TIBER-EU und TIBER-CH: Der Red-Teaming-Standard für Schweizer Finanzinstitute

01 Was TIBER-CH Ihrem Institut bringt

Seit der Einführung haben über 20 EU-Mitgliedstaaten und mehrere Nicht-EU-Länder nationale TIBER-Rahmenwerke umgesetzt. Europaweit wurden bis Ende 2025 über 150 TIBER-Tests durchgeführt [ EZB TIBER-EU ] . Die Schweiz gehörte zu den ersten Nicht-EU-Ländern mit einer eigenen Adaption: TIBER-CH, entwickelt von der Schweizerischen Nationalbank gemeinsam mit der FINMA.

Drei Prinzipien tragen jeden TIBER-Test. Bedrohungsgesteuert: Jeder Test basiert auf einer spezifischen Bedrohungsanalyse, die reale Angreifer und deren Methoden identifiziert. Realistisch: Das Red Team nutzt dieselben Techniken wie echte Angreifer, einschliesslich Social Engineering und physischer Zugangsversuche. Geheim: Nur ein kleiner Kreis, das White Team, weiss vom Test. Das Blue Team reagiert auf erkannte Aktivitäten wie auf einen echten Angriff, was authentische Reaktionen sicherstellt.

Der Druck steigt. Laut FINMA-Risikomonitor 2025 zählt die FINMA Cyberrisiken weiterhin zu den fünf bedeutendsten Risiken für den Schweizer Finanzplatz. Die Zahl der gemeldeten Cybervorfälle bei beaufsichtigten Instituten ist zwischen 2022 und 2025 um über 65 Prozent gestiegen [ FINMA 2025 ] . Für systemrelevante Häuser ist TIBER-basiertes Testing damit zu einem zentralen Baustein der Resilienzstrategie geworden.

02 Wie ein TIBER-Test abläuft

Ein TIBER-konformer Test folgt einem klar strukturierten Drei-Phasen-Modell. Der Gesamtprozess dauert typischerweise sechs bis zehn Monate von der Initiierung bis zum Abschlussbericht. Die aktive Testphase allein umfasst in der Regel zehn bis zwölf Wochen. So verteilt sich die Arbeit.

Phase 1: Vorbereitung und Threat Intelligence (8–12 Wochen)

Das White Team, meist drei bis fünf Personen aus Geschäftsleitung, CISO-Funktion und Compliance, definiert gemeinsam mit der Aufsichtsbehörde den Scope: die kritischen Funktionen und die Flags, die das Red Team erreichen soll. Parallel werden ein Threat-Intelligence-Provider und ein Red-Team-Provider getrennt beauftragt, denn TIBER-EU verlangt ausdrücklich, dass beide unabhängig voneinander arbeiten. Der TI-Provider liefert den Targeted Threat Intelligence Report (TTIR): die wahrscheinlichsten Bedrohungsakteure, deren Motivation und die konkreten Techniken, die gegen Ihr Institut eingesetzt werden könnten.

Phase 2: Red-Team-Test (10–12 Wochen)

Auf Basis des TTIR entwickelt das Red Team Angriffsszenarien, die die identifizierten Bedrohungen realistisch nachbilden. Der Ablauf folgt der Kill Chain: Reconnaissance über OSINT und technische Analyse, Weaponization massgeschneiderter Werkzeuge, Initial Compromise über Spear Phishing, Vishing, Supply-Chain- oder physische Zugriffe, danach Lateral Movement, Privilege Escalation und schliesslich das Erreichen der vereinbarten Flags. Ein Flag kann der Zugriff auf ein Core-Banking-System sein, die Exfiltration von Kundendaten oder die Manipulation eines Transaktionssystems. Das Red Team bleibt dabei so lange wie möglich unentdeckt, genau wie ein realer Angreifer.

Phase 3: Abschluss und Purple Teaming (4–6 Wochen)

Hier entsteht der eigentliche Nutzen. Red Team und Blue Team legen ihre Berichte nebeneinander und gehen im Purple-Teaming-Workshop jeden Angriffsschritt gemeinsam durch. Erkannte und nicht erkannte Aktivitäten werden sichtbar, Detection-Lücken benannt und konkrete Verbesserungen definiert. Das Ergebnis ist ein priorisierter Remediation Plan mit klaren Verantwortlichkeiten und Fristen, plus der Aufsichtsdialog mit SNB und FINMA.

03 TIBER oder Penetrationstest

Viele Institute testen bereits regelmässig und fragen zu Recht, warum ein TIBER-Test zusätzlich nötig ist. Ein TIBER-Test ersetzt keinen Penetrationstest, er ergänzt ihn. Der Pentest bleibt der jährliche Basislinie-Check. TIBER liefert darüber hinaus die strategische Validierung Ihrer Gesamtresilienz, die kein anderer Ansatz erreicht. Die Unterschiede sind fundamental.

04 Kosten und typische Erkenntnisse

Ein TIBER-Test ist eine bedeutende Investition. Planen Sie realistisch, dann liefert er eine Aussagekraft, die kein günstigerer Test erreicht. Die Kosten setzen sich aus mehreren Komponenten zusammen.

Diese Zahl steht dem potenziellen Schaden gegenüber. Laut IBM Cost of a Data Breach Report 2025 kostet eine Datenschutzverletzung im Finanzsektor weltweit im Schnitt USD 6,08 Millionen, im Schweizer Kontext eher mehr [ IBM 2025 ] . Ein erfolgreicher Angriff auf eine systemrelevante Bank kann zudem systemische Risiken für den gesamten Finanzplatz auslösen.

Was ein TIBER-Test aufdeckt, geht weit über technische Schwachstellen hinaus. Eine EZB-Analyse aus dem Jahr 2024 zeigt konsistente Muster: In 78 Prozent der Tests gelingt dem Red Team der Initial Access über Social Engineering. In 62 Prozent werden die Red-Team-Aktivitäten erst nach mehr als fünf Tagen erkannt. In 85 Prozent erreicht das Red Team mindestens eines der definierten Flags [ EZB TIBER-EU ] . Die häufigsten Befunde betreffen nicht die technische Infrastruktur, sondern Prozesslücken in Detection und Response.

DETECTION

Rechnen Sie auch mit internem Aufwand. Erfahrungsgemäss investiert das White Team 150 bis 250 Personenstunden über die gesamte Testdauer, dazu kommen die Stunden für Workshop und Remediation. Die Ergebnisse sind streng vertraulich und werden nur White Team, Geschäftsleitung und Aufsicht mitgeteilt. Die FINMA nutzt sie nicht für Sanktionen, sondern als Grundlage für den aufsichtsrechtlichen Dialog.

05 Vorbereitung in sieben Schritten

Beginnen Sie die Planung mindestens zwölf Monate vor dem gewünschten Teststart. Allein die Anbieterbeschaffung kann zwei bis drei Monate dauern, und die Abstimmung mit der Aufsicht braucht zusätzliche Vorlaufzeit. Diese sieben Schritte bringen Ihr Institut geordnet zum Test.

Ein Blick über die Landesgrenze lohnt sich. Mit dem Inkrafttreten von DORA im Januar 2025 verlangen die Artikel 26 und 27 von systemrelevanten EU-Finanzinstituten regelmässiges Threat-Led Penetration Testing und verweisen dabei ausdrücklich auf TIBER-EU [ DORA Art. 26–27 ] . Für Schweizer Institute mit EU-Geschäft sind TIBER-CH und DORA-konformes TLPT weitgehend kompatibel, ein gut geplanter TIBER-CH-Test deckt beide Anforderungen ab.

Die Bedrohungslage macht das Warten teuer. Laut BACS wurden 2025 über 63 000 Cybervorfälle in der Schweiz gemeldet, der Finanzsektor gehört zu den am stärksten betroffenen Branchen [ BACS 2025 ] . Als CREST-akkreditierter Anbieter mit Erfahrung in TIBER-konformen Engagements begleiten wir Sie durch alle Phasen, von der Bedrohungsanalyse über den Red-Team-Test bis zum Purple-Teaming-Workshop und der Remediation.