TIBER-EU ist das Rahmenwerk der EZB für bedrohungsgeleitete Red-Team-Tests im Finanzsektor; TIBER-DE ist die deutsche Umsetzung der Bundesbank, seit 2025 an die DORA-Standards angepasst.
TIBER-EU (Threat Intelligence-based Ethical Red Teaming) ist das 2018 von der Europäischen Zentralbank veröffentlichte Rahmenwerk für bedrohungsgeleitete Red-Team-Tests im Finanzsektor. Es beschreibt, wie Zentralbanken und Aufsichtsbehörden gemeinsam mit Finanzunternehmen realistische Angriffe auf kritische Funktionen durchführen lassen, ohne dass das verteidigende Team vorab informiert ist. Ziel ist nicht die Note für den Einzelnen, sondern ein ehrliches Bild von Erkennungs- und Reaktionsfähigkeit.
Im Februar 2025 hat die EZB TIBER-EU an den technischen Regulierungsstandard zu DORA angepasst. Seitdem ist das Rahmenwerk der methodische Unterbau für den verpflichtenden TLPT. Die wichtigsten Änderungen: Das bisherige White Team heißt nun Control Team, und Purple Teaming ist fester Bestandteil der Abschlussphase. TIBER-DE ist die deutsche Implementierung der Bundesbank (Version 4.0, Juli 2025) und steht auch für freiwillige Tests offen, etwa für KRITIS-Betreiber außerhalb der DORA-Pflicht.
Ablauf und Rollen
Ein TIBER-Test gliedert sich in drei Phasen:
- Vorbereitung: Das Finanzunternehmen bildet ein Control Team, bestimmt kritische Funktionen und wählt Threat-Intelligence-Provider und Red-Team-Anbieter aus. Die Behörde (in Deutschland das TIBER Cyber Team der Bundesbank) begleitet mit einem Test Manager.
- Test: Der TI-Provider erstellt ein Targeted Threat Intelligence Report mit Bedrohungsprofil und Szenarien. Das Red Team plant und führt darauf aufbauend den Angriff durch, verdeckt gegenüber dem Blue Team, mit regelmäßigem Reporting an das Control Team.
- Abschluss: Red-Team- und Blue-Team-Report, Replay-Workshop, Purple Teaming, Remediation-Plan und Attestierung durch die Behörde.
Die Rollen sind klar getrennt: Control Team (eingeweiht, steuert Risiko), Blue Team (uninformiert, verteidigt), TI-Provider (extern), Red-Team-Tester und Behörde. Genau diese Trennung macht den Test aussagekräftig.
Bedeutung für Unternehmen
TIBER-EU hat den Red-Team-Markt in Europa professionalisiert. Anforderungen an Tester, Haftpflicht, Dokumentation und Ethik wurden erstmals einheitlich formuliert, und das Verfahren wird in mehreren EU-Staaten wechselseitig anerkannt. Für Finanzunternehmen bedeutet das Planbarkeit: Die Erwartungen der Aufsicht sind dokumentiert und nicht Verhandlungssache.
Ein häufiger Irrtum ist, TIBER sei nur etwas für Großbanken. Die Methodik skaliert. Wer als mittelgroßes Institut, Versicherer oder KRITIS-Betreiber einen freiwilligen TIBER-DE-Test durchführt, erhält dieselbe Qualität an Erkenntnissen und signalisiert der Aufsicht Reife. Der Aufwand ist allerdings erheblich: Marktüblich sind 90 bis 125 Personentage, der Gesamtzyklus dauert sechs bis zwölf Monate.
Praxis-Hinweise
- Wählen Sie TI-Provider und Red Team getrennt aus oder achten Sie bei einem Anbieter auf saubere organisatorische Trennung beider Rollen.
- Formulieren Sie die Rules of Engagement ausführlich: Abbruchkriterien, Freigabeprozesse für riskante Schritte und Notfallkontakte auf beiden Seiten.
- Legen Sie Flags fest, die Geschäftsrisiken abbilden, etwa Zahlungsfreigabe, Kundendatenbank oder Backup-Infrastruktur, statt nur „Domain Admin“.
- Behandeln Sie den Blue-Team-Report als gleichwertig zum Red-Team-Report. Dort steht, was Ihr SOC gesehen hat und was nicht.