IT-Grundschutz-Profil für Leitstellen einordnen und anwenden

Das Profil wendet sich an „die für Informationstechnik verantwortlichen Entscheidungsträger“ aus dem Bereich der Leitstellen und soll zugleich Herstellern und Lieferanten von Leitstellentechnik sowie Fachplanern als Grundlage dienen (Profil Kap. 2). Es versteht sich als Schablone, um IT-Grundschutz in einer Leitstelle einzuführen und an deren Bedürfnisse anzupassen (Kap. 1). Für die Fachplanung heißt das: Das Profil eignet sich als Ausgangspunkt für Sicherheitsanforderungen in Planung und Beschaffung, weil es die Systemlandschaft einer Leitstelle durchgängig benennt.

Die Referenzarchitektur beschreibt drei Kernprozesse: Einsatzannahme, Einsatzverteilung und Einsatzbegleitung, gegliedert in zehn Unterprozesse vom Priorisieren einer Meldung über Disposition und Alarmierung bis zur Nachbereitung (Kap. 4.1). Dazu kommen elf Anwendungen, darunter Einsatzleitsystem, Notrufabfragesystem, Funkanschaltung, Geoinformationssystem, standardisiertes Abfragesystem, Sprachdokumentation und das Modulare Warnsystem (Kap. 4.2), vierzehn Arten von IT-Systemen von Clients und Servern über TK-Anlage und Schnittstellenserver bis zu Alarmierungsserver und Alarm-Drucker (Kap. 4.3), die Netze samt Session Border Controller (Kap. 4.4) und die Räume vom Einsatzleitraum über Technik- und Serverraum bis zu Stabsraum und Not-Abfrageplätzen (Kap. 4.5). Der Netzplan zeigt ausdrücklich eine „gedachte Musterleitstelle“; Redundanzen sind darin der Übersicht halber weggelassen (Kap. 4.4.1).

Ausgeschlossen sind vier Bereiche (Kap. 3.2): der BOS-Digitalfunk nach TETRA-Standard wird nicht vollständig berücksichtigt, „weil dieser ein eigenständiges System darstellt, das lediglich Schnittstellen zu den Leitstellen bereitstellt“; die Daten- und Telefonanschlüsse liegen in der Verantwortung der Netzbetreiber; Notruf-Apps gelten als eigenständiges System, dessen Schnittstelle zur Leitstelle meist eine Web-Applikation im Browser ist; bei Alarmierungs-Apps der Feuerwehren und Hilfsorganisationen ist nur die Schnittstelle zwischen den Anwendungen der Leitstelle und der App zu betrachten. Außerdem behandelt das Profil die Stammdatenpflege nicht separat (Kap. 4.1), führt die Bausteine der Industriellen IT von vornherein nicht auf (Kap. 5.2) und erwähnt ein externes Rechenzentrum „R2“ nur im Text, nicht in der Raumtabelle (Kap. 4.5).

Weicht Ihre Leitstelle von der Musterleitstelle ab, verlangt das Profil, zusätzliche oder fehlende Objekte zu dokumentieren und die Anforderungen an den Schutzbedarf anzupassen; die Objekte sollen passenden Komponenten des Kompendiums zugeordnet werden (Kap. 4.6). Die Prüfliste weiter unten setzt genau dort an.

Schutzbedarf mit Ausfallzeiten: Das Profil übersetzt die sechs Schadensszenarien der Methodik in Leitstellenbegriffe, bis hin zu tolerierbaren Ausfallzeiten. Bei normalem Schutzbedarf liegt sie über 24 und unter 72 Stunden, bei hohem muss ein Ausfall innerhalb von 24 Stunden behoben sein, bei sehr hohem innerhalb von 4 Stunden (Tab. 11 bis 13). Integrität und Verfügbarkeit stuft das Profil für Einsatzannahme, Einsatzverteilung und die Unterstützung der Einsatzkräfte als sehr hoch ein, für Dokumentation und Nachbereitung als normal; die Vertraulichkeit ist wegen medizinischer Angaben fast überall hoch (Tab. 14 bis 16). Über das Maximumprinzip werden damit alle Anwendungen außer dem Einsatznachbearbeitungssystem, alle IT-Systeme, beide Netzobjekte und der Raumverbund der Leitstelle bei Integrität und Verfügbarkeit sehr hoch (Tab. 17 bis 28).

Bausteinauswahl nach Mindestprinzip: Das Profil geht alle Bausteine des Kompendiums 2023 außer der Industriellen IT durch und modelliert nur die, die „für eine Mehrheit der Leitstellen bedeutend sind“ (Kap. 5.2). Wir haben die Liste gegen das Kompendium 2023 abgeglichen: 104 Bausteine sind aufgeführt, keiner fehlt, 75 sind als relevant markiert, 29 begründet ausgeschlossen, darunter Cloud-Nutzung, Smartphones und Tablets, Mobile Device Management und Network Access Control.

Leitstellenbetrieb in den Hinweisen: Die Tabellen 38 und 39 kommentieren einzelne Anforderungen aus Sicht des Leitstellenbetriebs. Beispiele sind Wartungs- und Reparaturarbeiten in einsatzarmen Zeiten, etwa nachts (zu ORP.1 und OPS.1.1.2.A25), Patches nicht vor Wochenenden, Feiertagen oder Terminen mit hohem Einsatzaufkommen und mit erreichbarem Support (zu OPS.1.1.3.A7), die Rollentrennung, wenn Disponenten zugleich administrieren: „Der Disponent sollte nicht mit Administrationsrechten eingeloggt sein“ (zu OPS.1.1.2.A22), Virenschutz in Abstimmung mit den Herstellern der Leitstellensysteme (zu OPS.1.1.4.A5), Testsysteme ohne Patientendaten (zu OPS.1.1.6.A13), eine Ersatznotrufabfragestelle als entfernter Aufbewahrungsort für Datensicherungen (zu CON.3.A12) und der Zugriff auf Einsatzdaten des alten Systems nach einem Systemwechsel (zu OPS.1.2.2.A9).

Eigene, schärfere Vorgaben: An mehreren Stellen geht das Profil über den Wortlaut des Kompendiums hinaus. Hochverfügbare Strukturen mit mindestens 99,99 % Verfügbarkeit seien „zwingend vorzusehen“, mit Verweis auf die Handreichung Leitstellenplanung des Fachverbands (zu NET.1.1.A28); redundante Anschlüsse „insbesondere für Notruf-Leitungen“ ebenso (zu NET.4.1.A19); für VPN-Zugänge ist Multifaktor-Authentisierung zwingend (zu NET.3.3); die Firewall soll als Paketfilter, Application-Level-Gateway und Paketfilter aufgebaut sein (zu NET.1.1.A18); die Datensicherung mindestens täglich nach dem Generationenprinzip laufen (zu CON.3.A4). Ausdrücklich zur Umsetzung empfohlen werden außerdem Anforderungen für erhöhten Schutzbedarf, unter anderem APP.1.2.A12, APP.4.3.A21 bis A23 und A25 (A24 nur bei nicht lokaler Datenhaltung), APP.5.3.A10 bis A12, CON.6.A14, CON.9.A9, NET.1.2.A31 bis A38 (A34 ist in der Edition 2023 entfallen), NET.3.2.A27, INF.2.A26 und INF.8.A6.

Eine offene Stelle: Kapitel 5.5 hält fest, dass es leitstellenspezifische Objekte gibt, die mit den vorhandenen Bausteinen „nicht hinreichend modelliert werden“ und deshalb einer Risikoanalyse bedürfen, benennt aber kein einziges. Nach unserer Einschätzung sind die Kandidaten die Fachanwendungen der Referenzarchitektur, für die das Kompendium 2023 keinen eigenen Baustein hat, etwa Einsatzleitsystem, Notrufabfragesystem, Funkanschaltung und Alarmierungsserver. Diese Liste müssen Sie selbst aufstellen.

Beim Übernehmen achten Sie auf drei Unstimmigkeiten: Tabelle 39 kommentiert Bausteine, die Kapitel 5.2 ausschließt (Unified Communications, Network Access Control, mobiler Arbeitsplatz); der Hinweis zu Wechseldatenträgern verweist auf „SYS.3.4.A4“, Tabelle 35 auf SYS.4.5.A12; die Referenzarchitektur nennt Betriebssystemstände wie „Win10, 7“ (Tab. 6), die Sie gegen Ihren Bestand abgleichen.

Die Prüfliste deckt die Stellen ab, an denen eine reale Leitstelle typischerweise von der Musterleitstelle abweicht. Beantworten Sie jede Frage mit Ja oder Nein. Jedes Ja ist ein Objekt oder eine Schnittstelle, die Sie nach Profil Kap. 4.6 dokumentieren. Die rechte Spalte zeigt, wo das Ergebnis in Grundschutz++ landet: als Asset einer Zielobjektkategorie nach BSI-Standard 300-1 Anhang 1, als Schnittstelle, die nach Kap. 3.1 „organisatorisch, technisch sowie infrastrukturell“ zu dokumentieren ist, oder als ergänzende Anforderung nach Kap. 3.4.3.

Für Leitstellen ändert der Wechsel nach Grundschutz++ drei Dinge: Aus „sehr hoch“ wird hoch mit Pflicht zur Risikobetrachtung, was das Profil „zwingend“ nennt, wird nicht von selbst verbindlich, und von den 75 Bausteinen haben 386 Anforderungen einen Eintrag im Mapping-Entwurf. Eine Fassung des Profils für Grundschutz++ haben wir am 02.11.2026 nicht gefunden.

Erstens der Schutzbedarf. Grundschutz++ stellt ihn für Geschäftsprozesse fest und kennt zwei Kategorien, normal und hoch (300-1 Kap. 2.6). Eigene Kategorien sind erlaubt, sie „sind hierbei auf die Schutzbedarfskategorien des GS++ zu mappen“ (ebd.). Die Stufen „hoch“ und „sehr hoch“ des Profils fallen damit in die Kategorie hoch. Für die Kernprozesse einer Leitstelle folgt daraus fast überall hoher Schutzbedarf, und für Geschäftsprozesse mit hohem Schutzbedarf ist eine Risikobetrachtung erforderlich (Kap. 2.6, 2.11). Die Vererbung auf Anwendungen, Systeme, Netze und Räume aus den Tabellen 17 bis 28 des Profils ersetzen Sie durch die Zuordnung der Assets zu Prozessen; der Schutzbedarf des Prozesses bestimmt, welches Sicherheitsniveau Sie für die Anforderungen wählen (Kap. 3.4.2). Die Begründungen des Profils, etwa die Ausfallzeiten, können Sie als Begründung Ihrer eigenen Einstufung verwenden.

Zweitens die Anforderungen für erhöhten Schutzbedarf. Im Anwenderkatalog haben Anforderungen des Sicherheitsniveaus „erhöht“ das Modalverb KANN und „sind optional zu erfüllen“; sie dienen als Fundus für die Risikobetrachtung (300-1 Kap. 3.4.2). Was das Profil für Leitstellen als „zwingend“ bezeichnet oder zusätzlich zu den Basis- und Standard-Anforderungen verlangt, wird in Grundschutz++ also nicht von selbst verbindlich. Halten Sie an diesen Vorgaben fest, übernehmen Sie sie als Ergebnis der Risikobetrachtung oder als ergänzende Anforderung (Kap. 3.4.3).

Drittens die Bausteine. Für die 75 Bausteine, die das Profil als relevant markiert, haben wir den Mapping-Entwurf IT-Grundschutz 2023 → Grundschutz++ ausgezählt. Die Datei steht auf Status „draft“ (Stand 21.07.2026), die Ziele haben wir im Anwenderkatalog Build 2026-10-29 aufgelöst. Das Ergebnis ist ein Entwurf und keine amtliche Zuordnung.

Das Profil nennt Landesgesetze zu Rettungsdienst, Feuerwehr, Katastrophenschutz und Leitstellen sowie Regelungen der Länder zur Speicherdauer von Notrufen (Tab. 11 bis 13, Hinweis zu CON.3.A3). Diese Vorgaben legen wir nicht aus; welche für Ihre Leitstelle gelten, ergibt sich aus dem jeweiligen Landesrecht und Ihrer Trägerschaft. Dasselbe gilt für die technische Richtlinie Notruf und die Handreichung Leitstellenplanung, auf die das Profil verweist (Tab. 39 zu NET.4.2 und NET.1.1): Wir nennen sie, haben ihren Inhalt aber nicht geprüft.

Laut Kapitel 2 berücksichtigt das Profil Vorgaben aus der DSGVO und dem BSI-Gesetz. Das bezieht sich auf die Rechtslage bei Erscheinen im Februar 2024; das BSI-Gesetz ist seitdem neu gefasst worden. Ob und mit welchen Pflichten das heutige BSI-Gesetz für Ihre Leitstelle gilt, entscheidet diese Seite nicht.

Die Umsetzung des Profils ist kein Nachweis gegenüber einer Aufsicht und keine Zertifizierung. Das Profil selbst sieht sich als Hilfestellung; die ermittelten Anforderungen sind laut Kapitel 7 in das Gesamtsicherheitskonzept zu integrieren. Dass das BSI das Profil veröffentlicht und an ihm mitgearbeitet hat, macht es nicht zu einer Vorgabe für Ihre Leitstelle.