DORA-Penetrationstest für Finanzdienstleister

DORA verlangt, dass alle IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens jährlich angemessen getestet werden; Kleinstunternehmen sind davon ausgenommen. Welche Tests angemessen sind – vom Schwachstellenscan über die Quellcodeprüfung bis zum Penetrationstest –, richtet sich nach Risiko und Proportionalität. Zusätzliche Tests empfehlen sich nach größeren Releases, Migrationen oder neuen Schnittstellen.

Das entscheidet die zuständige Behörde anhand von Kriterien wie Systemrelevanz und IKT-Risikoprofil. Ein TLPT folgt einem streng geregelten Ablauf mit Threat Intelligence, verdecktem Red-Team-Test und formalem Abschluss. Wir unterstützen Sie bei der Vorbereitung, etwa mit vorgelagerten Penetrationstests, und bieten Instituten ohne TLPT-Pflicht Red-Teaming-Übungen nach dem Vorbild von TIBER-EU.

Ja. Bei Schnittstellen für Kontoinformations- und Zahlungsauslösedienste achten wir besonders auf die starke Kundenauthentifizierung, die Verwaltung von Einwilligungen und die Vergabe von Zugriffstoken. Ebenso prüfen wir Anbindungen an Zahlungsdienstleister, Identitätsanbieter und Kernbankensysteme. Systeme, die Dritten gehören, beziehen wir nur mit deren Zustimmung ein – die nötigen Freigaben holen wir im Scoping gemeinsam mit Ihnen ein.

Ja. Dafür richten Sie uns für jede Rolle eigene Testkonten ein – etwa für Privat- und Firmenkunden, Bevollmächtigte, Beratung und Administration. Wir prüfen dann, ob jemand fremde Konten einsehen oder Funktionen einer höheren Rolle nutzen kann, ob sich Limits umgehen oder Freigaben nach dem Vier-Augen-Prinzip aushebeln lassen.

DORA verpflichtet Finanzunternehmen, die Risiken ihrer IKT-Drittdienstleister vertraglich und laufend zu steuern. Wer Banken, Versicherer oder Zahlungsdienstleister beliefert, wird deshalb regelmäßig nach aktuellen Testergebnissen gefragt. Mit unserer Prüfbescheinigung belegen Sie den Test, ohne den vollständigen technischen Bericht herauszugeben.

Das stimmen wir individuell ab. Viele Prüfungen lassen sich in einer produktionsnahen Testumgebung durchführen. Wo Tests in der Produktion nötig sind, arbeiten wir mit dedizierten Testkonten, festen Zeitfenstern und ohne echte Kundentransaktionen. Ihr Security Operations Center informieren wir vorab – oder bewusst nicht, wenn Sie die Erkennung mitprüfen möchten.

Ja. Bei einem Sicherheitsvorfall hilft unser Team für Incident Response & Forensik remote und vor Ort – bei Eindämmung, forensischer Aufklärung und Wiederherstellung. Schwerwiegende IKT-bezogene Vorfälle müssen Finanzunternehmen nach DORA in mehreren Stufen an die zuständige Aufsicht melden, in Deutschland meist die BaFin; wir liefern die technischen Fakten dafür. Außerhalb der Geschäftszeiten erreichen Sie uns über die 24/7-Notfall-Hotline unter +49 2932 465265-0.