TLPT
Threat-Led Penetration Testing
Was ist Threat-Led Penetration Testing (TLPT)?
Threat-Led Penetration Testing (TLPT) ist eine erweiterte Form des Red Teamings mit dem Ziel, die Resilienz und Sicherheit kritischer und wichtiger Funktionen in Finanzunternehmen zu testen. DORA fordert die Durchführung von TLPT als ergänzendes Mittel zu klassischen, asset-basierten Pentests, nicht als Ersatz.
TLPT basiert auf dem TIBER-EU Rahmenwerk zur Durchführung von Red Team Assessments in Finanzinstituten und Banken. Dabei werden realitätsnahe Angriffsszenarien entwickelt und simuliert, die den Methoden und Vorgehensweisen potenzieller Angreifer nachempfunden sind.
Durch den gezielten Einsatz von Taktiken, Techniken und Verfahren (TTPs) werden sowohl technische Schwachstellen in IT-Infrastrukturen als auch organisatorische Lücken in den operativen Abläufen aufgedeckt. Die gewonnenen Erkenntnisse ermöglichen es den Unternehmen, bestehende Sicherheitsmaßnahmen zu evaluieren, gezielte Verbesserungen zu implementieren und somit ihre digitale Widerstandsfähigkeit nachhaltig zu stärken.
Wer muss TLPT durchführen?
Nicht alle von DORA betroffenen Finanzinstitute sind automatisch zur Durchführung von TLPT verpflichtet. Sollten Sie dieser Verpflichtung nachkommen müssen, werden Sie von Ihrer nationalen Aufsichtsbehörde darüber informiert. Sie müssen zudem Ihre externen Drittanbieter in den Testumfang einbeziehen, wenn diese IT-Systeme oder Anwendungen betreiben oder bereitstellen, die eine kritische oder wichtige Funktion für Ihr Institut unterstützen.
Wie läuft ein TLPT im Allgemeinen ab?
Vor der eigentlichen Testphase steht im TLPT eine Bedrohungsanalyse (Threat Intelligence), in der Informationen zu relevanten aktuellen, branchen- und unternehmensspezifischen Bedrohungen gesammelt werden. Basierend darauf werden realitätsnahe Angriffsszenarien definiert. Darin werden verschiedene Angriffsoberflächen, wie physische Angriffe, Social Engineering und technische Angriffsvektoren abgedeckt. Anschließend werden diese Angriffsszenarien in Form eines Red Team Assessments möglichst realitätsnah umgesetzt.
Eigene Darstellung auf Basis von https://www.bafin.de
Sie möchten sich auf TLPT vorbereiten? Wir helfen!
Sie rechnen damit, dass Sie von Ihrer zuständigen Aufsichtsbehörde zur Durchführung eines TLPT aufgefordert werden? Sprechen Sie uns gerne für ein unverbindliches Erstgespräch an.
Mehr Informationen zu TLPT
