Mythos-Härtungs-Control · MRIS 2.0 · Wirkt in ISO/IEC 27001 und IT-Grundschutz

MHC-12 Threat-Led Penetration Testing mit Mythos-Szenarien

Validiert die gesamte Verteidigungskette gegen realistische, KI-getriebene Angriffsszenarien – und deckt auf, ob Detection und Response in der Praxis funktionieren statt nur auf dem Papier.

Auf einen Blick

Operativer Nutzen: Prüft, ob die Schutzmaßnahmen gegen realistische, AI-typische Angriffsszenarien tatsächlich wirken — nicht nur, ob sie dokumentiert sind — und deckt so falsch-positive Sicherheitsannahmen auf.
Betroffene Richtlinie: Richtlinie zu Sicherheitstests und unabhängiger Überprüfung.
Abhängigkeiten: keine Vorbedingung; prüft die Wirksamkeit der übrigen Controls (u. a. MHC-05, MHC-11) unter realistischen Bedingungen.
Aufwandstreiber: hängt stark vom gewählten Format ab (vollwertiges TLPT mit externem Red-Team vs. kostengünstigere Purple-Team- und Simulationsformate). Der konkrete Aufwand richtet sich nach den Ressourcen der Organisation.
Primäre Kennzahl: Anteil der festgestellten Schwachstellen, die innerhalb des vereinbarten Zeitfensters behoben werden (Closure-Rate).
Berührte Standards (ohne Erfüllungsanspruch): ISO/IEC 27002 A.5.35/A.8.29; DORA Art. 26/27 mit TLPT-RTS; TIBER-EU; C5:2026 OPS-22; NIS2-DVO Nr. 3.5.5.

Control-Statement

Die Wirksamkeit der Schutzmaßnahmen wird regelmäßig durch bedrohungsgeleitete Tests (Threat-Led Penetration Testing) geprüft, die realistische, auf die aktuelle Lage zugeschnittene Angriffsszenarien nachstellen — einschließlich AI-typischer Vorgehensweisen. Zwischen den Zyklen finden gemeinsame Übungen von Angriff und Abwehr (Purple Team) statt.

Zweck und Bedrohungsbezug

Dokumentierte Schutzmaßnahmen sind nicht dasselbe wie wirksame Schutzmaßnahmen. Unter AI-gestützten Angriffen — die heute nachweislich eigenständig Schwachstellen finden und ausnutzen — zeigt sich erst im realistischen Test, ob die Abwehr tatsächlich greift. Klassische Penetrationstests mit festem Standardumfang bilden die neuen Vorgehensweisen oft nicht ab. Schutzziel ist, mit realistischen, bedrohungsgeleiteten Szenarien zu prüfen, ob die Schutzmaßnahmen gegen reale Angriffsmuster wirken, und so falsch-positive Sicherheitsannahmen aufzudecken.

Wirkung in den Regelwerken

Auf diese Controls und Anforderungen wirkt das MHC. Die Einstufung zeigt, wie stark das jeweilige Control unter KI-gestützten Angriffen an Wirkung verliert.

Wirkung in den Regelwerken
Nummer	Titel	Einstufung / Stufe
ISO/IEC 27001:2022, Annex A 2 Controls
A.5.35	Unabhängige Überprüfung	teilweise degradiert
A.8.29	Sicherheitsprüfung in Entwicklung und Abnahme	standfest
IT-Grundschutz, MRIS.bd 1 Anforderungen
MRIS.bd.1.A11	Durchführung bedrohungsgeleiteter Penetrationstests mit KI-Szenarien	erhöhter Schutzbedarf

Alle 93 Controls in der Analysematrix · Alle 23 Anforderungen der Bausteinfamilie

Reifegrad-Pfad

Initial: jährliche Penetrationstests mit Standardumfang.
Defined: bedrohungsgeleitete Tests mit Mythos-Szenarien; Purple-Team-Übungen zwischen den Zyklen.
Managed: fortlaufende Angriffssimulation, Simulationsplattform produktiv; fristgerechte Behebung der Funde (Closure-Rate ≥ 90 % im vereinbarten Zeitfenster).

Messung und Audit-Nachweis

Kennzahl: Closure-Rate — Anteil der festgestellten Schwachstellen, die innerhalb des vereinbarten Zeitfensters behoben werden (Richtwert: ≥ 90 %); ergänzend Häufigkeit und Realitätsnähe der Tests.
Nachweis: Testberichte mit Szenarien und Funden, Behebungsnachweise, ATT&CK-Zuordnung der Purple-Team-Übungen.
Nachweislogik (in Anlehnung an ISO/IEC 27001, Clause 9): dokumentiert? — Testrichtlinie, Testberichte; verantwortlich? — Sicherheitsleitung; Häufigkeit? — mindestens jährlich für kritische Funktionen, Purple Team dazwischen; Toleranz? — keine offenen kritischen Funde über das vereinbarte Zeitfenster hinaus.

Typische Fehler

Es wird zwar getestet, aber mit immer gleichem Standardumfang; realistische, neue Angriffsmuster bleiben außen vor.
Funde werden berichtet, aber nicht fristgerecht behoben; der Test bestätigt nur Bekanntes, ohne die Lage zu verbessern.
Der Test prüft nur die Technik, nicht die Erkennung und Reaktion; ob ein Angriff bemerkt würde, bleibt offen.
Das Format wird überdimensioniert (teures TLPT, wo ein Purple-Team-Format genügt) oder unterdimensioniert (oberflächlicher Scan, wo realistische Szenarien nötig wären).

Abgrenzung und Restrisiko

Abgrenzung: betrifft die Überprüfung der Wirksamkeit; das automatisierte Testen während der Entwicklung behandelt MHC-09, das laufende Erkennen MHC-05.
Restrisiko: ein Test ist eine Momentaufnahme eines gewählten Szenarios; nicht geprüfte Wege bleiben offen, und die Lage ändert sich laufend — daher die regelmäßige Wiederholung und die Purple-Team-Übungen dazwischen.
Formatabgrenzung: MHC-12 verlangt die Prüfung realistischer Angriffsketten, nicht zwingend ein DORA-TLPT im engen regulatorischen Sinn. Für diejenigen DORA-regulierten Finanzunternehmen, die gemäß Art. 26 Abs. 8 für TLPT identifiziert wurden, gelten die regulatorischen DORA-TLPT-Anforderungen (RTS (EU) 2025/1190) verbindlich; alle anderen erreichen das Ziel auch über bedrohungsgeleitete Penetrationstests, Purple-Team-Übungen, Angriffssimulationen oder szenariobasierte Kontrolltests.
ISO/IEC 27002:2022: A.5.35 Unabhängige Überprüfung der Informationssicherheit; A.8.29 Sicherheitsprüfung bei Entwicklung und Abnahme.
Framework: DORA Art. 26/27 mit der TLPT-RTS (Delegierte Verordnung (EU) 2025/1190, anwendbar seit Juli 2025); TIBER-EU-Rahmenwerk der EZB (seit Februar 2025 auf DORA ausgerichtet); C5:2026 OPS-22; NIS2-DVO Nr. 3.5.5; Angriffssimulation u. a. mit Caldera, Atomic Red Team, AttackIQ, SafeBreach, Picus.

Umsetzung im Detail

Organisatorische und technische Umsetzung, Umsetzungsbeispiele und die Priorisierung im Gesamtprogramm beschreibt der Implementation Guide.

Implementation Guide (PDF)Zum MHC-Katalog