DORA-TLPT-Checkliste: Vorbereitung Phase für Phase.
Für BaFin/Bundesbank-beaufsichtigte und andere in-scope-Finanzentitäten, die einen Threat-Led Penetration Test nach DORA Artikel 26 vor sich haben. Diese Seite gibt konkrete Prüfpunkte je Phase, eine realistische Zeitschätzung und die Fehler, die Programme am häufigsten zurückwerfen.
Wer TLPT-pflichtig ist — und wer entscheidet.
Größe & Systemrelevanz
Signifikante Kreditinstitute, große Zahlungsdienstleister, Marktinfrastrukturen, größere Versicherer und systemrelevante IKT-Drittdienstleister sind die typischen Kandidaten.
Kritische oder wichtige Funktionen
Entscheidend ist nicht die Größe des IT-Bestands, sondern ob eine Funktion als kritisch oder wichtig im Sinne von DORA eingestuft ist.
Ausgenommen
Kleine und Kleinstunternehmen sowie die in DORA Art. 16 explizit ausgenommenen Kategorien sind nicht TLPT-pflichtig.
Wichtig: Die verbindliche Entscheidung trifft ausschließlich die zuständige Behörde — in Deutschland BaFin/Bundesbank. Sie benennt die Institute, die einen TLPT durchführen müssen, anhand der Kriterien im TLPT-RTS. Diese Seite hilft bei der Selbsteinschätzung, ersetzt aber nicht die formale Benennung.
Vier Phasen, konkrete Prüfpunkte.
Struktur folgt der TIBER-EU-/DORA-RTS-Logik: Vorbereitung, Threat Intelligence & Szenarioentwicklung, Red-Team-Testing, Abschluss & Remediation.
Phase 1 — Vorbereitung
- White Team benannt und Mandat dokumentiert (Größe, Eskalationswege, Abbruchbefugnis)
- Scoping auf kritische oder wichtige Funktionen — nicht auf einzelne Systeme
- Freigabe durch Risikomanagement und relevante Kontrollfunktionen eingeholt
- Unabhängigkeit der externen Tester geprüft und dokumentiert (RTS-Anforderung)
- Kommunikation mit der zuständigen Behörde zu Zeitplan und Ansprechpartnern aufgenommen
- Budget und interne Kapazität für Remediation nach Testabschluss eingeplant
Phase 2 — Threat Intelligence & Szenarioentwicklung
- Threat-Intelligence-Anbieter frühzeitig und getrennt vom Red Team mandatiert (Rollentrennung nach RTS)
- Sektorspezifisches Bedrohungsbild erstellt — reale Akteure, Techniken, Zielobjekte
- Angriffsszenarien mit White Team abgestimmt und freigegeben
- Zielsystem-Mapping auf die im Scope definierten kritischen Funktionen abgeschlossen
- Leg-up-Regeln vorab definiert für Fälle, in denen realistische Fortschritt sonst blockiert wäre
Phase 3 — Red-Team-Testing
- Test läuft verdeckt gegen produktive Systeme — nur White Team ist informiert
- Leg-ups werden dokumentiert angewendet, wenn Fortschritt sonst nicht realistisch möglich wäre
- Laufende Abstimmung zwischen Threat Intelligence und Red Team bei Szenario-Anpassungen
- Purple-Team-Replay der wichtigsten Angriffspfade mit dem Blue Team eingeplant
- Beweissicherung und Protokollierung für die spätere Attestation läuft mit
Phase 4 — Abschluss & Remediation
- Priorisierter Remediation-Plan mit Terminen und Verantwortlichen erstellt
- Zusammenfassender Bericht und Attestation für die zuständige Behörde vorbereitet
- Nachverfolgung der Remediation-Fortschritte terminiert (nicht nur einmalig dokumentiert)
- Lessons Learned für den nächsten Drei-Jahres-Zyklus festgehalten
Was typischerweise wie lange dauert.
Vorbereitung
4–8 Wochen: Mandat, Scoping, interne Freigaben.
Threat Intelligence & Szenarien
4–6 Wochen bis zur freigegebenen Szenarienbasis.
Red-Team-Testing
Typischerweise 8–12 Wochen pro Szenario bei komplexen Engagements.
Abschluss & Remediation
4–6 Wochen für Bericht, Purple-Team-Replay und Attestation — Remediation läuft danach weiter.
Insgesamt realistisch 6–9 Monate von Kick-off bis Attestation. Die Angaben sind typische Bandbreiten, keine Garantien — Umfang und interne Verfügbarkeit verschieben den Zeitplan in beide Richtungen.
Was Programme am häufigsten zurückwirft.
White Team zu groß
Je mehr Personen vorab informiert sind, desto größer das Risiko, dass der Test nicht mehr realistisch ist. Ein schlankes, dokumentiertes Mandat ist Teil der RTS-Erwartung.
Scoping auf Systeme statt kritische Funktionen
Der RTS verlangt eine Ausrichtung auf kritische oder wichtige Funktionen. Ein Scope, der bei einzelnen Applikationen endet, verfehlt den eigentlichen Zweck des Tests.
Behandlung als klassischer Pentest
TLPT ist verdeckt, szenariobasiert und bedrohungsgeleitet. Ein angekündigter, vollständig abgestimmter Test erfüllt die Anforderung nicht.
Keine Remediation-Kapazität eingeplant
Der Test endet nicht mit dem Bericht. Ohne budgetierte Kapazität für die Nachbereitung verzögert sich die Attestation gegenüber der Aufsicht.
Threat Intelligence zu spät beauftragt
Die Szenarioentwicklung braucht Vorlauf. Wird der Threat-Intelligence-Anbieter erst kurz vor dem geplanten Red-Team-Start mandatiert, bleiben die Szenarien generisch.
Häufige Fragen zur TLPT-Vorbereitung
Was gehört in eine DORA-TLPT-Checkliste?→
Vier Blöcke: Vorbereitung (Mandat, White Team, Scoping), Threat Intelligence & Szenarien, die eigentliche Red-Team-Durchführung inklusive Leg-ups und Purple-Team-Replay, sowie Abschluss mit Remediation-Plan und Berichterstattung an die Aufsicht. Diese Seite listet die konkreten Prüfpunkte je Phase.
Wie lange dauert die Vorbereitung auf einen TLPT?→
Realistisch 6–9 Monate von Kick-off bis Attestation, abhängig von Scoping-Komplexität und Verfügbarkeit interner Stakeholder. Die reine Red-Team-Durchführung je Szenario liegt bei komplexen Engagements typischerweise bei 8–12 Wochen.
Wer entscheidet, ob wir TLPT-pflichtig sind?→
Ausschließlich die zuständige Behörde — in Deutschland BaFin/Bundesbank. Sie benennt in-scope-Unternehmen anhand der Kriterien im TLPT-RTS. Eine Selbsteinschätzung kann als Vorbereitung dienen, ersetzt aber nicht die formale Benennung.
Was ist der größte Fehler bei der TLPT-Vorbereitung?→
Den Test wie einen klassischen Pentest zu behandeln: Scope auf Systeme statt auf kritische Funktionen zu legen, und Threat Intelligence erst zu beauftragen, wenn das Red Team schon startbereit sein soll. Beides führt zu Verzögerungen und generischen Szenarien.
Braucht das White Team einen eigenen Test-Freigabe-Prozess?→
Ja. Das White Team ist klein (typischerweise 3–6 Personen), kennt den Test vorab und benötigt ein dokumentiertes Mandat inklusive Eskalationswegen, Leg-up-Kriterien und Abbruchbefugnis. Risikomanagement und Kontrollfunktionen müssen den Ansatz vor Start freigeben.
Was passiert nach Abschluss des Red-Team-Tests?→
Ein Purple-Team-Replay der wichtigsten Angriffspfade, ein priorisierter Remediation-Plan mit Terminen, und eine zusammenfassende Attestation gegenüber der Aufsicht. Der RTS erwartet auch eine Nachverfolgung der Remediation-Fortschritte.
Checkliste in ein konkretes Vorgehen übersetzen?
Wir prüfen mit Ihnen Scope, Fristen und Rollen und legen gemeinsam einen realistischen Zeitplan bis zur Attestation fest.
RTS-Änderungen, BaFin/Bundesbank-Guidance und Erkenntnisse aus laufenden TLPT-Zyklen.
Compliance-nahe Updates für CISOs, Chief Risk Officer:innen und TLPT-Testmanager. Kurz gehalten, ohne Marketing.
Kompakt, monatlich, jederzeit abbestellbar.