CBEST

CBEST ist das Rahmenwerk der Bank of England für bedrohungsgeleitete Red-Team-Tests bei Finanzinstituten im Vereinigten Königreich und gilt als Vorbild für TIBER-EU und den DORA-TLPT.

CBEST ist das Rahmenwerk der Bank of England für bedrohungsgeleitete Sicherheitstests im britischen Finanzsektor. Es wurde 2014 eingeführt und war das erste aufsichtlich gesteuerte Programm, das echte Red-Team-Angriffe auf Produktivsysteme systemrelevanter Banken, Versicherer und Finanzmarktinfrastrukturen vorsah. Die Aufsichtsbehörden Prudential Regulation Authority (PRA) und Financial Conduct Authority (FCA) steuern die Tests gemeinsam mit der Zentralbank.

Die Grundidee von CBEST hat alle späteren Rahmenwerke geprägt: Statt generischer Penetrationstests wird zunächst analysiert, welche realen Angreifergruppen ein Institut bedrohen. Daraus leitet ein Threat-Intelligence-Anbieter Szenarien ab, die ein Red Team anschließend verdeckt gegen die kritischen Funktionen des Instituts durchspielt. TIBER-EU (2018) und der TLPT nach DORA (2025) haben diesen Ansatz übernommen und europaweit harmonisiert.

Ablauf eines CBEST-Tests

1. Initiation: Die Aufsicht wählt das Institut aus und legt gemeinsam mit ihm die wichtigen Geschäftsfunktionen und die zu testenden Systeme fest.
2. Threat Intelligence: Ein akkreditierter TI-Anbieter erstellt ein Bedrohungsprofil des Instituts und konkrete Angriffsszenarien.
3. Penetration Testing: Ein akkreditierter Red-Team-Anbieter setzt die Szenarien um, verdeckt gegenüber dem Blue Team, gesteuert durch ein kleines eingeweihtes Team des Instituts.
4. Closure: Berichte von Red Team, Blue Team und Institut, Bewertung der Erkennungs- und Reaktionsfähigkeit, Remediation-Plan, Nachverfolgung durch die Aufsicht.

Eine Besonderheit ist die Akkreditierungspflicht: Threat-Intelligence- und Red-Team-Anbieter müssen über CREST für CBEST zugelassen sein. Das hat die Anforderungen an Qualifikation, Ethik und Versicherung der Tester in Großbritannien früh standardisiert.

Bedeutung für Unternehmen

Für deutsche Unternehmen ist CBEST selten direkt verpflichtend, aber in mehreren Fällen relevant: Institute mit britischen Tochtergesellschaften oder Niederlassungen können in CBEST-Tests einbezogen werden. Internationale Gruppen stehen vor der Frage, ob ein Test in einer Jurisdiktion auch in anderen anerkannt wird; TIBER-EU und DORA sehen eine solche gegenseitige Anerkennung zumindest innerhalb der EU vor. Und wer die Unterschiede der Rahmenwerke kennt, kann den eigenen TLPT so aufsetzen, dass er für mehrere Aufsichtsbehörden verwertbar ist.

Inhaltlich sind die Unterschiede überschaubar. CBEST arbeitet traditionell mit einer stärkeren Rolle der Aufsicht bei Auswahl und Bewertung, TIBER-EU und DORA formalisieren Fristen und Mindestdauern stärker, etwa die zwölfwöchige aktive Phase nach RTS 2025/1190. Die Methodik der Angreifer ist in allen drei Rahmenwerken dieselbe.

Praxis-Hinweise

• Prüfen Sie bei Gruppenstrukturen mit UK-Bezug frühzeitig, welche Aufsicht welchen Test erwartet, und stimmen Sie Scope und Zeitplan ab.
• Wählen Sie Red-Team-Anbieter mit Erfahrung in mehreren Rahmenwerken; die Berichtsformate unterscheiden sich, der Angriff nicht.
• Nutzen Sie das CBEST-Prinzip „Threat Intelligence zuerst“ auch für freiwillige Red-Team-Tests außerhalb der Regulierung. Es verhindert, dass Szenarien an der realen Bedrohungslage vorbeigehen.
• Dokumentieren Sie Erkennungs- und Reaktionszeiten so, dass sie sich zwischen Tests vergleichen lassen. Das ist die eigentliche Kennzahl aller drei Rahmenwerke.