Traffic Light Protocol (TLP): Sensible Informationen richtig teilen

Wer im Incident Response arbeitet, Threat Intelligence austauscht oder Schwachstellenberichte weitergibt, steht ständig vor derselben Frage: Wer darf diese Information eigentlich noch sehen? Ein Indicator of Compromise aus einem laufenden Vorfall kann anderen Unternehmen helfen, denselben Angriff abzuwehren. Landet er aber ungefiltert im Netz, warnt er auch den Angreifer. Genau für dieses Spannungsfeld existiert das Traffic Light Protocol (TLP): ein bewusst einfaches Kennzeichnungsschema, das mit vier Stufen regelt, wie weit eine Information weitergegeben werden darf. Es hat sich als De-facto-Standard der CSIRT-Welt etabliert und begegnet einem heute in fast jeder Warnmeldung von CERT-Bund, in ISAC-Meldungen und in koordinierten Schwachstellen-Disclosures.

Was das Traffic Light Protocol ist und was nicht

Das TLP stammt ursprünglich aus der britischen Behördenwelt der frühen 2000er Jahre und wird heute vom FIRST (Forum of Incident Response and Security Teams) gepflegt, dem internationalen Dachverband der Incident-Response-Teams. Die aktuelle Fassung ist TLP Version 2.0, veröffentlicht im August 2022 und seit Januar 2023 verbindlich in der FIRST-Community.

Wichtig ist die Einordnung: Das TLP ist kein Geheimschutz- oder Klassifizierungssystem und ersetzt weder eine NDA noch eine VS-Einstufung. Es ist eine Vereinbarung zwischen Sender und Empfänger, die auf Vertrauen basiert. Der Absender einer Information legt fest, wie weit sie verteilt werden darf, und der Empfänger verpflichtet sich, diese Grenze einzuhalten. Technisch erzwungen wird nichts, das TLP verschlüsselt nicht und sanktioniert nicht. Sein Wert liegt woanders: Es schafft ein gemeinsames, international verstandenes Vokabular, das die Hemmschwelle senkt, sensible Informationen überhaupt zu teilen. Wer weiß, dass sein Bericht unter TLP:AMBER bleibt, gibt ihn eher weiter, als wenn die Weitergaberegeln jedes Mal neu verhandelt werden müssten.

Die vier Stufen von TLP 2.0

TLP 2.0 kennt vier Kennzeichnungen plus eine Zusatzstufe. Die Definitionen arbeiten mit drei präzise gefassten Begriffen: der Organisation (das eigene Unternehmen), den Clients (Kunden und Betreute, etwa bei einem MSSP) und der Community (die erweiterte Security-Gemeinschaft, in der man sich bewegt).

• TLP:RED — Nur für die benannten Empfänger persönlich. Die Information darf mit niemandem geteilt werden, auch nicht mit Kollegen der eigenen Organisation. Typisch für hochsensible Details in einem laufenden Incident oder einer noch nicht geschlossenen Schwachstelle.
• TLP:AMBER — Weitergabe nur innerhalb der eigenen Organisation und an deren Clients, und auch dort nur auf Need-to-know-Basis. Das ist die Arbeitsstufe für die meisten operativen Warnungen und Vorfallsdetails.
• TLP:AMBER+STRICT — Wie AMBER, aber strikt auf die eigene Organisation begrenzt. Clients sind ausgeschlossen. Diese Zusatzstufe wurde mit Version 2.0 eingeführt, weil das alte AMBER in der Praxis uneinheitlich interpretiert wurde.
• TLP:GREEN — Weitergabe innerhalb der Community erlaubt, etwa im eigenen ISAC oder unter Peers. Nicht erlaubt ist die Veröffentlichung über frei zugängliche Kanäle.
• TLP:CLEAR — Keine Weitergabebeschränkung. Die Information darf öffentlich verbreitet werden, übliche Urheberrechte bleiben unberührt.

Braucht ein Empfänger eine breitere Verteilung, als die Stufe erlaubt, gibt es genau einen legitimen Weg: die explizite Freigabe durch den Absender einholen. Eigenmächtiges Herabstufen ist ein Vertrauensbruch, der den Informationsfluss beim nächsten Vorfall austrocknet.

Was sich mit Version 2.0 geändert hat

Die auffälligste Änderung von TLP 2.0 ist die Umbenennung von TLP:WHITE in TLP:CLEAR. Der Grund ist pragmatisch: „Weiß" ist auf hellem Hintergrund schlecht darstellbar und der Begriff war international nicht eindeutig. Daneben wurde TLP:AMBER+STRICT ergänzt und die Definitionen wurden sprachlich vereinfacht, damit sie auch für Nicht-Muttersprachler eindeutig übersetzbar sind. Wer heute noch TLP:WHITE schreibt, nutzt einen veralteten Standard, was in der Praxis regelmäßig zu Rückfragen führt.

Die Verbreitung von Version 2.0 ist inzwischen flächendeckend. Die US-Behörde CISA hat TLP 2.0 übernommen, und in Deutschland arbeitet das BSI durchgängig damit: Warnmeldungen von CERT-Bund tragen TLP-Kennzeichnungen, und Teilnehmer am UP KRITIS verpflichten sich formal auf die Einhaltung des Protokolls. Das zugehörige BSI-Merkblatt zum sicheren Informationsaustausch mit dem TLP ist die maßgebliche deutschsprachige Referenz.

TLP korrekt anwenden: Kennzeichnung und Formalia

Der Standard macht konkrete Vorgaben zur Kennzeichnung, und sie einzuhalten lohnt sich, weil automatisierte Systeme und Empfänger sich darauf verlassen. Die Kennzeichnung wird immer in Großbuchstaben und ohne Leerzeichen geschrieben, also TLP:RED und nicht „tlp red". In E-Mails gehört sie in die Betreffzeile und in den Textkörper unmittelbar vor die gekennzeichnete Information. In Dokumenten steht sie rechtsbündig in Kopf- und Fußzeile jeder Seite. TLP 2.0 definiert sogar die exakten Farbwerte für die Darstellung auf dunklem Hintergrund, damit die Labels überall gleich aussehen.

In der Praxis bewähren sich darüber hinaus ein paar Grundregeln. Eine Information ohne TLP-Label sollte im Zweifel wie TLP:AMBER behandelt und beim Absender nachgefragt werden. Innerhalb eines Dokuments können einzelne Abschnitte unterschiedlich gekennzeichnet werden, etwa ein TLP:CLEAR-Executive-Summary vor TLP:AMBER-Details. Und wer selbst kennzeichnet, sollte der Versuchung widerstehen, reflexartig alles auf RED zu setzen: Eine zu strenge Einstufung verhindert genau die Verteilung, die der Information ihren Wert gibt. Die richtige Frage lautet nicht „Was ist maximal sicher?", sondern „Wer muss das wissen, damit es nützt, und ab wann schadet es?".

Grenzen des Protokolls

So nützlich das TLP ist, seine Grenzen muss man kennen. Es bietet keinerlei technischen Schutz: Ein TLP:RED-Dokument in einer unverschlüsselten E-Mail bleibt ein unverschlüsseltes Dokument. Die Kennzeichnung muss daher immer mit angemessenen technischen Maßnahmen einhergehen, von Transportverschlüsselung bis Zugriffsbeschränkung. Rechtlich ist das TLP unverbindlich, sofern es nicht, wie im UP KRITIS, durch eine explizite Verpflichtungserklärung oder vertraglich unterlegt wird. Wo Informationsschutz einklagbar sein muss, führt an NDAs und Verträgen kein Weg vorbei. Und schließlich schützt das TLP nicht vor Behördenpflichten: Gesetzliche Melde- und Offenlegungspflichten, etwa aus NIS-2 oder dem Cyber Resilience Act, bleiben von einer TLP-Kennzeichnung unberührt.

Fazit

Das Traffic Light Protocol löst ein reales Problem mit minimalen Mitteln: Vier Stufen, klare Begriffe, international verstanden. Für Unternehmen, die Threat Intelligence empfangen, in ISACs mitarbeiten oder Schwachstellen koordiniert offenlegen, ist die saubere TLP-Anwendung schlicht Handwerkszeug. Der Aufwand für die Einführung ist überschaubar: die Stufen von TLP 2.0 intern schulen, die Kennzeichnungsregeln in E-Mail- und Berichtsvorlagen verankern und im Zweifel beim Absender nachfragen statt eigenmächtig weiterzugeben. Wer das konsequent lebt, wird als vertrauenswürdiger Partner im Informationsaustausch wahrgenommen und bekommt im Ernstfall genau die Informationen, die andere zurückhalten würden.