TLPT-Methodik: Vom Umfang zu verifizierten Behebungen

Wie der Test zu einer Entscheidungsgrundlage wird

Die Methode sollte die bislang nicht nachgewiesene Resilienz von Menschen, Prozessen und Technologie überprüfbar machen, ohne die vereinbarte Befugnis zu überschreiten. Beginnen Sie mit einem durch die zuständige Stelle bestätigten Umfang, bedrohungsgeleiteten Szenarien und Nachweisen zum Abschluss; halten Sie Ausgangsbedingungen, Handlung, beobachtetes Ergebnis und Einschränkungen fest. Vereinbaren Sie Abbruchbedingungen vor der Durchführung und Abnahmekriterien vor dem Retest.

01 — Vorbereiten und Umfang festlegen

Stellen Sie das Kontrollteam auf, beziehen Sie die zuständige Behörde ein und bestätigen Sie die Grundlage für die Tests. Ordnen Sie kritische oder wichtige Funktionen den Personen, Prozessen, Produktivsystemen und IKT-Dienstleistern zu. Dokumentieren Sie Umfangsgrenzen und Abhängigkeiten so, dass sie überprüft und validiert werden können.

Beschaffung, Vertraulichkeit, Abstimmung mit Behörden, Risikobewertung und Regeln für die Durchführung sind Voraussetzungen für eine sichere Ausführung. Legen Sie fest, wer während der Tests Änderungen genehmigen, Aktivitäten stoppen und einen tatsächlichen Vorfall bearbeiten kann.

02 — Gezielte Bedrohungsinformationen entwickeln

Nutzen Sie die Gefährdungslage und das Bedrohungsumfeld der Organisation, um relevante Angreifer und plausible Angriffsszenarien zu ermitteln. In der Informationsbeschaffungsphase sollte nachvollziehbar sein, warum ein Szenario ausgewählt wurde und welche Funktionen getestet werden.

Gesicherte Fakten, analytische Beurteilungen und Unsicherheiten getrennt betrachten. Stimmen Sie die Erkenntnisse und Szenarioergebnisse mit den geeigneten Beteiligten ab, bevor die Red-Team-Planung abgeschlossen wird.

03 — Kontrollierte Red-Team-Tests durchführen

Überführen Sie Szenarien in einen Testplan, vereinbarte Ziele und kontrollierte Maßnahmen. Das Kontrollteam behält die Aufsicht, während die Präventions-, Erkennungs- und Reaktionsfähigkeiten der Verteidiger nach der anwendbaren Methodik geprüft werden.

Die aktive Red-Team-Testphase muss gemäß RTS-Artikel 11 Absatz 5 mindestens 12 Wochen dauern. Betriebliche Umstände, genehmigte Änderungen und ein etwaiges begrenztes Purple Teaming müssen im Einklang mit den RTS und dem Verfahren der zuständigen Behörde gehandhabt werden. Dies ist keine Erlaubnis, den Test einseitig zu verkürzen oder neu festzulegen.

04 — Den Test rekonstruieren und Erkenntnisse gewinnen

Legen Sie nach aktiven Tests die Übung über das vereinbarte Verfahren gegenüber dem Blue Team offen. Führen Sie die Angriffsdarstellung des Red Teams mit dem Bericht der Verteidiger zusammen. Replay, gemeinsame Analyse und Purple Teaming helfen zu erklären, wo Kontrollen funktioniert haben, wo die Sichtbarkeit fehlte und was geändert werden sollte.

Die RTS legt Anforderungen an Inhalt und Zeitplan des Berichts fest. Planen Sie den Red-Team-Bericht, den Blue-Team-Bericht und die Testzusammenfassung frühzeitig, statt sie am Ende aus unvollständigen Notizen zusammenzustellen.

05 — Behebungsmaßnahmen planen und die Belege vervollständigen

Weisen Sie die Verantwortung für Behebungsmaßnahmen und Prioritäten zu, unterscheiden Sie zwischen sofortigen Korrekturen und strukturellen Verbesserungen und vereinbaren Sie, wie der Abschluss nachgewiesen wird. Reichen Sie die erforderlichen Unterlagen über das Behördenverfahren des Finanzunternehmens ein.

Die Abschlussdokumentation und eine etwaige Bestätigung durch eine Behörde beziehen sich auf den Test. Das Unternehmen bleibt für seine umfassenderen DORA-Pflichten und sein Behebungsprogramm verantwortlich. Lesen Sie mehr über die Ergebnisse und Zuständigkeiten.

Wie TIBER-EU einzuordnen ist

Das TIBER-EU-Rahmenwerk der EZB enthält praktische Leitlinien, Rollen der Beteiligten und Vorlagen. Wenden Sie es im Einklang mit DORA, den technischen Regulierungsstandards für TLPT und der Umsetzung durch die jeweils zuständige Behörde an. Ein Anbieter sollte erläutern, wie sein Vorgehen diesen Anforderungen entspricht, statt den Namen TIBER als Akkreditierung zu behandeln.