Mit TIBER-EU hat die Europäische Zentralbank ein Framework veröffentlicht, mit dem sich Unternehmen im Finanzsektor besser gegen Cyberangriffe wappnen können, um wirtschaftliche Schäden zu vermeiden. Die eigene Cybersicherheit kann durch sogenannte „Red Team“-Penetrationstests überprüft werden. Im Vergleich zur einfachen Sicherheitsanalyse hat dies den Vorteil, dass externe Angreifer unter realen Bedingungen mit professionellen Angriffsmethoden arbeiten. Dabei wird offengelegt, wie weit sie in die vorhandene Infrastruktur vordringen und in welchem Ausmaß die Organisation geschädigt werden könnte. Unsere SRC-Experten bereiten Ihr Unternehmen optimal und individuell auf die Durchführung eines TIBER-EU-Tests vor.
Im Detail: Was ist TIBER-EU?
TIBER-EU dient dazu, dass Organisationen sog. Threat- bzw. Intelligence-Led-Penetration-Tests durchführen können. Diese Art des Penetrationstests soll die hochagilen Angriffsmethoden tatsächlicher Angreifer imitieren. Dadurch können Organisationen bessere Vorsorge-, Sicherheits- und Kontrollmaßnahmen entwickeln und schneller auf Bedrohnungen reagieren. Die eigene Cyberresilienz wird so gestärkt. Der TIBER-EU Test gleicht dabei einer militärisch angehauchten Übung. Angreifer (Red Teams) und die sich verteidigende Organisation (Blue Teams) bekämpfen sich im Rahmen eines zuvor festgelegten Testscope. Das Red Team versucht, die kritischen Geschäftsfunktionen und Geschäftsprozesse einer Organisation anzugreifen, Daten zu stehlen und den Live-Betrieb der Produktivsysteme dieser Organisation zu stören. Dies umfasst sowohl Angriffe gegen informationstechnischen Systeme, aber auch gezielte Angriffe gegen Mitarbeiter und Prozessstrukturen.
Was ist in einem TIBER-EU-Test nicht erlaubt?
Im Rahmen der TIBER-EU-Tests sollen realitätsnahe Methoden verwendet werden. Allerdings darf ein solcher Test, trotz seiner Nähe zur Realität, keinesfalls über die Grenzen hinausschießen. Derzeit ist noch nicht völlig klar, welche Angriffsmethoden vom dem sich noch in der Entwicklung befindenden TIBER-DE-Guide explizit verboten oder erlaubt werden. Orientiert man sich für einen ersten Eindruck am niederländischen TIBER-NL– bzw. belgischen TIBER-BE-Guide, so verbieten diese z.B.:
- die Zerstörung von Geräten,
- unkontrollierte Änderung von Daten und Programmen,
- Gefährdung der Kontinuität von kritischen Geschäftsfunktionen,
- Erpressungsversuche gegen Mitarbeiter,
- Bedrohungen gegen Mitarbeiter und
- Bestechung von Mitarbeitern der Organisation sowie
- die Veröffentlichung von (Teil-)Ergebnissen eines TIBER-EU-Tests.
Was schließlich im TIBER-DE-Guide stehen wird, bleibt abzuwarten. Grundsätzlich kann jedoch davon ausgegangen werden, dass Parallelen zu den oben aufgeführten Guides bestehen werden.
An wen richtet sich TIBER-EU?
Primär richtet sich TIBER-EU an Finanzmarktinfrastrukturen, Organisationen und Institutionen, die innerhalb von Finanzmarktinfrastrukturen tätig sind. Das sind z.B. Banken, Versicherungen, Zahlungsdienstleister, Clearinghäuser, Zentralverwahrer, Kreditratingagenturen, Börsen oder Zahlungsinstitute. Lagern diese Organisationen kritische Geschäftsfunktionen an IT-Dienstleister aus, so richtet sich TIBER-EU auch an diese. Sekundär könnten im Rahmen von Harmonisierungsmaßnahmen auch weitere Branchen, wie z.B. Stromnetzbetreiber oder Telekommunikationsanbieter, zur Durchführung von TIBER-EU-Tests verpflichtet werden.
Sind Sie bereit für einen TIBER-Test?
Zur erfolgreichen Umsetzung eines TIBER-Tests müssen Organisationen die erforderlichen technischen, organisatorischen und datenschutzbedingten Maßnahmen ordnungsgemäß beachten, umsetzen und beherrschen.
Vor dem Hintergrund ihrer umfangreichen Finanzmarkt-, IT-Sicherheits- und Compliance-Expertise bieten unsere SRC-Experten Ihnen optimale und individuelle Beratungsdienstleistungen an. Mit der Erfahrung aus unzähligen Penetrationstests, Banken-Compliance– und Informationssicherheitsmanagementprojekten begleiten wir Sie gerne durch den gesamten Verfahrensablauf eines TIBER-Tests. Weitere Informationen können Sie hier finden.
