Leistung · TIBER-EU und DORA TLPT
TIBER-EU und DORA TLPT: Red Teaming nach regulatorischem Rahmen
Seit Januar 2025 verlangt DORA von benannten Finanzunternehmen alle drei Jahre einen bedrohungsgeleiteten Penetrationstest auf Produktivsystemen. Wir führen TLPT nach TIBER-EU-Methodik durch – mit externer Threat Intelligence, mindestens zwölf Wochen aktiver Phase, Replay und Purple Teaming und Berichten, die die Aufsicht erwartet.
Rahmen
Was DORA und TIBER-EU verlangen
Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025. Artikel 26 und 27 regeln Threat-Led Penetration Testing: realistische, bedrohungsgeleitete Angriffe auf Produktivsysteme kritischer Funktionen – mindestens alle drei Jahre, unter Einbindung kritischer IKT-Dienstleister, mit Attestierung durch die Behörde.
Methodische Grundlage ist das TIBER-EU-Rahmenwerk der EZB, das im Februar 2025 an die technischen Regulierungsstandards (RTS 2025/1190) angepasst wurde. In Deutschland ist die BaFin zuständige Behörde (die EZB für bedeutende Institute), die Bundesbank begleitet die Tests operativ mit ihrem TLPT-Team. TIBER-DE steht außerdem für freiwillige Tests offen – etwa für KRITIS-Betreiber außerhalb des Finanzsektors.
Für Sie bedeutet das: feste Rollen (Control Team, Blue Team, Threat-Intelligence-Provider, Red-Team-Tester, Test Manager der Behörde), verbindliche Fristen und Berichtsformate – und einen Test, der Ihre Resilienz unter realen Bedingungen nachweist.
Eckpunkte nach RTS 2025/1190
- Mindestens drei SzenarienAbgeleitet aus dem Threat-Intelligence-Report, gegen kritische oder wichtige Funktionen, auf Produktivsystemen.
- Mindestens zwölf Wochen aktive PhaseMit wöchentlichem Bericht an das Control Team und dokumentierten Leg-ups, falls ein Schritt nicht gelingt.
- Externer Threat-Intelligence-ProviderAuch bei internen Testern verpflichtend; liefert Bedrohungsbild, Zielprofil und Szenarien.
- Verbindliche FristenRed-Team-Report binnen vier Wochen nach Testende, Blue-Team-Report, Replay und Purple Teaming binnen zehn Wochen, Zusammenfassung an die Behörde acht Wochen nach Bestätigung.
- Remediation-PlanMit Root-Cause-Analyse, Priorisierung, Verantwortlichen und Zieldaten.
- AttestierungBestätigung der Behörde, gegenseitig anerkannt in der EU.
Zeitplan
Ein TLPT in sechs bis zwölf Monaten
Die Fristen der aktiven Phase und der Nachbereitung sind regulatorisch vorgegeben; Vorbereitung und Threat-Intelligence-Phase hängen von Ihrer Organisation ab.
| Phase | Inhalt | Beteiligte | Dauer |
|---|---|---|---|
| Vorbereitung | Benennung durch die Aufsicht, Control Team bilden, Dienstleister auswählen, Scope kritischer Funktionen mit Behörde abstimmen | Finanzunternehmen, Behörde, TI-Provider, Red Team | 4–8 Wochen |
| Threat Intelligence | Bedrohungsbild, Zielprofil, Angriffsfläche, mindestens drei Szenarien, Testplan | TI-Provider, Red Team, Control Team | 4–6 Wochen |
| Aktive Red-Team-Phase | Durchführung der Szenarien auf Produktivsystemen, wöchentlicher Bericht, Leg-ups nach Plan | Red Team, Control Team, Test Manager | mindestens 12 Wochen |
| Abschluss | Red-Team-Report (4 Wochen), Blue-Team-Report, Replay und Purple Teaming (10 Wochen), Zusammenfassung an Behörde (8 Wochen), Remediation-Plan | Alle Parteien | 10–12 Wochen |
| Attestierung | Prüfung durch die Behörde, Bestätigung, gegenseitige Anerkennung | Behörde, Finanzunternehmen | nach Einreichung |
Unsere Rolle
Red-Team-Provider mit Blick für die Aufsicht
Wir übernehmen die Rolle des Red-Team-Testers und koordinieren auf Wunsch den externen Threat-Intelligence-Provider. Sie erhalten einen Partner, der die Methodik beherrscht und die Berichtsformate kennt, die Bundesbank und BaFin erwarten.
- Scoping-UnterstützungIdentifikation kritischer Funktionen, Abstimmung des Scopes mit dem Test Manager, Einbindung von IKT-Dienstleistern.
- Szenario-DesignÜbersetzung des TI-Reports in durchführbare, realistische Angriffsszenarien mit klaren Flags.
- RisikomanagementProduktivsysteme verlangen Sorgfalt: Abbruchkriterien, Deconfliction, Freigaben, Rückbau – vorab dokumentiert.
- Berichte nach VorgabeRed-Team-Report, Beiträge zum Test Summary Report und Remediation-Plan in den Formaten der RTS-Anhänge.
- Replay und Purple TeamingStrukturierter Abgleich mit dem Blue Team, gemeinsam gewählte Vertiefungsthemen, dokumentierte Ergebnisse.
- TIBER-ReadinessFür Unternehmen vor der ersten Benennung: ein Red Teaming nach TIBER-Methodik, das zeigt, wo Sie stehen – ohne Behörde, ohne Fristen.
Sind wir TLPT-pflichtig?
TLPT-pflichtig sind Finanzunternehmen, die von der BaFin beziehungsweise – bei bedeutenden Instituten – von der EZB dafür benannt werden. Kriterien sind Größe, Risikoprofil und Systemrelevanz. Die Benennung erfolgt durch die Aufsicht; alle anderen Finanzunternehmen müssen nach DORA regelmäßig testen, aber nicht zwingend per TLPT. Wir helfen bei der Einordnung und bereiten Sie mit einem TIBER-nahen Red Teaming auf eine spätere Benennung vor.
Wie lange dauert ein TLPT insgesamt?
Rechnen Sie mit sechs bis zwölf Monaten: Vorbereitung und Scoping mit der Behörde, Threat-Intelligence-Phase, mindestens zwölf Wochen aktive Red-Team-Phase, dann Red-Team-Report binnen vier Wochen, Blue-Team-Report, Replay und Purple Teaming binnen zehn Wochen, Zusammenfassung an die Behörde und Remediation-Plan.
Wer darf den Test durchführen?
DORA Art. 27 verlangt Tester mit höchster Eignung und Reputation, nachgewiesener Zertifizierung oder Verhaltenskodex, unabhängiger Qualitätssicherung und Berufshaftpflichtversicherung. Der Threat-Intelligence-Provider muss extern sein – auch wenn interne Tester eingesetzt werden. Wir erfüllen diese Anforderungen und dokumentieren sie prüffähig.
Müssen unsere IT-Dienstleister mitmachen?
Ja, soweit sie kritische Funktionen unterstützen. DORA sieht die Einbindung kritischer IKT-Drittdienstleister vor; alternativ sind gebündelte Tests (Pooled Testing) mehrerer Finanzunternehmen bei demselben Dienstleister möglich. Wir koordinieren die vertragliche und organisatorische Einbindung mit Ihnen.
Was unterscheidet TLPT von unserem bisherigen Red Teaming?
Die Methodik ist dieselbe, der Rahmen formaler: Beteiligung der Behörde (Bundesbank TLPT-Team, BaFin), externer Threat-Intelligence-Report, mindestens drei Szenarien, verbindliche Fristen, vorgeschriebene Berichtsformate, Replay und Purple Teaming als Pflicht, Attestierung am Ende. Ein gutes Red Teaming ist die beste Vorbereitung.
Weitere Leistungen
Passende Ergänzungen
Red Teaming
Realistische Angriffssimulation gegen Ihr gesamtes Unternehmen – Technik, Menschen und Gebäude.
02Penetrationstest
Systematische Schwachstellenprüfung für Netzwerke, Webanwendungen, APIs und Cloud.
03Assumed Breach
Der Angreifer ist schon drin: Wie weit kommt er von einem kompromittierten Arbeitsplatz?
04Purple Teaming
Angriff und Verteidigung am selben Tisch – Erkennung messbar verbessern.
05Social Engineering & Phishing
Phishing, Vishing, Pretexting: Wie widerstandsfähig sind Ihre Mitarbeitenden?
06Physical Red Teaming
Zutritt, Zugang, Zugriff: Wir testen Gebäude, Schleusen und Empfang.
08Ransomware-Simulation
Wie weit käme eine Ransomware-Gruppe? Vom Erstzugang bis zur Verschlüsselung – ohne Schaden.
09Active Directory & Cloud
Identitäten, Berechtigungen, Entra ID, AWS und Azure im Fokus.
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.