TIBER-EU Testing in der Schweiz: Ein Leitfaden für Finanzinstitute

Die Europäische Zentralbank (EZB) hat mit dem TIBER-EU-Rahmenwerk einen Standard geschaffen, der die Cyberresilienz von Finanzinstituten durch realistische Angriffssimulationen auf die Probe stellt. Die Schweiz hat mit TIBER-CH eine eigene Adaption entwickelt, die von der Schweizerischen Nationalbank (SNB) und der FINMA unterstützt wird. Für Schweizer Finanzinstitute – insbesondere systemrelevante Banken – ist TIBER-basiertes Testing heute ein zentrales Element der Cyber-Resilienz-Strategie. Dieser Leitfaden erklärt, was TIBER-EU und TIBER-CH bedeuten, wie der Testprozess abläuft und was Ihr Institut wissen muss, um sich optimal vorzubereiten.

Was ist TIBER-EU?

TIBER-EU steht für Threat Intelligence-Based Ethical Red Teaming und wurde 2018 von der Europäischen Zentralbank veröffentlicht. Das Rahmenwerk bietet einen standardisierten Ansatz, um die Cyberresilienz von Finanzinfrastrukturen und deren Betreibern zu testen. Im Kern geht es darum, die Taktiken, Techniken und Prozeduren (TTPs) realer Bedrohungsakteure in einer kontrollierten, aber realistischen Angriffssimulation nachzubilden.

Seit seiner Einführung haben über 20 EU-Mitgliedstaaten sowie mehrere Nicht-EU-Länder nationale TIBER-Rahmenwerke implementiert. Laut der EZB wurden bis Ende 2025 europaweit über 150 TIBER-Tests durchgeführt. Die Schweiz hat als eines der ersten Nicht-EU-Länder eine eigene Adaption unter dem Namen TIBER-CH vorgenommen – ein Zeichen dafür, wie ernst der Schweizer Finanzplatz die Bedrohung durch Cyberangriffe nimmt.

Die drei zentralen Prinzipien von TIBER-EU sind:

• Bedrohungsgesteuert (Threat-Intelligence-Based): Jeder Test basiert auf einer spezifischen Bedrohungsanalyse, die reale Angreifer und deren Methoden identifiziert
• Realistisch: Das Red Team nutzt die gleichen Techniken wie echte Angreifer – einschliesslich Social Engineering, physischer Zugangsversuche und technischer Exploitation
• Geheim: Nur ein kleiner Kreis (White Team) weiss von dem Test. Das Blue Team (Verteidiger) wird nicht vorab informiert, um authentische Reaktionen sicherzustellen

TIBER-CH: Die Schweizer Umsetzung

Die Schweizerische Nationalbank (SNB) hat in Zusammenarbeit mit der FINMA das TIBER-CH-Rahmenwerk entwickelt, das sich eng am europäischen TIBER-EU-Standard orientiert, aber spezifische Anpassungen für den Schweizer Finanzmarkt enthält. TIBER-CH richtet sich in erster Linie an systemisch bedeutsame Finanzmarktinfrastrukturen und systemrelevante Banken (D-SIBs).

Laut dem FINMA-Risikomonitor 2025 stuft die FINMA Cyberrisiken weiterhin als eines der fünf bedeutendsten Risiken für den Schweizer Finanzplatz ein. Die Zahl der gemeldeten Cybervorfälle bei beaufsichtigten Instituten ist zwischen 2022 und 2025 um über 65% gestiegen. Vor diesem Hintergrund hat die Erwartung an TIBER-konforme Tests deutlich zugenommen.

Die drei Phasen eines TIBER-Tests

Ein TIBER-konformer Test folgt einem klar strukturierten Drei-Phasen-Modell. Der gesamte Prozess dauert typischerweise 6 bis 10 Monate von der Initiierung bis zum Abschlussbericht. Die aktive Testphase allein umfasst in der Regel 10 bis 12 Wochen.

Phase 1: Vorbereitung und Threat Intelligence (8–12 Wochen)

In der ersten Phase wird der Grundstein für den gesamten Test gelegt. Sie umfasst drei wesentliche Elemente:

• Scoping: Das White Team (typischerweise 3–5 Personen aus Geschäftsleitung, CISO und Compliance) definiert gemeinsam mit der Aufsichtsbehörde den Umfang des Tests. Dazu gehören die kritischen Funktionen (Critical Functions), die getestet werden sollen, sowie die Flags (Ziele), die das Red Team erreichen soll
• Beschaffung: Separate Beauftragung eines Threat-Intelligence-Providers und eines Red-Team-Providers. TIBER-EU verlangt ausdrücklich, dass beide Dienstleister unabhängig voneinander arbeiten. Beide müssen über anerkannte Qualifikationen verfügen – typischerweise CREST-Akkreditierung
• Targeted Threat Intelligence Report (TTIR): Der TI-Provider erstellt einen umfassenden Bericht über die relevante Bedrohungslandschaft des Instituts. Dieser identifiziert die wahrscheinlichsten Bedrohungsakteure, deren Motivation und die spezifischen TTPs, die gegen das Institut eingesetzt werden könnten

Phase 2: Red-Team-Test (10–12 Wochen)

Auf Basis des TTIR entwickelt das Red Team Angriffsszenarien, die die identifizierten Bedrohungen realistisch simulieren. Diese Phase ist der Kern des TIBER-Tests:

• Reconnaissance: Umfassende Aufklärung mittels OSINT, Social Engineering Vorbereitung und technischer Analyse
• Weaponization & Delivery: Entwicklung massgeschneiderter Angriffswerkzeuge und -szenarien, die den TTPs realer Bedrohungsakteure entsprechen
• Initial Compromise: Eindringen in die Organisation über die im TTIR identifizierten Angriffsvektoren – dies kann Spear Phishing, Vishing, Supply-Chain-Angriffe oder physische Zugriffsversuche umfassen
• Lateral Movement & Privilege Escalation: Ausbreitung im Netzwerk, Zugriff auf privilegierte Systeme
• Flag Capture: Erreichen der vereinbarten Ziele (z.B. Zugriff auf Core-Banking-Systeme, Exfiltration von Kundendaten, Manipulation von Transaktionssystemen)

Während der gesamten Testphase ist das Red Team bestrebt, unentdeckt zu bleiben – genau wie ein realer Angreifer. Das Blue Team (SOC, IT-Security) wird nicht informiert und reagiert auf erkannte Aktivitäten wie auf einen echten Angriff.

Phase 3: Abschluss und Purple Teaming (4–6 Wochen)

Die Abschlussphase ist entscheidend für den nachhaltigen Nutzen des Tests:

• Red Team Report: Detaillierter Bericht über alle Angriffsschritte, genutzten Schwachstellen und erreichten Ziele
• Blue Team Report: Dokumentation aller vom Blue Team erkannten und nicht erkannten Aktivitäten
• Purple Teaming Workshop: Gemeinsame Analyse von Red Team und Blue Team. Jeder Angriffsschritt wird besprochen, Detection Gaps identifiziert und konkrete Verbesserungsmassnahmen definiert
• Remediation Plan: Priorisierter Massnahmenplan mit klaren Verantwortlichkeiten und Fristen
• Aufsichtsdialog: Besprechung der Ergebnisse mit der zuständigen Aufsichtsbehörde (SNB und/oder FINMA)

TIBER-EU vs. Standard-Penetrationstest: Der entscheidende Unterschied

Viele Finanzinstitute führen bereits regelmässig Penetrationstests durch und fragen sich, warum ein TIBER-Test zusätzlich notwendig ist. Die Unterschiede sind fundamental:

Kriterium	Standard-Penetrationstest	TIBER-EU / TIBER-CH
Grundlage	Technischer Scope (z.B. IP-Bereiche, Anwendungen)	Reale Bedrohungsanalyse (Targeted Threat Intelligence)
Ziel	Schwachstellen finden	Cyberresilienz der gesamten Organisation validieren
Scope	Definierter technischer Bereich	Kritische Geschäftsfunktionen end-to-end
Angriffsvektoren	Primär technisch	Technisch, Social Engineering, physisch, Supply Chain
Wissen der Verteidiger	IT-Team ist informiert	Nur White Team (3–5 Personen) ist eingeweiht
Threat Intelligence	Keine oder generisch	Dedizierter Targeted Threat Intelligence Report (TTIR)
Dauer	1–3 Wochen	6–10 Monate (Gesamtprozess)
Aufsicht	Intern beauftragt	Unter Aufsicht von SNB/FINMA
Purple Teaming	Optional	Integraler Bestandteil
Kosten (Schweiz)	CHF 10'000 – 35'000	CHF 150'000 – 400'000
Anbieter-Anforderung	Fachkompetenz empfohlen	CREST-Akkreditierung typischerweise erforderlich

Ein TIBER-Test ersetzt keinen regulären Penetrationstest, sondern ergänzt ihn. Penetrationstests bleiben als jährlicher Basislinie-Check unverzichtbar. TIBER bietet darüber hinaus eine strategische Validierung der Gesamtresilienz, die mit keinem anderen Testansatz erreicht werden kann.

Anforderungen an den Red-Team-Provider

TIBER-EU stellt hohe Anforderungen an die Qualifikation der beteiligten Dienstleister. Nicht jeder Anbieter von Sicherheitstests kann TIBER-konforme Engagements durchführen. Die wichtigsten Anforderungen sind:

• CREST-Akkreditierung: CREST (Council of Registered Ethical Security Testers) ist der internationale Standard für Anbieter offensiver Sicherheitstests. Eine CREST-Akkreditierung auf Firmenebene sowie CREST-zertifizierte Consultants (CRT, CCT) werden von den meisten Aufsichtsbehörden erwartet
• Erfahrung mit TIBER-Tests: Der Provider muss nachweisbare Erfahrung in der Durchführung von TIBER-konformen oder vergleichbaren Red-Teaming-Engagements vorweisen
• Threat-Intelligence-Expertise: Für den TI-Provider gelten separate Anforderungen an die Fähigkeit, zielgerichtete Bedrohungsanalysen für den Finanzsektor zu erstellen
• Unabhängigkeit: Der TI-Provider und der Red-Team-Provider müssen organisatorisch unabhängig sein
• Sicherheitsüberprüfung: Die beteiligten Consultants müssen Sicherheitsüberprüfungen unterzogen werden können

Der TIBER-Test in der Praxis: Was Finanzinstitute erwarten sollten

Ein TIBER-Test ist für jedes Institut eine bedeutende Unternehmung. Basierend auf der Erfahrung aus durchgeführten TIBER-konformen Engagements hier die wichtigsten praktischen Aspekte:

Ressourcenaufwand

Der interne Aufwand wird häufig unterschätzt. Das White Team muss über den gesamten Testzeitraum verfügbar sein. Erfahrungsgemäss investiert das White Team 150 bis 250 Personenstunden über die gesamte Testdauer. Hinzu kommen die Stunden für den Purple-Teaming-Workshop und die anschliessende Remediation.

Typische Erkenntnisse

Die Ergebnisse eines TIBER-Tests gehen weit über technische Schwachstellen hinaus. Laut einer Analyse der EZB aus dem Jahr 2024 zeigen TIBER-Tests konsistent folgende Muster:

• In 78% der Tests gelingt dem Red Team der Initial Access über Social Engineering (Spear Phishing, Vishing)
• In 62% der Tests werden die Red-Team-Aktivitäten vom Blue Team erst nach mehr als 5 Tagen erkannt
• Die häufigsten Schwachstellen betreffen nicht die technische Infrastruktur, sondern Prozesslücken in der Incident Detection und Response
• In 85% der Tests erreicht das Red Team mindestens eines der definierten Ziele (Flags)

Umgang mit den Ergebnissen

Die Ergebnisse eines TIBER-Tests sind streng vertraulich und werden nur dem White Team, der Geschäftsleitung und der zuständigen Aufsichtsbehörde mitgeteilt. Die FINMA nutzt die Ergebnisse nicht für direkte Sanktionen, sondern als Grundlage für den aufsichtsrechtlichen Dialog. Entscheidend ist, dass identifizierte Schwachstellen im Remediation Plan adressiert und innerhalb vereinbarter Fristen behoben werden.

Kosten und Budget: Realistisch planen

Die Kosten eines TIBER-Tests setzen sich aus mehreren Komponenten zusammen:

Diese Investition steht im Verhältnis zu den potenziellen Schäden: Laut dem IBM Cost of a Data Breach Report 2025 belaufen sich die durchschnittlichen Kosten einer Datenschutzverletzung im Finanzsektor weltweit auf USD 6,08 Millionen – im Schweizer Kontext sogar höher. Ein einzelner erfolgreicher Cyberangriff auf eine systemrelevante Bank könnte zudem systemische Risiken für den gesamten Finanzplatz mit sich bringen.

Vorbereitung auf einen TIBER-Test: 7 Schritte

Institute, die sich auf ihren ersten TIBER-Test vorbereiten, sollten folgende Schritte systematisch angehen:

1. Sicherheitsreifegrad evaluieren: Stellen Sie sicher, dass grundlegende Sicherheitsmassnahmen implementiert und getestet sind. Ein TIBER-Test ist kein Ersatz für fehlende Basismassnahmen. Führen Sie zunächst einen umfassenden Penetrationstest durch, falls noch nicht geschehen
2. White Team bilden: Identifizieren Sie 3–5 Personen aus Geschäftsleitung, CISO-Funktion und Compliance, die den Test über die gesamte Dauer begleiten. Diese Personen müssen die nötige Autorität und Diskretion mitbringen
3. Kritische Funktionen identifizieren: Definieren Sie gemeinsam mit dem Regulator, welche Geschäftsfunktionen als kritisch gelten und getestet werden sollen (z.B. Zahlungsverkehr, Handel, Kundendatenverarbeitung)
4. Provider auswählen: Wählen Sie CREST-akkreditierte Anbieter für Threat Intelligence und Red Teaming. Achten Sie auf Erfahrung im Schweizer Finanzsektor und Unabhängigkeit der beiden Provider
5. Rechtlichen Rahmen klären: Stellen Sie sicher, dass die vertraglichen Vereinbarungen die Besonderheiten eines TIBER-Tests abdecken (Haftung, Vertraulichkeit, Eskalationsprozesse, Umgang mit erkannten Schwachstellen)
6. Kommunikationsplan erstellen: Definieren Sie, wie mit unerwarteten Situationen umgegangen wird (z.B. wenn der Test eine echte Schwachstelle aufdeckt, die sofort behoben werden muss, oder wenn das Blue Team Alarm schlägt)
7. Remediation-Kapazitäten einplanen: Stellen Sie sicher, dass nach dem Test ausreichend Ressourcen für die Umsetzung der Verbesserungsmassnahmen zur Verfügung stehen. Erfahrungsgemäss erfordern die Remediation-Massnahmen 3–6 Monate Umsetzungszeit

TIBER und DORA: Europäische Konvergenz

Mit dem Inkrafttreten der EU-Verordnung DORA (Digital Operational Resilience Act) im Januar 2025 hat Threat-Led Penetration Testing (TLPT) eine neue regulatorische Grundlage erhalten. DORA verlangt in Artikel 26–27, dass systemrelevante Finanzinstitute in der EU regelmässig TLPT durchführen – und verweist dabei explizit auf TIBER-EU als anerkanntes Rahmenwerk.

Für Schweizer Institute mit EU-Geschäft hat dies direkte Auswirkungen: Wer als Drittstaateninstitut in der EU reguliert ist oder mit EU-Finanzinstituten in kritischen Wertschöpfungsketten zusammenarbeitet, wird sich zunehmend auch an DORA-Anforderungen messen lassen müssen. TIBER-CH und DORA-konformes TLPT sind dabei weitgehend kompatibel, sodass ein gut geplanter TIBER-CH-Test beide Anforderungen abdecken kann.

Lehren aus bisherigen TIBER-Tests

Aus der wachsenden Erfahrungsbasis europäischer TIBER-Tests lassen sich wichtige Lehren für Schweizer Finanzinstitute ableiten:

Nächste Schritte für Ihr Institut

Unabhängig davon, ob Ihr Institut bereits unter eine TIBER-Pflicht fällt oder sich proaktiv auf zukünftige Anforderungen vorbereiten möchte – die Zeit zu handeln ist jetzt. Cyberangriffe auf den Finanzsektor werden komplexer und häufiger. Laut dem BACS (Bundesamt für Cybersicherheit) wurden im Jahr 2025 über 63'000 Cybervorfälle in der Schweiz gemeldet, wobei der Finanzsektor zu den am stärksten betroffenen Branchen gehört.

Als CREST-akkreditierter Anbieter mit Erfahrung in TIBER-konformen Red-Teaming-Engagements unterstützen wir Schweizer Finanzinstitute in allen Phasen des TIBER-Prozesses. Von der initialen Bedrohungsanalyse über die Durchführung des Red-Team-Tests bis zum Purple-Teaming-Workshop und der Remediation-Begleitung.

Buchen Sie eine kostenlose Bedrohungsanalyse – unsere Experten bewerten die Bereitschaft Ihres Instituts für einen TIBER-Test und zeigen Ihnen die optimalen nächsten Schritte auf.

Häufig gestellte Fragen (FAQ)

Ist TIBER-CH für alle Schweizer Banken verpflichtend?

TIBER-CH ist derzeit nicht für alle Schweizer Banken gesetzlich verpflichtend. Die SNB erwartet die Durchführung von TIBER-Tests primär für systemrelevante Banken (D-SIBs) und systemisch bedeutsame Finanzmarktinfrastrukturen. Für Banken der FINMA-Aufsichtskategorie 2 und 3 wird die Durchführung zunehmend erwartet. Banken kleinerer Kategorien können TIBER-Tests freiwillig durchführen, um ihre Cyberresilienz zu demonstrieren. Das FINMA-Rundschreiben 2023/1 verlangt generell "angemessene" Sicherheitstests, wobei TIBER für systemrelevante Institute als Standard gilt.

Wie unterscheidet sich TIBER-CH von einem herkömmlichen Red-Teaming-Engagement?

Der Hauptunterschied liegt in der Struktur und der regulatorischen Einbettung. Ein TIBER-CH-Test basiert zwingend auf einem dedizierten Targeted Threat Intelligence Report, wird unter Aufsicht der SNB/FINMA durchgeführt und folgt einem standardisierten Drei-Phasen-Modell. Zudem müssen TI-Provider und Red-Team-Provider unabhängig voneinander sein. Ein herkömmliches Red-Teaming-Engagement kann flexibler gestaltet werden, hat aber nicht die gleiche regulatorische Anerkennung. Die Ergebnisse eines TIBER-Tests werden mit der Aufsichtsbehörde besprochen, was bei einem regulären Red Team nicht der Fall ist.

Wie oft muss ein TIBER-Test durchgeführt werden?

Die EZB empfiehlt, TIBER-Tests alle 2 bis 3 Jahre durchzuführen. Zwischen den TIBER-Tests sollten regelmässige Penetrationstests stattfinden, um die kontinuierliche Sicherheitslage zu überwachen. Bei wesentlichen Veränderungen in der IT-Infrastruktur, der Bedrohungslandschaft oder nach einem schwerwiegenden Sicherheitsvorfall kann ein früherer Re-Test angezeigt sein. Die genaue Frequenz wird im aufsichtsrechtlichen Dialog mit der SNB bzw. FINMA festgelegt.

Welche Zertifizierungen muss der Red-Team-Provider für TIBER-CH vorweisen?

TIBER-EU verlangt, dass Red-Team-Provider über anerkannte Qualifikationen verfügen. In der Praxis ist eine CREST-Akkreditierung auf Unternehmensebene der wichtigste Nachweis. Auf individueller Ebene werden Zertifizierungen wie CREST CCT (Certified Simulated Attack Specialist), OSCP (Offensive Security Certified Professional), OSCE und vergleichbare Qualifikationen erwartet. Zudem muss der Provider nachweisbare Erfahrung in der Durchführung von TIBER-konformen oder vergleichbaren Red-Teaming-Engagements im Finanzsektor vorweisen. Die SNB prüft die Eignung des Providers im Rahmen des Scoping-Prozesses.

Kann ein TIBER-Test den laufenden Betrieb gefährden?

Ein gut geplanter TIBER-Test ist so konzipiert, dass er den laufenden Betrieb nicht gefährdet. Das White Team definiert vorab klare Grenzen (sogenannte "no-go areas") und Eskalationsprozesse. Produktionssysteme mit Kundentransaktionen können im Scope sein, aber das Red Team arbeitet mit höchster Sorgfalt und vermeidet Aktionen, die Systemausfälle verursachen könnten. Im TIBER-Prozess ist eine laufende Risikobewertung durch das White Team vorgesehen, das den Test jederzeit pausieren oder abbrechen kann. Dennoch sollten Institute für den unwahrscheinlichen Fall eines unbeabsichtigten Impacts vorbereitet sein und entsprechende Notfallprozesse bereithalten.