DORA Art. 26 · TIBER-DE · RTS 2025/1190
DORA Art. 26 verpflichtet von den zuständigen Behörden ermittelte Finanzunternehmen zu Threat-Led Penetration Tests gegen Live-Produktionssysteme. Die DORA-TLPT-RTS (EU 2025/1190, in Kraft ab 8. Juli 2025) konkretisiert die Anforderungen an RTT-Provider, TI-Provider und den dreiphasigen Prozess. AWARE7 führt diese regulatorisch anerkannten Engagements als qualifizierter RTT-Provider nach TIBER-DE durch, mit transparenter Methodik und verbindlichem Festpreisangebot.
Regulatorik
Die EU-Verordnung (EU) 2022/2554 (DORA) ist seit dem 17. Januar 2025 unmittelbar anwendbar. Die Delegierte Verordnung (EU) 2025/1190, die DORA-TLPT-RTS, konkretisiert Art. 26 mit 17 Artikeln und 8 Anhängen. Sie trat am 8. Juli 2025 in Kraft.
Pflicht zur TLPT (Art. 26 DORA):
Ermittelte Finanzunternehmen werden von der zuständigen Behörde zur Durchführung von TLPT verpflichtet, mindestens alle drei Jahre. Die zuständige Behörde kann das Finanzunternehmen auffordern, die Häufigkeit dieser Tests zu verringern oder zu erhöhen (DORA Art. 26 Abs. 1).
Live-Produktionssysteme (kein Staging):
Jeder TLPT schließt mehrere oder alle kritischen oder wichtigen Funktionen (CIF) des Finanzunternehmens ein und wird an Live-Produktionssystemen durchgeführt, die diese Funktionen unterstützen (DORA Art. 26 Abs. 2).
RTT- und TI-Provider: Qualifikationspflicht (RTS Art. 7):
Das Red Team muss aus mindestens einer Führungskraft mit ≥ 5 Jahren Erfahrung mit Penetrationstests und Red-Team-Tests sowie mindestens zwei weiteren Testern mit je ≥ 2 Jahren Erfahrung bestehen. Die externen Tester legen gemeinsam mindestens 5 Referenzaufträge vor. Anbieter legen Bescheinigungen nach anerkannten Marktstandards vor, die eine geeignete Grundlage für die Durchführung ihrer Tätigkeiten bilden (RTS Art. 7 Abs. 1 lit. a, f).
Unabhängigkeit der Provider (DORA Art. 27, RTS Art. 7):
Der Anbieter von Bedrohungsanalysen (TI-Provider) darf dem Finanzunternehmen oder etwaigen gruppeninternen IKT-Dienstleistern nicht angehören. Die zugewiesenen Mitarbeiter beider Anbieter müssen für denselben TLPT personell voneinander getrennt sein und dürfen keine Blue-Team-Aufgaben für das Finanzunternehmen wahrnehmen (RTS Art. 7 Abs. 1 lit. e, f).
Drittanbieter einbeziehen (Art. 26 Abs. 3 DORA):
Sind IKT-Drittdienstleister in das Spektrum der TLPT einbezogen, ergreift das Finanzunternehmen alle erforderlichen Maßnahmen, um deren Einbindung sicherzustellen, und trägt jederzeit die volle Verantwortung für die Einhaltung der Verordnung (DORA Art. 26 Abs. 3).
Behördliche Aufsicht und zusammenfassender Testbericht:
Scope, Methodik und Ergebnisse werden mit der Behörde abgestimmt. Sobald die TLPT-Behörde die Vollständigkeit der Testberichte bestätigt (frühestens nach Abschluss der Purple-Teaming-Übungen, Frist: 10 Wochen nach Testende), legt das Finanzunternehmen innerhalb von acht Wochen den zusammenfassenden Testbericht mit Angriffspfaden, angewandten Taktiken und Techniken sowie einem Plan mit Abhilfemaßnahmen vor (RTS Art. 12 Abs. 5, 7, Anhang VII).
RTS 2025/1190: Die Delegierte Verordnung (EU) 2025/1190 wurde am 13. Februar 2025 von der Kommission angenommen und am 18. Juni 2025 im EU-Amtsblatt veröffentlicht und ist seit dem 8. Juli 2025 in Kraft. Finanzunternehmen können sich auf den TIBER-EU-Rahmen oder eine seiner nationalen Umsetzungen beziehen, sofern diese mit Art. 26 und 27 DORA und der Verordnung im Einklang stehen. Die Bundesbank hat TIBER-DE im Juli 2025 (Version 4.0) angepasst: Seitdem gilt das TIBER-EU-Rahmenwerk bei TIBER-DE-Tests direkt.
Zeitplan
Nach der offiziellen Benachrichtigung durch BaFin oder Bundesbank laufen verbindliche Fristen. Die Dauer ergibt sich aus den Einzelfristen der Verordnung: bis zu 6 Monate Vorbereitung, mindestens 12 Wochen aktiver Test und eine Abschlussphase mit Fristen von 10 und 8 Wochen.
Meilenstein
Die TLPT-Behörde fordert das Finanzunternehmen zur Durchführung eines TLPT auf (Art. 9 Abs. 1 RTS 2025/1190). Die Anbieter wählt das Kontrollteam später in der Vorbereitungsphase aus; vor der Beauftragung legt es den Testmanagern Nachweise über ihre Eignung vor (Art. 9 Abs. 11).
Meilenstein
Einleitungsinformationen (Projektcharta und Kontaktdaten des Leiters des Kontrollteams) innerhalb von drei Monaten an die Testmanager übermitteln (Art. 9 Abs. 2 RTS 2025/1190). Die TLPT-Behörde validiert diese Angaben; das vollständige Kontrollteam wird erst danach eingerichtet. Das TCT stellt die Generic Threat Landscape (GTL) bereit.
Meilenstein
Das Scoping-Dokument (Dokument zur Beschreibung des Testumfangs, Anhang II) ist innerhalb von sechs Monaten nach Eingang der Aufforderung bei den Testleitern einzureichen (Art. 9 Abs. 6 RTS 2025/1190). Die TLPT-Behörde genehmigt das Dokument in einem nachgelagerten Schritt (Art. 9 Abs. 12). TI-Provider beginnt Bedrohungsanalyse nach Genehmigung.
Meilenstein
TI-Provider liefert den spezifischen Bedrohungsanalysebericht. AWARE7 Red Team startet Angriffssimulation gegen Live-Produktionssysteme. Dokumentation der Angriffspfade sowie angewandter Taktiken, Techniken und Verfahren (TTPs) mit Zeitstempeln.
Meilenstein
Pflichtfrist: innerhalb von 10 Wochen nach Ende der aktiven Testphase müssen Purple-Team-Übungen durchgeführt und dokumentiert sein. Red Team und SOC erarbeiten gemeinsam Angriffsketten und Erkennungsverbesserungen.
Meilenstein
Zusammenfassender Testbericht (Anhang VII RTS 2025/1190) und Plan mit Abhilfemaßnahmen werden innerhalb von je 8 Wochen bei der TLPT-Behörde (BaFin / Bundesbank TCT) eingereicht, nachdem die Behörde Red-Team- und Blue-Team-Testbericht als vollständig bewertet hat (Art. 12 Abs. 7, Art. 13). Anschließend stellt die Behörde die Bescheinigung aus (Art. 14 RTS 2025/1190).
Abgrenzung
TLPT ist keine Erweiterung eines Pentests. Es ist eine fundamental andere Prüfmethodik.
Tabelle horizontal wischen
| Merkmal | Regulatorisch DORA TLPT | Marktstandard Klassischer Pentest |
|---|---|---|
| Basis | Echte Bedrohungsintelligenz (spezifischer Bedrohungsanalysebericht, TTIR) | Standardmethodik (OWASP, PTES) |
| Systeme | Live-Produktion (Pflicht per RTS) | Staging / Produktion wählbar |
| Blue Team | Uninformiert (reale Bedingung) | Oft informiert |
| Scope | Kritische Funktionen (CIF) | Frei definierbar |
| Regulierung | Behörde genehmigt, zusammenfassender Testbericht und Abhilfeplan bei TLPT-Behörde einzureichen | Kein regulatorischer Rahmen |
| Dauer | Mehrere Monate: Vorbereitung bis 6 Monate, aktiver Test mind. 12 Wochen | 3-10 Tage |
| TI-Provider | Pflichtbestandteil (extern und unabhängig, RTS Art. 7) | Nicht erforderlich |
| Purple Team | Pflicht innerhalb 10 Wochen nach Testende | Optional |
| Anerkannt für | DORA Art. 26-Nachweis (regulatorisch) | ISMS-Audit, ISO 27001, NIS-2 |
| Kosten | ab 50.000 EUR (Red-Team-Leistung) | 5.000-50.000 EUR |
Ablauf
TIBER-DE schreibt einen dreigliedrigen Ablauf vor. AWARE7 übernimmt die RTT-Rolle (Red Team Test Provider).
Vorbereitung
Scoping-Dokument bis 6 Monate nach Aufforderung
Testphase
Bedrohungsanalyse ca. 4 Wochen, aktiver Test mind. 12 Wochen
Abschluss
Berichte und Purple Teaming bis 10 Wochen nach Testende, dann je 8 Wochen
Vorbereitung
Fordert zum TLPT auf, validiert das Kontrollteam und genehmigt das Scoping-Dokument
Testphase
Genehmigt Bedrohungsanalysebericht und Red-Team-Testplan
Abschluss
Genehmigt den zusammenfassenden Testbericht und stellt die Bescheinigung aus
Vorbereitung
Projektcharta, Kontrollteam, Scoping-Dokument, Auswahl der Anbieter
Testphase
Wählt die Szenarien aus, steuert den Test, erhält wöchentliche Fortschrittsberichte
Abschluss
Blue-Team-Bericht, zusammenfassender Testbericht und Abhilfeplan an die Aufsicht
Vorbereitung
Wird vom Kontrollteam ausgewählt und geprüft
Testphase
Bedrohungsszenarien und spezifischer Bedrohungsanalysebericht, danach Konsultation auf Anfrage
Abschluss
Austausch von Rückmeldungen zum TLPT
Vorbereitung
Wird vom Kontrollteam ausgewählt und geprüft
Testphase
Red-Team-Testplan, aktiver Test gegen Live-Systeme, wöchentliche Berichte
Abschluss
Red-Team-Testbericht innerhalb von 4 Wochen, Replay und Purple Teaming mit dem Blue Team
Quelle: Delegierte Verordnung (EU) 2025/1190, Art. 9 bis 13, und TIBER-EU-Rahmenwerk der EZB (2025).
Phase
Dauer
bis zu 6 Monate
Phase
Dauer
≥ 12 Wochen (RTS-Pflicht)
Phase
Dauer
bis 10 Wochen, dann je 8 Wochen
Scope-Kern
DORA Art. 3 Nr. 22 definiert, welche Funktionen als Critical or Important Functions (CIF) einzustufen sind. Die CIF-Bewertung ist Grundlage der gesamten Scope-Definition und wird in der Preparation Phase gemeinsam mit dem White Team und der Behörde vorgenommen.
Funktionen, deren Ausfall die finanzielle Stabilität des Instituts oder des Finanzsektors gefährden würde, z.B. Liquiditätsmanagement, Eigenkapitalberechnung, aufsichtsrechtliches Reporting.
Funktionen, die bei Kompromittierung systemrelevante Auswirkungen auf andere Marktteilnehmer hätten, z.B. Interbanken-Clearing, TARGET2-Schnittstellen, CCPs.
Funktionen, die nicht in vertretbarer Zeit durch Ersatzsysteme übernommen werden können, z.B. proprietäre Kernbankensysteme ohne Redundanz, kritische Handelsplattformen.
Funktionen, die für behördliche Berichterstattung und Compliance essenziell sind, z.B. Meldewesen-Systeme, AML/KYC-Infrastruktur, MiFID-Reporting.
Typische CIF-Systeme in der Praxis:
Kernbankensystem · Zahlungsabwicklung · TARGET2-Anbindung · Online-Banking-Plattform · Handelsplattform · Authentifizierungsinfrastruktur · Meldewesen-System · AML/KYC-Engine · Clearing & Settlement · Mobile Banking App
Warum AWARE7
Die DORA-TLPT-RTS stellt klare Anforderungen an Red-Team-Test-Provider. AWARE7 erfüllt alle davon.
Mehrköpfiges Offensive-Security-Team mit OSCP+-zertifizierten Consultants (OffSec) und mehreren CVE-Autoren (Adobe, WooCommerce, Pi-hole). Leitung durch Vincent Heinen, M.Sc. IT-Sicherheit (RUB), Head of Offensive Services. Erfüllt RTS Art. 7: RT-Test-Leader ≥ 5 Jahre, Teamgröße ≥ 3 Personen.
Engagements bei BaFin-regulierten Instituten, darunter mehrjährige Red-Team-Übungen für Kreditinstitute und Zahlungsdienstleister unter Einhaltung regulatorischer Anforderungen. Mehr als 500 abgeschlossene Penetrationstest-Projekte.
AWARE7 GmbH ist nach ISO/IEC 27001:2022 zertifiziert. Auditoren, Auftraggeber und Behörden akzeptieren unsere ISMS-Zertifizierung als Qualitätsnachweis. Wichtig für die RTT-Provider-Qualifizierung nach TIBER-DE-Beschaffungsrichtlinien.
Berufshaftpflichtversicherung (Errors & Omissions) bei Hiscox SA über 3.000.000 EUR nach dem Produkt NET IT by Hiscox. Pflichtnachweis im TIBER-DE-Beschaffungsprozess, von Behörde und White Team prüfbar.
Vollständige Dokumentation aller Angriffstechniken nach MITRE ATT&CK Enterprise: Taktiken, Techniken, Procedures (TTPs) mit Zeitstempeln und Artefakten. Red-Team-Testbericht nach Anhang V der RTS inklusive. Purple-Team-Vorbereitung ab erstem Tag.
AWARE7 ist ein deutsches Unternehmen mit Sitz in Gelsenkirchen. Alle Testdaten werden ausschließlich auf deutschen Servern verarbeitet. Kein Datentransfer in Drittstaaten, relevant für BSI-KRITIS, regulatorische Datenschutzanforderungen und Bankgeheimnis.
Betroffene Institute
RTS Art. 2 (EU 2025/1190) benennt quantitative Kriterien für bestimmte Institutstypen als Ausgangspunkt; auch Institute, die diese Kriterien erfüllen, können bei fehlendem TLPT-Anlass ausgenommen werden. Darüber hinaus benennt die Behörde weitere Institute auf Basis einer Risikoanalyse.
Behördlich ermittelt nach RTS Art. 2 (Schwellenwerte, Ausnahmen möglich):
Systemrelevante Banken
G-SRI/A-SRI-Kreditinstitute nach Art. 131 CRD IV; weitere auf Basis einer Risikoanalyse der Behörde
Versicherungsunternehmen
Versicherungs- und Rückversicherer: Bruttoprämieneinnahmen > 1.500.000.000 EUR plus weitere Bedingungen nach RTS Art. 2 Abs. 2 Bst. g
Zahlungsdienstleister
Zahlungsinstitute > 150 Mrd. EUR Zahlungsvorgänge; E-Geld-Institute > 150 Mrd. EUR Zahlungsvorgänge oder > 40 Mrd. EUR E-Geld-Umlauf
Zentrale Gegenparteien
CCPs, Zentralverwahrer (CSDs), Handelsplattformen
Auf Behördenanordnung
Kleinere Institute können auf Anordnung einbezogen werden
Ausgenommen sind nach DORA Art. 26 Abs. 1 Kleinstunternehmen sowie die in Art. 16 Abs. 1 UA 1 DORA genannten Institute (u.a. kleine und nicht verflochtene Wertpapierfirmen, bestimmte ausgenommene Zahlungs- und E-Geld-Institute). Die Ermittlung nimmt die jeweils zuständige Behörde vor.
Kosten
TLPT-Engagements sind erheblich umfangreicher als klassische Penetrationstests. Die Kosten spiegeln Dauer, Teamgröße und regulatorischen Aufwand wider.
Kostenblock
Bandbreite
ab 50.000 EUR
Scope-Komplexität, Anzahl CIF-Systeme, Dauer der aktiven Phase (mind. 12 Wochen), Teamgröße (mind. 3 Personen nach RTS)
Kostenblock
Bandbreite
30.000 - 80.000 EUR
Spezifischer Bedrohungsanalysebericht (TTIR): Dark-Web-Recherche, OSINT, Malware-Analyse, Sektor-Intelligence. Der TI-Provider darf dem Finanzunternehmen nicht angehören, seine Mitarbeiter sind vom Red Team personell getrennt.
Kostenblock
Bandbreite
30.000 - 180.000 EUR
White Team-Aufwand, Legal/Compliance, externe Rechtsberatung, Behördenabstimmung, CISO-Zeit, Remediation-Umsetzung
Red-Team-Leistung durch AWARE7: ab 50.000 EUR
Hinzu kommen der TI-Provider (typisch 30.000-80.000 EUR) und der interne Koordinationsaufwand. AWARE7 erstellt ein verbindliches Festpreisangebot: keine Stundensätze, keine Nachforderungen. Angebot innerhalb 48h nach Erstberatung.
International
TIBER-DE ist Teil eines weltweiten Ökosystems regulatorischer Red-Team-Frameworks. Alle folgen dem dreiphasigen Ansatz und mandatieren echte Bedrohungsintelligenz.
Tabelle horizontal wischen
| Framework | Land / Region | Behörde | Seit | Basis |
|---|---|---|---|---|
| TIBER-DE | Deutschland | Deutsche Bundesbank (TCT) | 2019 | TIBER-EU / DORA |
| CBEST | Vereinigtes Königreich | Bank of England | 2014 | Eigenständig |
| TIBER-EU | EU (übergreifend) | EZB | 2018 | Referenz-Framework |
| TIBER-NL | Niederlande | DNB | 2016 | TIBER-EU |
| TIBER-SE | Schweden | Riksbank | 2019 | TIBER-EU |
| TIBER-BE | Belgien | NBB | 2018 | TIBER-EU |
| iCAST | Hongkong | HKMA | 2016 | Eigenständig |
| CORIE | Australien | CFR | 2020 | Eigenständig |
Die TLPT-Bescheinigung nach DORA Art. 26 Abs. 7 ermöglicht die gegenseitige Anerkennung grenzüberschreitender Tests für Finanzunternehmen, die in mehr als einem EU-Mitgliedstaat tätig sind, auch über Zweigniederlassungen oder Tochtergesellschaften (RTS Art. 16 Abs. 1).
FAQ
Ihr Ansprechpartner für DORA TLPT
M.Sc. IT-Sicherheit mit über 5 Jahren Erfahrung in offensiver Sicherheitsanalyse. Leitet die Durchführung von Penetrationstests mit Spezialisierung auf Web-Applikationen, Netzwerk-Infrastruktur, Reverse Engineering und Hardware-Sicherheit. Verantwortlich für mehrere Responsible Disclosures.
Leistungen
Festpreisangebot in 48h
Wir besprechen Scope, CIF-Bewertung, Zeitplan und Behördenabstimmung, kostenlos und unverbindlich. Sie erhalten ein verbindliches Festpreisangebot innerhalb von 48 Stunden.
Arturs Nikitins
Erstberatung & Bedarfsanalyse
Persönliche Beratung gewünscht?
Unverbindlich · Antwort werktags innerhalb 24h
