i-Kfz-Profil: Informationssicherheit für Zulassungsbehörden

Das Hinweisblatt beschreibt die Ausgangslage in drei Sätzen: Im Verfahren i-Kfz greifen die Zulassungsbehörden über i-Kfz-Portale und damit über das Internet als „unsicheres Netz“ auf die Infrastruktur des KBA zu; dabei werden schutzbedürftige Daten verarbeitet, besonders bei der Kommunikation mit den zentralen Registern des KBA; deshalb gibt es Mindestsicherheitsanforderungen, deren Erfüllung „für i-Kfz zwingend erforderlich ist“. Das Profil soll den Zulassungsbehörden helfen „bei der Etablierung einer Sicherheitskonzeption, die im Anforderungskatalog gefordert wird“ (Hinweisblatt, S. 2).

Welcher Katalog gemeint ist, sagt das Hinweisblatt nicht. Öffentlich bekannt gemacht hat das KBA die „Mindestsicherheitsanforderungen an die internetbasierte Fahrzeugzulassung“ (MSA-i-Kfz), Version 1.5, gültig ab 1. September 2023 (BAnz AT 31.08.2023 B3). Sie verlangen in Anforderung A-6.1-8, dass die Komponenten und Schnittstellen der i-Kfz-Architektur einer Informationssicherheitskonzeption unterzogen werden, „die sich am BSI-ITG-200-2 IT-Grundschutz orientiert“, wahlweise in der Kern- oder der Standard-Absicherung. Nach unserer Einschätzung ist das die Sicherheitskonzeption, bei der das Profil helfen soll; Zeitpunkt und Wortlaut passen zusammen, ausdrücklich belegt ist der Bezug nicht.

Warum jede Behörde selbst konzipieren muss, steht ebenfalls in den MSA: „Ein Sicherheitskonzept mit gegebenenfalls integrierter Risikoanalyse existiert für das Gesamtverfahren i-Kfz nicht.“ (Nr. 2). Das KBA hat den Schutzbedarf des Zentralen Fahrzeugregisters für Vertraulichkeit, Integrität und Verfügbarkeit jeweils als hoch festgestellt und daraus Mindestanforderungen an Portale und Zulassungsbehörden abgeleitet (ebd.). Das KBA hat die MSA auf Grund von § 18 Absatz 3 der Fahrzeug-Zulassungsverordnung bekannt gemacht. Nach dieser Vorschrift sind, soweit für internetbasierte Zulassungsverfahren auf Systeme zurückgegriffen wird, die Zugang zu Daten beim KBA oder zu dessen Großkundenschnittstelle ermöglichen, die vom KBA festgelegten Standards einzuhalten, darunter die für Mindestsicherheitsanforderungen.

Laut Hinweisblatt steht das Profil im geschützten Bereich des KBA. Dort liegen nach den MSA auch die mitgeltenden Dokumente, etwa die Standards für die Datenübermittlung und die Informationen zur netztechnischen Anbindung (MSA Nr. 1.1). Wer die Zulassung zur Kommunikation mit der KBA-Infrastruktur beantragt, bestellt die Antragsunterlagen bei der Anwenderbetreuung des KBA und erhält sie per E-Mail oder über Zugangsdaten zum geschützten Bereich (MSA Nr. 7.5). Haben Sie diesen Zugang schon, fragen Sie dort zuerst, ob er auch das Profil umfasst.

Für Fragen zur Registrierung nennt das Hinweisblatt eine Kontaktadresse beim KBA. Wir geben sie hier nicht wieder, weil wir sie auf keiner öffentlichen Seite des KBA bestätigen konnten; Sie finden sie auf der BSI-Seite zum Profil unter https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_i-Kfz.html. Die Ansprechstellen für Technik, Anwenderbetreuung und Verfahrensbetreuung führt Nummer 9 der MSA auf.

Prüfen Sie nach dem Download zuerst drei Angaben im Dokument selbst: Version und Datum, die Edition des IT-Grundschutz-Kompendiums, auf der das Profil beruht, und die Fassung der MSA, auf die es sich bezieht. Davon hängt ab, wie viel Abgleich Sie vor der Übernahme brauchen.

Die Prüfliste stützt sich auf die öffentlichen MSA-i-Kfz und auf BSI-Standard 300-1. Sie funktioniert ohne das Profil und hilft Ihnen, das Profil nach dem Bezug an die richtige Stelle Ihres Vorhabens zu setzen. Die rechte Spalte zeigt, wo das Ergebnis in Grundschutz++ landet; die Kennungen stammen aus dem Anwenderkatalog, Build 2026-10-29. Wo Sie noch nach BSI-Standard 200-2 arbeiten, gilt dieselbe Frage für Ihre Strukturanalyse und Modellierung.

Version und Datum des Profils sind öffentlich nicht angegeben; das Hinweisblatt hat den Stand August 2023, also vor Grundschutz++. Dass das Profil auf BSI-Standard 200-2 beruht, liegt nahe, weil A-6.1-8 der MSA darauf verweist; prüfen können wir das so wenig wie die Kompendium-Edition. Für die anderen Profile zählen wir auf ihren Seiten die Bausteine gegen den Mapping-Entwurf IT-Grundschutz 2023 nach Grundschutz++ aus. Für das Profil i-Kfz geht das nicht, weil die Bausteinliste nicht öffentlich ist.

Unabhängig vom Profil ändert sich beim Wechsel nach Grundschutz++ die Stelle, an der die KBA-Vorgaben stehen. Im klassischen IT-Grundschutz steht das Profil neben den MSA: Es soll bei der Sicherheitskonzeption helfen, die MSA erfüllen Sie zusätzlich. In Grundschutz++ gehören die MSA als externe Verpflichtung ins Compliance-Management und als ergänzende Anforderungen ins Anforderungspaket (300-1 Kap. 2.2 und 3.4.3); 300-1 nennt dort ausdrücklich „Anforderungskataloge“ als Gegenstand der Analyse. Die Anforderungen der MSA verschwinden dabei nicht in Katalogkennungen: Sie haben eigene Kennungen (A-6.1-1 bis A-6.2.11-3) mit eigenem Verpflichtungsgrad, und der Auditbericht für das KBA muss jede geprüfte Anforderung mit ihrer Kennung und dem Ergebnis aufführen (Nr. 6, 7.2). Unser Vorschlag: Führen Sie die MSA-Kennung in jeder ergänzenden Anforderung mit, dann lässt sich der Auditbericht direkt aus dem Anforderungspaket ableiten.

Diese Seite enthält keine Aussage über den Inhalt des Profils: keine Bausteinliste, keinen Schutzbedarf, keine Referenzarchitektur und kein Mapping nach Grundschutz++. Wir haben nur das öffentliche Hinweisblatt gelesen. Die Prüfliste beruht auf den MSA-i-Kfz und BSI-Standard 300-1 und ersetzt das Profil nicht.

Für die Teilnahme an i-Kfz gelten die Standards, die das KBA nach § 18 Absatz 3 FZV festlegt, in der jeweils gültigen Fassung. Wir haben Version 1.5 gelesen; eine neuere haben wir am 2. November 2026 nicht gefunden, die Webseite des KBA konnten wir an diesem Tag nicht abrufen. Das KBA veröffentlicht die Standards auf seiner Internetseite; § 18 Abs. 3 Satz 2 FZV sieht einen Hinweis im Bundesanzeiger und im Verkehrsblatt für Änderungen der Hauptversionen vor. Prüfen Sie deshalb die aktuelle Fassung im geschützten Bereich des KBA, bevor Sie sich auf eine Nummer dieser Seite stützen.

Ob Ihre Behörde die Anforderungen erfüllt, ob ein Konzept nach Grundschutz++ die Anforderung A-6.1-8 erfüllt und welche Auflagen gelten, entscheidet allein das KBA im Zulassungsverfahren (MSA Nr. 7). Die Anwendung des Profils ist kein Nachweis gegenüber dem KBA; nachgewiesen wird über Audit- und Penetrationstestberichte (A-6.1-14). Datenschutzrechtliche Pflichten nach § 18 Absatz 2 FZV und der DSGVO legen wir nicht aus.