18. März 2026 15:02

Warum ist der BDDK-Penetrationstest verpflichtend?

Die Bankenregulierungs- und Aufsichtsbehörde (BDDK) macht periodische Penetrationstests für Banken und Finanzinstitute zur Pflicht, um die Sicherheit ihrer Informationssysteme zu überwachen. Diese Verpflichtung ist im Rahmen der Verordnung über Informationssysteme und elektronische Banking-Dienste von Banken geregelt.

Welche Tests müssen im Rahmen der BDDK durchgeführt werden?

Gemäß der BDDK-Verordnung sind Banken verpflichtet, folgende Penetrationstests durchführen zu lassen:

• Netzwerkinfrastruktur-Tests: Bewertung der internen und externen Netzwerksicherheit
• Webanwendungstests: Sicherheitstests für Internet-Banking und APIs
• Mobile Anwendungstests: iOS- und Android-Banking-Anwendungen
• ATM-Sicherheitstests: ATM-Netzwerk- und Softwaresicherheit
• Social Engineering: Phishing-Simulationen für Mitarbeiter

Wie oft muss ein BDDK-Penetrationstest durchgeführt werden?

Im Rahmen der BDDK-Verordnung müssen Penetrationstests mindestens einmal jährlich durchgeführt werden. Bei kritischen Systemänderungen oder neuen Produkteinführungen können zusätzliche Tests erforderlich sein.

Berichterstattung und Auditprozess

BDDK-Penetrationstest-Berichte müssen für die internen Auditprozesse der Institution erstellt werden und folgende Elemente enthalten:

1. Management Summary (kritische Befunde)
2. Technische Details (Schwachstellenbeschreibungen, CVSS-Scores)
3. Risikobewertung (Kritisch/Hoch/Mittel/Niedrig)
4. Korrekturmaßnahmenplan
5. Verifizierungsbericht (Retesting)

TSE-zertifizierte Firmenpflicht

Die BDDK verlangt, dass Penetrationstests von nach TSE 13638-Standard akkreditierten Firmen durchgeführt werden. Testberichte von nicht TSE-zertifizierten Firmen werden möglicherweise bei der Prüfung nicht akzeptiert.

Nordis Global ist ein TSE-zertifiziertes Cybersecurity-Unternehmen mit Erfahrung in BDDK-konformen Penetrationstest-Dienstleistungen. Für detaillierte Informationen kontaktieren Sie unsere Experten.