Implementierung von TIBER-DE - September 2021 - Version 2.0 - Deutsche Bundesbank
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Implementierung von TIBER-DE September 2021 Version 2.0
Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 2
Inhalt
Inhalt. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Abkürzungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1 Einleitung und Hintergrund. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
2 Der Aufbau von TIBER‑DE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
3 Zielgruppe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
4 Beteiligte Akteure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
5 Der Ablauf eines TIBER‑DE-Tests . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
6 Risiken eines TIBER-DE-Tests . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
7 Vorgegebene und freiwillige Elemente. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
8 Ergebnisse und finanzaufsichtliche Verwendung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
9 Haftungsausschluss. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
10 Annex. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
Abkürzungen
BT Blue Team
GTL Generic Threat Landscape
RTP Red Team Provider
TCT TIBER Cyber Team
TIP Threat Intelligence Provider
TKC TIBER Knowledge Center
TTM TIBER Test Manager
WT White Team
WTL White Team LeadDeutsche Bundesbank
Implementierung von TIBER-DE
Seite 3
1 Einleitung und Hintergrund
Die Bedrohung durch Cyberangriffe hat sich in den derungen an den Umfang und Ablauf solcher Tests,
letzten Jahren für die Finanzwirtschaft und dort agie- um eine hohe Qualität und Realitätsnähe sicherzu-
rende Unternehmen zu einem der relevantesten Risiken stellen. TIBER-Tests müssen die Produktivsysteme eines
entwickelt. Dies ist zum einen auf die zunehmende Unternehmens testen. Zudem müssen prinzipiell alle
Vernetzung von Akteuren und die Konzentration der kritischen Funktionen eines Unternehmens im Fokus
Bereitstellung von IT-Dienstleistungen auf wenige eines TIBER-Tests enthalten sein. Auch sollen solche
Unternehmen zurückzuführen. Zum anderen stellen externen Dienstleister die Tests durchführen, die nicht
jedoch auch professionelle und hochgradig organi- Teil des getesteten Unternehmens und die speziell für
sierte Angriffe (sogenannte APTs, Advanced Persis- die Durchführung komplexer Red-Teaming4-Penetra-
tent Threats) eine zunehmende Gefahr dar. Um sich tionstests qualifiziert sind.5 Motivation für einen TIBER-
vor Angriffen zu schützen ist es sinnvoll, aktuelle Test ist es dabei nicht, die erfolgreiche Abwehr eines
Standards der Cybersicherheit (wie beispielsweise Angriffs sicherzustellen, sondern Schwachstellen in
den IT-Grundschutz des BSI1 oder die internationale den eigenen Abwehrmechanismen und -maßnahmen
Norm ISO/IEC 270012) einzuhalten und eine unter- zu identifizieren. Ein erfolgreicher TIBER-Test liefert dem
nehmensweite Sensibilisierung vorzunehmen. Ob dies Unternehmen Hinweise darüber, wie Angreifer er-
jedoch den gewünschten Effekt erzielt, ist meist erst folgreich vorgehen könnten, damit die eigene Cyber-
im Fall eines realen Angriffs feststellbar. So können resilienz entsprechend verbessert werden kann.
Implementierungsfehler oder menschliche Schwächen
die getroffenen Sicherheitsvorkehrungen schnell zu- Um diese Tests in standardisierter Form auch dem
nichtemachen. deutschen Finanzsektor zugänglich zu machen, hat
die Bundesbank gemeinsam mit dem BMF im August
Bedrohungsgeleitete Penetrationstests adressieren 2019 beschlossen, das europäische TIBER-EU-Rahmen-
diesen Punkt, indem sie die Vorgehensweisen realer werk in Deutschland umzusetzen. Mit der Imple-
Angreifer imitieren und so eine realitätsnahe Über- mentierung von TIBER-DE erhalten die Unternehmen
prüfung der Cyberwiderstandsfähigkeit eines Unter- des deutschen Finanzsektors seit dem Jahr 2020 die
nehmens unter kontrollierten Bedingungen ermög- Möglichkeit, ihre Widerstandsfähigkeit durch an-
lichen. Um diese Tests in standardisierter Form in spruchsvolle und zielgerichtete Angriffe auf den
Europa zu ermöglichen, haben die Notenbanken der Prüfstand zu stellen. Seit dem Start wurde eine Reihe
EU mit TIBER-EU (Threat Intelligence-Based Ethical von Tests der Zielgruppe (s. Abschnitt 3) durchge-
Red Teaming)3 ein einheitliches Rahmenwerk für be- führt und das vorliegende Dokument auf Basis der
drohungsgeleitete Penetrationstests geschaffen. Das gewonnenen Erkenntnisse aktualisiert.
TIBER-EU-Rahmenwerk stellt dabei sehr hohe Anfor-
1 Siehe auch: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/
it-grundschutz_node.html (letzter Zugriff: 19.07.2021)
2 Siehe auch: https://www.iso.org/isoiec-27001-information-security.html (letzter Zugriff: 19.07.2021).
3 Siehe auch: https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html (letzter Zugriff: 19.07.2021).
4 Red-Teaming bezeichnet den Versuch beauftragter professioneller Angreifer, in die Systeme des getesteten Unternehmens einzudringen.
Dabei werden jedoch ethische und rechtliche Grenzen nicht überschritten. Red-Teaming gilt als äußerst realitätsnahe Möglichkeit zur
Überprüfung der eigenen Abwehrmechanismen.
5 Siehe Services Procurement Guide: https://www.ecb.europa.eu/pub/pdf/other/ecb.1808tiber_eu_framework.en.pdf (letzter Zugriff:
19.07.2021).Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 4
Ein TIBER-DE-Test wird stets von einem Unternehmen haltige Veränderungen/Verbesserungen bewirkt wer-
selbst unter Einbeziehung entsprechender Dienstleis- den. Aus diesem Grund ist TIBER‑DE für die Unter-
ter durchgeführt und vom bei der Bundesbank ange- nehmen freiwillig und basiert auf einem kooperativen
siedelten nationalen Kompetenzzentrum (dem TIBER Ansatz. TIBER-Tests ergänzen somit auf effektive
Cyber Team, TCT) begleitet. Weise die vielfältigen bisherigen Bemühungen von
Unternehmen und ihren Aufsehern, Regulatoren und
Zentrale Voraussetzung für einen erfolgreichen TIBER- Überwachern auf diesem Gebiet und leisten einen
Test ist die vertrauensvolle Zusammenarbeit des wichtigen Beitrag zur nachhaltigen Verbesserung der
Unternehmens mit den externen Dienstleistern und Cyberwiderstandsfähigkeit des deutschen Finanz-
dem TCT. In einem offenen Austausch sollen nach- sektors.
2 Der Aufbau von TIBER-DE
Das TIBER-EU-Rahmenwerk gibt eine Vielzahl an Kern- Test und der Verbesserung ihrer eigenen kritischen
elementen vor, die bei allen TIBER-Tests einzuhalten Funktionen einräumt.
sind. Das vorliegende Umsetzungsdokument zu TIBER-DE In dieser Struktur wird das nationale Kompetenzzen-
setzt alle diese Kernelemente um, ohne dass diese trum – das TIBER Cyber Team (TCT) – im Bereich Zah-
hier explizit wiederholt werden. Das vorliegende lungsverkehr und Abwicklungssysteme der Bundes-
Dokument gestaltet TIBER-DE im Rahmen der durch bank angesiedelt und so grundsätzlich von der
TIBER-EU vorgegebenen Spielräume aus und legt fest, Finanzaufsicht getrennt. Das TCT übernimmt die Be-
welche optionalen Elemente übernommen werden. treuung der TIBER-DE-Tests und bestätigt die Einhal-
tung der Vorgaben nach deren Durchführung.
Die Bundesbank und das BMF haben beschlossen,
bei der Umsetzung von TIBER-DE einen freiwilligen, Der Einbezug der Finanzaufsicht erfolgt unbeschadet
kooperativen Ansatz zu verfolgen. Er stellt keine finanz- gesetzlicher Verpflichtungen grundsätzlich ausschließ-
aufsichtlich angeordnete Maßnahme dar und fördert lich über das TCT. Dieses wendet sich innerhalb der
die selbständige und selbstkritische Auseinanderset- Finanzaufsicht an einen eng begrenzten Personen-
zung der Unternehmen mit der Cyberwiderstands- kreis, der mit TIBER-DE vertraut ist und das nötige
fähigkeit ihrer Systeme. Für die deutsche Implemen- Fachwissen mitbringt, um den jeweiligen TIBER-Test
tierung von TIBER-EU wurde daher analog zu den fachlich einordnen zu können. Insgesamt ist das TCT
TIBER-Umsetzungen in anderen europäischen Ländern in Bezug auf die Durchführung von TIBER-DE-Tests
eine Organisationsstruktur gewählt, die die Finanz- Kontaktstelle für:
aufsicht zwar – unbeschadet gesetzlicher Verpflich-
tungen – an bestimmten Punkten einbezieht (vgl. • Teilnehmer und potenzielle Teilnehmer
Abschnitte 5 und 8), darüber hinaus den Unternehmen • andere Behörden, die in den TIBER-DE-Testprozess
aber weitgehende Freiheit und Selbständigkeit beim eingebunden werden (z.B. Sicherheitsbehörden6)
6 Sicherheitsbehörden im Sinne dieses Dokuments sind z.B. jene, welche im Nationalen Cyber-Abwehrzentrum organisiert sind. Am
nationalen Cyber-Abwehrzentrum sind unter anderem folgende Behörden beteiligt: Bundesamt für Sicherheit in der Informationstechnik,
Bundesamt für Verfassungsschutz, Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, Bundeskriminalamt, Bundesnachrichten-
dienst, Bundespolizei, Militärischer Abschirmdienst, Zollkriminalamt.Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 5
• andere TIBER-Implementierungen in Europa oder des Marktumfeldes eine Anpassung von TIBER-DE
• Red Teaming- und Threat Intelligence-Dienstleister erforderlich machen. Der Lenkungsausschuss wird
(vgl. Abschnitt 4) vom TCT über dessen Aktivitäten und wesentliche
• Die Bundesregierung und deren Ministerien sowie Erkenntnisse in allgemeiner Form informiert.
sonstige Gremien – wie etwa der Ausschuss für
Finanzstabilität (AFS). Neben dem TCT sollen nach Möglichkeit Sicherheits-
behörden in den Testprozess eingebunden werden, um
Die Weiterentwicklung von TIBER-DE sowie die Fest- die im Rahmen von TIBER-DE gesammelten Informa-
legung strategischer Zielsetzungen wird durch einen tionen zur Bedrohungslage und den Vorgehensweisen
Lenkungsausschuss vorgenommen, der sich aus Ver- der Angreifer – soweit rechtlich möglich und ange-
tretern der Bundesbank und der BaFin zusammen- messen – auf Plausibilität zu prüfen bzw. gegebe-
setzt. Der Lenkungsausschuss gibt die Schwerpunkte nenfalls zu ergänzen. Dies ist vor allem im Rahmen
des Arbeitsprogramms des TCTs vor, evaluiert, inwie- der Erstellung und regelmäßigen Anpassung des Be-
weit das TCT die ihm gesetzten Ziele erreicht hat und richts zur nationalen Bedrohungslage sowie im Rah-
prüft mindestens einmal jährlich, ob Änderungen men des Berichts zur unternehmensspezifischen Be-
der TIBER-EU-Rahmenvorgaben, der Bedrohungslage drohungslage von Bedeutung (siehe Abschnitt 5).
3 Zielgruppe
TIBER-DE richtet sich in erster Linie an kritische Unter- williger TIBER-DE-Tests nicht durch eine starre Ziel-
nehmen des Finanzsektors, um deren Cyberwider- gruppendefinition einzuschränken. Nur die ganzheit-
standsfähigkeit zu stärken und Dominoeffekte im liche Betrachtung eines Unternehmens, dessen inter-
Finanzsektor zu verringern. Dabei gehören insbeson- ner Struktur und seiner Vernetzung mit externen
dere die folgenden Unternehmen zur Zielgruppe: Dienstleistern kann letztlich Aufschluss darüber geben,
ob ein TIBER-Test empfehlenswert ist. Dabei wird das
• große in Deutschland aktive Banken TCT die nach seiner Einschätzung relevanten Unter-
• große in Deutschland aktive Versicherer nehmen gezielt ansprechen, um gemeinsam die
• in Deutschland aktive Finanzmarktinfrastrukturen Möglichkeiten der Durchführung eines TIBER-DE-
• in Deutschland aktive und für den Finanzsektor Tests zu erörtern.
kritische IT-Dienstleister
Auch internationale Unternehmen, die nicht nur primär
Als Orientierungshilfe für Unternehmen kann dabei in Deutschland aktiv sind, können sich einem TIBER-DE-
die Überlegung herangezogen werden, ob sich bei Test unterziehen. Unter Umständen bedarf es in einem
einem Ausfall einzelner Funktionen erhebliche Stö- solchen Fall aber einer Abstimmung mit der zustän-
rungen oder nachhaltige negative Konsequenzen für digen TIBER-Behörde im Heimatland des Unterneh-
den Finanzsektor bzw. die Finanzstabilität, die öffent- mens. Gemeinsame TIBER-Tests mit den für TIBER
liche Sicherheit oder andere kritische Sektoren ergeben verantwortlichen TCTs anderer Mitgliedsstaaten bzw.
könnten. Die Beschreibung der Zielgruppe ist be- der Europäischen Zentralbank können in einem sol-
wusst offen gestaltet, um fallspezifische Einzelbe- chen Fall zum Einsatz kommen, um Doppelarbeiten
wertungen zu ermöglichen und die Flexibilität frei- zu vermeiden.Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 6
Die Teilnahme an einem TIBER-Test setzt einen ge- rung auf detailliertere und unternehmensspezifische
wissen Reifegrad der Cyberwiderstandsfähigkeit eines Schwachstellen erfolgen.
Unternehmens voraus. Obwohl größere Mängel in
der grundlegenden Sicherheit eines Unternehmens Im Ergebnis ist es das Ziel, ein Netzwerk der nationalen,
prinzipiell kein Hindernis für die Testdurchführung zur Zielgruppe gehörenden Unternehmen zu etablieren,
darstellen, entfaltet sich der volle Nutzen eines TIBER- um gemeinsam und mithilfe der Durchführung von
Tests erst bei einem gewissen Mindestniveau an TIBER-DE-Tests die Cyberwiderstandsfähigkeit des
Cybersicherheit, denn nur dann wurden grobe Mängel Finanzsektors nachhaltig und auf kooperativer Basis
bereits behoben und es kann somit eine Fokussie- zu verbessern.
4 Beteiligte Akteure
Die folgenden Akteure werden an einem TIBER-Test samten Laufzeit eines TIBER-Tests und ist prinzipiell
beteiligt (vgl. Abbildung 1): in alle Treffen und Absprachen zwischen den be-
teiligten Akteuren eingebunden. Dies gilt uneinge-
• Das TCT stellt das nationale Kompetenzzentrum schränkt auch für regelmäßige Telefonate, wie etwa
einer TIBER-Implementierung dar. In Deutschland zur Absprache aktueller Angriffsschritte während
ist das TCT bei der Bundesbank angesiedelt (vgl. der Testphase.
Abschnitt 2). Es begleitet die von Unternehmen
durchgeführten TIBER-Tests während ihres komplet- • Das White Team (WT), welches durch den White
ten Verlaufs, unterstützt diese mit dem benötigten Team Lead (WTL) repräsentiert wird, ist die für die
Fachwissen, sorgt für die Einhaltung der Rahmen- Durchführung eines TIBER-Tests verantwortliche
bedingungen von TIBER-Tests, attestiert deren Instanz innerhalb eines Unternehmens. Der WTL
Rahmenwerkskonformität nach Abschluss und wird gemäß Anforderung im Rahmenwerk durch
stellt die Kommunikationsschnittstelle nach außen den Unternehmensvorstand eingesetzt und bildet
dar. Das TCT kann einen Test als nicht TIBER-konform die Schnittstelle zum TTM des TCTs.71
einstufen, wenn dieser nicht im Einklang mit dessen
Anforderungen durchgeführt wurde. Bei grenz- • Das Blue Team (BT) besteht aus allen Mitarbeitern
überschreitenden TIBER-Tests können die verant- des Unternehmens, welche nicht Teil des WT sind.
wortlichen TCTs anderer Mitgliedstaaten in den In der Praxis wird dieses jedoch i.d.R. durch Mitar-
Test eingebunden werden. Durch die Einbindung beiter der mit der Unternehmenssicherheit beauf-
wird die Akzeptanz des TIBER-Tests in diesen Mit- tragten Stellen (z.B. Security Operations Center,
gliedsstaaten sichergestellt. Computer Emergency Response Team, etc.) reprä-
sentiert. Das BT darf nicht über die Durchführung
• Der TIBER Test Manager (TTM) ist ein Mitglied eines TIBER-Tests informiert sein.
des TCT, welcher ein spezifisches Unternehmen
betreut und die Schnittstelle zu diesem bildet. Der • Als externe Dienstleister werden der Red Team
TTM betreut das Unternehmen während der ge- Provider (RTP) zur Bereitstellung des Red Teams
7 Weitere Details zu den Aufgaben des White Teams sind in der White Team Guidance des TIBER-EU-Rahmenwerk festgelegt, welche
über die Webseite der EZB einsehbar ist: https://www.ecb.europa.eu/pub/pdf/other/ecb.tibereu.en.pdf (letzter Zugriff: 19.07.2021).Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 7
sowie der Threat Intelligence Provider (TIP) zur • Das TIBER Knowledge Center (TKC) stellt das
Bereitstellung der Threat Intelligence von den hierzu europäische Kompetenzzentrum für alle nationalen
autorisierten Mitgliedern des White Teams engagiert. TIBER-Implementierungen dar. Es setzt sich aus
Die hierzu autorisierten Mitglieder des White Teams Vertretern der nationalen TCTs derjenigen EU-Mit-
schließen Verträge mit den Dienstleistern ab und gliedsstaaten zusammen, in denen das TIBER-EU-
beaufsichtigen die korrekte Ausführung des Tests Rahmenwerk implementiert wurde. Neben der
im Unternehmen durch die Dienstleister. Während Weiterentwicklung von TIBER-EU verfolgt das TKC
der TIP Informationen über generelle und unter- das Ziel, die TCTs aller Mitgliedsstaaten bei ihren
nehmensspezifische Schwachstellen sammelt und TIBER-Implementierungen zu unterstützen. Dazu
diese dem RTP zur Verfügung stellt, führt der RTP stellt es relevante Dokumente und Trainings bereit,
die eigentlichen Angriffe durch. Dabei ist es das ermöglicht den Erfahrungsaustausch und die Zu-
Ziel, die Abwehrmaßnahmen des Unternehmens sammenarbeit der Länder und stellt die Vergleich-
zu überwinden und in das Produktivsystem einzu- barkeit hinsichtlich der Methoden und Qualität der
dringen. Sofern dies rechtlich und organisatorisch nationalen Umsetzungen sicher. Es werden jedoch
möglich ist, wird angestrebt, die gesammelten In- keine konkreten Ergebnisse geteilt oder detaillierte
formationen zur Bedrohungslage in Absprache mit Informationen zu den einzelnen Tests weitergege-
dem TCT einem Feedback durch eine oder mehrere ben. Das TCT der Bundesbank ist im TKC vertreten
nationale Sicherheitsbehörden zu unterziehen. und beteiligt sich aktiv an der Sicherstellung einer
hohen Qualität von TIBER-Tests.
An TIBER-DE beteiligte Akteure Abbildung 1
Europäisches System der Zentralbanken Nationale Behörden Getestetes Unternehmen
TIBER Knowledge Center (TKC) BaFin Unternehmen
nimmt teil
TIBER Cyber Vorstand
Team Deutschland Bundesbank setzt ein
informiert
TIBER Cyber Lenkungsausschuss
White Team Lead
Team Belgien steuert
unterstützt
informiert
TIBER Cyber White Team
TIBER Cyber
Team Dänemark Team Deutschland
beauftragt
kontrolliert
Produktivsystem
TIBER Cyber TIBER Test Manager beschützt
Team Niederlande Blue Team
dringt ein
••• Red Team Provider
Absprachen falls Feedback
falls möglich beschafft Inf.
benötigt
Nationale Sicherheitsbehörden Threat Intelligence Provider
An TIBER-DE beteiligte Akteure: TIBER Knowledge Center (TKC), TIBER Cyber Team (TCT), TIBER Test Manager (TTM), White Team
(WT), White Team Lead (WTL), Blue Team (BT), Red Team Provider (RTP), Threat Intelligence Provider (TIP), ggf. nationale Sicher-
heitsbehörden.
Quelle: Deutsche BundesbankDeutsche Bundesbank
Implementierung von TIBER-DE
Seite 8
5 Der Ablauf eines TIBER-DE-Tests
Für die Durchführung von TIBER-DE-Tests wird durch Die Finanzaufsicht wird über die beabsichtigte
das TCT ein Bericht zur nationalen Bedrohungslage8 Durchführung des TIBER-DE-Tests informiert. Not-
bereitgestellt, welcher allen sich testenden Unter- wendige Maßnahmen zum Risikomanagement
nehmen als Ausgangsbasis zur Verfügung steht. Ein inklusive notwendiger Risikomanagementkon-
solcher Bericht beschreibt die generelle, unterneh- trollen und -prozesse werden durch das WT eta-
mensunabhängige Bedrohungssituation des natio- bliert, um eine kontrollierte und sichere Testdurch-
nalen Finanzsektors und sollte regelmäßig aktuali- führung zu ermöglichen (s. auch Abschnitt 6).
siert werden.
– Im Rahmen eines Kickoff-Treffens11 werden alle
Ein TIBER-DE-Test ist in drei Phasen eingeteilt:9 relevanten Akteure (soweit bereits festgelegt)
über den Testablauf informiert, tauschen ihre
• Die Vorbereitungsphase umfasst die Schritte gegenseitigen Erwartungen aus und legen das
Initiierung, Kick-Off, Bestimmung des Testumfangs weitere Vorgehen fest. Grundlage der Diskussi-
und Beschaffung (siehe Abbildung 2). In dieser Phase on bildet dabei der durch das WT vorbereitete
werden die folgenden Tätigkeiten durchgeführt: Projektplan12, welcher die generelle Zeitplanung
inklusive zu organisierender Treffen und zu er-
– Die Durchführung eines TIBER-DE-Tests wird for- stellender Dokumente beinhaltet und bei Bedarf
mal vom Unternehmen und vom TCT beschlos- angepasst wird. An dem Kickoff-Treffen kann
sen. Das für den Test zuständige White Team auf Wunsch auch die Finanzaufsicht teilnehmen.
inklusive des White Team Leads wird vom Unter-
nehmen in Absprache mit dem TCT bestimmt. – Der Umfang des Tests wird festgelegt und vom
Das White Team legt ein Pseudonym für den TIBER- Unternehmensvorstand sowie dem TCT geneh-
DE-Test fest. Aufgrund der sensiblen Natur der migt. Dabei muss der Testumfang alle kritischen
auszutauschenden Testinformationen ist dieses Funktionen des Unternehmens beinhalten und
Pseudonym anstelle des Klarnamens des Unter- in einer Umfangsspezifikation13 schriftlich fest-
nehmens in allen TIBER-bezogenen Kommunika- gehalten werden. Diese Spezifikation wird der
tionsprozessen zu verwenden. zuständigen Finanzaufsicht zur Kenntnisnahme
vorgelegt. Die Finanzaufsicht wird nach diesem
– Im Rahmen eines Initiierungstreffens10 informiert Schritt unbeschadet gesetzlicher Verpflichtungen
der TTM das WT über den TIBER-DE-Testprozess, grundsätzlich erst wieder im Rahmen der Über-
die beteiligten Akteure und ihre Verantwortlich- sendung des Abschlussberichts eingebunden.
keiten, Sicherheitsprotokolle und sichere Kommu-
nikationskanäle sowie Modalitäten der weiteren
Testplanung und -durchführung.
8 Entspricht dem GTL-Report des TIBER-EU-Rahmenwerks.
9 Eine Übersicht über alle im Rahmen der drei Phasen durchzuführenden Treffen bzw. zu erstellenden Dokumente einschließlich der
jeweiligen Verantwortlichen und involvierten Akteure befindet sich in Annex 1 und 2 (Abschnitt 10).
10 Entspricht dem Pre-launch meeting des TIBER-EU-Rahmenwerks.
11 Entspricht dem Launch Meeting des TIBER-EU-Rahmenwerks.
12 Entspricht dem Project Plan des TIBER-EU-Rahmenwerks.
13 Entspricht dem Scope Specification Document des TIBER-EU-Rahmenwerks.Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 9
– Im Rahmen eines Testumfangstreffens14 wird die dabei darf prinzipiell ein Anbieter beide Teams
Umfangsspezifikation dem TCT, WT, RTP und TIP stellen, die Teams müssen sich jedoch aus unter-
(falls Ausschreibung und Vergabe bereits abge- schiedlichen Personen zusammensetzen). Beide
schlossen sind) vorgestellt und nach deren Rück- Teams sind vom WTL umfassend über den Pro-
meldung finalisiert. jektplan und den Testumfang zu unterrichten.
Dies kann zum einen bereits im Rahmen des
– Im Zuge der Beschaffung werden TIP und RTP Testumfangstreffens, zum anderen in weiteren
vom Unternehmen ausgewählt und das Unter- Treffen des WTs mit dem TIP und dem RTP erfol-
nehmen schließt mit ihnen Verträge (Beschaffung; gen.
Vorbereitungsphase eines TIBER-DE-Tests (ca. 4 – 6 Wochen) Abbildung 2
Initiierungs- Testumfangs- Weitere Treffen
Treffen treffen
Kickoff-Treffen
Treffen mit TIP/RTP
Umfangs-
Initiierung Kickoff
bestimmung
Schritte
Beschaffung
Erstellte Umfangs-
Projektplan
Dokumente Spezifikation
Verantwortlichkeiten eingefärbt: WTL (grau), TTM (hellgrün).
Quelle: Deutsche Bundesbank
• Die Testphase umfasst die Schritte Sammlung von basierend auf dem bereitgestellten Bericht zur
Informationen zur Bedrohungslage und Durchfüh- nationalen Bedrohungslage weitere unterneh-
rung des Red Team Tests (siehe Abbildung 3). In mensspezifische Bedrohungen, Schwachstellen
dieser Phase werden die folgenden Tätigkeiten und Angriffsszenarien beinhaltet. Wegen der im
durchgeführt: Vergleich zu realen Angriffen stark reduzierten Zeit
zur Informationssammlung ist eine Anreicherung
– Erstellung eines Berichts zur unternehmensspezi- des Berichts durch unternehmensinterne rele-
fischen Bedrohungslage15 durch den TIP, welcher vante Informationen explizit vorgesehen (z.B.
14 Entspricht dem Scoping Meeting des TIBER-EU-Rahmenwerks.
15 Entspricht dem Targeted Threat Intelligence Report des TIBER-EU-Rahmenwerks.Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 10
Überblick über vorhandene Systeme zur Unter- bzw. eine modulare Kombination verschiedener
stützung kritischer Funktionen, Risikoregister, Angriffsschritte vorzunehmen.
identifizierte Schwachstellen, Beispiele kürzlich
aufgetretener Angriffe). Der TIP berichtet dem – Diskussion des durch den RTP erstellten Testplans
WTL und dem TTM regelmäßig über den Fort- im Rahmen eines Testplan-Workshops. Finalisie-
schritt der Informationssammlung. rung des Berichts zur unternehmensspezifischen
Bedrohungslage und des Testplans im Anschluss
– Diskussion des durch den TIP erstellten Berichts- an den Testplan-Workshop.
entwurfs zur unternehmensspezifischen Bedro-
hungslage sowie Vorstellung, Diskussion und – Durchführung des Red Teamings durch den RTP
Auswahl möglicher Angriffsszenarien im Rahmen anhand der spezifizierten Angriffsszenarien. Dabei
eines Szenario-Workshops16. können auf Basis zwischenzeitlich gewonnener
Erkenntnisse und in Absprache mit dem TTM
– Weiterentwicklung des Berichts zur unternehmens- kurzfristige Anpassungen des Testplans vorge-
spezifischen Bedrohungslage (falls gewünscht nommen oder Hilfestellungen (leg-ups) gegeben
unter Einbeziehung relevanter nationaler Sicher- werden. Der RTP berichtet dem WTL und dem
heitsbehörden) durch den TIP und Ausformulie- TTM in regelmäßigen Updates über den Fort-
rung der zu testenden Angriffsszenarien auf die schritt des Red Teamings.
kritischen Funktionen des Unternehmens durch
den RTP (Testplan17). – Eine zeitliche Überschneidung der Tätigkeiten
des TIP und des RTP ist möglich, d.h. die durch
Dabei ist es ausdrücklich erlaubt, neben den im den TIP gelieferten Schwachstelleninformationen
Bericht zur unternehmensspezifischen Bedro- können auch während der Planung und Durch-
hungslage beschriebenen, bedrohungsgeleiteten führung der Angriffe weiter angereichert und
Angriffsszenarien auch weitere, als relevant ein- präzisiert werden.
gestufte Szenarien in den Testplan einzubeziehen
16 Entspricht dem Threat Intelligence/Scenario Workshop des TIBER-EU-Rahmenwerks.
17 Entspricht dem Red Teaming Test Plan des TIBER-EU-Rahmenwerks.Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 11
Testphase eines TIBER-DE-Tests (ca. 18 – 20 Wochen, Abbildung 3
davon 6 – 8 Wochen Threat Intelligence und ca. 12 Wochen Red Teaming)
Szenario-Workshop Testplan-Workshop
Treffen Bericht zur unternehmens- Ggf. Feedback durch nat.
Testplan
spez. Bedrohungslage Sicherheitsbehörden
Sammlung von Informationen
zur Bedrohungslage
Schritte Bericht zur unternehmens-
spez. Bedrohungslage
Durchführung des
Red Team Tests
Erstellte Unternehmens- Bericht zur nat. Bericht zur unternehmens-
Testplan
Dokumente interne Informationen Bedrohungslage spez. Bedrohungslage
zu Bedrohungen/
Schwachstellen
Verantwortlichkeiten eingefärbt: WTL (grau), TTM (hellgrün), TIP (orange), RTP (rot).
Quelle: Deutsche Bundesbank
• Die Abschlussphase umfasst die Schritte Erstellung (z.B. bzgl. physischer oder technischer Sicher-
der Testberichte, Replay und Feedback, Behebungs- heitsvorkehrungen, Unternehmensrichtlinien und
plan und Abschlussbericht (einschließlich Evalua- -abläufen, Sensibilisierung und Ausbildung der
tionsworkshop) sowie Attestierung und Ergebnis- Mitarbeiter, etc.)
weitergabe. In dieser Phase werden die folgenden
Tätigkeiten durchgeführt: – Alle relevanten Stellen im Unternehmen werden
über den Test informiert.
– Der RTP verfasst einen Testbericht (RT-Testbe-
– Das BT verfasst basierend auf dem RT-Testbericht
richt18), welcher das konkrete Vorgehen bei der
einen eigenen Testbericht (BT-Testbericht19) über
Durchführung der Angriffe sowie deren Ergeb- die ergriffenen Gegenmaßnahmen des Unter-
nisse und weitere Beobachtungen beschreibt. nehmens.
Falls notwendig soll der Bericht ebenfalls detail-
lierte Informationen zu Möglichkeiten der Ver- – RT-Testbericht und BT-Testbericht werden dem
besserung der Abwehrmechanismen beinhalten TTM zur Einsichtnahme zur Verfügung gestellt.20
18 Entspricht dem Red Team Test Report des TIBER-EU-Rahmenwerks.
19 Entspricht dem Blue Team Report des TIBER-EU-Rahmenwerks.
20 Aufgrund des hohen Vertraulichkeitsniveaus dieser Unterlagen werden RT-Testbericht und BT-Testbericht nicht vom TCT gespeichert
oder anderweitig aufbewahrt.Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 12
– Im Rahmen eines Replay-Workshops21 werden die angestrebten Maßnahmen und einen Zeit-
die durchgeführten Angriffe vorgestellt und aus plan zur Behebung der Schwachstellen aufführt,
den Perspektiven des RTP und des BT analysiert. jedoch keine technischen Details zu diesen ent-
Zudem werden ebenfalls alternative Angriffs- hält. Der Plan ist Bestandteil eines ebenfalls
und Abwehrmöglichkeiten in Form eines Purple- vom Unternehmen zu erstellenden Abschlussbe-
Teaming-Elements diskutiert, bei dem der RTP richts24, welcher den Test und die daraus ge-
und das BT gemeinsam abweichende Angriffs- wonnenen Erkenntnisse zusammenfasst.
verläufe und entsprechende Verteidigungsmaß-
nahmen erörtern (z. B. als „Tabletop Exercise“). – Das TCT organisiert in der Regel einen ergänzenden
Das Blue Team kann somit einen Einblick erlan- Evaluationsworkshop zwischen dem Unternehmen
gen, wo das Red Team zu welchem Zeitpunkt und den Mitgliedern des Lenkungsausschusses
war und wo/wie es dieses hätte entdecken/auf- von TIBER-DE (vgl. Abschnitt 2). Damit soll die
halten können. Effizienz von TIBER-DE gewährleistet, Anhalts-
punkte für eine Verbesserung der TCT-Aktivitä-
– Im Rahmen eines 360°-Feedback-Workshops22 ten gewonnen und eine fortlaufende Weiterent-
geben sich die am Test beteiligten Akteure (TCT, wicklung von TIBER-DE sichergestellt werden.
WT, RTP und TIP) Rückmeldung bezüglich ihrer
Erfahrungen mit der praktischen Durchführung – Die rahmenwerkskonforme Durchführung des
des TIBER-DE-Tests. TIBER-DE-Tests wird durch das TCT attestiert.
Das Unternehmen sendet den Abschlussbericht
– Das Unternehmen erstellt basierend auf den Test- inklusive des Maßnahmen-/Behebungsplans an
ergebnissen einen Maßnahmen-/Behebungsplan23 das TCT, welches diesen an die zuständige Stelle
auf angemessenem Abstraktionsniveau, welcher der Finanzaufsicht weiterleitet (vgl. Abschnitt 8).
Abschlussphase eines TIBER-DE-Tests (ca. 8 Wochen) Abbildung 4
Replay- Evaluations-
Treffen Workshop
360°-Feedback
workshop
Briefing des BT
Replay (inkl. Behebungs-
Erstellung
Purple plan & Evaluation &
Schritte der
Teaming) & Abschluss- Attestierung
Testberichte
Feedback bericht
Erstellte Abschluss-
RT-Testbericht BT-Testbericht Behebungsplan
Dokumente bericht
Verantwortlichkeiten eingefärbt: WTL (grau), TTM (hellgrün), RTP (rot), BT (blau).
Quelle: Deutsche Bundesbank
21 Entspricht dem Replay Workshop des TIBER-EU-Rahmenwerks.
22 Entspricht dem 360-Degree Feedback Meeting des TIBER-EU-Rahmenwerks.
23 Entspricht dem Remediation Plan des TIBER-EU-Rahmenwerks.
24 Entspricht dem Test Summary Report des TIBER-EU-Rahmenwerks.Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 13
6 Risiken eines TIBER-DE-Tests
Wegen ihrer Durchführung auf den Produktivsystemen • Ausreichende Seniorität (C-Level bzw. Vorstands-
sowie der hohen Flexibilität in der Vorgehensweise ebene) mindestens eines Mitglieds des WT25, um
bieten TIBER-DE-Tests die Möglichkeit einer realitäts- die Entscheidungsfähigkeit des WT und eine direkte
nahen Analyse der Cyberwiderstandsfähigkeit eines Kommunikation mit dem Vorstand sicherzustellen;
Unternehmens. Dies bringt jedoch auch Risiken bezüg- • Klare Befugnis und Beauftragung des WT, im Fall
lich der Vertraulichkeit, Integrität oder Verfügbarkeit eines erhöhten Schadensrisikos die Tests zu unter-
der Daten bzw. Systeme mit sich. So besteht beispiels- brechen, um in Absprache mit den Anbietern und
weise die Möglichkeit, dass bei unsachgemäßer Durch- dem TTM das weitere Vorgehen festzulegen;
führung der Tests Systeme beschädigt werden oder • Klare Definition von Umfang, Grenzen, der Erreich-
ausfallen sowie Daten gelöscht oder unzulässig ver- barkeit der Dienstleister und zeitlichem Ablauf der
breitet werden könnten. Die einen Test durchführenden Tests in den Verträgen mit sämtlichen einbezogenen
Unternehmen sollten daher zunächst eine detaillierte externen Dienstleistern (z.B. TIP und RTP);
Analyse der Risiken durchführen, die bei der Testdurch- • Auswahl externer Anbieter (z.B. TIP und RTP) ent-
führung schlagend werden könnten und dann ange- sprechend der Vorgaben der TIBER-EU Services
messene Maßnahmen zur Minimierung solcher Risiken Procurement Guidelines26 und in Rücksprache mit
vor, während und nach der Testdurchführung ergreifen. dem TTM;
Die Bundesbank begleitet im Rahmen ihrer Tätigkeit • Klare Eskalationswege sowie Benennung entspre-
als nationales Kompetenzzentrum (TCT) alle TIBER-DE- chender Ansprechpartner für den Notfall sowohl
Tests, übernimmt jedoch keine Haftung für eventuelle zwischen Unternehmen und externen Anbietern
Schäden, die im Rahmen der von Unternehmen durch- als auch innerhalb des Unternehmens und gegen-
geführten TIBER-DE-Tests entstehen. Das WT ist ver- über dem TTM;
antwortlich für die Durchführung des TIBER-DE-Tests, • Abgrenzung von Handlungen, die RTP und TIP im
die daraus resultierenden Risiken und deren Minimie- Rahmen des TIBER-DE-Tests erlaubt sein sollen, d.h.
rung. Es muss sicherstellen, dass Risiken zu jedem die das Unternehmen gestattet (i. S. e. tatbestands-
Zeitpunkt angemessen identifiziert, analysiert und ausschließenden Einverständnisses bzw. Rechtfer-
kontrolliert werden. Einige Beispiele für mögliche tigung straf- und zivilrechtlicher Verletzungshand-
diesbezügliche Maßnahmen sind: lungen) von Handlungen, die nicht vorgenommen
• Erstellung detaillierter Risikoanalysen und entspre- werden sollen. Dies kann insbesondere im Wege
chender Risiko-Minimierungsmaßnahmen während der Auflistung von Handlungen geschehen, die
aller Phasen eines TIBER-DE-Tests; ausdrücklich erlaubt sein sollen (white list) oder
• Festlegung und ausschließliche Verwendung eines durch Nennung solcher Handlungen, die in jedem
Pseudonyms für das getestete Unternehmen an- Fall unterbleiben sollen (black list);
stelle des Klarnamens • Stufenweiser Aufbau des Tests zur regelmäßigen
• Sicherstellung angemessener Regelungen zur Haf- Kontrolle, wie weit der RTP in die Systeme einge-
tung im Schadensfall (inkl. möglicher Versicherun- drungen ist;
gen) in den Verträgen mit sämtlichen einbezogenen • Enger Einbezug des TTM bei allen risikorelevanten
externen Anbietern (z.B. TIP und RTP); Entscheidungen während der Tests.
25 Siehe auch TIBER-EU White Team Guidance: https://www.ecb.europa.eu/pub/pdf/other/ecb.tibereu.en.pdf (letzter Zugriff: 19.07.2021).
26 Die TIBER-EU Services Procurement Guidelines können auf der Webseite der EZB eingesehen werden:
https://www.ecb.europa.eu/pub/pdf/other/ecb.1808tiber_eu_framework.en.pdf (letzter Zugriff: 19.07.2021).Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 14
7 Vorgegebene und freiwillige
Elemente
Das TIBER-EU-Rahmenwerk legt den Großteil der • Die Analyse der Tests aus Sicht eines Purple Teams
durchzuführenden Elemente fest, lässt jedoch auch (Purple Team = Red Team + Blue Team; vgl. Ab-
Ausgestaltungsspielräume für die nationalen Imple- schnitt 5) ist aufgrund des damit verbundenen Lern-
mentierungen bzw. die Unternehmen.27 Über die vom effekts im Rahmen eines TIBER-DE-Tests vorgege-
TIBER-EU-Rahmenwerk vorgesehenen Kernelemente ben.
hinaus sind in der deutschen TIBER-Umsetzung fol-
gende Aspekte vorgegeben (vorgegebene Elemente): Darüber hinaus steht es jedem Unternehmen frei, bei
einem TIBER-DE-Test folgende optionale Elemente des
• Im Rahmen von TIBER-DE-Tests ist die Kenntnis- TIBER-EU-Rahmenwerkes zu adressieren (freiwillige
nahme der Umfangsspezifikation als auch eine Elemente):
optionale Teilnahme am Kickoff-Treffen durch die
zuständige Finanzaufsicht vorgesehen, um trans- • Dem Unternehmen steht es frei, über seine kriti-
parent über die Durchführung und den Umfang schen Funktionen hinaus weitere im Rahmen eines
des Tests zu informieren. Danach wird die entspre- TIBER-DE-Tests zu untersuchende Prozesse zu spe-
chende Finanzaufsicht unbeschadet gesetzlicher zifizieren.
Verpflichtungen grundsätzlich erst wieder nach
dem Abschluss des Tests im Rahmen der Vorlage • Der kontinuierliche Einbezug des TIP über den Be-
eines zusammenfassenden Abschlussberichts inkl. ginn der Angriffe durch den RTP hinaus kann unter
eines Maßnahmen-/Behebungsplans (vgl. Ab- bestimmten Umständen sinnvoll sein und steht
schnitt 8) einbezogen. dem Unternehmen frei.
• Das TIBER-EU-Rahmenwerk sieht die Möglichkeit • Der Einbezug physischer Testmethoden (z.B. physi-
vor, einen Bericht zur nationalen Bedrohungslage sche Zugangsverschaffung zum Netzwerk, Platzie-
im Finanzsektor (Generic Threat Landscape, GTL) rung eines Geräts der Angreifer im Unternehmen)
zu erstellen, welcher allen einen TIBER-DE-Test ist generell erwünscht und wird befürwortet, inso-
durchführenden Unternehmen zur Verfügung steht fern dies vom Unternehmen ausdrücklich erlaubt
und als Basis für die Erstellung des Berichts zur wird und nicht im Widerspruch zur aktuellen
unternehmensspezifischen Bedrohungslage des TIP Rechtslage oder den Sicherheitsanforderungen
dient. Im Rahmen der TIBER-DE-Implementierung des Unternehmens steht.
wird ein solcher Bericht bereitgestellt und in regel-
mäßigen Abständen aktualisiert. Nach Möglichkeit • Bei der Durchführung des Replay-Workshops steht
soll der Bericht mit den nationalen Sicherheitsbe- es dem Unternehmen frei, welche externen, über
hörden diskutiert werden, um seine Zuverlässigkeit den RTP und den TTM hinausgehenden Beteiligten
zu erhöhen. einbezogen werden sollen.
27 Die Vorgaben des TIBER-EU-Rahmenwerks sind im Rahmendokument der EZB festgelegt:
https://www.ecb.europa.eu/pub/pdf/other/ecb.tiber_eu_framework.en.pdf (letzter Zugriff: 19.07.2021).Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 15
8 Ergebnisse und finanz-
aufsichtliche Verwendung
Die detaillierten Ergebnisse des TIBER-DE-Tests und die Durchführung eines TIBER-DE-Tests informiert
Details über die gefundenen Schwachstellen verblei- werden, nimmt auf Wunsch am Kickoff-Meeting teil
ben ausschließlich beim getesteten Unternehmen. und erhält Kenntnis über die Umfangsspezifikation
Aus Gründen der Sicherheit dürfen solche sensiblen des Tests. Darüber hinaus muss das Unternehmen
Informationen nicht weitergegeben oder offenge- nach Abschluss der Tests einen zusammenfassenden
legt werden. Weiterhin darf keine zentrale Stelle ge- Abschlussbericht inkl. eines Maßnahmen-/Behebungs-
schaffen werden, die hoch sicherheitsrelevante In- plans an das TCT senden, welches diesen an die
formationen von möglicherweise systemrelevanten Finanzaufsicht weiterleitet (vgl. Abschnitt 5). Der
Akteuren des deutschen Finanzsystems ansammelt Bericht soll dabei konkrete Verbesserungen mit Zeit-
(Konzentrationsrisiko). Aus diesem Grund ist in TIBER-DE planung auf einem angemessenen Abstraktionsniveau
unbeschadet gesetzlicher Verpflichtungen keine auto- sowie generelle Erfahrungen aus dem TIBER-DE-Test
matische Weiterleitung der detaillierten Testergeb- beinhalten. Der Austausch zwischen dem Unterneh-
nisse vorgesehen. Auch das TCT wird keine solchen men und den zuständigen Finanzaufsehern erfolgt
Details speichern oder aufbewahren. im Rahmen von TIBER-DE-Tests unbeschadet gesetz-
licher Verpflichtungen ausschließlich über das TCT
Die zuständige Finanzaufsicht wird unbeschadet ge- und etablierte Kontaktpunkte der Finanzaufsicht,
setzlicher Verpflichtungen grundsätzlich an fest vor- die mit dem TIBER-DE-Rahmenwerk vertraut sind
gegebenen Punkten in den TIBER-DE-Test eingebunden. und die Ergebnisse dementsprechend einschätzen
Wie oben ausgeführt, muss die Finanzaufsicht über können.
9 Haftungsausschluss
Das vorliegende Dokument beschreibt die Umsetzung dar. Das Unternehmen bleibt für die eigenständige
des TIBER-EU-Rahmenwerks in Deutschland (TIBER-DE) rechtliche und fachliche Bewertung angestrebter
und setzt dessen Kernelemente um. Die im vorliegen- Testvorhaben verantwortlich. Die Bundesbank haftet
den Dokument enthaltenen Ausführungen dienen nicht für eventuelle Schäden, welche aus der Nutzung
ausschließlich dem Zweck der Information. Sie stellen des Dokuments oder im Rahmen der von Unterneh-
keine rechtliche oder sonstige fachliche Bewertung men durchgeführten TIBER-DE-Tests entstehen.Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 16
10 Annex
Annex 1: Im Laufe eines TIBER-DE-Tests durchzufüh- zwischen den beteiligten Akteuren eingebunden.
rende Treffen mit Ausrichtungsverantwortlichem und Über die hier aufgeführten Treffen hinaus sind regel-
verpflichtend teilnehmenden Akteuren. Der TTM ist mäßige Treffen oder Telefonate zu Informations- und
dabei grundsätzlich in alle Treffen und Absprachen Abstimmungszwecken zu organisieren.
Treffen Ausrichtungs- Verpflichtende (freiwillige)
verantwortlicher Teilnahme
Vorbereitungsphase Initiierungstreffen TTM WTL (WT), TTM
Kickoff-Treffen WTL WTL (WT), TTM, (TIP), (RTP),
(Finanzaufsicht)
Testumfangs-Treffen WTL WTL (WT), TTM, (TIP), (RTP)
Testphase Szenario-Workshop WTL WTL (WT), TTM, TIP, RTP
Testplan-Workshop WTL WTL (WT), TTM, TIP, RTP
Weitere Treffen mit TIP/RTP WTL WTL (WT), (TTM), TIP, RTP
nach Bedarf
Abschlussphase Replay-Workshop WTL WTL (WT), TTM, RTP, BT, (TIP)
360°-Feedback-Workshop TTM WTL (WT), TTM, RTP, BT, TIP
Evaluationsworkshop TTM TTM, Lenkungsausschuss,
WTL, (WT), (TIP), (RTP)Deutsche Bundesbank
Implementierung von TIBER-DE
Seite 17
Annex 2: Im Laufe eines TIBER-DE-Tests zu erstellende
Dokumente mit Erstellungsverantwortlichem und
verpflichtend abzustimmenden Akteuren
Erstelltes Dokument Erstellungs-/Bereitstellungs- Verpflichtend (freiwillig)
verantwortlicher abzustimmen mit
Vorbereitungsphase Projektplan WTL TTM, (TIP), (RTP)
Umfangsspezifikation WTL Unternehmensvorstand, TTM,
TIP, RTP, Finanzaufsicht
Testphase Unternehmensinterne In- WTL TTM
formationen zu Bedrohungen/
Schwachstellen (als Beitrag
zum Bericht zur unternehmens-
spezifischen Bedrohungslage)
Bericht zur unternehmens- TIP WTL, TTM, RTP,
spezifischen Bedrohungslage (nat. Sicherheitsbehörden)
Testplan RTP WTL, TTM, TIP
Abschlussphase RT-Testbericht RTP WTL, TTM
BT-Testbericht BT WTL, TTM
Behebungsplan WTL TTM
Abschlussbericht WTL TTM
TIBER-DE-Attestierung TTM TIP, RTP,
UnternehmensvorstandDeutsche Bundesbank Wilhelm-Epstein-Straße 14 60431 Frankfurt am Main Postfach 10 06 02 60006 Frankfurt am Main Telefon 069 9566-4527 Telefax 069 5601071 Internet https://www.bundesbank.de/de/aufgaben/unbarer-zahlungsverkehr/serviceangebot/tiber-de/ E-Mail tiber@bundesbank.de
Sie können auch lesen
