Operative Resilienz aus Angreiferperspektive: DORA-Pentests und TLPT, die Angriffswege zu Ihren kritischen Funktionen zeigen, dokumentiert für Revision und Aufsicht.
Kaum eine Branche ist so gründlich dokumentiert wie die Finanzwirtschaft. Informationsregister, Risikoanalysen und Auslagerungsverträge beschreiben, wie das Haus funktionieren soll. Ein Angreifer liest diese Dokumente nicht. Er sucht den Pfad, der zwischen zwei sauber beschriebenen Zuständigkeiten liegt: das Servicekonto des Dienstleisters mit Rechten im Kernbankenumfeld, die Schnittstelle zwischen Zahlungsverkehr und Buchungssystem, die Fernwartung der Bestandsführung einer Versicherung.
Aus Prüfsicht ist das die eigentliche Besonderheit der Branche. Ein großer Teil der kritischen Funktionen läuft über Rechenzentren, Plattformen und Anwendungen Dritter. Die Verantwortung bleibt nach DORA vollständig beim Finanzunternehmen. Sinnvoll ist deshalb ein Test, der Dienstleisterzugänge, Identitäten und Schnittstellen einschließt. Er zeigt auch, ob Ihre Erkennung einen Angreifer bemerkt, bevor er die Funktion erreicht, die Sie schützen wollen.
Fallen Zahlungsverkehr, Kernbankensystem oder Bestandsführung aus, stehen Buchungen und Kundenservice still. Aus der Störung kann schnell ein meldepflichtiger Vorfall werden. Wir prüfen die Dienste und technischen Konten, die Kernsysteme mit der übrigen Umgebung verbinden.
Eine kompromittierte Schnittstelle zwischen Zahlungsverkehr und Buchungssystem kann direkten finanziellen Schaden verursachen, der nach dem Cut-off schwer rückgängig zu machen ist. Wir prüfen diese Übergänge, ohne produktive Buchungsfenster zu berühren.
Ein Servicekonto des Rechenzentrums oder Kernbankenanbieters mit weiten Rechten kann einem Angreifer den Weg in Ihre Umgebung öffnen. Die Verantwortung bleibt bei Ihrem Haus. Wir beziehen Dienstleisterzugänge mit vertraglicher Grundlage und abgestimmten Testfenstern in den Scope ein.
Je länger ein Angreifer unentdeckt bleibt, desto näher kann er an Kernbanken- und Zahlungssysteme kommen. Wir messen, ob SOC, EDR und SIEM die für den Finanzsektor dokumentierten Techniken erkennen.
Lücken, die erst in einer Prüfung auffallen, ziehen Feststellungen und Maßnahmen unter Zeitdruck nach sich. Wir liefern Befunde, die Revision, Vorstand und Aufsicht einer kritischen oder wichtigen Funktion zuordnen können.
DORA gilt seit dem 17. Januar 2025. Die Systeme hinter kritischen oder wichtigen Funktionen sind mindestens jährlich zu testen. Von der Aufsicht bestimmte Unternehmen führen zusätzlich mindestens alle drei Jahre eine TLPT durch, in Deutschland nach dem Rahmenwerk TIBER-DE der Bundesbank. Wer Kartenzahlungen verarbeitet, bleibt an PCI DSS gebunden.
Wir ordnen jeden Test den kritischen oder wichtigen Funktionen zu und wählen das Verfahren nach Risiko, vom Schwachstellenscan bis zum szenariobasierten Test. Der Bericht weist Befunde je Funktion für Ihr Testprogramm aus.
Die TLPT planen wir auf Live-Produktionssystemen mit mindestens zwölf Wochen aktiver Red-Team-Phase, Kontrollteam und IKT-Drittdienstleistern. Die Berichte folgen den RTS zu TLPT als Grundlage der Bescheinigung nach Art. 26 Abs. 7 DORA.
Rollen und Phasen richten wir am Rahmenwerk der Bundesbank aus, von der Vorbereitung über Threat Intelligence und Red-Team-Test bis zum Abschluss. So bleibt auch ein freiwilliger Test anschlussfähig an eine TLPT.
Die Karteninfrastruktur testen wir nach Anforderung 11.4 intern und extern samt Segmentierung, mindestens jährlich und nach wesentlichen Änderungen. Scope, Methodik und Nachtests dienen im Assessment als Nachweis.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Institute und Versicherer, die ihr DORA-Testprogramm aufsetzen oder vor der nächsten Prüfung ihren Stand kennen wollen.
Pentest von außen und im Netz mit Active Directory bis zu den Systemen hinter kritischen Funktionen, dazu Web- und API-Tests der Kundenkanäle. Zum Abschluss präsentieren wir die Ergebnisse Ihrem Vorstand.
Ein belastbares Bild der Angriffspfade zu Ihren kritischen Funktionen, verwendbar für Testprogramm und Berichterstattung.
Häuser mit eigenem SOC oder Managed Detection, die ihre Erkennung prüfen oder sich auf eine TLPT vorbereiten wollen.
Assumed Breach entlang sektorrelevanter Angreifertechniken. Parallel prüfen wir, ob EDR und SIEM sie erkennen, und messen MTTD und MTTR. Im Technischen Workshop stellt Ihr Team die Befunde nach.
Erkennungs- und Reaktionswerte je Technik, die zeigen, wo Ihre Abwehr vor einer TLPT nachschärfen sollte.
Unternehmen, die von der Aufsicht zur TLPT bestimmt sind, und Gruppen, die DORA-Tests über mehrere Gesellschaften steuern.
APT-Simulation als TLPT nach TIBER-DE auf Basis des Threat-Intelligence-Berichts, mit Purple Teaming im Abschluss. Dazu die jährlichen Pflichttests und Nachtests als Behebungsnachweis.
Ein Testzyklus, der TLPT und jährliche Pflichttests in einem Programm verbindet, nachvollziehbar für Revision und Aufsicht.
Der Zuschnitt folgt Ihrem DORA-Testprogramm und der Frage, was ein Angreifer gegen Ihre kritischen Funktionen versuchen würde. TLPT behandeln wir als regulierte Ausprägung der APT-Simulation.
Die APT-Simulation ist unsere Grundlage für TLPT nach DORA und TIBER-DE. Ohne TLPT-Pflicht prüfen Sie mit derselben Methodik Erkennung und Reaktion.
Assumed-Breach-Szenarien zeigen Wege vom Arbeitsplatz oder Dienstleisterkonto zu Kernbanken- und Zahlungssystemen. Sie sind Baustein der Tests nach Art. 25 DORA.
Onlinebanking, Kundenportale, Maklerschnittstellen und Open-Banking-APIs prüfen wir auf Autorisierungsfehler und Geschäftslogik, wo Scanner wenig finden.
Wir prüfen Entra ID, bedingten Zugriff und privilegierte Rollen in Microsoft 365 und Azure als Teil des Angriffspfads zu Ihren kritischen Funktionen.
Wir zeigen, ob SOC, EDR und SIEM die für den Finanzsektor dokumentierten Angreifertechniken erkennen. Das bereitet Sie auf eine TLPT vor.
Das Leitungsorgan verantwortet nach DORA das IKT-Risikomanagement. Wir ordnen Befunde kritischen Funktionen zu und benennen den Entscheidungsbedarf.
[ein Satz]
[ein Satz]
[ein Satz]
„[Zitat, freigegeben]“
Im Beratungsgespräch klären wir, welche Tests Ihr Haus in welcher Tiefe braucht und wie sie sich in Ihr DORA-Testprogramm einfügen.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Zwei Dokumente für Ihre Entscheidung. Wählen Sie, was Sie interessiert.
Blick hinter die Kulissen: Das erwartet Sie in Ihrem individuellen Report nach einem Red Team Assessment.
Wie unterscheidet sich ein klassischer Penetrationstest von einem TLPT? Welche Anforderungen stellt DORA, und wann lohnt sich der Mehraufwand?
Sie erhalten: Exklusiver Red Teaming Report
Sie erhalten: White Paper Pentest vs. TLPT
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Das entscheidet die zuständige Aufsicht anhand der Kriterien der RTS zu TLPT, etwa Auswirkung, systemische Bedeutung und IKT-Risikoprofil. In Deutschland teilt Ihnen die BaFin die Bestimmung mit. Das TIBER Cyber Team der Bundesbank begleitet den Test. Auch ohne Bestimmung lohnt die Methodik: Eine freiwillige APT-Simulation bereitet Erkennung und Reaktion auf diese Prüfung vor.
DORA sieht vor, dass IKT-Drittdienstleister, die kritische oder wichtige Funktionen unterstützen, in die TLPT einbezogen werden, bei Bedarf auch als gepoolter Test. Wir klären im Scoping, welche Zugänge und Testfenster vertraglich gedeckt sind, und stimmen die Rules of Engagement mit dem Dienstleister ab. Für die jährlichen Tests gilt dasselbe Prinzip in kleinerem Rahmen.
Eine TLPT läuft per Definition auf Live-Produktionssystemen. Das Risiko begrenzen wir durch abgestimmte Rules of Engagement, ein Kontrollteam mit Abbruchkriterien und Techniken, die keine Buchungen oder Transaktionen verändern. Bei jährlichen Tests entscheiden wir gemeinsam, ob Produktion oder eine repräsentative Umgebung aussagekräftiger ist.
Die TLPT ist ein bedrohungsorientierter Red-Team-Test gegen kritische oder wichtige Funktionen auf Produktionssystemen. Der jährliche Penetrationstest prüft einzelne Systeme und Anwendungen auf Schwachstellen. Die TLPT beruht auf Threat Intelligence und hat eine aktive Red-Team-Phase von mindestens zwölf Wochen. Verpflichtend ist sie nur für Unternehmen, die die Aufsicht bestimmt, und sie kommt zu den jährlichen Tests hinzu.
Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, sind mindestens jährlich angemessen zu testen. Von der Aufsicht bestimmte Unternehmen führen zusätzlich mindestens alle drei Jahre eine TLPT durch. Welches Verfahren für welches System passt, legt Ihr risikobasiertes Testprogramm fest. Den Zuschnitt stimmen wir im Scoping darauf ab.
Wir melden sie sofort über den vorab vereinbarten Eskalationsweg und warten nicht auf den Abschlussbericht. Bei einer TLPT entscheidet das Kontrollteam, ob der Test pausiert oder angepasst wird. Die Einzelheiten legen wir vorher in den Rules of Engagement fest.
Ja, der Bericht ist dafür aufgebaut. Jeder Befund ist technisch reproduzierbar beschrieben, nach Kritikalität bewertet und der betroffenen kritischen oder wichtigen Funktion zugeordnet. Für Geschäftsführung und Vorstand gibt es zusätzlich eine Management-Sicht mit dem Entscheidungsbedarf.
Vor allem von der Zahl der kritischen oder wichtigen Funktionen und der Systeme dahinter. Dazu kommen Kundenkanäle und APIs, der Anteil ausgelagerter Systeme mit Abstimmung beim Dienstleister und die Frage, ob die Erkennung mitgeprüft wird. Aus Informationsregister und Liste der kritischen Funktionen leiten wir im Scoping einen Umfang ab, der zu Ihrem Testprogramm passt.
Ein jährlicher Pentest dauert je nach Umfang wenige Tage bis einige Wochen, eine TLPT deutlich länger. Allein die aktive Red-Team-Phase umfasst nach den RTS zu TLPT mindestens zwölf Wochen. Davor liegen Vorbereitung und Threat Intelligence, danach der Abschluss mit Purple Teaming und Berichten. Den Gesamtzeitplan legen Sie mit dem TIBER Cyber Team fest.
Vor allem die Liste Ihrer kritischen oder wichtigen Funktionen mit den Systemen dahinter, idealerweise aus dem Informationsregister. Dazu kommen Verträge mit IKT-Dienstleistern, die Testzugänge erlauben, Ansprechpartner aus Betrieb und Informationssicherheit sowie die Buchungs- und Cut-off-Fenster, die unberührt bleiben müssen. Für eine TLPT benennen Sie zusätzlich das Kontrollteam.
