliches Terrain ab, sodass eines kein Ersatz für das andere ist. Pathbreak deckt die Validierungsphase für AWS ab, mit dem Fix und einer Bestätigung, sobald er ausgerollt ist.

Ist Pathbreak ein AEV- oder ein BAS-Tool?

Pathbreak ist Adversarial Exposure Validation für die Cloud. Es validiert die realen Angriffspfade, die ein Angreifer über Ihre Cloud hinweg verketten könnte, read-only, indem es die tatsächliche Autorisierung auflöst, und zeigt die eine Änderung, die jeden Pfad unterbricht. Es ist keine Breach and Attack Simulation und feuert keine Test-Payloads auf Ihre Kontrollen ab.