TLPT (Threat-Led Penetration Testing) ist der bedrohungsorientierte Red-Team-Test nach DORA Art. 26/27, den benannte Finanzunternehmen mindestens alle drei Jahre auf Produktivsystemen durchführen.
Threat-Led Penetration Testing (TLPT) ist die regulatorische Bezeichnung für ein Red Teaming, das auf echter Bedrohungslage aufbaut: Vor dem Angriff analysiert ein externer Threat-Intelligence-Provider, welche Angreifergruppen das Institut realistischerweise ins Visier nehmen und mit welchen Taktiken, Techniken und Prozeduren (TTP) sie vorgehen. Das Red Team bildet diese Angreifer dann verdeckt gegen die Produktivsysteme nach. Anders als beim klassischen Penetrationstest geht es nicht um die Vollständigkeit der Schwachstellenliste, sondern darum, ob definierte Ziele erreicht werden und ob die Verteidigung den Angriff bemerkt.
Verbindlich wird TLPT durch DORA Art. 26 und 27: Von BaFin oder EZB benannte Finanzunternehmen müssen mindestens alle drei Jahre einen solchen Test durchführen. Die Details regelt der technische Regulierungsstandard RTS 2025/1190, der methodisch auf TIBER-EU aufsetzt.
Ablauf und Anforderungen
- Vorbereitung: Das Institut benennt ein Control Team, stimmt den Umfang mit der Behörde ab und legt kritische Funktionen fest, die getestet werden. Kritische IKT-Drittdienstleister sind einzubeziehen.
- Threat Intelligence: Ein externer TI-Provider erstellt ein Bedrohungsprofil und mindestens drei Angriffsszenarien. Diese Pflicht gilt auch, wenn das Institut interne Tester einsetzt.
- Aktive Red-Team-Phase: mindestens zwölf Wochen, auf Produktivsystemen, mit wöchentlichem Reporting an das Control Team. Das Blue Team bleibt uninformiert.
- Abschluss: Red-Team-Report binnen vier Wochen nach Ende der aktiven Phase, danach Blue-Team-Report, Replay-Workshop und Purple Teaming binnen zehn Wochen. Eine Zusammenfassung geht acht Wochen nach Bestätigung an die Behörde, zusammen mit einem Remediation-Plan samt Root-Cause-Analyse.
An die Tester stellt der RTS eigene Anforderungen: nachweisbare Qualifikation und Zertifizierung, Berufshaftpflicht, saubere Trennung zwischen Threat-Intelligence- und Red-Team-Rolle sowie Erfahrung mit Tests im Finanzsektor.
Bedeutung für Unternehmen
TLPT ist der anspruchsvollste Sicherheitstest, den die Aufsicht kennt. Er findet auf Produktivsystemen statt, dauert Monate und bindet Fachabteilungen, Dienstleister und Leitungsorgan. Institute, die bisher nur angekündigte Pentests kannten, unterschätzen häufig drei Dinge: die Vorlaufzeit von sechs bis zwölf Monaten für den Gesamtzyklus, den Abstimmungsaufwand mit Drittdienstleistern und die organisatorische Disziplin, die ein verdeckter Test verlangt. Wenn zu viele Personen eingeweiht sind, verliert der Test seine Aussagekraft über Detection und Response.
Richtig aufgesetzt liefert TLPT dagegen, was kein anderes Format bietet: einen belastbaren Nachweis, wie lange ein realistischer Angreifer unentdeckt bleibt, welche Kontrollen greifen und wo das SOC blinde Flecken hat. Laut Mandiant M-Trends 2026 liegt die mediane Dwell Time bei 14 Tagen; ein TLPT zeigt, wo Ihr Institut in diesem Vergleich steht.
Praxis-Hinweise
- Starten Sie mit einem Assumed-Breach-Test oder Purple Teaming, bevor der erste TLPT ansteht. So beseitigen Sie grobe Detection Gaps vorab.
- Halten Sie das Control Team klein, aber entscheidungsfähig: Es muss Eskalationen, Abbruchkriterien und Freigaben für riskante Schritte innerhalb von Stunden entscheiden können.
- Klären Sie Testklauseln mit Cloud- und Outsourcing-Partnern frühzeitig; ohne Zustimmung lassen sich kritische Dienstleister nicht einbeziehen.
- Planen Sie den Replay-Workshop als festen Bestandteil ein. Der Erkenntnisgewinn für das Blue Team entsteht dort, nicht beim Lesen des Berichts.