TLPT Threat-Led Penetration Testing
Das Threat-Led Penetration Testing (TLPT) ist ein bedrohungsgeleiteter Penetrationstest, der reale Angreifer auf Ihre kritischen Funktionen nachstellt. Unter DORA wird er für bedeutende Finanzunternehmen verpflichtend – wir liefern die technischen Angriffssimulationen.
Was ist TLPT (Threat-Led Penetration Testing)?
TLPT ist ein bedrohungsorientierter, intelligence-geführter Penetrationstest: Statt einzelne Systeme isoliert zu prüfen, wird auf Basis aktueller Bedrohungsinformationen (Threat Intelligence) ein realistisches Angriffsszenario gegen die kritischen oder wichtigen Funktionen eines Unternehmens durchgespielt – inklusive Menschen, Prozessen und Technik.
Rechtlich verankert ist TLPT in der EU-Verordnung DORA (Art. 26–27). Methodisch baut es auf dem europäischen TIBER-EU-Rahmenwerk auf. Bedeutende Finanzunternehmen müssen TLPT mindestens alle drei Jahre durchführen; der Umfang wird von der Aufsicht risikobasiert festgelegt.
Rechtsgrundlage
DORA Art. 26-27
Rahmenwerk
TIBER-EU
Turnus
mind. alle 3 Jahre
Welche Anforderungen stellt TLPT?
TLPT folgt einem strukturierten, mehrphasigen Ablauf nach TIBER-EU – von der Threat Intelligence über die Angriffsdurchführung (Red Team) bis zur gemeinsamen Auswertung mit dem Verteidigungsteam (Blue Team).
Scoping
Kritische Funktionen und Testumfang nach DORA festlegen
Threat Intelligence
Bedrohungsgeleitete, realistische Angriffsszenarien
Red Teaming
Verdeckte Angriffssimulation auf Produktionssysteme
Purple Teaming
Gemeinsame Auswertung mit Ihrem Blue Team
Bericht & Nachweis
Aufsichtskonforme Dokumentation und Remediation
Was droht ohne TLPT?
TLPT ist für bedeutende Finanzunternehmen kein Kann, sondern ein verbindlicher Bestandteil des DORA-Testprogramms. Versäumnisse werden von der Finanzaufsicht durchgesetzt.
Aufsichtsmaßnahmen
Sanktionen durch BaFin & EZB
Fehlt der geforderte TLPT-Nachweis, drohen aufsichtsrechtliche Maßnahmen, Geldbußen und verbindliche Auflagen bis hin zu Einschränkungen der Geschäftstätigkeit.
Erhöhtes Angriffsrisiko
Unentdeckte Angriffspfade
Ohne realistische Angriffssimulation bleiben zusammenhängende Schwachstellen über Menschen, Prozesse und Technik unentdeckt – genau die Pfade, die echte Angreifer nutzen.
Persönliche Haftung
Verantwortung der Leitung
Das Leitungsorgan trägt die Letztverantwortung für die digitale operationale Resilienz – Versäumnisse können persönlich und reputativ teuer werden.
Wie wir Ihr TLPT durchführen
Wir besetzen die technische Kernrolle des TLPT: realistische, bedrohungsgeleitete Angriffssimulationen mit aufsichtskonformer Dokumentation.
Threat Intelligence
Aufbereitung realistischer Angreiferprofile und Szenarien auf Basis aktueller Bedrohungslage für Ihr Institut.
Red Teaming
Verdeckte, zielgerichtete Angriffssimulation gegen Ihre kritischen Funktionen – realitätsnah und kontrolliert.
Purple Teaming
Gemeinsame Auswertung mit Ihrem Verteidigungsteam, um Erkennungs- und Reaktionsfähigkeit messbar zu verbessern.
Aufsichtskonforme Berichte
Nachvollziehbare Dokumentation entlang TIBER-EU – vorlagefähig gegenüber der Finanzaufsicht.
Wer ist von TLPT betroffen?
TLPT richtet sich an bedeutende Finanzunternehmen, deren Ausfall erhebliche Auswirkungen auf den Finanzsektor hätte – sowie an deren kritische IKT-Dienstleister.
Banken & Kreditinstitute
Bedeutende Institute mit kritischen oder wichtigen Funktionen im Sinne von DORA.
Versicherungen
Große Versicherungs- und Rückversicherungsunternehmen unter DORA-Aufsicht.
Zahlungs- & Wertpapierdienste
Zahlungsinstitute, Wertpapierfirmen und Handelsplätze mit Systemrelevanz.
Kritische IKT-Dienstleister
Anbieter, die kritische Dienste für den Finanzsektor erbringen und in den Testumfang fallen.
Unser Vorgehen
Ein klar strukturierter Prozess – von der ersten Beratung bis zum prüffähigen Nachweis.
Erstgespräch & Scoping
Kostenlos: Wir bestimmen kritische Funktionen und den passenden TLPT-Umfang nach DORA.
Threat Intelligence
Bedrohungsgeleitete Szenarien, zugeschnitten auf Ihr Institut.
Red-Team-Angriffssimulation
Verdeckte, kontrollierte Angriffe gegen Ihre kritischen Funktionen.
Purple Teaming & Bericht
Gemeinsame Auswertung mit Ihrem Blue Team und aufsichtskonforme Dokumentation.
Remediation & Re-Test
Begleitung bei der Behebung und Nachtest der kritischen Findings.
Weitere Standards & Regularien
Wir decken die gängigen Sicherheits- und Compliance-Anforderungen ab. Sehen Sie sich verwandte Themen an.
Häufige Fragen
TLPT betrifft Sie? Sprechen wir darüber.
Kostenlose Erstberatung – wir analysieren Ihre Ausgangslage und zeigen den schnellsten Weg zur Konformität.