Was ist ein TLPT?

TLPT einfach erklärt

TLPT steht für Threat-Led Penetration Testing, auf Deutsch „bedrohungsorientierter Penetrationstest“. Bei einem gewöhnlichen Penetrationstest suchen Fachleute in festgelegten Systemen nach Schwachstellen. Ein TLPT geht weiter: Er spielt einen kompletten Angriff durch – so, wie ihn eine reale Tätergruppe gegen genau dieses Unternehmen führen würde.

Stellen Sie sich eine unangekündigte Brandschutzübung vor – nicht auf dem Übungsgelände, sondern im echten Bürogebäude während der Arbeitszeit. Das Drehbuch beruht auf den Brandursachen, die für dieses Gebäude am wahrscheinlichsten sind. Nur eine kleine Gruppe ist eingeweiht und kann die Übung jederzeit stoppen. Alle anderen reagieren so, wie sie es im Ernstfall tun würden.

Vorgeschrieben ist der TLPT im Digital Operational Resilience Act (DORA), der seit dem 17. Januar 2025 für Finanzunternehmen in der EU gilt. Methodisch baut er auf dem europäischen Rahmenwerk TIBER-EU auf. Im Kern ist ein TLPT eine streng geregelte Form von Red Teaming – also eines realistischen, verdeckten Angriffs durch beauftragte Fachleute.

So funktioniert ein TLPT

Den Ablauf regeln DORA (Art. 26 und 27) und ergänzende technische Regulierungsstandards, die sich eng an TIBER-EU anlehnen:

1. Auswahl durch die Aufsicht: Die zuständige Behörde bestimmt, welche Finanzunternehmen einen TLPT durchführen müssen. Maßgeblich sind ihre Bedeutung für den Finanzsektor, mögliche Folgen für die Finanzstabilität und ihr IKT-Risikoprofil (IKT steht für Informations- und Kommunikationstechnik). In Deutschland ist das in der Regel die BaFin, bei bedeutenden Banken unter direkter Aufsicht der Europäischen Zentralbank (EZB) die EZB. Operativ begleitet die Deutsche Bundesbank die Tests.
2. Vorbereitung: Ein kleines, eingeweihtes Kontrollteam im Unternehmen legt fest, welche kritischen oder wichtigen Funktionen geprüft werden – etwa der Zahlungsverkehr. Die Behörde muss diesen Umfang bestätigen.
3. Bedrohungsanalyse: Spezialisten für Threat Intelligence (Bedrohungsaufklärung) ermitteln, welche Angreifergruppen für das Unternehmen relevant sind und wie diese vorgehen. Daraus entstehen konkrete Angriffsszenarien.
4. Angriff: Das Red Team setzt diese Szenarien auf den echten Produktivsystemen um, also im laufenden Betrieb. Die aktive Angriffsphase dauert mindestens zwölf Wochen. Die Verteidiger – das Blue Team – wissen nichts davon.
5. Abschluss: Angreifer und Verteidiger spielen den Angriff gemeinsam nach und vertiefen ausgewählte Themen in einem verpflichtenden Purple Teaming – einer gemeinsamen Übung beider Seiten. Das Unternehmen erstellt einen Maßnahmenplan, und die Behörde bescheinigt die regelkonforme Durchführung.

Grundsätzlich ist ein TLPT mindestens alle drei Jahre fällig; die Aufsicht kann den Rhythmus anpassen. Interne Tester sind unter strengen Bedingungen erlaubt, mindestens jeder dritte Test muss aber mit externen Testern erfolgen. Bedeutende Banken unter direkter EZB-Aufsicht müssen stets externe Tester beauftragen.

Ein Beispiel aus der Praxis

Ein großes Kreditinstitut erfährt von der Aufsicht, dass es einen TLPT durchführen muss. Im Fokus stehen Zahlungsverkehr und Online-Banking.

Die Bedrohungsanalyse zeigt: Für vergleichbare Institute sind vor allem Gruppen relevant, die mit gezielten E-Mails und über IT-Dienstleister angreifen. Das Red Team gelangt über eine präparierte Bewerbung auf einen Rechner der Personalabteilung. Über ein technisches Benutzerkonto mit zu weitreichenden Rechten arbeitet es sich bis in die Nähe der Zahlungssysteme vor. Das Blue Team bemerkt ungewöhnliche Anmeldungen, stuft sie aber zunächst als harmlos ein.

In der Abschlussphase spielen beide Teams den Angriff Schritt für Schritt nach. Das Institut sieht genau, wo Erkennung und Reaktion nachgeschärft werden müssen, und hält die Maßnahmen in einem Plan fest.

Warum ist das für Unternehmen wichtig?

Für die ausgewählten Finanzunternehmen ist der TLPT Pflicht – die Aufsicht erwartet ihn und erhält die Ergebnisse. Die Verantwortung für das IKT-Risikomanagement trägt nach DORA das Leitungsorgan, also die Geschäftsleitung.

Der Nutzen geht über die Pflicht hinaus. Ein TLPT zeigt nicht nur einzelne Schwachstellen, sondern ob Technik, Prozesse und Menschen gemeinsam einem gezielten Angriff standhalten. Weil die Behörde die Durchführung bestätigt, können auch Aufsichtsbehörden anderer EU-Staaten den Test anerkennen.

Auch IT-Dienstleister von Banken und Versicherern sollten das Thema kennen: Unterstützen sie kritische Funktionen, können sie Teil des Testumfangs werden.

Was Unternehmen jetzt tun sollten

• Klären Sie, ob Ihr Haus für einen TLPT infrage kommt, und suchen Sie bei offenen Fragen früh den Austausch mit der Aufsicht.
• Dokumentieren Sie Ihre kritischen oder wichtigen Funktionen und die Systeme, die sie unterstützen.
• Schaffen Sie eine solide Basis: regelmäßige Penetrationstests, ein funktionierendes Patch-Management und eine Angriffserkennung, die tatsächlich überwacht wird.
• Benennen Sie früh ein kleines Kontrollteam und legen Sie Eskalationswege und Abbruchkriterien fest.
• Wählen Sie Tester und Threat-Intelligence-Anbieter sorgfältig aus – DORA stellt hohe Anforderungen an ihre Eignung, Fachkunde und Erfahrung.
• Üben Sie vorab: Eine Red-Teaming-Übung nach dem Vorbild von TIBER-EU zeigt, wo Sie stehen, bevor es offiziell wird.

Wie Rootsektor unterstützt

Rootsektor bereitet Finanzunternehmen und ihre IT-Dienstleister gezielt auf bedrohungsorientierte Tests vor – mit vorgelagerten Penetrationstests und mit Red Teaming & APT-Simulation nach dem Vorbild von TIBER-EU, auf Wunsch ergänzt um Purple Teaming. Auch Instituten ohne TLPT-Pflicht bieten solche Übungen eine realistische Standortbestimmung. Welche Regeln für Ihre Branche gelten, fasst unsere Seite für Finanzdienstleister zusammen; für ein Erstgespräch nutzen Sie gern den Kontakt.