TIBER-EU, DORA TLPT und CBEST im Vergleich: Was gilt für wen

TIBER-EU, DORA TLPT, CBEST, TIBER-DE: Wer im Finanzsektor für Sicherheitstests verantwortlich ist, begegnet diesen Begriffen oft im selben Satz. Sie bezeichnen verwandte, aber nicht identische Rahmenwerke für bedrohungsgeleitete Red-Team-Tests. Manche sind Pflicht, andere freiwillig; manche stammen von Zentralbanken, andere aus EU-Recht; und seit 2025 hat sich die Terminologie an einigen Stellen geändert.

Für Entscheider ist die Frage praktisch: Welches Rahmenwerk gilt für mein Haus, welche Rollen muss ich besetzen, was erhalte ich am Ende in der Hand – und wird das Ergebnis von anderen Aufsichten anerkannt? Dieser Beitrag ordnet Herkunft, Ziel und Aufbau der Rahmenwerke, erklärt die Rollenbezeichnungen und stellt die Unterschiede in einer Vergleichstabelle gegenüber.

Wir beschränken uns auf das, was aus den veröffentlichten Rahmenwerken und der DORA-Regulierung hervorgeht. Für die Einordnung Ihres konkreten Instituts bleibt das Gespräch mit BaFin, EZB oder Bundesbank maßgeblich.

Herkunft und Ziel der Rahmenwerke

Alle vier Rahmenwerke verfolgen dasselbe Ziel: Sie prüfen, ob ein Finanzunternehmen einen realistischen, an der tatsächlichen Bedrohungslage ausgerichteten Angriff erkennt und abwehrt. Anders als ein klassischer Penetrationstest steht nicht die Vollständigkeit der gefundenen Schwachstellen im Vordergrund, sondern die Wirksamkeit von Erkennung und Reaktion auf Produktivsystemen.

• CBEST ist das älteste der Rahmenwerke. Die Bank of England führte es 2014 für systemrelevante Institute im Vereinigten Königreich ein. Es verbindet eine Threat-Intelligence-Phase mit einem Red-Team-Test und setzt auf akkreditierte Anbieter, insbesondere über CREST. CBEST diente als Vorlage für die europäischen Rahmenwerke.
• TIBER-EU (Threat Intelligence-based Ethical Red Teaming) veröffentlichte die Europäische Zentralbank 2018 als gemeinsames Rahmenwerk für den Euroraum. Nationale Zentralbanken und Aufsichten setzen es über Implementierungsleitfäden um. Im Februar 2025 wurde TIBER-EU an die DORA-Regulierungsstandards angepasst, sodass ein TIBER-Test die DORA-Anforderungen erfüllen kann.
• TIBER-DE ist die deutsche Umsetzung von TIBER-EU durch die Deutsche Bundesbank. Die aktuelle Implementierung (Version 4.0, Juli 2025) richtet sich an Finanzunternehmen, die freiwillig testen, und steht auch Betreibern kritischer Infrastrukturen offen.
• DORA TLPT ist kein eigenes Rahmenwerk im engeren Sinne, sondern die regulatorische Pflicht aus der Verordnung (EU) 2022/2554, konkretisiert durch die RTS 2025/1190. Sie schreibt für benannte Finanzunternehmen bedrohungsgeleitete Tests mindestens alle drei Jahre vor und definiert Mindestanforderungen an Ablauf, Fristen und Tester. TIBER-EU ist die Methodik, mit der diese Pflicht in der Praxis erfüllt wird.

Die Begriffe erklären wir im Glossar unter TIBER-EU, TLPT, DORA und CBEST.

Rollen und Bezeichnungen: White Team wird Control Team

Die Rollenstruktur ist in allen Rahmenwerken ähnlich, die Namen weichen jedoch ab. Für die Zusammenarbeit mit Anbietern und Behörden lohnt es sich, die Entsprechungen zu kennen.

• Eingeweihtes Steuerungsteam im Institut: In TIBER-EU bis 2024 White Team, seit der Fassung vom Februar 2025 und in DORA Control Team. CBEST spricht von der Control Group des Instituts. Aufgabe: Test steuern, Risiken bewerten, Freigaben erteilen, Vertraulichkeit sichern. Siehe Control Team.
• Verteidiger: Überall Blue Team – SOC, Incident Response, IT-Betrieb, die vom Test nichts wissen.
• Threat-Intelligence-Anbieter: In TIBER-EU und DORA Threat Intelligence Provider, in CBEST Threat Intelligence Service Provider. Liefert das Bedrohungsprofil und die Szenarien.
• Angreifer: In TIBER-EU Red Team Provider, in DORA Tester beziehungsweise Red-Team-Tester, in CBEST Penetration Testing Service Provider.
• Behördliche Begleitung: In TIBER-EU das TIBER Cyber Team der nationalen Zentralbank mit einem Test Manager, in DORA die TLPT-Behörde; in Deutschland übernimmt die Bundesbank beide Funktionen operativ. In CBEST begleiten Bank of England und PRA den Test.

Die Umbenennung von White Team in Control Team ist mehr als Kosmetik: Sie betont, dass das Team den Test aktiv steuert und für das Risikomanagement des Tests verantwortlich ist. In Ausschreibungen und internen Dokumenten sollten Sie den aktuellen Begriff verwenden.

Pflicht oder freiwillig

Der wichtigste Unterschied für die Praxis liegt im Verbindlichkeitsgrad.

DORA TLPT ist verpflichtend für die Finanzunternehmen, die BaFin oder EZB benennen. Die Benennung folgt Kriterien wie Systemrelevanz, Marktanteil, Komplexität der IKT-Landschaft und Risikoprofil. Wer benannt ist, muss testen – mindestens alle drei Jahre, auf Produktivsystemen, mit mindestens drei Szenarien und unter Einbeziehung kritischer IKT-Dienstleister.

TIBER-EU und TIBER-DE sind freiwillig. Institute nutzen sie, um sich auf eine spätere Benennung vorzubereiten, um gegenüber Aufsicht und Aufsichtsrat Resilienz nachzuweisen oder weil ihre Muttergesellschaft im Ausland bereits nach TIBER testet. Seit der Angleichung im Februar 2025 kann ein TIBER-Test, der die DORA-Mindestanforderungen einhält, als TLPT anerkannt werden. CBEST ist im Vereinigten Königreich ein aufsichtlich veranlasster Test, formal jedoch nicht als Pflicht in einer Verordnung verankert.

Vergleichstabelle

Die Tabelle zeigt: Methodisch sind sich die Rahmenwerke seit 2025 so nah, dass ein Test, der nach TIBER-EU durchgeführt wird, mit überschaubarem Mehraufwand auch die DORA-Pflicht erfüllt. Der entscheidende Unterschied liegt im regulatorischen Status des Ergebnisses.

Berichte, Attestierung und gegenseitige Anerkennung

Alle Rahmenwerke enden mit einem Bündel von Dokumenten: dem Red-Team-Report der Tester, dem Blue-Team-Report der Verteidiger, einem gemeinsamen Replay- oder Purple-Teaming-Workshop und einem zusammenfassenden Bericht mit Maßnahmenplan. Was ein guter Red-Team-Report enthält, beschreibt unser Beitrag Red-Team-Bericht: Was drin stehen muss.

Die Attestierung ist das formale Ergebnis. Bei TIBER-EU bestätigen Institut, Anbieter und TIBER Cyber Team gemeinsam, dass der Test nach dem Rahmenwerk durchgeführt wurde. Bei DORA stellt die TLPT-Behörde nach Prüfung des zusammenfassenden Berichts und des Remediation-Plans die Attestierung aus. Diese Attestierung wird innerhalb der EU von den anderen zuständigen Behörden anerkannt – ein Institut mit Töchtern in mehreren Mitgliedstaaten muss den Test also nicht mehrfach durchführen, sofern der Scope die relevanten Einheiten abdeckt.

Die Attestierung sagt nichts über das Ergebnis aus. Sie bescheinigt, dass ein Test ordnungsgemäß stattgefunden hat, nicht, dass das Institut den Angriff abgewehrt hat. Das ist bewusst so: Ein TLPT, bei dem das Red Team alle Ziele erreicht, ist kein Versagen, sondern eine Erkenntnisquelle. Die Aufsicht interessiert sich für den Remediation-Plan und dessen Umsetzung.

TIBER-DE für KRITIS-Betreiber

TIBER-DE steht nicht nur Finanzunternehmen offen. Die Bundesbank bietet das Rahmenwerk auch Betreibern kritischer Infrastrukturen an, die ihre Erkennungs- und Reaktionsfähigkeit gegen realistische Angriffe prüfen wollen. Für KRITIS-Betreiber aus Energie, Gesundheit, Transport oder Wasser ist das interessant, weil das NIS2-Umsetzungsgesetz seit Dezember 2025 Risikomanagement nach Stand der Technik und Wirksamkeitskontrollen verlangt. Ein TIBER-DE-Test ist ein anerkanntes, behördlich begleitetes Format, das diese Anforderung erfüllt. Welche Pflichten NIS2 im Einzelnen mit sich bringt, behandelt unser Beitrag NIS2: Pflichten der Geschäftsleitung und Sicherheitstests.

Für KRITIS-Betreiber ohne Finanzbezug ist allerdings zu prüfen, ob der volle TIBER-Umfang mit Threat-Intelligence-Phase und zwölf Wochen aktiver Phase angemessen ist. Oft ist ein gezieltes Red Teaming oder ein Assumed-Breach-Szenario der wirtschaftlichere Einstieg, bevor ein behördlich begleiteter Test folgt.

Welches Rahmenwerk passt zu Ihrem Haus

1. Benanntes Finanzunternehmen in Deutschland: DORA TLPT ist Pflicht. Die Bundesbank begleitet den Test nach TIBER-DE, das die RTS-Anforderungen abbildet.
2. Nicht benanntes Finanzunternehmen: TIBER-DE freiwillig, um sich vorzubereiten oder Resilienz nachzuweisen. Alternativ ein Red Teaming ohne behördliche Begleitung, wenn der Nachweis gegenüber der Aufsicht nicht im Vordergrund steht.
3. Konzern mit Einheiten in mehreren EU-Staaten: Ein TLPT mit grenzüberschreitendem Scope, dessen Attestierung EU-weit anerkannt wird. Die federführende Behörde ist früh zu klären.
4. Institut mit Bezug zum Vereinigten Königreich: CBEST für die dortige Einheit; eine gegenseitige Anerkennung mit DORA ist nicht automatisch, Scope und Ergebnisse lassen sich aber abstimmen.
5. KRITIS-Betreiber außerhalb des Finanzsektors: TIBER-DE freiwillig oder ein gezieltes Red Teaming als Wirksamkeitskontrolle nach NIS2.

Fazit

CBEST, TIBER-EU, TIBER-DE und DORA TLPT teilen Methodik und Rollen, unterscheiden sich aber in Herkunft, Verbindlichkeit und regulatorischem Status des Ergebnisses. Seit der Angleichung von TIBER-EU an die DORA-RTS im Februar 2025 ist ein TIBER-Test der Weg, die TLPT-Pflicht zu erfüllen; freiwillige Tests nach TIBER-DE bereiten darauf vor und stehen auch KRITIS-Betreibern offen. Dieser Beitrag ersetzt keine Rechtsberatung; die Einordnung Ihres Instituts klären Sie mit Ihrer Aufsicht. Wie wir TIBER- und TLPT-Tests durchführen, lesen Sie unter TIBER-EU & DORA TLPT.

Quellen

• Europäische Zentralbank, TIBER-EU Framework, Fassung Februar 2025, ecb.europa.eu
• Deutsche Bundesbank, TIBER-DE Implementierung Version 4.0, Juli 2025, bundesbank.de
• Verordnung (EU) 2022/2554 (DORA), Art. 26 und 27, eur-lex.europa.eu
• Delegierte Verordnung (EU) 2025/1190 (RTS zu TLPT), 2025, eur-lex.europa.eu
• Bank of England, CBEST Threat Intelligence-Led Assessments, Implementation Guide

Häufige Fragen zum Thema