IT-Grundschutz-Profile für 5G-Campusnetze: Eigen- und Fremdbetrieb

Beide Profile hat das BSI herausgegeben; laut Einleitung wurden sie im Auftrag des BSI zusammen mit Fachleuten für 5G-Campusnetze und für IT-Grundschutz-Profile erstellt. Die Bausteinauswahl und die 5G-bezogenen Hinweise zu einzelnen Anforderungen stehen in einer separaten Excel-Tabelle mit den Anlagen 1 bis 4; ohne sie fehlt der größte Teil der Arbeitsgrundlage.

Beide Profile betrachten ein lokal betriebenes, nicht öffentliches 5G-Netz als Standalone-Netz nach 3GPP ab Release 15, also mit 5G-Kernnetz. Beide Profile bilden das Netz als reine „Insellösungen“ ab, ohne unmittelbare Anbindung an das öffentliche Mobilfunknetz oder das Internet; alle Komponenten stehen beim Anwendenden vor Ort (Kap. 1). Kernkomponenten sind Radio Unit, gNodeB und 5G-Core. Die Profile beschränken sich auf eine Quality-of-Service-Klasse ohne Priorisierung von Verkehr und auf physische SIM-Karten. Fernzugriff, etwa für die Wartung durch einen Dienstleister, ist nur über das interne Firmennetz vorgesehen (Kap. 5.3).

Ausgeschlossen sind in beiden Profilen eine Verbindung zum öffentlichen Mobilfunknetz, die Nutzung der Endgeräte zusätzlich im Firmennetz, Verbindungen des 5G-Core über TCP/IP zu anderen Netzen und WLAN-Sidelink (Kap. 4.2, 5.3). Das Profil für den Eigenbetrieb schließt außerdem ausdrücklich aus, dass 5G-Core oder gNodeB in der Cloud betrieben werden, und klammert eSIM und iSIM aus (Kap. 4.2).

Die Referenzarchitektur unterscheidet sich in der Tiefe. Der Eigenbetrieb modelliert zwei Prozesse, „5G-Campusnetz nutzen“ und „5G-Campusnetz betreiben“ mit den Teilprozessen Planen, Bereitstellen, Monitoring, Service-Wartung, SIM-Kartenverwaltung und Aussondern (Tab. 3). Dazu kommen sieben Anwendungen, darunter Netzmanagement, Monitoring, SIM-Kartenmanagement und die 5G-Core-Funktionen, zehn IT-Systeme mit Server für die Zeitsynchronisation per Precision Time Protocol, Management-Server und Administrations-Laptop sowie das bestehende Managementnetz des Firmennetzes, abgetrennt durch eine Firewall. Der Fremdbetrieb kennt nur den Prozess „5G-Campusnetz nutzen“, drei Anwendungen für Sensordaten, Aktorik und Auswertung und sechs IT-Systeme. Die Kernkomponenten behandelt er „als funktionale Einheit“, weil sie vom Dienstleister bereitgestellt werden und vom Anwendenden „für gewöhnlich nicht verändert werden können“ (Fremdbetrieb Kap. 5).

Im Eigenbetrieb liegt die „grundlegende Verantwortung für den Betrieb“ bei den Anwendenden, auch wenn sie einzelne oder mehrere Aufgaben an einen Dienstleister vergeben (Eigenbetrieb Kap. 2.2). Liefern, Aufbauen, Warten und das Einspielen von Updates sind nach dem Profil kein Outsourcing im Sinne des IT-Grundschutzes; der Baustein OPS.2.3 Nutzung von Outsourcing ist deshalb als nicht relevant markiert, mit dem Verweis auf das Profil für den Fremdbetrieb, falls doch Outsourcing vorliegt (Kap. 4.1, Anl. 1). Erbringt ein Dienstleister Aufgaben, „müssen“ die beschriebenen Anforderungen dann durch ihn umgesetzt werden (Kap. 1).

Im Fremdbetrieb liegt nach dem Profil Outsourcing vor, und „die Dienstleistersteuerung ist zentraler Bestandteil der Sicherheitskonzeption“ (Fremdbetrieb Kap. 1). Die Anlagen ziehen die Grenze an konkreten Bausteinen: Die Serverbausteine SYS.1.1 bis SYS.1.6 sind für Anwendende nicht relevant, weil sie den 5G-Core nicht verändern können; Systemmanagement, Zeitsynchronisation und VPN liegen beim Dienstleister; OPS.2.3 wird relevant. Bei den SIM-Karten sind die jeweils zutreffenden Teile des benutzerdefinierten Bausteins nach Anlage 1 entweder von der nutzenden Institution oder vom Dienstleistungsunternehmen umzusetzen. Bei Endgeräten, Industriekomponenten, Firewall, Gebäude und Verkabelung modellieren beide Profile dieselben Bausteine für die Anwendenden.

In Grundschutz++ entspricht das der Frage, die BSI-Standard 300-1 bei der Abgrenzung des Informationsverbunds stellt: „Welche organisatorischen, technischen und infrastrukturellen Teile werden lokal betrieben und welche werden an externe Parteien ausgelagert?“ (Kap. 3.1). Anhang 1 trennt die Zielobjektkategorien Dienstleistungen, etwa einen Support-Dienstleistungsvertrag, und Outsourcing, also Dienstleistungen von substanziellem Umfang innerhalb der Geschäftsprozesse. Ein Wartungsvertrag im Eigenbetrieb und ein vollständig betriebenes Netz im Fremdbetrieb landen damit voraussichtlich in verschiedenen Kategorien; die Einordnung Ihres Vertrags nehmen Sie selbst vor.

Die Matrix stellt für 14 Aufgaben gegenüber, wer sie nach dem jeweiligen Profil verantwortet. Die Spalte „Was Sie festhalten“ ist unser Vorschlag für Vertrag, Leistungsverzeichnis oder Sicherheitskonzept. Betreiben Sie ein Mischmodell, etwa eigene Administration mit ausgelagertem 5G-Core, tragen Sie je Zeile ein, welches Profil für Sie zutrifft.

Schutzbedarf: Beide Profile nehmen an, dass 5G-Campusnetze vor allem dort eingesetzt werden, wo erhöhte Anforderungen an Verfügbarkeit und Integrität bestehen (Kap. 6). Die Anlagen nennen deshalb zu fast jedem Baustein die Anforderungen für erhöhten Schutzbedarf, die zusätzlich zu prüfen sind. Wer für alle Grundwerte „normal“ feststellt, kommt laut Profil mit Basis- und Standard-Anforderungen aus. Die Schadensbeispiele reichen bis zu Fehlsteuerungen von Maschinen mit Personenschäden (Tab. 10).

Eigene Bausteine: Für Zielobjekte ohne passenden Kompendium-Baustein verweisen die Profile auf benutzerdefinierte Bausteine: Betrieb privater Mobilfunknetze (5G-Campus), Verwaltung von SIM-Karten und ortsveränderliche Einhausung für IT-Systeme, im Eigenbetrieb zusätzlich Precision Time Protocol. Die Kennungen sind nicht einheitlich: Der Mobilfunk-Baustein heißt im Text NET.bd.2.3, in den Anlagen NET.bd.3.2; der SIM-Baustein im Text des Fremdbetriebs CON.bd.20, sonst CON.bd.1; die Einhausung heißt in den Anlagen des Fremdbetriebs „Transportable Einhausung für Telekommunikationssysteme“. Die Texte dieser Bausteine haben wir auf den BSI-Seiten der beiden Profile nicht gefunden; dort stehen nur PDF und Excel-Tabelle.

Auch bei der Frage, ob das Kompendium die Kernkomponenten abdeckt, unterscheiden sich die Profile. Der Eigenbetrieb hält fest, dass sich 5G-Core, gNodeB und Radio Unit „grundsätzlich“ mit vorhandenen Bausteinen abbilden lassen (Kap. 7.3). Der Fremdbetrieb schreibt: „Für diese Geräte gibt es im IT-Grundschutz-Kompendium keinen Baustein.“ (Kap. 7.3).

Gefährdungen: Kapitel 8 enthält eine konsolidierte Tabelle der elementaren Gefährdungen für Einhausung, SIM-Karte und Betrieb des Netzes und ergänzt eine eigene Gefährdung „eG.1 Blitzschlag und Überspannung“ für Antennen im Außenbereich (Tab. 13). Als Beispiel für eine Risikobehandlung nennen beide Profile eine zusätzliche Firewall am Übergang zwischen 5G-Campusnetz und Firmennetz (Kap. 8, Schritt 4). Für diese Zielobjekte und für alle Zielobjekte mit erhöhtem Schutzbedarf verlangen beide Profile eine Risikoanalyse (Kap. 7.3, 8).

Beide 5G-Profile modellieren nach BSI-Standard 200-2 mit Bausteinen des Kompendiums 2023, und die Grenze zwischen Eigen- und Fremdbetrieb steckt in genau dieser Bausteinauswahl. Deshalb haben wir den Mapping-Entwurf von IT-Grundschutz 2023 nach Grundschutz++ aus der Stand-der-Technik-Bibliothek (Status draft, Stand 21.07.2026) für jedes Profil getrennt auf die Bausteine angewendet, die seine Anlagen 1 und 2 als relevant markieren, einschließlich der nur bedingt relevanten Betriebssystem-Bausteine. „SYS.1.2 Windows Server 2012“ aus den Anlagen entspricht im Kompendium 2023 SYS.1.2.2. Aufgelöst haben wir die Zielanforderungen gegen den Anwenderkatalog Build 2026-10-29. Der Unterschied zwischen beiden Spalten zeigt, was die Verantwortungsgrenze in Grundschutz++ ausmacht; eine vollständige Abdeckung folgt aus keiner der Zahlen, denn sie zählen Zuordnungen eines Entwurfs.

Beide Profile weisen darauf hin, dass ein 5G-Campusnetz nur im lokal zugeteilten Bereich und in den genehmigten Frequenzbändern betrieben werden darf (Kap. 5.4), und die Anlagen nehmen das als Hinweis zu ORP.5 auf. Frequenz- und Telekommunikationsrecht legen wir nicht aus: Wer die Zuteilung hält, welche Auflagen gelten und was ein Dienstleister davon übernimmt, klären Sie mit Ihrer Rechtsabteilung und der zuständigen Behörde.

Kapitel 3 der Profile (Rahmenbedingungen) verweist auf das BSI-Gesetz und Betreibende Kritischer Infrastrukturen. Das ist der Rechtsstand bei Erstellung der Profile (2022 bis 2024); ob und wie Ihre Einrichtung heute unter das BSI-Gesetz fällt, prüft diese Seite nicht. Beide 5G-Profile beschreiben eine generische Insellösung; welche Zielobjekte Ihr Campusnetz tatsächlich hat, ergibt erst Ihre eigene Strukturanalyse (Kap. 5.5, 9), und als Nachweis gegenüber Aufsicht oder Auftraggebern dient das Profil nicht. Die Zuordnung zu ISO/IEC 27001:2022 in den Excel-Anlagen haben wir nicht geprüft.