Die Oesterreichische Nationalbank (OeNB) und die österreichische Finanzmarktaufsicht (FMA) haben am 29. Juli 2025 einen entscheidenden Schritt zur Erhöhung der Cybersicherheit im Finanzwesen gesetzt: Künftig müssen ausgewählte, systemrelevante Finanzunternehmen in Österreich verpflichtend simulierte Cyberangriffe durch ethische Hacker:innen durchführen lassen. Ziel ist es, die IT-Sicherheit und die Widerstandsfähigkeit gegenüber realen Bedrohungslagen im zunehmend digitalisierten Finanzsektor signifikant zu stärken.
Umsetzung des Digital Operational Resilience Act (DORA)
Die neue Maßnahme ist Teil der Umsetzung des Digital Operational Resilience Act (DORA), einer EU-weiten Verordnung, die seit 2025 verbindlich für Finanzunternehmen gilt. Ein zentrales Element davon ist das sogenannte Threat-Led Penetration Testing (TLPT) – realitätsnahe Tests von Cyberangriffen, bei denen gezielt Schwachstellen in IT-Systemen identifiziert und analysiert werden. Diese Penetrationstests müssen künftig im Drei-Jahres-Zyklus durchgeführt werden, sofern ein Unternehmen als systemrelevant eingestuft ist oder zentrale Finanzdienstleistungen erbringt.
TIBER-AT als österreichischer Standard
Basis für diese Tests ist der nun aktualisierte TIBER-AT Implementation Guide, der von OeNB und FMA gemeinsam veröffentlicht wurde. TIBER steht für Threat Intelligence-Based Ethical Red Teaming und wurde vom Europäischen System der Zentralbanken (ESZB) entwickelt. In Österreich wurde das europäische TIBER-Rahmenwerk erstmals im November 2023 eingeführt und im Rahmen einer Pilotphase mit freiwillig teilnehmenden Finanzunternehmen getestet.
Diese freiwillige Erprobung lieferte laut OeNB wichtige Erkenntnisse über typische Schwachstellen und half den beteiligten Unternehmen, ihre Cyberresilienz spürbar zu verbessern. Auf Basis dieser Erfahrungen wurde der Leitfaden nun an die neuen EU-weiten DORA-Anforderungen angepasst.
Testdurchführung und Kontrolle durch TIBER Cyber Team Österreich
Für die Umsetzung und Qualitätssicherung der Tests ist das TIBER Cyber Team Österreich (TCT-AT) innerhalb der OeNB verantwortlich. Dieses Team koordiniert und begleitet die Tests von der Planung über die Durchführung bis zur Auswertung. Nach Abschluss des Tests wird durch die FMA oder die Europäische Zentralbank (EZB) ein offizielles Attest ausgestellt, das die regelkonforme und gesetzeskonforme Durchführung bestätigt.
Bedeutung für den Finanzplatz Österreich
Mit dieser Initiative wollen OeNB und FMA sicherstellen, dass der österreichische Finanzplatz gegenüber Cyberbedrohungen bestens gerüstet ist. Die Maßnahmen sollen nicht nur auf nationaler Ebene einheitliche Sicherheitsstandards garantieren, sondern auch zur europaweiten Stabilität des Finanzsystems beitragen. In Zeiten wachsender Cyberkriminalität und hybrider Bedrohungslagen ist die Prävention durch realitätsnahe Tests ein zentrales Element moderner Aufsichtspraxis.
