Threat-Led Penetration Test (TLPT) nach DORA

Ein TLPT (Threat-Led Penetration Test) ist ein hochgradig spezialisiertes Prüfverfahren, das reale, gezielte Angriffe auf die kritischen Funktionen eines Finanzunternehmens simuliert. Im Gegensatz zu herkömmlichen Tests basiert ein TLPT auf konkreter Threat Intelligence: Er nutzt die tatsächlichen Taktiken, Techniken und Verfahren (TTPs) realer Bedrohungsakteure, um die Widerstandsfähigkeit der gesamten Organisation unter Realbedingungen zu testen.

Der Fokus liegt dabei weniger auf einer bloßen Liste von Schwachstellen, sondern auf der Frage, ob geschäftskritische Prozesse unentdeckt kompromittiert werden können. Als erfahrener TLPT Anbieter führen wir diese Tests über mehrere Monate hinweg durch, um nicht nur die Technik, sondern auch die Detektions- und Reaktionsfähigkeit Ihres Blue Teams zu bewerten. Für viele Institute ist der TLPT unter DORA mittlerweile eine verpflichtende regulatorische Anforderung, die ein offizielles Attest über die operative digitale Resilienz erfordert.

Ein TLPT ist die regulatorisch verpflichtende Testform nach DORA. TIBER-EU beschreibt das zugrundeliegende Framework für Threat Intelligence Based Ethical Red Teaming. Methodisch verfolgen beide denselben Kernansatz, unterscheiden sich jedoch im rechtlichen Rahmen. Die DORA-RTS zu TLPT sind verbindlich und wurden in Einklang mit dem TIBER-EU-Framework entwickelt.

Nein, ein TLPT (Threat-Led Penetration Test) ersetzt keinen klassischen Pentest, sondern ergänzt ihn als Advanced Testing. Während herkömmliche Penetrationstests, Vulnerability Assessments und Konfigurationsanalysen die notwendige Basis Ihres ICT-Testprogramms bilden und einzelne Systeme prüfen, betrachtet ein TLPT komplette Ende-zu-Ende-Angriffsketten über mehrere Monate hinweg. Ein TLPT konzentriert sich auf kritische Geschäftsprozesse und basiert auf realer Threat Intelligence sowie genehmigten Angriffsszenarien. Da Fehler bei der Abgrenzung oder der Wahl des TLPT Dienstleisters zu Projektverzögerungen oder einer verweigerten Attestierung durch die Aufsicht führen können, ist die Einbettung in ein gereiftes Test- und Risikomanagement essenziell.

Ein TLPT ist mindestens alle drei Jahre durchzuführen.

Die zuständige Aufsichtsbehörde kann den Turnus jedoch verkürzen oder verlängern, abhängig vom individuellen Risikoprofil des Instituts, der Bedrohungslage und den Ergebnissen vorheriger Tests.

Der Drei-Jahres-Rhythmus ist daher als Mindestanforderung, nicht als starre Vorgabe zu verstehen.

Ja, unter engen Voraussetzungen.

Interne Mitarbeiter dürfen ausschließlich in der Red-Team-Phase eingesetzt werden und niemals in der Threat-Intelligence-Phase.

Zusätzlich gelten strenge Anforderungen an Unabhängigkeit, Qualifikation, Ressourcennachweis und eine explizite Genehmigung durch die zuständige Aufsichtsbehörde. In der Praxis ist der Einsatz externer, unabhängiger TLPT-Dienstleister der Regelfall.

Ja, sofern dies im Scope vorgesehen und mit der Aufsicht abgestimmt ist.

Typische Szenarien sind gezielte Phishing-Angriffe, Vishing oder die Ansprache ausgewählter Rollen.

Ziel ist es zu prüfen, ob technische und organisatorische Schutzmaßnahmen auch gegen menschliche Angriffsvektoren greifen – und wie Prozesse und Verantwortlichkeiten im Ernstfall funktionieren.

Die Red-Team-Phase dauert mindestens zwölf Wochen.

Gemeinsam mit Vorbereitungs-, Threat-Intelligence-, Reporting- und Follow-up-Phase erstreckt sich ein TLPT in der Praxis meist über fünf bis sechs Monate.

Hinzu kommen interne Aufwände, etwa für Scoping, Abstimmungen und die Umsetzung abgeleiteter Maßnahmen.

Der Scope wird in enger Abstimmung mit dem Unternehmen, der Bundesbank und dem TI-Team  unter Berücksichtigung regulatorischer Anforderungen festgelegt. Grundlage sind geschäftskritische Funktionen, Bedrohungsanalysen sowie die Ergebnisse vorangegangener Risiko- und Impact-Assessments.

Ja. TLPT-Red-Teaming findet grundsätzlich in produktiven Umgebungen statt, da nur so realistische Aussagen zur tatsächlichen Widerstandsfähigkeit getroffen werden können. Dabei werden klare Rahmenbedingungen und Kontrollmechanismen definiert, um Stabilität, Verfügbarkeit und Integrität der Systeme jederzeit sicherzustellen.

Die Risikosteuerung erfolgt über ein Control-Team, klar definierte Abbruchkriterien, Eskalationsprozesse und kontinuierliches Monitoring. Kritische Aktivitäten werden vorab bewertet und abgestimmt, sodass realistische Angriffssimulationen möglich sind, ohne unkontrollierte Auswirkungen auf den Geschäftsbetrieb zu verursachen.

Die Abstimmung mit der zuständigen Aufsichtsbehörde (BaFin/EZB) erfolgt gemäß DORA/TLPT-Vorgaben. Testdesign, Scope, Zeitplan und Berichte werden frühzeitig, transparent und fristgerecht abgestimmt und eingereicht, um eine prüfungssichere und nachvollziehbare Durchführung sicherzustellen.