Was ist TIBER-EU?

TIBER-EU einfach erklärt

Die Abkürzung steht für „Threat Intelligence-based Ethical Red Teaming“, also ethisches Red Teaming auf Basis von Bedrohungsinformationen. Die Europäische Zentralbank hat das Rahmenwerk gemeinsam mit den nationalen Zentralbanken entwickelt und im Mai 2018 veröffentlicht.

Ein Vergleich: Eine angekündigte Feuerwehrübung zeigt vor allem, ob alle den Weg zum Sammelplatz kennen. Aussagekräftiger ist eine unangekündigte Übung, die auf den Brandrisiken genau dieses Gebäudes beruht. TIBER-EU überträgt diesen Gedanken auf die IT-Sicherheit. Ein Red Team greift das Unternehmen so an, wie es echte Angreifer nach aktueller Lage tun würden – und die Verteidiger wissen nichts davon.

Damit das trotz Angriffen auf Produktivsysteme beherrschbar bleibt, legt TIBER-EU nicht nur die Methode fest, sondern auch einen streng geregelten Ablauf mit klaren Rollen.

So läuft ein TIBER-EU-Test ab

Beteiligt sind mehrere Parteien. Im Unternehmen ist nur ein kleines Kontrollteam eingeweiht (Control Team, früher White Team). Das Blue Team, also die Verteidigung, ahnt nichts. Hinzu kommen ein Anbieter für Bedrohungsinformationen (Threat Intelligence), das Red Team und das TIBER Cyber Team der zuständigen Behörde, das den Test begleitet.

Der Test gliedert sich in drei Phasen:

1. Vorbereitung: Die Behörde benachrichtigt das Unternehmen. Das Kontrollteam legt in Abstimmung mit ihr fest, welche kritischen Funktionen geprüft werden, bewertet die Risiken und beauftragt die Dienstleister. Diese Phase dauert höchstens sechs Monate.
2. Test: Zuerst analysiert der Threat-Intelligence-Anbieter, welche Angreifergruppen für das Unternehmen relevant sind und wie sie vorgehen. Daraus entstehen konkrete Angriffsszenarien. Anschließend setzt das Red Team diese Szenarien gegen die Produktivsysteme um, also gegen die echten Systeme im laufenden Betrieb. Die aktive Angriffsphase dauert mindestens zwölf Wochen.
3. Abschluss: Red Team und Blue Team erstellen Berichte. Gemeinsam wird der Angriff nachgestellt, und in einer verpflichtenden Purple-Teaming-Übung arbeiten beide Seiten offen zusammen. Am Ende stehen ein Maßnahmenplan und eine Bestätigung, dass der Test nach den Vorgaben ablief.

Kommt das Red Team an einer Stelle nicht weiter, kann das Kontrollteam gezielt helfen, etwa mit einem bereitgestellten Zugang. So lassen sich auch die nachgelagerten Verteidigungslinien prüfen. Fachleute sprechen von einem „Leg-up“.

Ein Beispiel aus der Praxis

Ein Kreditinstitut wird für einen Test ausgewählt. Das Kontrollteam besteht aus dem IT-Vorstand, der Informationssicherheitsbeauftragten und einer Vertrauensperson aus dem IT-Betrieb. Der Threat-Intelligence-Bericht zeigt: Besonders relevant sind kriminelle Gruppen, die über gezieltes Phishing einsteigen und Zahlungsprozesse manipulieren wollen.

Das Red Team verschafft sich über eine präparierte E-Mail Zugang zu einem Arbeitsplatzrechner und arbeitet sich über Wochen bis zu den Systemen des Zahlungsverkehrs vor. Das Blue Team bemerkt einzelne Schritte, erkennt aber nicht, dass sie zu einem zusammenhängenden Angriff gehören. Beim Purple Teaming spielen beide Teams die Schritte nach. Das Institut verbessert daraufhin seine Erkennungsregeln und die Abstimmung zwischen IT-Betrieb und Sicherheitsteam.

Warum ist das für Unternehmen wichtig?

Seit dem 17. Januar 2025 gilt DORA, der Digital Operational Resilience Act. Von der Aufsicht ausgewählte Finanzunternehmen müssen danach in der Regel mindestens alle drei Jahre einen bedrohungsorientierten Penetrationstest durchführen, kurz TLPT. Anfang 2025 wurde TIBER-EU an die technischen Regulierungsstandards zu TLPT angepasst und dient seither als praktischer Leitfaden für solche Tests.

In Deutschland wird TIBER-EU als TIBER-DE umgesetzt. Das zuständige TIBER Cyber Team ist bei der Deutschen Bundesbank angesiedelt und betreut sowohl freiwillige TIBER-DE-Tests als auch TLPT, die etwa die BaFin nach DORA anordnet. Auch für Unternehmen ohne Testpflicht kann die Methodik ein Maßstab für besonders realistische Sicherheitstests sein.

Was Unternehmen jetzt tun sollten

• Betroffenheit klären: Prüfen Sie, ob Ihr Unternehmen unter DORA fällt und ob eine TLPT-Pflicht in Betracht kommt.
• Grundlagen schaffen: Ein bedrohungsorientierter Test bringt den größten Nutzen, wenn regelmäßige Penetrationstests, ein funktionierendes Patch-Management und eine Angriffserkennung bereits etabliert sind.
• Kritische Funktionen kennen: Dokumentieren Sie, welche Geschäftsfunktionen kritisch sind und auf welchen Systemen sie beruhen.
• Kontrollteam benennen: Bestimmen Sie früh einen kleinen, vertrauenswürdigen Kreis, der den Test steuert und vertraulich behandelt.
• Erkennung üben: Red- und Purple-Teaming-Übungen bereiten Ihr Blue Team realistisch vor.
• Dienstleister sorgfältig auswählen: TIBER-EU stellt hohe Anforderungen an Erfahrung und Qualifikation von Threat-Intelligence-Anbietern und Red Teams.

Wie Rootsektor unterstützt

Mit Red Teaming & APT-Simulation prüfen wir Ihre Erkennungs- und Reaktionsfähigkeit realistisch – auf Wunsch nach dem Vorbild von TIBER-EU und als gezielte Vorbereitung auf einen TLPT. Als Variante bzw. Ergänzung des Red Teamings bieten wir Purple Teaming an: Dabei arbeiten wir offen mit Ihrem Blue Team zusammen und schärfen die Erkennung gemeinsam nach. Welche Anforderungen speziell für Banken, Versicherer und Zahlungsdienstleister gelten, lesen Sie auf unserer Seite Finanzdienstleister.