Seit dem 8. Juli 2025 legen technische Regulierungsstandards fest, wie bedrohungsgeleitete Penetrationstests im Finanzsektor ablaufen. Unsere Einschätzung: Der Wert eines TLPT entsteht vor allem in der Vorbereitung und im Abschluss. Wer dort spart, bekommt zwölf teure Wochen mit wenig Lerneffekt.
Der Digital Operational Resilience Act (DORA) der EU verpflichtet ausgewählte Finanzunternehmen zu bedrohungsgeleiteten Penetrationstests (Threat-Led Penetration Testing, TLPT). Die Delegierte Verordnung (EU) 2025/1190 (RTS zu TLPT) ist seit dem 8. Juli 2025 in Kraft und regelt den Ablauf in drei Phasen: Vorbereitung, Testphase (Threat Intelligence und aktiver Red-Team-Test) und Abschluss. Für die aktive Phase schreibt sie mindestens zwölf Wochen vor.
In Deutschland ist die BaFin TLPT-Behörde, die Bundesbank unterstützt jeden Test operativ, und die Methodik baut auf TIBER-DE auf, dem deutschen Rahmenwerk für Red-Team-Tests im Finanzsektor. Wer betroffen ist, erhält einen Verpflichtungsbescheid; der Starttermin eines konkreten Tests wird in einer Testanordnung festgelegt.
Zwölf Wochen klingen lang. In der Praxis verbraucht ein Red Team einen erheblichen Teil davon für den Zugang und die ersten Schritte im Netz. Kommt es nicht weiter, darf das Kontrollteam mit einem „Leg-up“ helfen, also mit Informationen oder Zugängen, die den Angriffspfad fortsetzen. Das ist ausdrücklich vorgesehen und kein Makel. Jedes Leg-up bedeutet aber, dass ein Teil der Kette nicht unter realen Bedingungen gemessen wurde.
Wir raten deshalb, im Jahr vor dem ersten TLPT einen Assumed-Breach-Test und eine Purple-Team-Übung auf die kritischen Funktionen durchzuführen. Lücken in EDR-Abdeckung, Protokollierung oder Active-Directory-Hygiene sollten nicht erst im TLPT auffallen. Die zwölf Wochen sind dann frei für das, wofür sie gedacht sind: die Frage, ob Ihre Organisation einen realistischen, gut vorbereiteten Angreifer bei den kritischen Funktionen erkennt und stoppt.
Während der aktiven Phase weiß das Blue Team nichts vom Test. Gelernt wird danach: Im Replay legen Red Team und Blue Team den Angriff Schritt für Schritt neben die eigene Telemetrie. Die Verordnung schreibt zusätzlich eine Purple-Team-Übung zu gemeinsam festgelegten Themen vor.
Diese Wochen werden in vielen Planungen unterschätzt. Das Blue Team muss Zeit haben, die eigenen Logs zu analysieren, bevor es ins Replay geht. Und die Fristen danach sind kurz: Den Behebungsplan müssen Finanzunternehmen innerhalb von acht Wochen nach der Mitteilung einreichen. Wer Kapazitäten für Analyse und Behebung nicht schon im Projektplan reserviert, gerät genau dort unter Druck, wo der Test seinen Nutzen entfalten soll.
Die Anforderungen an externe Tester sind konkret. Der Testleiter braucht mindestens fünf Jahre Erfahrung in Penetrationstests und Red Teaming, dazu kommen mindestens zwei weitere Tester mit jeweils mindestens zwei Jahren. Der Anbieter muss mindestens fünf Referenzen aus vergleichbaren Aufträgen nachweisen. Für den Threat-Intelligence-Anbieter gelten eigene Anforderungen.
Interne Tester sind unter Bedingungen zulässig. Wer sie einsetzt, muss nach DORA aber mindestens jeden dritten Test extern vergeben. Bedeutende Kreditinstitute unter EZB-Aufsicht dürfen nur externe Tester einsetzen (Art. 27 Abs. 2 DORA). Unsere Empfehlung: Klären Sie Auswahl und Vertragsrahmen, bevor die Testanordnung kommt. Unter Zeitdruck verhandelte Verträge regeln Haftung, Datenhaltung und Leg-up-Verfahren selten gut.
Die Regeln für TLPT sind seit gut einem Jahr klar. Offen ist in vielen Häusern, ob sie den Test als Pflichttermin behandeln oder als Messung, auf die sie hinarbeiten. Wer das zweite wählt, beginnt mit der Vorbereitung jetzt und plant die Wochen nach dem Test genauso sorgfältig wie die aktive Phase.
Pentester bei ProSec Networks. Schreibt über das, was im Projekt auffällt.
Wir sprechen mit Ihnen über Umfang, Vorbereitung und die Messung der Grundlagen vor dem Test.
Red Teaming zeigt, wie weit ein verdeckter Angreifer mit klarem Ziel in Ihrem Unternehmen kommt und ob SOC und EDR ihn rechtzeitig bemerken.
Wie viele Schritte trennen ein Standardkonto vom Domänen-Admin? Sie sehen die realen Angriffspfade in Ihrem Active Directory und wie Sie sie unterbrechen.
Ihr Team sieht einen realistischen Angriff Schritt für Schritt und erfährt je Technik, was erkannt wird und was nicht.
Ein Assessment, mehrere Nachweise: Prüfbescheinigung, Behebungsnachweis und belegte Angaben für NIS2, DORA, TISAX, ISO/IEC 27001 und Ihre Cyberversicherung.
Schildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Was sich unterscheidet, was DORA verlangt und welche Variante zu Ihrem Unternehmen passt.
Sie erhalten: White Paper Pentest vs. TLPT
