Was bedeutet TLPT unter DORA?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was TLPT eigentlich ist

Threat-Led Penetration Testing ist eine bewusst realistische Sicherheitsübung: Ein externes Red-Team simuliert konkrete, gegen das eigene Unternehmen plausible Angriffsszenarien. Die Szenarien werden aus aktueller Threat Intelligence abgeleitet, also aus dokumentierten Vorgehensweisen realer Angreifergruppen, die im jeweiligen Sektor aktiv sind.

Der zentrale Unterschied zum klassischen Penetration-Test: Der Test läuft gegen produktive kritische Geschäftsfunktionen, nicht gegen Testumgebungen. Auf der Verteidigerseite wissen nur wenige Personen ("White Team"), dass der Angriff läuft. Das Security-Operations-Team (Blue Team) erfährt während der aktiven Testphase nichts davon, sonst würde der Test seine Aussagekraft verlieren.

Vorbild ist das TIBER-EU-Rahmenwerk der Europäischen Zentralbank. Die DelVO (EU) 2025/1190 wurde im Einklang mit TIBER-EU ausgearbeitet und spiegelt dessen Methodik wider; Finanzunternehmen können TIBER-EU oder eine nationale Umsetzung anwenden, soweit diese mit Art. 26 und 27 DORA und der DelVO übereinstimmt (Erwägungsgrund 1). Aus dem zuvor freiwilligen TIBER-Test wird so für die identifizierten Finanzunternehmen eine Pflicht.

Wer ist TLPT-pflichtig?

Nach Art. 26 Abs. 8 Unterabs. 3 DORA identifizieren die zuständigen Behörden die TLPT-pflichtigen Finanzunternehmen. Die Kriterien nennt die Vorschrift selbst: Auswirkungen der Dienste auf den Finanzsektor, mögliche Bedenken für die Finanzstabilität einschließlich systemischer Bedeutung sowie das spezifische IKT-Risikoprofil und der IKT-Reifegrad. Die Einzelheiten regelt die Delegierte Verordnung (EU) 2025/1190, die auf Grundlage von Art. 26 Abs. 11 DORA erlassen wurde. Maßgeblich sind unter anderem:

• Größe, Verflechtung mit anderen Finanzunternehmen, Kritikalität und Substituierbarkeit der Dienstleistungen sowie Komplexität des Geschäftsmodells (Art. 2 Abs. 1 lit. a DelVO 2025/1190)
• Risikoprofil, Bedrohungslage, IKT-Abhängigkeit kritischer oder wichtiger Funktionen, Komplexität der IKT-Architektur und Reifegrad der IKT-Sicherheit (Art. 2 Abs. 1 lit. b)
• Kreditinstitute mit G-SRI- oder A-SRI-Status, Zentralverwahrer und zentrale Gegenparteien gehören zu den Gruppen, von denen die Behörde TLPT grundsätzlich verlangt (Art. 2 Abs. 2)

In Deutschland ermittelt die BaFin regelmäßig, ob die von ihr beaufsichtigten Finanzunternehmen die Kriterien erfüllen, und teilt die Pflicht per Verpflichtungsbescheid mit; signifikante Kreditinstitute erhalten den Bescheid von der EZB. Art. 2 Abs. 2 der Delegierte Verordnung (EU) 2025/1190 enthält dabei quantitative Schwellen, etwa für Zahlungsinstitute ein Zahlungsvolumen von mehr als 150 Mrd. € in jedem der beiden vorangegangenen Kalenderjahre oder für Versicherer kombinierte Schwellen bei Bruttoprämien und versicherungstechnischen Rückstellungen. Unternehmen, die diese Schwellen erreichen, können nur nach einer Bewertung der Behörde ausgenommen werden; umgekehrt kann die Behörde auch weitere Unternehmen einbeziehen.

Ablauf eines TLPT-Tests

Die Delegierte Verordnung (EU) 2025/1190 gliedert einen TLPT in Vorbereitungs-, Test- und Abschlussphase. Eine Gesamtdauer schreibt sie nicht vor; verbindlich ist eine Mindestdauer der aktiven Red-Team-Phase.

1. Vorbereitungsphase

• Nach der Aufforderung der TLPT-Behörde übermittelt das Finanzunternehmen binnen drei Monaten unter anderem eine Projektcharta, den Leiter des Kontrollteams und den geplanten Einsatz interner oder externer Tester (Art. 9 Abs. 2 DelVO 2025/1190)
• Einrichtung des Kontrollteams, das Anbieter von Bedrohungsanalysen und Tester nach Art. 27 DORA und Art. 7 DelVO auswählt
• Scoping-Dokument mit den abgedeckten kritischen oder wichtigen Funktionen; der Testumfang wird von der Behörde validiert (Art. 26 Abs. 2 DORA)

2. Test-Phase

• Reconnaissance, Initial Access, Lateral Movement, Privilege Escalation, Mission Objective
• Mindestens drei Szenarien, ausgewählt vom Leiter des Kontrollteams auf Basis der Bedrohungsanalyse (Art. 10 Abs. 3 DelVO 2025/1190); sie können nacheinander oder gleichzeitig durchgeführt werden (Art. 11 Abs. 5)
• Die aktive Red-Team-Phase dauert mindestens 12 Wochen (Art. 11 der Delegierte Verordnung (EU) 2025/1190)
• Das Blue Team weiß während der aktiven Testphase nichts vom Test
• Das Control Team steuert den Test; kommen die Tester auf einem Angriffspfad nicht allein weiter, kann es ihnen Hilfestellung oder Informationen geben ("Leg-up", Definition in Art. 1 der Delegierte Verordnung (EU) 2025/1190)

3. Closure-Phase

• Nach Ende der aktiven Testphase wird das Blue Team informiert, dass ein TLPT stattgefunden hat
• Red-Team-Report binnen vier Wochen nach Ende der aktiven Phase (Art. 12 der Delegierte Verordnung (EU) 2025/1190)
• Blue-Team-Bericht sowie Replay und Purple Teaming, also gemeinsame Auswertung von Testern und Blue Team, binnen zehn Wochen (Art. 12 der Delegierte Verordnung (EU) 2025/1190)
• Zusammenfassender Bericht zur Genehmigung an die TLPT-Behörde binnen acht Wochen, nachdem diese die Vollständigkeit von Red- und Blue-Team-Bericht bestätigt hat (Art. 12 Abs. 7 DelVO 2025/1190)
• Plan mit Abhilfemaßnahmen je Ergebnis, mit Priorisierung, voraussichtlichem Abschluss und Ursachenanalyse, binnen acht Wochen nach derselben Unterrichtung (Art. 13)
• Bescheinigung der Behörde über die ordnungsgemäße Durchführung (Art. 26 Abs. 7 DORA)

TIBER-EU als verbindlicher Rahmen

Die RTS zu Threat-Led Penetration Testing wurden im Einklang mit TIBER-EU ausgearbeitet; TIBER-EU darf angewendet werden, soweit es mit DORA und der DelVO (EU) 2025/1190 übereinstimmt. Maßgeblich sind die Anforderungen der DelVO selbst:

• Anbieter von Bedrohungsanalysen und Tester müssen die Anforderungen aus Art. 27 DORA und Art. 7 DelVO 2025/1190 erfüllen
• Personalqualifikation: Externe Tester-Teams brauchen nach Art. 7 der Delegierte Verordnung (EU) 2025/1190 mindestens einen Leiter mit fünf Jahren und zwei weitere Tester mit je zwei Jahren Erfahrung in Penetrations- und Red-Team-Tests, mindestens fünf Referenzen aus solchen Aufträgen sowie Zertifizierungen, die nach anerkannten Marktstandards für die Tätigkeit geeignet sind. Konkrete Zertifikate schreibt die Verordnung nicht vor.
• Methodik: Vorbereitungs-, Bedrohungsanalyse-, Red-Team- und Abschlussphase nach Art. 9 bis 13 DelVO 2025/1190
• Dokumentation: Inhalte von Scoping-Dokument, Bedrohungsanalysebericht, Red-Team-Testplan, Red- und Blue-Team-Bericht und zusammenfassendem Bericht geben die Anhänge der DelVO vor

In Deutschland ist die BaFin TLPT-Behörde für die von ihr beaufsichtigten Finanzunternehmen: Sie erlässt Verpflichtungsbescheid und Testanordnung, letztere in Abstimmung mit der Deutschen Bundesbank, die alle Tests operativ begleitet. Für signifikante Kreditinstitute ist die EZB zuständig, für Börsen die Börsenaufsichtsbehörden der Länder.

Welche Pflichten ergeben sich konkret?

Für die erfassten Institute heißt das in der Praxis:

• Mindestens alle drei Jahre einen vollständigen TLPT-Zyklus durchlaufen (Art. 26 Abs. 1 DORA)
• Tester einsetzen, die die Anforderungen aus Art. 27 DORA erfüllen; interne Tester sind nur mit Genehmigung der Behörde und mit externem Anbieter von Bedrohungsanalysen zulässig (Art. 27 Abs. 2), dann ist nach Art. 26 Abs. 8 DORA jeder dritte Test mit externen Testern durchzuführen; signifikante Kreditinstitute dürfen nur externe Tester einsetzen

• Zusammenfassung der Ergebnisse, Abhilfepläne und Nachweise der TLPT-Behörde vorlegen (Art. 26 Abs. 6 DORA); ein gemeinsamer Pooled-Test mit einem IKT-Drittdienstleister ist nach Art. 26 Abs. 4 DORA eine Option, keine Pflicht
• Identifizierte Schwachstellen mit einem dokumentierten Remediation-Plan behandeln

Die Kosten hängen von Scope, Anzahl der getesteten kritischen Funktionen, Threat-Intelligence-Anforderungen und Red-Team-Dauer ab und ergeben sich aus den Angeboten der Provider.

Wer ist nicht TLPT-pflichtig?

Finanzunternehmen ohne TLPT-Pflicht müssen ein Testprogramm nach Art. 24 und 25 DORA unterhalten; alle IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, sind mindestens jährlich angemessen zu testen (Art. 24 Abs. 6, nicht für Kleinstunternehmen). Art. 25 Abs. 1 nennt als Beispiele unter anderem:

• Vulnerability Assessments
• Open-Source-Analysen

• Netzwerksicherheits-Bewertungen
• Performance-Tests
• End-to-End-Tests
• Penetration Testing (klassisch, nicht TLPT)

Die Tiefe orientiert sich am Risikoprofil. Wer keinen Verpflichtungsbescheid zu TLPT erhalten hat, erfüllt die Testpflichten mit den Tests nach Art. 25 DORA, darunter der klassische Penetrationstest.

Abgrenzung zu klassischen Pentests

Klassische Penetration-Tests fokussieren auf technische Schwachstellen in einer abgegrenzten Test-Umgebung. Tester wissen typischerweise, welche Systeme im Scope sind; Verteidiger sind oft informiert. Ergebnis ist eine Liste technischer Findings mit Schwere-Klassifizierung.

TLPT erweitert das in mehreren Dimensionen:

• Realitäts-Treue: produktive Systeme, nicht Test-Umgebungen
• Threat-Intelligence-Basis: Szenarien aus realer Bedrohungs-Lage, nicht generische Pentest-Methoden
• Verteidiger-Blindheit: Blue Team weiß während der aktiven Testphase nichts vom Test
• Geschäfts-Sicht: nicht "Schwachstelle X gefunden", sondern "kritische Geschäftsfunktion Y wäre kompromittierbar"
• Behörden-Begleitung: Die TLPT-Behörde nimmt an allen Phasen teil (Art. 3 Abs. 5 DelVO 2025/1190), in Deutschland mit operativer Begleitung durch die Bundesbank

Wer noch nie einen klassischen Pentest gemacht hat, sollte nicht direkt mit TLPT starten, das ist ein Sprung in die Tiefe, der ohne vorausgegangene Pentest-Reife meist scheitert. Sinnvolle Reihenfolge: Schwachstellen-Scans → klassischer Pentest → Red-Team-Übung intern → TLPT.

Vorbereitung: was im Vorfeld stehen muss

Auch wenn der Test extern durchgeführt wird, muss das Institut vor TLPT-Start eine Reihe an Voraussetzungen erfüllen:

• Asset-Inventar der kritischen Geschäftsfunktionen und der dahinter liegenden Systeme
• Incident-Response-Prozess mit klaren Rollen und Eskalations-Pfaden
• Logging und Monitoring auf einem Reife-Grad, der Blue-Team-Erkennung überhaupt ermöglicht
• White-Team-Charta mit klaren Befugnissen, inklusive Test-Stopp-Recht
• Versicherungs-Klausel zu Cyber-Vorfällen: Bedingungen der Cyber-Versicherung auf Anzeige- oder Informationspflichten prüfen
• Kommunikations-Plan für den Fall, dass der Test (von Blue Team unbemerkt) reale Kunden-Auswirkungen verursacht

FAQ

Ist TLPT für alle Banken in Deutschland Pflicht?

Nein. TLPT-pflichtig sind nur Finanzunternehmen, die die zuständige Behörde nach Art. 26 Abs. 8 DORA und Art. 2 der Delegierten Verordnung (EU) 2025/1190 identifiziert, bei der BaFin beaufsichtigten Unternehmen die BaFin, bei signifikanten Kreditinstituten die EZB; mitgeteilt wird das per Verpflichtungsbescheid. Alle übrigen Finanzunternehmen müssen den regulären Resilience-Test-Katalog nach Art. 24-25 DORA erfüllen.

Wie oft muss TLPT durchgeführt werden?

Nach Art. 26 Abs. 1 DORA mindestens alle drei Jahre. Die zuständige Behörde kann auf Grundlage des Risikoprofils und unter Berücksichtigung der betrieblichen Umstände verlangen, die Frequenz zu verringern oder zu erhöhen; der Verpflichtungsbescheid der BaFin nennt den Rhythmus.

Was kostet ein TLPT-Test?

Eine belastbare Bandbreite lässt sich nicht pauschal angeben; die Kosten ergeben sich aus den Angeboten. Maßgeblich sind Scope, Anzahl der getesteten kritischen Funktionen, Threat-Intelligence-Tiefe und Red-Team-Wochen. Hinzu kommen interne Aufwände im White Team und Remediation-Budget.

Darf ich meinen eigenen Pentest-Anbieter weiter nutzen?

Nur wenn er die Anforderungen aus Art. 27 DORA und Art. 7 der Delegierte Verordnung (EU) 2025/1190 erfüllt, unter anderem Teamgröße und Berufserfahrung, Referenzen, geeignete Zertifizierungen sowie eine Berufshaftpflichtversicherung (Art. 27 Abs. 1 lit. e DORA).

Wer im Unternehmen muss vom Test wissen?

So wenige wie möglich. Das Control Team (früher "White Team") steuert den Test. Das operative Security-Operations-Team (Blue Team) erfährt nach Ende der aktiven Red-Team-Phase davon und wertet den Test anschließend im Replay und Purple Teaming mit den Testern aus (Art. 12 der Delegierte Verordnung (EU) 2025/1190). Diese Trennung schützt die Aussagekraft der Ergebnisse.