Wissensraum · Deep Dive 1 von 22
Operational Resilience unter DORA
Wann Threat-Led Penetration Testing unter DORA erforderlich ist — und was klassische Tests nicht leisten können
TLPT & TIBER-EU · Klassische vs. Threat-Led Tests · End-to-End-Angriffsketten · Detection & Incident Response · Governance unter Stress
Was dieser Deep Dive Ihnen zeigt
Warum klassische Penetrationstests allein nicht das gesamte DORA-Testprogramm abdecken – und wie Threat-Led Penetration Testing (TLPT) operative Resilienz als Systemeigenschaft abbildet.
Digitale Resilienz ist kein einheitliches Konzept. Unternehmen nutzen unterschiedliche Methoden, um die Belastbarkeit ihrer Systeme, Prozesse und Entscheidungsstrukturen zu überprüfen.
Die EU hat sich mit DORA bewusst für einen klar definierten, realitätsnahen Testansatz entschieden und grenzt diesen explizit von traditionellen Verfahren ab. Die Kernfrage lautet nicht: Welche Schwachstellen existieren? Sondern: Wie kann eine Organisation reale Angriffe erkennen, bewerten und darauf reagieren?
1. Gängige Resilienzmethoden – eine kurze Einordnung
A) Klassisches Penetration Testing
Was es macht: Simuliert bekannte Angriffsmuster auf einzelne Systeme. Prüft, ob spezifische Schwachstellen existieren.
Einordnung
Penetrationstests sind sinnvoll zur Identifikation technischer Schwächen. Sie bilden jedoch nur eingeschränkt das Verhalten realer Angreifer ab und liefern kein Gesamtbild über Reaktionsfähigkeit, Eskalation oder Entscheidungsprozesse.
B) Red Teaming
Was es macht: Ein dediziertes Angreiferteam simuliert realistische Angriffsketten. Fokus auf Erkennung, Reaktion und Abwehr.
Einordnung
Red Teaming ist umfassender als klassische Penetrationstests. Der Ansatz ist jedoch nicht zwingend systematisch threat- oder intelligence-basiert und variiert stark in Tiefe und Methodik.
C) Tabletop Exercises
Was es macht: Strukturierte Diskussion hypothetischer Szenarien. Fokus auf Rollen, Verantwortlichkeiten und Eskalationswege.
Einordnung
Tabletop Exercises sind wertvoll für Governance und Entscheidungslogik. Sie liefern jedoch keine technische Evidenz und testen keine realen Systeme oder Datenflüsse.
D) Threat-Led Penetration Testing (TLPT)
Was es macht: Basiert auf realen Bedrohungsdaten und Angreifermodellen. Kombiniert Threat Intelligence mit Red-Team-Ansätzen. Testet End-to-End-Angriffsketten einschließlich Erkennung und Reaktion.
Einordnung
TLPT kommt realen Angriffsmustern deutlich näher als andere Verfahren und erlaubt eine ganzheitliche Bewertung der operativen Resilienz. Für die von der Aufsicht nach Art. 26 DORA ausgewählten Finanzunternehmen ist TLPT der verbindliche fortgeschrittene Teststandard (grundsätzlich mindestens alle drei Jahre). Für alle übrigen DORA-Finanzunternehmen gilt ein risikobasiertes Testprogramm — dort bleibt TLPT ein besonders aussagekräftiger Referenzansatz, keine automatische Pflicht.
2. Warum klassische Methoden allein nicht ausreichen
Penetrationstests als alleinige Methode sind unbefriedigend, weil reale Angreifer komplexe Angriffsketten nutzen: Pivoting, Privilege Escalation, Evasion über Wochen hinweg. Monitoring, Detection und Incident Response werden selten mitgetestet. Es wird geprüft, ob eine Schwachstelle existiert – nicht, wie das System und die Organisation darauf reagiert.
Tabletop Exercises ohne technische Tests liefern keine Validierung realer Datenflüsse und keine belastbare Evidenz für Prüfer. DORA fordert deshalb realistische, datenbasierte Tests, die Reaktion und Widerstandsfähigkeit messbar machen.
3. Was TLPT umfasst
TLPT ist nicht ein einmaliger Test, sondern ein strukturierter Prozess:
- Definition der Ziele auf Basis kritischer Funktionen (keine Systemlisten, sondern Geschäftsprozesse)
- Erstellung eines realistischen Bedrohungsmodells basierend auf aktueller Threat Intelligence
- Mehrwöchige Simulation realer Angriffe durch spezialisierte Teams
- Beobachtung von Detection, Reaktion und Entscheidungswegen in Echtzeit
- Strukturierte Auswertung und Lessons Learned mit Governance und Management
- Ableitung und Nachverfolgung angemessener Maßnahmen
TLPT ist kein einmaliger Test, sondern Teil eines kontinuierlichen Resilienzzyklus. Penetrationstests prüfen Systeme. TLPT prüft das Unternehmen als Gesamtsystem.
4. Vergleich der Methoden im Überblick
| Methode | Angriffsbasis | Org. Faktoren | Bedrohungsrealität | DORA-Relevanz |
|---|---|---|---|---|
| Penetrationstest | Generische Muster | Nein | Gering | Baustein eines risikobasierten Testprogramms; ersetzt kein TLPT |
| Red Teaming (ohne TI) | Vordefinierte Szenarien | Teilweise | Mittel | Nicht TLPT-konform |
| DORA-TLPT (ggf. auf Basis von TIBER-EU) | Aktuelle Threat Intelligence | In erheblichem Umfang (definierter Scope) | Sehr hoch | DORA-Pflicht für nach Art. 26 ausgewählte Finanzunternehmen |
5. Fallstudie: Der blinde Fleck im jährlichen Test
Ausgangssituation
Ein mittelgroßer Finanzdienstleister führte jährlich klassische Penetrationstests durch. Alle Systeme wurden als unauffällig bewertet.
Der reale Angriff
Einstieg über einen privilegierten Third-Party-Zugang
Laterale Bewegung im Netzwerk blieb über 48 Stunden unentdeckt
SIEM erkannte das Angriffsverhalten nicht (fehlende Detection-Use-Cases)
Incident-Response-Team reagierte erst nach rund zwei Tagen
Unklare Zuständigkeiten zwischen IT, Security und Management
Veraltete Datenflussdokumentation führte zu fehlenden Überwachungspunkten
Konsequenz
48 Stunden Betriebsunterbrechung. Erheblicher Vertrauensverlust gegenüber Kunden und Aufsicht.
Was ein TLPT hätte sichtbar machen können
Unzureichende Überwachung privilegierter Zugänge
Fehlende Detection-Use-Cases im SIEM
Nicht geübte Incident-Response-Kette
Unterschätzte End-to-End-Abhängigkeiten
Fehlende Entscheidungslogik für Eskalationen und Governance
Was bleibt
Operative Resilienz ist keine einzelne Maßnahme, sondern eine Systemeigenschaft, die Technik, Organisation und Governance verbindet.
Klassische Tests zeigen Schwächen – TLPT macht Risiken in ihrer Dynamik sichtbar und testet die Reaktion, nicht nur die Existenz von Schwachstellen.
TLPT ist nicht Standard-Penetration. Der Ansatz folgt einer Hypothese – «wie würde ein realer Angreifer vorgehen» – statt Checklisten abzuarbeiten.
DORA zwingt Unternehmen, Resilienz als operatives Steuerungs- und Entscheidungsinstrument zu verstehen, nicht als isolierte Sicherheitsmaßnahme.
Praxis-Impuls
Prüfen Sie: Welche Ihrer Resilienztests liefern technische Evidenz – und welche nur Dokumentation? Ein jährlicher Penetrationstest ohne TLPT-Perspektive testet Systeme, nicht Reaktionsfähigkeit. Das reicht unter DORA für kritische Unternehmen nicht aus. Erster Schritt: Gap-Analyse der aktuellen Testmethoden gegen DORA Art. 24–27. Zweiter Schritt: Aufbau der Threat-Intelligence- und Detection-Fähigkeiten, die TLPT voraussetzt.