TLPT unter DORA: Wie CIOs den Cyber-Resilienz-Test bestehen

DORA verlangt von systemrelevanten Finanzinstituten regelmäßige Threat-Led Penetration Tests auf Produktivsystemen. Kein Testlabor, kein Sandkasten: echte Angriffe auf echte Infrastruktur, ohne dass das Blue Team davon weiß. Die ersten Benachrichtigungen durch Aufsichtsbehörden laufen 2026. CIOs im Finanzsektor, die jetzt nicht vorbereitet sind, haben ein Problem mit kurzem Zeithorizont.

Das Wichtigste in Kürze

Was TLPT von einem normalen Penetrationstest unterscheidet

Die meisten Unternehmen kennen Penetrationstests: Ein externes Team prüft definierte Systeme auf Schwachstellen, dokumentiert die Ergebnisse und gibt Empfehlungen. Der Test läuft auf Testsystemen oder in einem abgegrenzten Scope, das interne Security-Team weiß Bescheid, und die Ergebnisse fließen in den nächsten Audit-Bericht.

TLPT unter DORA ist etwas fundamental Anderes. Drei Dimensionen unterscheiden TLPT von konventionellen Pentests. Erstens: Geheimhaltung. Das Blue Team, also die interne IT-Security-Mannschaft, weiß nicht, dass ein Test stattfindet. Nur ein kleiner Kreis im Management ist eingeweiht (das sogenannte White Team). Zweitens: Produktivsysteme. Der Test läuft auf der echten Infrastruktur, nicht auf Kopien oder Testumgebungen. Die Risiken sind real, die Ergebnisse sind aussagekräftig, und ein Fehler des Red Teams kann tatsächliche Auswirkungen haben. Drittens: Threat Intelligence zuerst. Bevor das Red Team angreift, analysiert ein separater Threat-Intelligence-Provider die spezifische Bedrohungslage des Instituts. Der Angriff simuliert reale Bedrohungsakteure mit realen Taktiken, nicht ein generisches Playbook.

Der Aufwand ist entsprechend: Ein vollständiger TLPT-Zyklus dauert 6 bis 12 Monate. Allein die Red-Team-Phase hat eine Mindestdauer von 12 Wochen Kalenderzeit. Hinzu kommen Scoping, Threat-Intelligence-Analyse, Purple Teaming (gemeinsame Analyse mit dem Blue Team nach Testende) und Abschlussbericht. Für CIOs, die bisher nur Standard-Pentests kennen, ist TLPT eine andere Liga.

„Threat-Led Penetration Testing ermöglicht es Finanzinstituten, Schwachstellen frühzeitig zu identifizieren und die Widerstandsfähigkeit ihrer IKT-Systeme unter realistischen Bedingungen zu prüfen.“

BaFin, „Simulating attacks to enhance security“ (Dezember 2024)

Wer muss TLPT durchführen?

Nicht jedes Finanzunternehmen fällt unter die TLPT-Pflicht. DORA beschränkt die Anforderung auf Institute mit systemischer Relevanz. Konkret betroffen sind: Global Systemically Important Institutions (G-SIIs) und Other Systemically Important Institutions (O-SIIs), Institute, die in den letzten zwei Geschäftsjahren jeweils mehr als 150 Milliarden Euro an Zahlungstransaktionen verarbeitet haben, zentrale Wertpapierverwahrer (CSDs) und zentrale Gegenparteien (CCPs).

In Deutschland fallen darunter die großen Institute: Deutsche Bank, Commerzbank, DZ Bank, die Landesbanken und systemrelevante Versicherer. Aber auch spezialisierte Zahlungsdienstleister, die die Transaktionsschwelle überschreiten, können betroffen sein. Die Aufsichtsbehörden (in Deutschland BaFin und Bundesbank) benennen die pflichtigen Institute individuell. Die erste Benachrichtigungswelle läuft 2026.

Für CIOs außerhalb des Finanzsektors ist TLPT trotzdem relevant: NIS2 enthält ähnliche Anforderungen an regelmäßige Security-Tests für wesentliche Einrichtungen. Die TLPT-Methodik wird voraussichtlich auch außerhalb von DORA zum Goldstandard für Resilienz-Tests.

TIBER-DE: Das deutsche Framework

TLPT unter DORA basiert auf dem TIBER-EU-Framework (Threat Intelligence-Based Ethical Red Teaming), das die Europäische Zentralbank 2018 eingeführt hat. In Deutschland implementiert die Deutsche Bundesbank dieses Framework als TIBER-DE, aktuell in Version 4.0 (Juli 2025).

Die TIBER-DE-Anforderungen sind mit den DORA-TLPT-Vorgaben deckungsgleich, stellen aber in einigen Bereichen minimal strengere Voranforderungen. Die Bundesbank übernimmt die operative Unterstützung der Tests, die BaFin ist die zuständige Aufsichtsbehörde für die Supervisory-Aufgaben. Institute, die bereits einen TIBER-DE-Test durchgeführt haben, haben einen erheblichen Vorsprung gegenüber Instituten, die bei null anfangen.

Wichtig für CIOs: Der Threat-Intelligence-Provider muss immer extern sein. Jeder dritte Test muss mit einem externen Red Team durchgeführt werden (die anderen können intern sein, sofern das interne Red Team die DORA-Anforderungen erfüllt). Purple Teaming ist in der Abschlussphase verpflichtend. Das bedeutet: Das Red Team und das Blue Team analysieren gemeinsam, was funktioniert hat und was nicht. Diese Phase ist der wertvollste Teil des Tests, weil sie konkrete Verbesserungen liefert.

Quellen: DORA (EU 2022/2554), EBA Final RTS on TLPT, Bundesbank TIBER-DE v4.0

Vorbereitung: Was CIOs jetzt tun müssen

1. Betroffenheit klären. Fällt das eigene Institut unter die TLPT-Pflicht? Die Kriterien sind klar (G-SII/O-SII, Transaktionsvolumen über 150 Milliarden Euro, CSD/CCP). Im Zweifel die BaFin proaktiv kontaktieren. Wer erst bei der offiziellen Benachrichtigung erfährt, dass er betroffen ist, hat zu wenig Vorlauf.

2. White Team bilden. Das White Team steuert den TLPT intern. Es besteht typischerweise aus CIO/CISO, Risikomanagement und einem Vertreter des Vorstands. Das White Team muss den Test in Auftrag geben, den Scope definieren und die Geheimhaltung gegenüber dem Blue Team sicherstellen. Die Zusammensetzung sollte vorab feststehen, nicht erst wenn die Benachrichtigung kommt.

3. Externe Provider evaluieren. Threat-Intelligence-Provider und Red-Team-Dienstleister müssen frühzeitig ausgewählt werden. Die Verfügbarkeit qualifizierter TLPT-Anbieter ist begrenzt, besonders wenn die erste Benachrichtigungswelle viele Institute gleichzeitig aktiviert. CIOs sollten Rahmenverträge mit mindestens zwei Anbietern vorbereiten. Qualifikationskriterien: CREST-Zertifizierung, TIBER-Erfahrung, Referenzen bei vergleichbaren Instituten.

4. Scope vorbereiten. Der TLPT-Scope muss kritische Geschäftsfunktionen und deren unterstützende IT-Systeme abdecken. Das erfordert eine aktuelle Dokumentation der kritischen Services, der zugrundeliegenden Infrastruktur und der Abhängigkeiten. Institute, die ihre Cybersecurity-Architektur nicht aktuell dokumentiert haben, werden bei der Scope-Definition Schwierigkeiten bekommen.

5. Interne Resilienz prüfen. TLPT deckt Schwächen auf, die anschließend behoben werden müssen. CIOs sollten vor dem Test offensichtliche Lücken schließen: ungepatchte Systeme, fehlende Netzwerksegmentierung, veraltete Zugriffsrechte. Nicht um den Test zu bestehen, sondern weil diese Lücken reale Risiken darstellen. Ein TLPT, der triviale Schwachstellen findet, verschwendet das Budget auf Offensichtliches statt auf die subtilen Risiken, die den eigentlichen Mehrwert liefern.

Was nach dem Test passiert

Der TLPT endet nicht mit dem Abschlussbericht. Die Ergebnisse müssen in einen konkreten Maßnahmenplan münden, dessen Umsetzung von der Aufsichtsbehörde nachverfolgt wird. Die BaFin erwartet, dass identifizierte Schwachstellen innerhalb definierter Fristen behoben werden. Das Board muss den Maßnahmenplan genehmigen und die Umsetzung überwachen.

Für CIOs bedeutet TLPT deshalb nicht nur einen einmaligen Aufwand, sondern einen kontinuierlichen Verbesserungszyklus. Die persönliche Haftung der Geschäftsleitung unter DORA macht diesen Zyklus zur Chefsache. CIOs, die TLPT als lästige Regulierungspflicht behandeln, verschenken den eigentlichen Wert: einen realistischen Stresstest der eigenen Verteidigungsfähigkeit, den keine interne Übung liefern kann.

Häufige Fragen

Mehr aus dem MBF Media Netzwerk

Quelle Titelbild: Sora Shimazaki / Pexels