TLPT · DORA Art. 26-27 · TIBER-EU

TLPT Threat-Led Penetration Testing

Das Threat-Led Penetration Testing (TLPT) ist ein bedrohungsgeleiteter Penetrationstest, der reale Angreifer auf Ihre kritischen Funktionen nachstellt. Unter DORA wird er für bedeutende Finanzunternehmen verpflichtend – wir liefern die technischen Angriffssimulationen.

Was ist TLPT (Threat-Led Penetration Testing)?

TLPT ist ein bedrohungsorientierter, intelligence-geführter Penetrationstest: Statt einzelne Systeme isoliert zu prüfen, wird auf Basis aktueller Bedrohungsinformationen (Threat Intelligence) ein realistisches Angriffsszenario gegen die kritischen oder wichtigen Funktionen eines Unternehmens durchgespielt – inklusive Menschen, Prozessen und Technik.

Rechtlich verankert ist TLPT in der EU-Verordnung DORA (Art. 26–27). Methodisch baut es auf dem europäischen TIBER-EU-Rahmenwerk auf. Bedeutende Finanzunternehmen müssen TLPT mindestens alle drei Jahre durchführen; der Umfang wird von der Aufsicht risikobasiert festgelegt.

Rechtsgrundlage

DORA Art. 26-27

Rahmenwerk

TIBER-EU

Turnus

mind. alle 3 Jahre

Welche Anforderungen stellt TLPT?

TLPT folgt einem strukturierten, mehrphasigen Ablauf nach TIBER-EU – von der Threat Intelligence über die Angriffsdurchführung (Red Team) bis zur gemeinsamen Auswertung mit dem Verteidigungsteam (Blue Team).

Scoping der kritischen oder wichtigen Funktionen gemeinsam mit der Aufsicht
Threat-Intelligence-Phase: realistische, auf Ihr Institut zugeschnittene Angreiferszenarien
Red-Teaming gegen Produktionssysteme – verdeckt und kontrolliert
Purple-Teaming, Abschlussbericht und Nachweis gegenüber der Aufsicht
Der Weg zum TLPT-Nachweis
1

Scoping

Kritische Funktionen und Testumfang nach DORA festlegen

2

Threat Intelligence

Bedrohungsgeleitete, realistische Angriffsszenarien

3

Red Teaming

Verdeckte Angriffssimulation auf Produktionssysteme

4

Purple Teaming

Gemeinsame Auswertung mit Ihrem Blue Team

5

Bericht & Nachweis

Aufsichtskonforme Dokumentation und Remediation

Konsequenzen bei Nichteinhaltung

Was droht ohne TLPT?

TLPT ist für bedeutende Finanzunternehmen kein Kann, sondern ein verbindlicher Bestandteil des DORA-Testprogramms. Versäumnisse werden von der Finanzaufsicht durchgesetzt.

Aufsichtsmaßnahmen

Sanktionen durch BaFin & EZB

Fehlt der geforderte TLPT-Nachweis, drohen aufsichtsrechtliche Maßnahmen, Geldbußen und verbindliche Auflagen bis hin zu Einschränkungen der Geschäftstätigkeit.

Erhöhtes Angriffsrisiko

Unentdeckte Angriffspfade

Ohne realistische Angriffssimulation bleiben zusammenhängende Schwachstellen über Menschen, Prozesse und Technik unentdeckt – genau die Pfade, die echte Angreifer nutzen.

Persönliche Haftung

Verantwortung der Leitung

Das Leitungsorgan trägt die Letztverantwortung für die digitale operationale Resilienz – Versäumnisse können persönlich und reputativ teuer werden.

Wie wir Ihr TLPT durchführen

Wir besetzen die technische Kernrolle des TLPT: realistische, bedrohungsgeleitete Angriffssimulationen mit aufsichtskonformer Dokumentation.

Threat Intelligence

Aufbereitung realistischer Angreiferprofile und Szenarien auf Basis aktueller Bedrohungslage für Ihr Institut.

Red Teaming

Verdeckte, zielgerichtete Angriffssimulation gegen Ihre kritischen Funktionen – realitätsnah und kontrolliert.

Purple Teaming

Gemeinsame Auswertung mit Ihrem Verteidigungsteam, um Erkennungs- und Reaktionsfähigkeit messbar zu verbessern.

Aufsichtskonforme Berichte

Nachvollziehbare Dokumentation entlang TIBER-EU – vorlagefähig gegenüber der Finanzaufsicht.

Wer ist von TLPT betroffen?

TLPT richtet sich an bedeutende Finanzunternehmen, deren Ausfall erhebliche Auswirkungen auf den Finanzsektor hätte – sowie an deren kritische IKT-Dienstleister.

Banken & Kreditinstitute

Bedeutende Institute mit kritischen oder wichtigen Funktionen im Sinne von DORA.

Versicherungen

Große Versicherungs- und Rückversicherungsunternehmen unter DORA-Aufsicht.

Zahlungs- & Wertpapierdienste

Zahlungsinstitute, Wertpapierfirmen und Handelsplätze mit Systemrelevanz.

Kritische IKT-Dienstleister

Anbieter, die kritische Dienste für den Finanzsektor erbringen und in den Testumfang fallen.

Unser Vorgehen

Ein klar strukturierter Prozess – von der ersten Beratung bis zum prüffähigen Nachweis.

01

Erstgespräch & Scoping

Kostenlos: Wir bestimmen kritische Funktionen und den passenden TLPT-Umfang nach DORA.

02

Threat Intelligence

Bedrohungsgeleitete Szenarien, zugeschnitten auf Ihr Institut.

03

Red-Team-Angriffssimulation

Verdeckte, kontrollierte Angriffe gegen Ihre kritischen Funktionen.

04

Purple Teaming & Bericht

Gemeinsame Auswertung mit Ihrem Blue Team und aufsichtskonforme Dokumentation.

05

Remediation & Re-Test

Begleitung bei der Behebung und Nachtest der kritischen Findings.

Weitere Standards & Regularien

Wir decken die gängigen Sicherheits- und Compliance-Anforderungen ab. Sehen Sie sich verwandte Themen an.

Häufige Fragen

TLPT betrifft Sie? Sprechen wir darüber.

Kostenlose Erstberatung – wir analysieren Ihre Ausgangslage und zeigen den schnellsten Weg zur Konformität.

TLPT – Threat-Led Penetration Testing (DORA) | SODU Secure | SODU Secure