DORA Art. 26-27 | Finanzsektor

TIBER-EU & TLPT: Threat-Led Penetration Testing nach DORA.

DORA verpflichtet von der zuständigen Behörde ermittelte Finanzunternehmen zu Threat-Led Penetration Tests alle drei Jahre - auf Live-Produktionssystemen, aufsichtlich begleitet, Threat-Intelligence-basiert.

TLPT-Erstberatung vereinbaren Red Teaming-Leistungen ansehen

Zuletzt aktualisiert: März 2026 · Referenziert: DORA Art. 26-27, TIBER-EU

Alle 3 Jahre
TLPT-Pflicht für von der Aufsicht identifizierte Institute: Live-Systeme
Tests auf Produktionsumgebung vorgeschrieben: Jan. 2025
DORA gilt ab 17.01.2025: 3 Phasen
Preparation · Testing · Closure

Grundlagen

Was ist Threat-Led Penetration Testing?

TLPT (Threat-Led Penetration Testing) ist eine hochspezialisierte Form des Red Team Tests, bei der ein akkreditiertes Red Team auf Basis echter Threat Intelligence realistische Angriffe auf ein Finanzinstitut simuliert - direkt auf den Live-Produktionssystemen.

Der entscheidende Unterschied zu einem klassischen Penetrationstest: TLPT ist Threat-Intelligence-basiert. Bevor das Red Team loslegt, analysiert ein Threat Intelligence Provider, welche APT-Gruppen, Angriffsmuster und Taktiken realistischerweise gegen dieses spezifische Institut eingesetzt würden. Dieser Targeted Threat Intelligence Report (TTIR) wird zur Blaupause für den Angriff.

DORA Art. 26-27 macht TLPT für von der zuständigen Behörde ermittelte Finanzunternehmen zur Pflicht und verankert damit das TIBER-EU-Framework der Europäischen Zentralbank als europäischen Standard. In Deutschland setzt die Bundesbank zusammen mit der BaFin dieses Framework als TIBER-DE um.

Kriterium	TLPT	Red Teaming	Pentest
Grundlage	Threat Intelligence (TTIR)	Zieldefinition	Scope-Dokument
Testsysteme	Live-Produktion	Prod. oder Test	Meist Testumgebung
Aufsicht	Behördlich begleitet	Intern	Intern
Dauer	mind. 12 Wo. + Phasen	4-8 Wochen	1-4 Wochen
Attestat	EU-weit anerkannt	Intern	Intern

TLPT / TIBER-EU auf einen Blick

Rechtsgrundlage: DORA Art. 26-27 (EU 2022/2554)
DORA gilt seit: 17. Januar 2025
Framework: TIBER-EU (EZB) / TIBER-DE (Bundesbank)
Intervall: Mindestens alle 3 Jahre
Testsysteme: Live-Produktionssysteme Pflicht
Zuständig DE: Deutsche Bundesbank & BaFin

DORA gilt seit Januar 2025

Von der Aufsicht bestimmte Finanzunternehmen müssen ihre TLPT-Planung jetzt aufsetzen. Akkreditierte Provider sind begrenzt verfügbar - Vorlaufzeiten einplanen.

TIBER-EU Framework

Die drei Phasen eines TIBER-DE Tests

TIBER-EU definiert einen strukturierten, dreiphasigen Prozess. Jede Phase hat klare Deliverables, Rollen und behördliche Kontrollpunkte. Gesamtprojektlaufzeit: typischerweise mehrere Monate je nach Institutsgröße.

White Team

Internes Koordinationsteam

Kleine Gruppe interner Experten, die den Test kennen und koordinieren. Schnittstelle zur Aufsichtsbehörde. Kann Test unterbrechen.

Red Team

Externer Angreifer-Provider

Akkreditierter externer Dienstleister, der basierend auf dem TTIR realistische Angriffe simuliert. Vollständig unabhängig vom Institut.

Blue Team

Interne Verteidigung (SOC)

Security Operations Center und Incident Response - kennen den Test NICHT. Werden erst in der Closure Phase eingeweiht (Purple Teaming).

Vorbereitung & Scoping

Preparation Phase bis zu 6 Monate

Definition des Testumfangs gemeinsam mit der Aufsichtsbehörde (Bundesbank/BaFin). Beauftragung eines qualifizierten Threat Intelligence Providers. Das TCT (TIBER Cyber Team der Bundesbank) stellt die generische Bedrohungslage (GTL) bereit; der TI-Anbieter erstellt darauf aufbauend den institutsspezifischen Targeted Threat Intelligence Report (TTIR). Das Kontrollteam (White Team) wird etabliert.

Red Team Execution

Testing Phase mind. 12 Wochen

Durchführung des Red Team Tests auf Live-Produktionssystemen basierend auf dem Targeted Threat Intelligence Report. Das Red Team simuliert realistische Advanced Persistent Threat (APT)-Szenarien. Die RTS verlangt mindestens drei End-to-End-Bedrohungsszenarien, die die höchsten Werte für die Schwere der Bedrohung aufweisen. Vollständige Dokumentation aller Aktivitäten.

Red Teaming-Leistungen

Purple Teaming & zusammenfassender Testbericht

Closure Phase bis zu 10 + 8 Wochen

Gemeinsame Purple Teaming-Session: Red Team und Blue Team (Verteidiger) analysieren gemeinsam die Angriffspfade und Erkennungslücken. Erstellung des zusammenfassenden Testberichts (Anhang VII RTS) mit Plan für Abhilfemaßnahmen. Der Bericht wird von der Aufsichtsbehörde geprüft und genehmigt. Die Bescheinigung (Art. 14 RTS) ermöglicht gegenseitige Anerkennung in anderen EU-Mitgliedstaaten.

DORA Art. 26

Wer muss TLPT nach DORA durchführen?

DORA Art. 26 Abs. 8: Die zuständigen Behörden ermitteln die Finanzunternehmen, die TLPT durchführen müssen. Maßgeblich sind wirkungsbezogene Faktoren, etwaige Bedenken hinsichtlich der Finanzstabilität und das spezifische IKT-Risikoprofil. Welche Unternehmenstypen ab welchen Schwellenwerten betroffen sind, regelt Art. 2 der RTS 2025/1190.

TLPT-Pflicht - Von der Aufsicht bestimmte Finanzunternehmen

Aufsichtlich benannt · Mindestens alle 3 Jahre Pflicht

Kreditinstitute (G-SRI / A-SRI) Identifiziert nach Art. 131 der Richtlinie 2013/36/EU (CRD IV)
Zentrale Gegenparteien (CCPs) Clearing-Häuser nach EMIR
Zentralverwahrer (CSDs) Wertpapierabwicklung nach CSDR
Zahlungsinstitute Zahlungsvorgänge >150 Mrd. EUR in jedem der zwei Vorjahre
E-Geld-Institute Zahlungsvorgänge >150 Mrd. EUR oder E-Geld-Umlauf >40 Mrd. EUR
Handelsplätze Handelsplätze mit elektronischem Handelssystem und relevanten Marktanteilen (RTS Art. 2 Abs. 2 lit. f)
Versicherungs- und Rückversicherungsunternehmen Zweistufig: u. a. Bruttoprämieneinnahmen >1,5 Mrd. EUR und Rückstellungen >10 Mrd. EUR, danach >3 Mrd. EUR Prämien oder >30 Mrd. EUR Rückstellungen (RTS Art. 2 Abs. 2 lit. g)

Kriterien für systemische Relevanz

Größe und Bilanzsumme des Instituts
Vernetzung mit anderen Finanzinstituten
Bedeutung für die Finanzmarktinfrastruktur
IKT-Risikoexposition und Drittanbieterabhängigkeiten

Gegenseitige Anerkennung in der EU

Ein nach TIBER-EU durchgeführter TLPT wird EU-weit gegenseitig anerkannt (Art. 26 Abs. 7 DORA). Institute mit grenzüberschreitendem Betrieb müssen den Test damit nur einmal durchführen - die Bescheinigung gilt für alle EU-Niederlassungen.

Freiwillige TLPT - kleinere Institute

Auch Institute, die nicht zur TLPT bestimmt wurden, können TLPT freiwillig durchführen. Dies empfiehlt sich insbesondere, wenn das Institut IKT-Dienstleister für systemrelevante Häuser ist oder eine TIBER-DE-Akkreditierung anstrebt.

Sind Sie von DORA TLPT betroffen?

In einem kostenlosen Erstgespräch klären wir, ob Ihr Institut TLPT-pflichtig ist, wie Sie einen akkreditierten Provider auswählen und wie ein typisches Projekt abläuft.

Erstberatung vereinbaren

DORA Art. 27

Anforderungen an Red Team Provider

DORA Art. 27 definiert strenge Anforderungen an externe Threat Intelligence und Red Team Provider. Nicht jeder Penetrationstest-Anbieter qualifiziert sich für TLPT - die Hürden sind erheblich.

Nachgewiesene Erfahrung

Externe Tester müssen mindestens fünf Referenzen aus früheren Aufträgen im Zusammenhang mit Penetrationstests und Red-Team-Testing vorlegen; TI-Anbieter benötigen mindestens drei vergleichbare Referenzen. Nachweise werden dem TCT vor Vertragsschluss vorgelegt.

Anerkannte Zertifizierungen

DORA Art. 27 verlangt Tester, die von einer Akkreditierungsstelle in einem Mitgliedstaat zertifiziert wurden oder formale Verhaltenskodizes oder ethische Rahmenregelungen einhalten. Die RTS (Art. 7 Abs. 1 lit. a) präzisiert: Anbieter legen Bescheinigungen vor, die nach anerkannten Marktstandards eine geeignete Grundlage für ihre Tätigkeit bilden.

Vollständige Unabhängigkeit

Keine Interessenkonflikte mit dem getesteten Institut: keine gleichzeitige Ausführung von Blue-Team-Aufgaben oder anderen Dienstleistungen, die einen Interessenkonflikt darstellen könnten.

Ausreichende Haftpflichtversicherung

Anbieter müssen ordnungsgemäß und vollständig durch einschlägige Berufshaftpflichtversicherungen abgesichert sein, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit (RTS Art. 7 Abs. 1 lit. b). Ein Mindestbetrag ist nicht vorgeschrieben. Nachweise über die Einhaltung der Qualifikationsanforderungen legt das Kontrollteam vor der Beauftragung den Testmanagern vor (Art. 9 Abs. 11 RTS).

Strukturiertes Threat Intelligence Team

Dediziertes Threat Intelligence-Team: mindestens ein Manager mit mind. 5 Jahren TI-Erfahrung und mind. ein weiteres Mitglied mit mind. 2 Jahren Erfahrung (RTS Art. 7). Nachgewiesene Kenntnisse in intelligence gathering, TTPs sowie geopolitischen, technischen und sektorspezifischen Aspekten erforderlich.

Geheimhaltung & Datenschutz

Strikte Geheimhaltung ist vorgeschrieben: Tests laufen verdeckt, alle Beteiligten sind zur Vertraulichkeit verpflichtet. Kommunikationskanäle und Sicherheitsmaßnahmen werden im Projektauftrag spezifiziert. Die Geheimhaltung ist Voraussetzung für realistische Testbedingungen.

Praxistipp: Die Bundesbank führt eine Liste akkreditierter TIBER-DE-Provider. Bei der Auswahl sollten Institute neben der formalen Akkreditierung auch Branchenerfahrung im Finanzsektor, kulturelle Passung und Projektmanagement-Kapazitäten bewerten. AWARE7 unterstützt Sie bei der Providerauswahl und der gesamten TLPT-Koordination.

Reale Bedrohungslage

Warum TLPT für Finanzinstitute unerlässlich ist

Finanzinstitute sind die am stärksten angegriffene Branche weltweit. Die folgenden Vorfälle zeigen, welche Angriffsmuster TLPT-Tests simulieren und warum regulatorisch vorgeschriebene Tests auf Produktionssystemen zwingend notwendig sind.

2016 · Bangladesh Bank · SWIFT

Bangladesh Bank SWIFT-Hack

Angreifer kompromittierten das SWIFT-Terminalsystem der Zentralbank Bangladesh und transferierten 81 Mio. USD auf Konten auf den Philippinen. Der Angriff nutzte legitime SWIFT-Credentials und lief über Wochen unbemerkt. Ein TLPT hätte die schwachen Zugangskontrollen und das fehlende Monitoring aufgedeckt.

2016 · Tesco Bank · Online Banking

Tesco Bank Online-Betrug

2,5 Mio. GBP wurden innerhalb eines Wochenendes von ca. 9.000 Kundenkonten abgebucht. Angreifer nutzten Schwachstellen in der Zahlungsautorisierung und dem Betrugserkennungssystem. Die britische FCA verhängte eine Strafe von 16,4 Mio. GBP - mangelhaftes IKT-Risikomanagement als Hauptkritikpunkt.

2018 · Banco de Chile · SWIFT

Banco de Chile SWIFT-Attacke

Während die IT-Sicherheit mit einem Ablenkungsangriff (Malware auf Workstations) beschäftigt war, initiierte die Lazarus-Gruppe betrügerische SWIFT-Transaktionen über 10 Mio. USD. Die zweistufige Angriffsstrategie zeigt, warum TLPT realistische Multi-Stage-Szenarien simuliert.

2023 · MOVEit · Supply Chain

MOVEit Supply-Chain-Angriff

Die Cl0p-Gruppe nutzte eine Zero-Day-Schwachstelle in MOVEit Transfer und kompromittierte Hunderte Finanzdienstleister weltweit. Viele Institute wussten wochenlang nicht, dass Kundendaten exfiltriert wurden. TLPT-Tests prüfen explizit Drittanbieter-Angriffsvektoren.

Laufend · BaFin · IT-Prüfungen

BaFin-Prüfungen: Mängelfeststellungen

Die BaFin stellt bei IT-Sonderprüfungen regelmäßig erhebliche Mängel in Zugangskontrollen, Patch-Management und Incident Response fest. Betroffene Institute erhalten Mängelberichte mit verbindlichen Umsetzungsfristen. TLPT dient als proaktiver Nachweis der Widerstandsfähigkeit.

Kontinuierlich · APT-Gruppen

Staatliche APT-Gruppen

Lazarus (Nordkorea), APT28/Fancy Bear (Russland) und weitere staatlich geförderte Gruppen greifen kontinuierlich europäische Finanzinstitute an. Diese Bedrohungen bilden die Grundlage des Targeted Threat Intelligence Reports im TIBER-Prozess - realistisch, spezifisch, aktuell.

Leitfäden zum Thema

Vertiefung

Beratungsleistungen

Wie AWARE7 bei TLPT & TIBER-DE hilft

Wir begleiten Finanzinstitute vom ersten Betroffenheitscheck über die Providerauswahl bis zur behördlichen Attestierung - mit nachgewiesener Red Team-Expertise und Erfahrung aus regulierten Finanzumgebungen.

Red Teaming & TLPT-Vorbereitung

Vollumfängliches Red Teaming auf Basis echter Threat Intelligence. Vorbereitung auf TIBER-DE-konforme TLPT-Tests mit aufsichtlicher Begleitung.

Red Teaming anfragen

Penetrationstest Finanzsektor

Spezialisierte Penetrationstests für Banken, Versicherungen und Zahlungsinstitute - als Vorstufe zu TLPT oder eigenständige DORA-Compliance-Maßnahme.

Pentest anfragen

DORA Compliance-Beratung

Vollständige DORA-Beratung über TLPT hinaus: IKT-Risikomanagement, Drittanbieter-Management, Incident Reporting und Resilienz-Tests.

DORA-Beratung starten

„TLPT nach TIBER-EU ist die anspruchsvollste Form des Sicherheitstests, die es gibt. Wer als Finanzinstitut ernsthaft Resilienz aufbauen will, kommt um regulatorisch begleitete Red Team Tests auf Produktionssystemen nicht herum. Wir bereiten Institute auf genau dieses Niveau vor.“

Chris Wojzechowski

Penetration Testing & Red Teaming Experte · AWARE7 GmbH

FAQ

Häufige Fragen zu TLPT & TIBER-EU

Die wichtigsten Fragen zu TLPT, TIBER-DE und DORA Art. 26-27 - fachlich fundiert und praxisnah beantwortet.

Was ist TLPT und was unterscheidet es von einem normalen Penetrationstest?

TLPT (Threat-Led Penetration Testing) ist ein hochwertiger, regulatorisch vorgeschriebener Red Team Test für Finanzunternehmen, die die zuständige Behörde dafür ermittelt. Im Unterschied zu einem klassischen Penetrationstest: (1) TLPT basiert auf echten, institutsspezifischen Threat Intelligence Reports - der Angreifer simuliert reale APT-Gruppen, die das Institut tatsächlich angreifen würden. (2) TLPT wird auf den Live-Produktionssystemen durchgeführt, nicht in Testumgebungen. (3) TLPT ist aufsichtlich begleitet - die Bundesbank oder BaFin begleitet den Test und validiert die Ergebnisse. (4) TLPT ist erheblich umfangreicher als ein typischer Penetrationstest: die aktive Red-Team-Phase dauert allein mindestens zwölf Wochen.

Wer muss TLPT nach DORA durchführen?

DORA Art. 26 Abs. 8 beauftragt die zuständigen Behörden, Finanzunternehmen für TLPT zu benennen. Die RTS (EU 2025/1190) konkretisiert die Schwellenwerte: Kreditinstitute als G-SRI oder A-SRI nach Art. 131 der Richtlinie 2013/36/EU, Zahlungsinstitute und E-Geld-Institute über den RTS-Volumenschwellen, Zentralverwahrer (CSDs), zentrale Gegenparteien (CCPs), Handelsplätze sowie Versicherungs- und Rückversicherungsunternehmen über dem Prämien-Schwellenwert. Kritische IKT-Drittdienstleister haben keine eigenständige TLPT-Pflicht; sie können vom Finanzunternehmen in den Testumfang einbezogen werden. Kleinere Institute können freiwillig TLPT durchführen oder werden durch die Aufsicht dazu aufgefordert.

Wie oft muss TLPT durchgeführt werden?

DORA Art. 26 Abs. 1 schreibt mindestens alle drei Jahre einen TLPT vor. Die Aufsichtsbehörde kann auf Basis des Risikoprofils und der betrieblichen Gegebenheiten die Häufigkeit erhöhen oder verringern. Nach einem erfolgreichen TLPT-Abschluss erhält das Institut eine Bescheinigung, die in anderen EU-Mitgliedstaaten gegenseitig anerkannt wird (Prinzip der gegenseitigen Anerkennung nach Art. 26 Abs. 7 DORA).

Was ist TIBER-DE und wie verhält es sich zu TIBER-EU und DORA TLPT?

TIBER-EU ist das übergeordnete europäische Framework der EZB für Threat Intelligence-Based Ethical Red Teaming. TIBER-DE ist die deutsche Umsetzung dieses Frameworks durch die Deutsche Bundesbank. Das bindende Regelwerk für DORA-TLPT ist die RTS (EU) 2025/1190. Finanzunternehmen können TIBER-EU oder seine nationale Umsetzung anwenden, sofern diese mit Art. 26 und 27 DORA und der RTS im Einklang stehen. Die Bescheinigung über einen TLPT ermöglicht nach DORA Art. 26 Abs. 7 die gegenseitige Anerkennung zwischen den zuständigen Behörden.

Was kostet ein TLPT nach TIBER-DE?

TLPT-Tests sind erheblich aufwändiger als Standard-Penetrationstests. Der Red-Team-Test durch AWARE7 beginnt ab 50.000 EUR (netto). Hinzu kommen der spezifische Bedrohungsanalysebericht (TTIR) des TI-Providers, typisch 30.000-80.000 EUR, sowie interner Aufwand für Kontrollteam, Purple Teaming und Abhilfemaßnahmen. Die Kosten variieren je nach Institutsgröße, Komplexität der IT-Landschaft und Testumfang.

Darf ein TLPT die Produktionssysteme beschädigen?

Durchführung des Red Team Tests auf Live-Produktionssystemen basierend auf dem Targeted Threat Intelligence Report. Die Tester wenden realistische Taktiken, Techniken und Verfahren (TTP) an. Der Leiter des Kontrollteams kann den Test unter außergewöhnlichen Umständen aussetzen (RTS Art. 11 Abs. 10). Verboten sind unbefugte Zerstörung von Ausrüstung, unkontrollierte Veränderung von Informationen und vorsätzliche Gefährdung der Kontinuität kritischer Funktionen. Alle Aktivitäten werden umfassend protokolliert. Der Test wird koordiniert, das Red Team kennt die Eskalationswege. Nach dem Test wird ein Plan mit Abhilfemaßnahmen erstellt.

Muss die Aufsichtsbehörde bei einem TLPT anwesend sein?

Nein, die Aufsichtsbehörde (BaFin/Bundesbank) muss nicht physisch anwesend sein. Ihre Rolle ist: (1) Genehmigung des Testumfangs (Scoping-Dokument) in der Vorbereitungsphase; der spezifische Bedrohungsanalysebericht (TTIR) wird in der Bedrohungsanalyse-Phase (Art. 10 RTS) genehmigt, (2) Laufende Unterrichtung durch das Kontrollteam über wesentliche Erkenntnisse, (3) Prüfung und Validierung des zusammenfassenden Testberichts, (4) Ausstellung der behördlichen Bescheinigung. Das Institut bleibt während des Tests in engem Kontakt mit der Aufsichtsbehörde über das Kontrollteam.

Kann ein internes Red Team einen TLPT durchführen?

Kreditinstitute, die gemäß Art. 6 Abs. 4 der Verordnung (EU) Nr. 1024/2013 (SSM-Verordnung) als bedeutend eingestuft wurden, müssen TLPT stets durch externe Tester durchführen lassen, die die Anforderungen des Art. 27 Abs. 1 Buchst. a bis e erfüllen; ein internes Red Team ist hier nicht zulässig. Für andere Institute dürfen interne Red Teams unter Bedingungen eingesetzt werden: angemessene Trennung der Tester von anderen Mitarbeitern, Genehmigung durch die Aufsichtsbehörde sowie der Bedrohungsanalyse-Anbieter muss stets extern sein; mindestens jeder dritte Test muss von einem externen Provider durchgeführt werden.

Was passiert nach dem TLPT - welche Remediation-Pflichten gibt es?

DORA Art. 26 Abs. 6 verlangt nach jedem TLPT die Vorlage eines Plans mit Abhilfemaßnahmen bei der TLPT-Behörde. Der Plan muss laut RTS Art. 13 für jedes Ergebnis enthalten: Beschreibung der festgestellten Mängel, Beschreibung der vorgeschlagenen Abhilfemaßnahmen mit Priorisierung und voraussichtlichem Abschluss sowie die verantwortlichen Mitarbeiter oder Funktionen.

Wie unterscheidet sich TLPT von Red Teaming?

Red Teaming ist der übergeordnete Begriff für feindliche Angriffsimulationen. TLPT ist eine spezifische Form des Red Teamings mit regulatorischen Besonderheiten: Pflicht zur Threat Intelligence-Grundlage (institutsspezifischer TTIR), aufsichtsbehördliche Begleitung und Validierung, Pflicht zur Durchführung auf Produktionssystemen, formales Abschlussverfahren mit behördlicher Bescheinigung und gegenseitiger EU-weiter Anerkennung. Red Teaming ohne die in der RTS (EU 2025/1190) vorgeschriebenen Elemente (TTIR, TLPT-Behörde, Live-Produktionssysteme, Bescheinigung) erfüllt die DORA TLPT-Anforderungen nicht.

TLPT-Erstberatung für Finanzinstitute vereinbaren

In einem kostenlosen 30-minütigen Gespräch klären wir Ihre TLPT-Pflicht nach DORA, erläutern den TIBER-DE-Prozess und skizzieren, wie ein Projekt in Ihrem Institut abläuft - mit Zeitplan und konkretem nächsten Schritt.

TLPT-Erstberatung buchen Oder mehr über DORA erfahren

Kostenlos · 30 Minuten · Unverbindlich