1 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Wat doet een red teamer? Rol, vaardigheden, certificeringen en loopbaan van een red team operator
Een red teamer bootst een echte aanvaller na, zodat een organisatie ontdekt hoe ver een aanval zou komen en of iemand het zou merken. Dit artikel gaat over de mens achter dat werk: waarvoor hij verantwoordelijk is, welke vaardigheden en certificeringen tellen, hoe mensen er komen en hoe u als opdrachtgever de operators van een aanbieder beoordeelt.
Wat een red teamer is
Een red teamer, ook wel red team operator of red team specialist, is een offensieve securityspecialist die onder schriftelijke toestemming een specifieke, realistische aanvaller nabootst tegen een organisatie. Het doel is niet om elke kwetsbaarheid op te sommen, maar om één vraag te beantwoorden: kan een bekwame aanvaller een afgesproken bedrijfsdoel bereiken, zoals het betaalsysteem of de mailbox van de directie, en zien de verdedigers dat op tijd en houden zij het tegen? De red teamer speelt die aanvaller, houdt de operatie veilig en beheerst, en zet wat er gebeurde om in bewijs waarmee de organisatie aan de slag kan.
Red teamers werken in drie omgevingen. De meesten zijn in dienst van gespecialiseerde adviesbureaus die opdrachten uitvoeren voor klanten in uiteenlopende sectoren. Grote banken, verzekeraars en technologiebedrijven hebben steeds vaker een eigen intern red team dat de eigen omgeving doorlopend toetst en de resultaten direct terugspeelt naar detection engineering. De derde omgeving is toezicht: in Nederland ondergaan financiële instellingen die De Nederlandsche Bank aanwijst TIBER-NL-tests, en op grond van DORA artikel 26 en 27 moeten aangewezen financiële entiteiten in de hele EU minimaal elke drie jaar threat-led penetration testing laten uitvoeren. In die oefeningen is de red team aanbieder een externe partij die aan specifieke eisen voor ervaring en bemensing moet voldoen.
Red teaming is een specialisatie en geen instapfunctie. Vrijwel elke operator komt binnen na een aantal jaren als pentester, systeembeheerder, softwareontwikkelaar of SOC-analist. Die achtergrond doet ertoe: een red teamer moet begrijpen hoe bedrijfsomgevingen werkelijk zijn opgebouwd en worden beheerd, en die kennis doet u op door ze eerst zelf te beheren, te bouwen of te verdedigen.
Red teamer vs pentester
Beide rollen delen gereedschap en een groot deel van hun kennis, maar zij beantwoorden een andere vraag. Een pentester werkt naar scope en dekking: binnen een afgesproken set systemen zoveel mogelijk uitbuitbare zwakheden vinden in de beschikbare tijd, ze beoordelen en uitleggen hoe ze te herstellen. Een red teamer werkt naar een doel en naar detectie: één realistisch pad naar een vastgesteld doel volgen, bewegen zoals de nagebootste aanvaller dat zou doen, en bij elke stap vastleggen of de maatregelen en mensen van de organisatie het opmerkten. Een pentestrapport is een lijst bevindingen; een red team rapport is een aanvalsverhaal met een tijdlijn.
Ook het temperament verschilt. Goede pentesters zijn grondig en systematisch, en worden beloond voor breedte. Goede red teamers zijn geduldig en terughoudend: zij laten een kans vaak liggen omdat die te veel ruis zou maken, zij plannen in weken in plaats van dagen, en zij accepteren dat een stil, gedeeltelijk resultaat waardevoller kan zijn dan een luidruchtig, volledig resultaat. Daarom is een sterke pentester niet automatisch een sterke red teamer, en daarom laten volwassen teams mensen geleidelijk doorgroeien naar red team werk. In ons artikel over wat een pentester doet beschrijven wij de andere rol volledig, en onze vergelijking tussen red teaming en een pentest legt uit welke opdracht een organisatie wanneer nodig heeft.
Waarvoor een red teamer tijdens een opdracht verantwoordelijk is
Vanuit de opdrachtgever gezien is het werk van een red teamer evenveel governance als aanval. Dit zijn de verantwoordelijkheden die u van elke operator op een opdracht mag verwachten, en die hij u moet kunnen laten zien.
Strikt binnen de schriftelijke toestemming werken
Elke actie valt binnen de ondertekende toestemming en de rules of engagement: de afgesproken doelen, systemen en personen in scope, de toegestane uren en de handelingen die uitdrukkelijk verboden zijn. Ligt een kans buiten die grens, dan pakt de operator haar niet; hij legt haar voor aan de white cell.
Een volledig operationeel logboek bijhouden
Elke actie wordt vastgelegd met tijdstempel, het betrokken systeem en de reden. Met dat logboek kan de white cell van de opdrachtgever op elk moment nagaan wat het red team heeft gedaan, en het vormt de ruggengraat van de tijdlijn die het blue team later naast de eigen telemetrie legt.
Afstemmen met de white cell
Belangrijke stappen, zoals het naderen van een gevoelig systeem of het opschalen van een scenario, worden op basis van go/no-go met de white cell afgestemd. De operator ondersteunt ook de deconflictie door snel te bevestigen of een melding waar de verdedigers op jagen bij de oefening hoort.
Klantdata als bewijs behandelen
Alle data die het red team aanraakt, geldt als bewijs van toegang en niet als buit. Operators verzamelen het minimum dat nodig is om impact aan te tonen, slaan het versleuteld op, beperken de toegang tot het opdrachtteam en vernietigen het volgens het afgesproken schema, onder regels die passen binnen de AVG.
Pauzeren en escaleren bij sporen van een echte inbraak
Red teamers stuiten soms op sporen van een echte aanvaller: onbekende accounts, vreemde tooling, data die klaargezet wordt. De operatie pauzeert, de white cell wordt direct ingelicht en de incident response van de organisatie neemt het over. Een verantwoordelijke operator ziet dit nooit als een handige kortere weg.
Het aanvalsverhaal en de detectieaanbevelingen opleveren
De oplevering bestaat uit een verhaal van de operatie, een tijdlijn, een MITRE ATT&CK-mapping van elke gebruikte techniek en geprioriteerde aanbevelingen, verdeeld over preventie, detectie en respons. Bevindingen worden zo geschreven dat zowel bestuurders als detection engineers ermee verder kunnen.
De replay met het blue team leiden
Na het rapport lopen de operators de operatie stap voor stap door met de verdedigers, terwijl het blue team laat zien wat het heeft waargenomen. Deze sessie levert meestal meer verbeteringen op dan het rapport zelf, en haar goed leiden hoort bij het vak.
Het vaardighedenprofiel, op conceptniveau
Red teamers zijn generalisten met een paar diepe specialismen. Deze zes gebieden beschrijven wat de rol vraagt; het is geen lesprogramma, en de details van de toepassing blijven binnen geautoriseerde opdrachten.
Verkenning en OSINT
Uit openbare bronnen een beeld vormen van de organisatie: mensen, functies, leveranciers, technologische voetafdruk en blootgestelde diensten. Goede verkenning bepaalt het hele scenario en maakt vaak het verschil tussen een realistische en een generieke operatie.
Social engineering en pretexts
Begrijpen hoe mensen zich laten overtuigen, en geloofwaardige, vooraf afgesproken pretexts ontwerpen voor initiële toegang, van e-mail tot telefoon. Dat vraagt evenveel oordeelsvermogen en ethiek als creativiteit, want er zitten echte medewerkers aan de andere kant.
Identiteit en Active Directory
De meeste aanvallen op bedrijven worden gewonnen of verloren op identiteit. Red teamers hebben diepgaande kennis nodig van Active Directory, Entra ID, federatie en rechtenmodellen, zodat zij zien waar vertrouwensrelaties paden naar het doel opleveren.
Command and control en OPSEC
Een operatie van weken vraagt betrouwbare, beheerste toegang terwijl de operator in de rol van de nagebootste aanvaller blijft. De kern van deze vaardigheid is discipline: elke actie plannen, weten hoe die er voor een verdediger uitziet, en nooit buiten de regels improviseren.
Fysieke en on-site beoordeling
Sommige scenario's omvatten het kantoor zelf: receptie, bezoekersprocedures, toegangscontrole en netwerkaansluitingen. Operators moeten herkennen wanneer fysieke toegang de realistische route is en hoe zij die veilig en rechtmatig beoordelen, altijd met een ondertekende toestemmingsbrief.
Rapportage en bestuurlijke communicatie
Een operatie is zoveel waard als het verhaal dat erover wordt verteld. Red teamers schrijven in hetzelfde rapport voor de raad van bestuur en voor detection engineers, en presenteren resultaten aan bestuurders in termen van bedrijfsrisico in plaats van techniek.
Certificeringen die iets zeggen over een red teamer
Geen enkele certificering maakt iemand tot red teamer, maar een handvol praktische examens in een labomgeving laat wel zien dat een kandidaat realistische aanvalsscenario's heeft doorlopen. Dit zijn de red teaming certificeringen waar opdrachtgevers en recruiters in 2026 naar kijken.
| Certificering | Uitgever | Wat zij aantoont | Niveau |
|---|---|---|---|
| OSCP (Offensive Security Certified Professional) | OffSec | Praktische vaardigheid om systemen binnen te dringen in een getimed examen en daarover te rapporteren | Basisniveau; elke tester van HackersHub heeft deze |
| CRTO (Certified Red Team Operator) | Zero-Point Security | Praktisch labexamen gericht op opereren in een Active Directory-omgeving zoals een red team dat doet | Eerste specifieke red team certificering |
| CRTL (Certified Red Team Lead) | Zero-Point Security | Gevorderd vervolg op CRTO, gericht op volwassener, beter verdedigde omgevingen | Gevorderd |
| OSEP (OffSec Experienced Penetration Tester) | OffSec | Cursus PEN-300 'Evasion Techniques and Breaching Defenses' en een praktisch examen van 48 uur tegen een verdedigd netwerk | Gevorderd |
| OSCE3 (OffSec Certified Expert 3) | OffSec | Toegekend aan wie OSEP, OSWE en OSED tegelijk bezit: breedte over infrastructuur, web en exploitontwikkeling | Expert |
| GXPN (GIAC Exploit Researcher and Advanced Penetration Tester) | GIAC (SANS SEC660) | Gevorderde exploitatie- en aanvalsconcepten, getoetst met een examen onder toezicht | Gevorderd |
| CREST CCSAS (Certified Simulated Attack Specialist) | CREST | Bekwaamheid om intelligence-gedreven gesimuleerde aanvallen uit te voeren zoals in CBEST- en TIBER-achtige gereguleerde opdrachten | Gereguleerde opdrachten, operator |
| CREST CCSAM (Certified Simulated Attack Manager) | CREST | Bekwaamheid om een gesimuleerde aanval te leiden en te managen, inclusief risicobeheersing en afstemming met de opdrachtgever | Gereguleerde opdrachten, leiding |
Wat certificeringen niet meten
Certificeringen zijn noodzakelijk, maar niet voldoende. Zij laten zien dat iemand technische problemen kan oplossen onder examenomstandigheden; zij zeggen niets over het oordeel wanneer te stoppen, de discipline om een operationeel logboek bij te houden, de terughoudendheid rond productiesystemen of het vermogen een rapport te schrijven dat een raad van bestuur ook leest. Die eigenschappen ontstaan in begeleide opdrachten en toetst u het best via referenties en voorbeeldrapporten. Ons artikel over pentest keurmerken en certificeringen legt uit hoe u individuele certificaten verifieert en hoe zij zich verhouden tot accreditaties van bedrijven.
Hoe wordt u red teamer?
Er bestaat geen kortere weg naar red teaming. De route hieronder herkennen de meeste operators uit hun eigen loopbaan, en het is een loopbaanpad, geen technisch lesprogramma.
- Bouw een fundament van een aantal jaren in pentesten, systeembeheer, softwareontwikkeling of een SOC, zodat u begrijpt hoe echte omgevingen worden gebouwd, beheerd en verdedigd
- Ontwikkel diepgang in Windows, identiteit (Active Directory en Entra ID) en netwerken, want daar worden operaties in bedrijfsomgevingen beslist
- Behaal OSCP als praktische basis en groei daarna door naar een specifieke red team certificering zoals CRTO en later OSEP of CRTL
- Oefen in eigen labomgevingen en trainingsplatforms die daarvoor zijn gebouwd, nooit op systemen waarvoor u geen toestemming heeft
- Leer schrijven en presenteren: zet uw labwerk om in korte rapporten en leg ze uit aan niet-technische collega's
- Sluit u aan bij een team dat echte opdrachten uitvoert en werk onder begeleiding van ervaren operators voordat u zelf iets leidt
- Blijf binnen de wet: zonder toestemming binnendringen in een geautomatiseerd werk is computervredebreuk op grond van artikel 138ab van het Wetboek van Strafrecht. Test uitsluitend met uitdrukkelijke schriftelijke toestemming
Hoe u de mensen van een red team aanbieder beoordeelt
Wie een red team opdracht inkoopt, koopt het oordeelsvermogen van een klein aantal personen. Vraag het volgende op voordat u tekent.
- Bij naam genoemde operators voor uw opdracht, met certificeringen die u bij de uitgever kunt verifiëren
- Een opdrachtleider met managementcertificering zoals CREST CCSAM, of aantoonbare ervaring met het leiden van vergelijkbare operaties
- Het aantal volledige red team operaties (geen pentests) dat elke operator de afgelopen jaren heeft uitgevoerd
- Referenties van oefeningen waarbij een blue team betrokken was, bij voorkeur van organisaties van uw omvang en sector
- Een schriftelijk sjabloon voor de rules of engagement, een deconflictieprocedure en een voorbeeld van hoe het operationele logboek wordt bijgehouden
- Bewijs van een beroepsaansprakelijkheidsverzekering die past bij de opdracht
- Een procedure voor dataverwerking en vernietiging van bewijsmateriaal, inclusief bewaartermijn en de manier waarop vernietiging wordt bevestigd
- Ervaring met TIBER-NL of DORA threat-led penetration testing als uw organisatie onder die regimes valt
- De manier waarop het team zijn kennis actueel houdt: onderzoekstijd, interne labs, opleidingsbudget en recente certificeringen
Red teamers bij HackersHub
HackersHub is een offensief securitybedrijf in Amsterdam met meer dan 10 jaar ervaring in penetratietesten en red teaming. Elke tester in het team heeft minimaal OSCP, en het team telt OSWE- en CREST-gecertificeerde testers. Onze methodiek sluit aan op PTES en NIST SP 800-115, en red team operaties worden van begin tot eind gemapt op MITRE ATT&CK.
Elk rapport vermeldt bij naam de operators die het werk hebben uitgevoerd, zodat u precies weet wie toegang tot uw omgeving had. Een verificatiehertest van bevindingen vanaf medium binnen 90 dagen is inbegrepen, en klanten waarderen ons werk met een 4,9 uit 5 op basis van 127 reviews. Bakent u een red team opdracht af en wilt u de mensen ontmoeten die haar zouden uitvoeren, dan begint daar het gesprek.
Veelgestelde vragen
Verder lezen
- Red teaming laten uitvoeren door HackersHub
- Wat is red teaming? Fasen, scenario's en oplevering
- Red team vs blue team: hoe verloopt een oefening?
- Purple teaming: red en blue samen aan tafel
- Red teaming vs pentest: welke heeft u nodig?
- Wat is een pentester en wat doet een pentester?
- Pentest keurmerken en certificeringen: hoe controleert u ze?
- Penetratietest laten uitvoeren door HackersHub
Wilt u de operators ontmoeten die u zouden testen?
Wij bakenen red team opdrachten af rond uw bedrijfsdoelen en noemen de operators bij naam in elk voorstel en elk rapport. Bespreek met een expert hoe een realistische operatie tegen uw organisatie eruit zou zien.