IT-Grundschutz-Profile für UAS: Open und Specific im Vergleich

Beide Bände stammen vom UAV DACH e. V., die BSI-Profilliste führt ihn als „Verband für unbemannte Luftfahrt“. Die Anforderungen sind laut Kapitel 3 „Empfehlungen des UAV DACH e.V. für UAS-Betreiber“. Keiner der Bände hat eine Dokumenthistorie mit Datum; die Daten in der Tabelle sind die der BSI-Seiten.

Beide Bände richten sich an Organisationen, Behörden und Unternehmen, die UAS in der jeweiligen Betriebskategorie einsetzen, und dort an Geschäftsleitung, IT-Administration und die Fachbereiche mit Drohneneinsatz (Kap. 2.1). Zum Informationsverbund gehört alles beim UAS-Betreiber, was für Flugbetrieb sowie Wartung und Instandsetzung nötig ist. Ausgeschlossen sind Komponenten und Verfahren ohne unmittelbaren Bezug zum Flugbetrieb, etwa Auftragswesen und Rechnungsstellung (Kap. 4). Flugsicherheit im Sinne des Flugsicherheitsmanagements behandeln beide Bände ausdrücklich getrennt (Kap. 6.1). Beide empfehlen außerdem, das Profil bei der Beauftragung von UAS-Dienstleistern zugrunde zu legen und die Anforderungen in die Vertragsbedingungen aufzunehmen (Kap. 2.3).

Die Referenzarchitektur ist in beiden Bänden fast gleich. Zwei Geschäftsprozesse: GP1 Flugbetrieb mit Startvorbereitung, Start, Flug, Landung und Außerbetriebnahme, GP2 Wartung und Instandsetzung mit Austausch von Antriebskomponenten, Aktualisierung der Flugbetriebssoftware und Analyse der Log-Dateien. Neun Anwendungen von der Flugplanung über Flight-Control- und Ground-Control-Software bis zur Payload-Steuerung; Desktoprechner, Laptop, Tablet oder Smartphone und Server; im Fluggerät Flight-Controller und Companion-Computer. Dazu Netze vom Organisationsnetz bis zur Verbindung Drohne zu Bodenkontrollstation, acht Raumarten vom zugangskontrollierten Raum bis zum öffentlichen Raum und, als Besonderheit, Fahrzeuge: das Transportfahrzeug, das Operation Vehicle und das Fluggerät selbst als mobile Infrastruktur (Band 1 Tab. 2 bis 7).

Einiges legen die Bände bewusst auf den Hersteller. Den Flight Data Recorder nennt Band 1 eine Größe außerhalb des Einflusses der Anwender: „Die Maßnahmen für einen IT-Grundschutz liegen beim jeweiligen Hersteller der Drohne.“ (Band 1, Fußnote 3). Kryptokonzept und Löschen sind als relevant markiert, aber mit der Begründung, sie seien im CE-Verfahren definiert und unterlägen „nicht dem Einfluss des Anwenders“ (Band 1 Tab. 13). Das ergibt einen Widerspruch in der Tabelle, den Sie in Ihrem Konzept auflösen müssen: Was Sie beim Hersteller einfordern, gehört zur Beschaffung, was Sie selbst tun, bleibt bei Ihnen.

Zur Reihe gehört nach Band 2 noch ein Band 3 für die Kategorie „Zertifiziert“, der dort als in Erstellung genannt wird (Kap. 4.3); in der BSI-Profilliste haben wir ihn am 02.11.2026 nicht gefunden. Parallel entstanden Profile für BOS-Einsatzszenarien. Das veröffentlichte Profil für Behörden und Organisationen mit Sicherheitsaufgaben grenzt sich selbst ab: Es „bildet ausdrücklich nicht die Vorgaben für den Einsatz von UAS im unternehmerischen oder privaten Kontext ab“ (BOS-Profil Kap. 3). Es hat deshalb eine eigene Seite.

Scope: Band 2 teilt den Flugbetrieb nach einem Entscheidungsschema des Luftfahrt-Bundesamts in sechs Varianten auf: GP1a Abwurf von Gegenständen, GP1b Überflug von Menschenansammlungen, GP1c Flughöhen auch über 120 m über Grund, GP1d vollständig automatisierter Flug ohne Eingriffsmöglichkeit, GP1e Abflugmasse ab 25 kg und GP1f Flug außerhalb der Sichtweite (Kap. 2.2). GP2 kann nach dem Profil „analog ausdifferenziert werden“. Die Begründung für die höheren Anforderungen ist technisch: Beim Flug außerhalb der Sicht ist ein direktes Eingreifen nicht durchgängig möglich, Überwachung und Steuerung laufen elektronisch (Kap. 3). Gegenüber Open sei zu beachten, „dass den Kommunikationsverbindungen eine deutlich höhere Relevanz zukommt, da eine visuelle Rückmeldung zu Status und Aktivitäten des UAS entfällt“ (Kap. 5).

Zielobjekte: Band 2 ergänzt die Verbindung von Drohne oder Bodenkontrollstation zu Kontroll- und Managementinstitutionen (NET06, etwa U-Space-Service-Provider und Flugsicherung), eine Cloud-Import- und Exportschnittstelle mit Datenmodem (NET07), Cloud-Schnittstellen als Anwendung (A10) sowie Cloud-Server und Cloud-Speicher (S02, S03). Einen Übergang zum Datennetzwerk, das beide Bände in Anlage 3 als „ugs.: Cloud“ erklären, kennt schon Band 1 als NET03. Zugleich schreibt er: „Die Cloud-basierten Systeme sind hier nicht Gegenstand der Betrachtung, da sie außerhalb der Systemgrenzen/dem Informationsverbund liegen. Gleiches gilt für den USSP-Bereich.“ (Kap. 5.4). Die Cloud-Objekte stehen also in den Tabellen 1 bis 3 und 6, fehlen aber in Anlage 1 und sind ausdrücklich ausgeklammert.

Anforderungen: Bei den Prozessbausteinen sind beide Bände bis auf zwei Stellen gleich (Tabelle unten). Bei den Systembausteinen geht Band 2 weiter. Band 1 schreibt: „Die Bausteine der Schichten IND: Industrielle IT, NET: Netze und Kommunikation und INF: Infrastruktur werden aktuell in diesem Profil nicht betrachtet.“ (Kap. 7.2). Band 2 listet diese Schichten auf, von IND.2.3 Sensoren und Aktoren über NET.1.1 Netzarchitektur und -design bis INF.14 Gebäudeautomation, darunter INF.11 Allgemeines Fahrzeug, nennt aber weder Relevanz noch Zielobjekte. Er nennt die Bausteine, die Entscheidung bleibt bei Ihnen.

Risiko: Beide Bände verlangen: „Aufgrund der Besonderheiten beim Flugbetrieb mit Drohnen ist in jedem Fall eine Risikoanalyse zu erstellen.“ (Kap. 6.1). Band 2 verknüpft sie mit dem Betriebshandbuch, das in der Kategorie Specific laut Profil auf einer Risikoanalyse nach EASA SORA beruht (Kap. 1): Die IT-Risikoanalysen gingen „in die Risikoanalysen bzw. -minderungen der Geschäftsprozesse ein“ (Kap. 3), und bei Einhaltung der Grundsätze des Profils sei derzeit keine allgemeine Restrisikobetrachtung erforderlich, die über die SORA hinausgeht (Kap. 8, mit Fußnote auf die SORA-Seite der EASA). Datenschutz klammert Band 1 aus (Kap. 1); Band 2 nennt Gefahren beim Datenschutz unter seinen Leitfragen, etwa bei Bilddaten aus der Luft (Kap. 1).

Band 1 verweist für die Vorbereitung der Risikoanalyse auf eine eigene Tabelle (Kap. 6.2), die das BSI als Excel-Datei auf einer eigenen Seite bereitstellt; die Profilliste nennt sie „Abschnitt 7: Gefahrenmatrix“, das Profil „Gefährdungsmatrix“. Wir haben die Datei am 02.11.2026 abgerufen und ausgewertet. Sie kreuzt für 30 Zielobjekte an, welche der 47 elementaren Gefährdungen G 0.1 bis G 0.47 zutreffen. Am meisten Kreuze hat das Fluggerät UA01 (35), am wenigsten das drahtlose Organisationsnetz NET02 (20). Bei allen 30 Zielobjekten angekreuzt sind unter anderem Spionage (G 0.14), Offenlegung schützenswerter Informationen (G 0.19) und Sabotage (G 0.41); bei keinem Nötigung, Erpressung oder Korruption (G 0.35), Abstreiten von Handlungen (G 0.37) und Social Engineering (G 0.42).

Drei Punkte sollten Sie kennen, bevor Sie die Matrix übernehmen. Erstens fehlt eine Zeile für NET05, die Verbindung Drohne zu Bodenkontrollstation, die in Tab. 4 und 7 von Band 1 steht und in Band 2 an Gewicht gewinnt. Zweitens steht G 0.33 Personalausfall zweimal im Tabellenkopf; die erste dieser Spalten ist leer, die zweite bei allen Zeilen angekreuzt. Drittens sind Ausfall von Kommunikationsnetzen (G 0.9) nur bei NET01 bis NET04 und Software-Schwachstellen (G 0.28) nur bei den Anwendungen A01 bis A09 angekreuzt, beim Flight-Controller D01 und beim Fluggerät UA01 nicht, obwohl die Einleitung beider Bände korrumpierte Firmwareupdates und den Ausfall der Kommunikationsinfrastruktur als Anlass nennt (Kap. 1). Ob das gewollt ist, sagt das Profil nicht.

Für Band 2 haben wir keine Matrix gefunden. Tabelle 10 dort enthält nur den Satz „Verweis: siehe externe Tabelle 10“, und auf der BSI-Seite von Band 2 steht allein das PDF. Wer in der Kategorie Specific arbeitet, muss die Matrix von Band 1 um die neuen Zielobjekte erweitern.

Die Liste ist für Betreiber gedacht, die ein Sicherheitskonzept auf Basis von Band 1 haben und Flüge der Kategorie Specific aufnehmen, etwa außerhalb der Sichtweite. Sie zeigt je Thema, was die beiden Bände sagen, und was Sie in Ihrem Konzept festhalten. Die Spalte „Was Sie festhalten“ ist unser Vorschlag.

Schutzbedarf: Beide Bände geben keine Schutzbedarfswerte vor. Sie liefern sechs Schadensszenarien mit UAS-Beispielen, vom Flug in einem nicht erlaubten Fluggebiet durch veränderte Daten bis zur Fehlsteuerung mit Personenschaden (Band 1 Tab. 9, Band 2 Tab. 8), und überlassen die Einstufung den Anwendenden. Für das Fluggerät legt nach unserer Einschätzung schon das Szenario „Beeinträchtigungen der persönlichen Unversehrtheit“ eine Einstufung über „normal“ nahe; entscheiden müssen Sie das für Ihren Betrieb.

Keine eigenen Bausteine: Die Einleitung beider Bände kündigt an: „Dort, wo dies nicht möglich ist, wurden individuelle Bausteine entwickelt.“ (Band 1 Kap. 1; Band 2 gleichsinnig). In keinem der beiden Dokumente steht ein solcher Baustein. Stattdessen halten beide fest, dass es für das Fluggerät und die Bodenkontrollstation „im IT-Grundschutz-Kompendium keine passenden Bausteine“ gibt, und machen die Risikoanalyse deshalb zur Pflicht (Band 1 Kap. 6.1). Für Flight-Controller und Companion-Computer nutzen sie SYS.4.3 Eingebettete Systeme.

Fahrzeuge als Infrastruktur: Die Bände behandeln das Transportfahrzeug, das Operation Vehicle und das Fluggerät als mobile Infrastrukturobjekte, denen sie wie Räumen IT-Systeme zuordnen (Band 1 Tab. 7, Band 2 Tab. 6), weil UAS üblicherweise nicht am Sitz des Betreibers fliegen (Kap. 5.5). Der öffentliche Raum (R08) ist ein eigenes Zielobjekt; dort stehen Laptop, Tablet und Fluggerät während des Einsatzes.

Rechtsbezüge: Kapitel 3 beider Bände nennt die DSGVO, das BDSG, das TTDSG und das TMG, für U-Space-Service-Provider den Anhang III der Durchführungsverordnung (EU) 2021/664 und für die Zertifizierung den Cybersecurity Act (EU) 2019/881; Band 2 nennt zusätzlich die Durchführungsverordnung (EU) 2019/947 und die Risikoanalyse SORA der EASA. Das TMG ist inzwischen durch das Digitale-Dienste-Gesetz abgelöst, das TTDSG heißt heute TDDDG; die Verweise geben den Stand bei Erstellung wieder. Ausgelegt werden diese Regelwerke hier nicht.

Beide Bände stehen auf der Methodik nach BSI-Standard 200-2. Eine Kompendium-Edition nennen sie nicht, und die Bausteinlisten passen zu keiner Edition ganz: Sie enthalten OPS.1.1.1 Allgemeiner IT-Betrieb, den es erst seit der Edition 2023 gibt, und zugleich OPS.2.1 Outsourcing für Kunden und OPS.3.1 Outsourcing für Dienstleister, die in der Edition 2023 entfallen und durch OPS.2.3 und OPS.3.2 ersetzt sind. Band 2 führt zusätzlich NET.3.4 Network Access Control (neu in 2023) und INF.4 IT-Verkabelung, die im Kompendium 2023 nicht mehr steht, neben INF.12 Verkabelung. Für die Zählung haben wir OPS.3.1 als OPS.3.2 gerechnet; OPS.2.1 ist in beiden Bänden nicht relevant, INF.4 geht in INF.12 auf.

Grundlage ist der Mapping-Entwurf von IT-Grundschutz 2023 nach Grundschutz++ in der Stand-der-Technik-Bibliothek (Status draft, Stand 21.07.2026); Zielanforderungen sind, soweit möglich, im Anwenderkatalog Build 2026-10-29 aufgelöst. Nicht auflösbar sind 7 Zielverweise aus den Bausteinen von Band 1 (Band 2: 6 bzw. 9); alle zeigen auf dieselbe Kennung VRB.1.2, die im Katalog nicht vorkommt. Sie sind in den Zahlen unten nicht enthalten. Die Zahlen sind ein Entwurf über einen Entwurf, und für Fluggerät, Funkstrecke und Bodenkontrollstation sagen sie nichts, weil die Bände dafür keinen Baustein ansetzen.

In welche Betriebskategorie Ihr Flugbetrieb fällt, was er luftrechtlich voraussetzt und was eine Risikobewertung nach SORA enthalten muss, regelt das Luftrecht. Die Profile nennen dazu Regelwerke und das Entscheidungsschema des Luftfahrt-Bundesamts; wir geben sie nur wieder und legen sie nicht aus. Ebenso wenig prüfen wir, ob ein auf diesen Profilen beruhendes Sicherheitskonzept von einer Luftfahrtbehörde anerkannt wird. Die Bände sagen selbst nur, die Anwendung des Profils „kann als Element der Zulassung oder Genehmigung von Luftfahrtbetrieben nach den einschlägigen Richtlinien und Bestimmungen dienen“ (Kap. 2.3).

Datenschutz, insbesondere bei Bild- und Videoaufnahmen aus der Luft, klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten. Beide Bände beschreiben einen Muster-Betreiber mit ihrer Referenzarchitektur: Ihre eigene Strukturanalyse, die Einstufung des Fluggeräts und die Risikoanalyse, die beide Bände in jedem Fall verlangen, ersetzen sie nicht, und gegenüber Luftfahrtbehörde oder Auftraggeber sind sie kein Nachweis. Die Aussage beider Bände, die Standard-Absicherung sei konform beziehungsweise kompatibel zu ISO 27001 (Kap. 3), und ihre Einordnung nach dem Cybersecurity Act haben wir nicht geprüft.