1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Red teaming kosten: wat bepaalt de prijs van een red team-opdracht, en hoe stemt u die af op uw budget?
Een red team-offerte is geen grotere pentestofferte. U betaalt voor weken heimelijke operaties tegen doelen die u zelf kiest, plus de intelligence, infrastructuur en debriefs eromheen. Deze gids legt elke variabele in dat bedrag uit, zodat u een voorstel kunt lezen, kritisch kunt bevragen en de opdracht kunt afstemmen op het budget dat u heeft. HackersHub scopet elke red team-opdracht afzonderlijk en publiceert geen prijslijst.
Wat kost red teaming, in het kort
Een red team-opdracht kost doorgaans een veelvoud van een enkele applicatiepentest, omdat u kalendertijd koopt en geen checklist: enkele weken heimelijke operaties door een klein senior team, voorafgegaan door threat intelligence en scenario-ontwerp en afgesloten met een replay voor uw verdedigers. Vier factoren bepalen het eindbedrag het sterkst: hoeveel doelen en scenario's u vraagt, hoeveel weken operatie dat kost, hoeveel moeite het team moet doen om onopgemerkt te blijven, en welke extra's (fysieke toegang, social engineering, purple-sessies, TIBER-formaliteiten) binnen de scope vallen.
Op deze pagina noemen wij geen marktranges. Gepubliceerde bedragen voor red teaming lopen zo ver uiteen en worden per bron zo verschillend gedefinieerd, dat één range meer zou misleiden dan verhelderen. Wat wel van offerte tot offerte overdraagbaar is, is de opbouw: consultantdagen per fase maal een dagtarief, plus infrastructuur en rapportage. Wie de fases begrijpt, kan elke twee voorstellen op gelijke voet vergelijken.
Eén onderscheid gaat aan alles vooraf. Een penetratietest stelt de vraag hoeveel kwetsbaarheden een afgebakende scope bevat. Een red team stelt de vraag of een realistische aanvaller een bedrijfsdoel kan bereiken, zoals het betaalsysteem, een domeinbeheerdersaccount of een onderzoeksdatabase, zonder dat uw mensen het merken. Die tweede vraag kost meer tijd om te beantwoorden, en die tijd is het grootste deel van de prijs. Het methodische verschil leest u in ons artikel over red teaming versus pentest.
De tien kostenfactoren van een red team-opdracht
Elk serieus red team-voorstel is uit deze bouwstenen opgebouwd. Verschillen twee offertes sterk, dan wijkt er minstens één af.
1. Scope en doelstellingen
Het aantal doelen (vaak kroonjuwelen of flags genoemd) en het aantal aanvalsscenario's is de eerste vermenigvuldiger. Eén doel via één scenario is een gerichte opdracht. Drie doelen getest via een extern, een insider- en een leveranciersscenario zijn in feite drie opdrachten die een team delen.
2. Duur in weken operatie
Red teams worden geprijsd in doorlooptijd, niet in tests. Echte aanvallers bewegen langzaam om detectie te vermijden, en een geloofwaardige simulatie moet dat ook doen. Een kort venster dwingt tot opvallende shortcuts die weinig zeggen over uw detectievermogen; een langer venster geeft een eerlijker beeld en kost meer.
3. Teamomvang en senioriteit
Een gebruikelijke operatie draait met een lead operator, één of twee extra operators en een projectleider die het white team aanstuurt: de kleine groep aan uw kant die weet dat de test loopt. Senioriteit weegt zwaarder dan het aantal mensen. Ervaren operators met offensieve certificeringen bereiken doelen met minder handelingen, en dat houdt de oefening realistisch.
4. Threat-intelligencefase
Een threat-led opdracht begint met intelligence over de actoren die uw sector aanvallen en over uw eigen zichtbare voetafdruk: domeinen, profielen van medewerkers, leveranciers, gelekte inloggegevens. Een lichte variant steunt op openbare rapportages en interne kennis; een formele variant, zoals TIBER-EU die eist, is een afzonderlijk product van een aparte aanbieder. Dat laatste voegt weken en een tweede partij toe.
5. Fysieke en sociale componenten
Toegangspogingen op locatie, telefonische pretexts of gerichte phishing vergroten het aanvalsoppervlak en het realisme, en brengen reistijd, juridische voorbereiding en extra machtigingsbrieven met zich mee. Elke component vraagt eigen rules of engagement.
6. Infrastructuur en tooling
Een red team heeft eigen operationele infrastructuur nodig: geregistreerde domeinen met een opgebouwde reputatie, redirectors, command-and-controlservers, payloadontwikkeling en gelicentieerde commerciële tooling. Een deel daarvan is herbruikbaar, een deel wordt per klant opgebouwd zodat het niet aan eerdere operaties te koppelen is. Een voorstel dat infrastructuur niet noemt, heeft die in het dagtarief verwerkt of weggelaten.
7. Moeite om onopgemerkt te blijven
Hoe volwassen is uw detectie? Tegenover een goed afgestelde SOC of MDR-dienst vraagt elke stap meer voorbereiding en meer zorgvuldigheid, en moet het team zijn aanpak soms meerdere keren bijstellen. Dit is de meest variabele kostenpost en de post die een red team het sterkst van een pentest onderscheidt.
8. Replay en purple-sessies
Na de operatie speelt het red team zijn acties stap voor stap na met uw blue team, zodat verdedigers zien wat ze gemist hebben en hun detecties kunnen bijstellen. Een replay van één tot twee dagen is gebruikelijk; een volledige purple team-week, waarin beide kanten samen specifieke detecties testen en verbeteren, is een optionele uitbreiding met eigen kosten en een eigen rendement.
9. Rapportage en debrief voor het bestuur
De opleveringen omvatten meestal een technisch rapport met het aanvalsverhaal, een tijdlijn gekoppeld aan MITRE ATT&CK, bevindingen en detectiegaten, plus een managementsamenvatting. Een aparte debrief voor directie of raad van bestuur, of een rapport voor een toezichthouder, kost extra senior tijd voor voorbereiding en presentatie.
10. TIBER- en TLPT-formaliteiten
Een opdracht onder TIBER-EU, TIBER-NL of DORA threat-led penetration testing brengt vaste fases mee, een testmanager aan de kant van de autoriteit, formele documentatie, een aparte threat-intelligenceaanbieder en een afsluitende fase met de toezichthouder. Alleen al die formaliteiten voegen weken coördinatie toe vóór en na de operatie.
Pentest, red team en purple team: de kostenlogica naast elkaar
Drie verwante diensten, drie verschillende redenen voor het bedrag op de offerte. De inspanning staat in woorden, omdat scopes te ver uiteenlopen voor een zinvolle range.
| Aspect | Penetratietest | Red team | Purple team |
|---|---|---|---|
| Doel | Zoveel mogelijk kwetsbaarheden vinden binnen een afgebakende scope | Toetsen of een aanvaller onopgemerkt een doel kan bereiken | Samen detectie en respons verbeteren, techniek voor techniek |
| Gebruikelijke duur | Dagen tot enkele weken | Enkele weken operatie, plus voorbereiding en replay | Enkele dagen tot een paar weken gezamenlijke sessies |
| Team | Eén of twee testers | Klein senior team plus projectleider en white team | Red operators die zij aan zij werken met uw verdedigers |
| Belangrijkste oplevering | Bevindingenrapport met hersteladvies | Aanvalsverhaal, ATT&CK-tijdlijn, detectiegaten, replay | Gevalideerde en verbeterde detecties, per techniek vastgelegd |
| Wat de prijs bepaalt | Omvang van de scope en testdiepte | Doelen, weken operatie en moeite om onopgemerkt te blijven | Aantal behandelde technieken en sessiedagen |
| Voor wie | Elke organisatie, als basis | Organisaties met volwassen monitoring en een geteste basis | Organisaties die een SOC of MDR-dienst opbouwen of afstellen |
Wanneer een red team nog niet de moeite waard is
Een red team meet uw vermogen om een capabele aanvaller te detecteren en erop te reageren. Kunt u zo'n aanvaller nog niet realistisch detecteren, dan staat de uitkomst vooraf vast en is het geld elders beter besteed. Volwassenheid in security beklimt meestal een ladder: eerst kwetsbaarheidsbeheer en regelmatige penetratietesten, dan centrale logging en monitoring, dan een SOC of MDR-dienst met afgestelde detecties en een geoefend incidentresponsplan, en pas daarna adversary simulation. Wie sporten overslaat, krijgt een red team-rapport dat uitgebreid beschrijft dat niemand iets heeft gemerkt.
Signalen dat u eerst in andere tests moet investeren
Herkent u meerdere van deze punten, dan levert een pentest, een interne assumed-breach-test of een purple-sessie meer op per bestede euro.
- U heeft in de afgelopen twaalf maanden geen externe en interne penetratietest laten doen, of de laatste liet bevindingen met hoge ernst openstaan
- Er is geen centrale logging van authenticatie-, endpoint- en cloudgebeurtenissen, of niemand kijkt ernaar
- U heeft geen SOC of MDR-dienst, of die is nooit tegen een gesimuleerde aanval getest
- Uw incidentresponsplan is nooit geoefend, ook niet als tabletop
- Meerfactorauthenticatie is niet afgedwongen op externe toegang en beheerdersaccounts
- De directie wil vooral een resultaat kunnen laten zien, in plaats van een vraag die zij echt beantwoord wil hebben
Hoe u een red team afstemt op uw budget
Een kleiner budget hoeft geen zwakkere oefening te betekenen. Met deze zes knoppen verlaagt u de inspanning terwijl het resultaat betekenisvol blijft.
1. Leg eerst de doelen vast
Kies één of twee doelen die er voor het bestuur toe doen, zoals toegang tot betaalfiattering of tot klantgegevens, en laat de rest daaruit volgen. Een scherp doel voorkomt dat het team weken besteedt aan doelwitten waar niemand iets mee doet.
2. Beperk het aantal scenario's
Kies het scenario dat uw meest waarschijnlijke dreiging weerspiegelt, bijvoorbeeld ransomware via een gecompromitteerd account, in plaats van externe, insider- en leveranciersroutes in één opdracht te testen. Een tweede scenario kan volgend jaar.
3. Begin vanuit assumed breach
Initiële toegang via phishing of zwakke plekken in de perimeter kost vaak de meeste tijd en is het minst voorspelbare deel. Begint het team met een voet aan de grond die u zelf levert, zoals een standaardwerkplek met gebruikersaccount, dan gaat de inzet naar wat meestal het zwaarst weegt: laterale beweging, escalatie van rechten en de vraag of uw monitoring dat ziet.
4. Begrens de operatie in tijd
Spreek een vast aantal weken operatie af en een heldere stopregel. Een tijdsbegrenzing houdt de kosten voorspelbaar; het rapport vermeldt dan welke doelen binnen die tijd zijn bereikt en welke detectiekansen zijn gemist of benut.
5. Hergebruik bestaande threat intelligence
Heeft u al een recent dreigingsbeeld van uw sectororganisatie, een CTI-abonnement of een eerdere opdracht, deel het dan. De intelligencefase kan zich dan beperken tot het toetsen daarvan aan uw eigen zichtbare voetafdruk, in plaats van vanaf nul te beginnen.
6. Combineer met een purple-sessie
Koppel een kortere heimelijke fase aan een purple team-sessie waarin de operators belangrijke technieken openlijk herhalen samen met uw verdedigers. U ruilt wat realisme in voor direct verbeterde detecties, en bij een gemiddeld volwassenheidsniveau is dat vaak het betere rendement.
Wat een red team-offerte moet specificeren
Leg elk voorstel langs dezelfde lijst. Een offerte die deze punten niet beantwoordt, is nog niet vergelijkbaar met een offerte die dat wel doet.
- De doelen en scenario's, op papier, met wat geldt als het bereiken van elk doel
- Het aantal weken actieve operatie en de consultantdagen per fase: intelligence, voorbereiding, operatie, rapportage, replay
- De lead operator en teamleden bij naam, met hun certificeringen en red team-ervaring
- Hoe de threat intelligence tot stand komt: intern, via een aparte aanbieder of hergebruikt uit uw eigen bronnen
- Infrastructuur en tooling: wat voor u wordt opgebouwd, wat gelicentieerd is en of het is inbegrepen
- Rules of engagement, contactpersonen in het white team, deconflictie en de procedure voor een noodstop
- Welke fysieke en sociale componenten zijn inbegrepen, en op welke juridische machtiging die steunen
- Opleveringen: technisch rapport, ATT&CK-tijdlijn, managementsamenvatting, debrief voor het bestuur
- Replay met het blue team inbegrepen of optioneel, en een eventuele purple-sessie apart geprijsd
- Beroepsaansprakelijkheidsverzekering en, waar relevant, hoe het voorstel voldoet aan de testereisen van TIBER of DORA
TIBER-EU, TIBER-NL en DORA TLPT: waarom gereguleerde tests meer kosten
Financiële entiteiten die door hun toezichthouder zijn aangewezen, moeten op grond van artikel 26 van DORA minimaal elke drie jaar threat-led penetration testing uitvoeren, volgens een methode die aansluit op het TIBER-EU-raamwerk; in Nederland coördineert De Nederlandsche Bank dit via TIBER-NL. Deze tests volgen vaste fases (voorbereiding, threat intelligence, red team-test en afsluiting), werken met een testmanager aan de kant van de autoriteit, vereisen een threat-intelligenceaanbieder die los staat van het red team en worden uitgevoerd op live productiesystemen die kritieke of belangrijke functies ondersteunen. TIBER-EU gaat uit van een fors actief testvenster, doorgaans aangeduid als minimaal twaalf weken. Artikel 27 stelt eisen aan testers, waaronder aantoonbare expertise en een beroepsaansprakelijkheidsverzekering. Dat alles maakt een gereguleerde test aanzienlijk bewerkelijker dan een vrijwillig red team met een vergelijkbare technische scope. Ons artikel over de DORA-pentest licht de verplichtingen uitgebreid toe.
Hoe HackersHub een red team-opdracht scopet
Wij beginnen met een scopinggesprek, niet met een prijs. Wij willen weten welke vraag u beantwoord wilt hebben, welke doelen er voor uw bestuur toe doen, welke monitoring en respons u vandaag heeft, en of een toezichthouder of klant het resultaat gaat lezen. Is het eerlijke antwoord dat een penetratietest of een purple-sessie u op dit moment beter dient, dan zeggen wij dat.
Daarna ontvangt u een schriftelijk voorstel met de doelen en scenario's, de weken operatie, de consultantdagen per fase, de lead operator, de aanpak voor infrastructuur, de rules of engagement en elke oplevering, inclusief de replay met uw blue team. Onze operators hebben OSCP als basis, met OSWE- en CREST-gecertificeerde testers in het team, en brengen meer dan tien jaar offensieve security-ervaring mee. Een prijslijst is er niet; met het gespecificeerde voorstel vergelijkt u ons regel voor regel met elke andere aanbieder.
Veelgestelde vragen
Verder lezen over red teaming
Een red team-voorstel dat u regel voor regel kunt vergelijken?
Een scopinggesprek levert schriftelijke doelen op, het aantal weken operatie, de dagen per fase, de lead operator bij naam en elke oplevering. Geen prijslijst, geen opvulling. Plan een gesprek met een expert.