Das KRITIS-IT-Grundschutz-Profil für Mineralölfernleitungen

Die kritische Dienstleistung ist der Transport von Rohöl, Kraftstoff, Flugkraftstoff oder Heizöl (Kap. 3.2). Die Leitungen können zwischen Ölförderanlagen, Raffinerien, Produktenlagern und Endverbrauchern wie Kraftwerken oder Flughäfen verlaufen. Das Profil arbeitet mit denselben sechs Geschäftsprozessen wie das Raffinerieprofil vom selben Tag, von Betrieb (G1) über Asset Management (G2), Instandhaltung (G3), IT/OT-Services (G4) und kommerzielle Abwicklung (G5) bis zur Betriebsplanung (G6). Für die Fernleitung prägt sie der Transportauftrag: Der Betrieb fährt nach Pumpprogramm und Batchanforderungsplan, die Disponenten der Betriebsplanung leiten dieses Programm aus Kapazitäten, Verträgen und den nominierten Mengen der Transportkunden ab (Kap. 5.1.1).

Die Referenzarchitektur trennt eine Leitzentrale von Stationen (Kap. 5.2). In der Leitzentrale liegen das Büronetz und, davon getrennt, das Netz der Prozessdatenverarbeitung (PDV-Netz) mit dem zentralen Leitstand. Dazwischen sitzt ein OPC-Server, über den beide Netze Daten austauschen; das Profil verlangt, dass er nach IEC 62443 als demilitarisierte Zone dient (Kap. 6.3). Entlang der Leitung stehen Pump-, Schieber-, Molch- und Druckregelstationen (Kap. 5.1.2) in zwei Ausprägungen: Eine „Station mit reduzierter Ausstattung“, etwa eine Schieberstation, enthält Sensoren, Aktoren, Einheitensteuerungen und speicherprogrammierbare Steuerungen; eine vollständige Station hat zusätzlich Bedienarbeitsplätze und Prozessdatenserver, mit denen sich die Leitung bei Ausfall der Leitzentrale weiter bedienen lässt.

Modelliert sind 16 Anwendungen, von Office und E-Mail über Betriebsplanung, Assetmanagement und Geoinformationssystem bis zu SCADA/Leitstand, Leckerkennung, Prozessdatenarchiv und Stationssteuerung (Tab. 2), fünf Servergruppen und sechs Arten von Arbeitsplätzen bis zum Engineering-Arbeitsplatz, der nur zeitweise an Einheitensteuerungen angeschlossen wird (Tab. 3), acht Arten industrieller Komponenten von der SPS über sicherheitsgerichtete Steuerungen bis zu Zählern, Sensoren und Aktoren (Tab. 4), Switches, Firewalls und VPN an allen Standorten und ein Perimeter-Router in der Leitzentrale (Tab. 5), vier Netze und eine Analogverbindung zur Raffinerie (Tab. 6) sowie Leitzentrale, Stationsgebäude, Leitstand und Technikräume (Tab. 7). Als Besonderheit nennt das Profil, dass die Stationen weit auseinanderliegen und die Leitung nicht auf dem Werksgelände des Betreibers verläuft (Kap. 5.2); die Trasse wird typischerweise alle 14 Tage überflogen, monatlich befahren und jährlich abgegangen (Kap. 5.1.1).

Ausdrücklich nicht betrachtet werden Komponenten der Sprachkommunikation wie der Betriebsfunk (Kap. 4). Zur Raffinerie zieht das Profil eine Grenze mit Rückfrage: Die Notabschaltung liegt „in den meisten Fällen auf Seite der Raffinerie“; ist das so, „muss dieser mitberücksichtigt werden“ (Kap. 4). Nicht beschrieben ist, über welche Übertragungstechnik Leitzentrale und Stationen verbunden sind. Das Profil führt dafür ein „LAN (übergreifend)“, das redundant ausgelegt werden und zum Schutz vor Sabotage einen zweiten Übertragungsweg, etwa per Satellit, nutzen „sollte“ (Kap. 6.5). Für die Verbindung zwischen Leitzentrale und Stationen nennt es weder Fernwirktechnik noch ein Übertragungsprotokoll; allgemein spricht es nur von Netzen auf Basis von TCP/IP bis zur Feldebene (Kap. 7).

Schutzbedarf an der Versorgung gemessen: Die drei Kategorien richten sich nach der Wirkung auf die kritische Dienstleistung, nicht nach dem Schaden für das Unternehmen. „Sehr hoch“ heißt: „Schäden können zu einem Ausfall der kritischen Dienstleistung führen“ (Tab. 8). Bewertet werden Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität. Der Betrieb (G1) ist bei Verfügbarkeit, Integrität und Authentizität sehr hoch, die IT/OT-Services (G4) bei Integrität und Authentizität sehr hoch und bei Verfügbarkeit hoch; die Vertraulichkeit ist für alle sechs Prozesse normal (Tab. 9). Als Begründung für die Integrität nennt das Profil die gezielte Manipulation von Grenzwerten, etwa „für die Notabschaltung“, für die Verfügbarkeit der kommerziellen Abwicklung den Angriff auf die Colonial Pipeline 2021, nach dem die Leitung abgeschaltet wurde (Kap. 5.3). Über das Maximumprinzip werden SCADA/Leitstand, Leckerkennung, Stationssteuerung, alle Steuerungen, Sensoren und Aktoren, alle Netzkomponenten, das PDV-Netz, das übergreifende LAN und die Stationsnetze sowie Leitzentrale, Stationen, Leitstand und Technikräume bei Verfügbarkeit, Integrität und Authentizität sehr hoch (Tab. 10 bis 15). Begründet abgewichen wird unter anderem bei Office, E-Mail, Browser und Geoinformationssystem, die trotz ihres Einsatzes in höher eingestuften Prozessen normal bleiben, beim Prozessdatenarchiv, das historische Daten hält und deshalb normal ist, und beim Engineering-Arbeitsplatz, dessen Verfügbarkeit hoch und beim nur zeitweise angeschlossenen Gerät normal ist.

OT mit eigenen Bausteinen: Die Steuerungstechnik in den Stationen ist mit den Bausteinen der Industriellen IT modelliert, IND.2.1 für alle ICS-Komponenten, dazu IND.2.2 für SPS, IND.2.3 für Sensoren und Aktoren, IND.2.7 für sicherheitsgerichtete Systeme und IND.3.2 für die Fernwartung im industriellen Umfeld (Kap. 6.4). Für die sicherheitsgerichteten Komponenten verweist das Profil auf DIN EN 61511, die Normenreihe DIN IEC 61508 und das NAMUR-Arbeitsblatt NA 163 sowie auf gesetzlich vorgeschriebene Prüfungen. Die Fachanwendungen der Leitung, also SCADA/Leitstand, Leckerkennung und Stationssteuerung, haben keinen eigenen Baustein; sie stehen als „Allgemeine Software“ (APP.6) im Modell (Kap. 6.2). Das Profil verlangt deshalb, für jedes Zielobjekt zu prüfen, ob die vorhandenen Bausteine es „hinreichend abgebildet“ haben (Kap. 6).

Vieles aus der Schablone, einiges darüber hinaus: Ein großer Teil der zusätzlichen Anforderungen stammt wörtlich oder fast wörtlich aus der Schablone für KRITIS-Profile, darunter Gruppenkennungen, der Notausschalter für einen größeren Personenkreis, Altsysteme ohne Patches und ohne aktuelle Authentisierung, die Parametrierung von Steuerungen als Entwicklungstätigkeit, Virenschutz nur nach Risikoanalyse, Wartungslaptops, Offline-Backup, Stichproben im Auditprogramm und ein Bereitschaftsdienst rund um die Uhr. Nicht aus der Schablone stammen nach unserem Abgleich: Schutzzonen nach IEC 62443 für die Prozessdatenserver in Leitzentrale und Station, der OPC-Server als demilitarisierte Zone, der zweite Übertragungsweg für das übergreifende LAN, die redundante Auslegung der für den Betrieb wichtigen Steuerungen, Sensoren und Aktoren, eine verschlüsselte Cloud-Anbindung der Einheitensteuerung zum Hersteller, die jährliche körperliche Inventur des Ersatzteillagers, Vorgaben zu Unterauftragnehmern von Herstellern und Outsourcing-Partnern sowie „kugelsichere Verglasung“ für die Leitzentrale (Kap. 6.1 bis 6.6). Bis auf den zweiten Übertragungsweg stehen diese Punkte auch im KRITIS-Profil für Raffinerien vom selben Tag; nur für Fernleitungen gilt der zweite Übertragungsweg.

Restrisiken aus der Instandhaltung: Kapitel 7 beschreibt, dass externe Servicepartner sich meist über VPN und Terminalserver „über die zentrale Leitebene auf die Stationssteuerungsebene“ einwählen. Daraus leitet es drei Szenarien ab: fehlerhafte Updates oder Konfigurationen, vorsätzliche Kompromittierung durch Innentäter und Schadsoftware. Patches würden zwar zuerst in einem getrennten Netz getestet, Schadsoftware könne aber zeitversetzt aktiv werden. Hinzu kommen die durchgängige Vernetzung über TCP/IP bis zur Feldebene und vorgetäuschte Ersatzteilbestände im ERP-System, die eine Störung verlängern können.

Kapitel 8 des Profils verlangt, die modellhaften Annahmen zu Architektur, Anwendungen, IT-Systemen, industrieller IT, Netzkomponenten, Räumen und Restrisiken gegen die eigene Lage zu prüfen und sicherheitsrelevante Abweichungen zu dokumentieren. Die Prüfliste setzt dort an, wo eine reale Fernleitung am ehesten abweicht. Jedes Ja ist ein Objekt, eine Schnittstelle oder eine Festlegung, die Sie dokumentieren. In der rechten Spalte steht, wie Sie ein Ja in Grundschutz++ führen. Bei einer Fernleitung sind das meist Stationen als Standorte, die Übergaben an Raffinerie, Servicepartner und Hersteller als Schnittstellen (300-1 Kap. 3.1) und Steuerungen und Feldgeräte ohne passende Zielobjektkategorie als Gegenstand einer Risikobetrachtung (Kap. 2.11) oder ergänzender Anforderungen (Kap. 3.4.3).

Das Profil beruht auf BSI-Standard 200-2 und dem Kompendium 2022. Eine Fassung für Grundschutz++ haben wir in den ausgewerteten Quellen (Stand 2. November 2026) nicht gefunden. Beim Übertrag ändern sich vier Dinge.

Erstens die Kategorien. Grundschutz++ kennt für Geschäftsprozesse zwei Kategorien, normal und hoch; eigene Kategorien sind erlaubt, sie „sind hierbei auf die Schutzbedarfskategorien des GS++ zu mappen“ (300-1 Kap. 2.6). Die versorgungsbezogenen Kategorien des Profils können Sie als eigene Kategorien behalten. Abgebildet sind dann Betrieb, Instandhaltung, IT/OT-Services, kommerzielle Abwicklung und Betriebsplanung hoch, nur das Asset Management normal. Für fünf der sechs Prozesse ist damit eine Risikobetrachtung erforderlich (Kap. 2.6, 2.11). Authentizität kommt in der Schutzbedarfsfeststellung von 300-1 nicht vor, dort stehen Vertraulichkeit, Integrität und Verfügbarkeit. Im Profil sind Integrität und Authentizität bei allen sechs Prozessen gleich bewertet und gleich begründet (Tab. 9, Kap. 5.3); unser Vorschlag ist, die Begründungen zur Authentizität in die Bewertung der Integrität zu übernehmen.

Zweitens die Anforderungen für erhöhten Schutzbedarf. Das Profil hat seine eigene Risikoanalyse unter der Annahme gemacht, dass sie bei hohem und sehr hohem Schutzbedarf „weitgehend erfüllt sind“ (Kap. 6). In Grundschutz++ haben Anforderungen des Sicherheitsniveaus „erhöht“ das Modalverb KANN und sind optional (300-1 Kap. 3.4.2). Diese Grundannahme des Profils müssen Sie deshalb in Ihrer eigenen Risikobetrachtung neu treffen, sonst fehlt die Grundlage, auf der die zusätzlichen Anforderungen des Profils stehen.

Drittens die Steuerungstechnik, und hier ist die Lücke am größten. Die Zielobjektkategorien in Anhang 1 von 300-1 enthalten keine Kategorie für industrielle Steuerungen, Feldgeräte oder sicherheitsgerichtete Systeme; im Anwenderkatalog Build 2026-10-29 kommt keine weitere vor. Die einzige Anforderung, die OT im Anforderungstext nennt, ist ARCH.2.2.5 „OT-Systeme“ (normal-SdT, SOLLTE, Zielobjektkategorie Netze): Verbindungen zwischen OT-Systemen und anderen IT-Systemen sind einzuschränken. Ihr Hinweistext empfiehlt, den Zugriff nur über vorgesehene Quellen wie Sprungserver zu erlauben. Drei weitere Anforderungen erwähnen OT nur in ihren Hinweisen (BES.2.1.4.1, ARCH.2.4, DET.4.2); DET.4.2 etwa nennt für OT-Systeme ohne Installationsmöglichkeit eine Kombination aus Netzwerk- und Loganalyse. Die Fachanwendungen der Leitung passen in die Kategorie Anwendungen, deren Definition die Steuerung und Überwachung von „technischen Anlagen“ ausdrücklich einschließt (300-1 Anhang 1). SPS, Einheitensteuerungen und sicherheitsgerichtete Steuerungen ordnen Sie nach unserem Vorschlag den IT-Systemen zu, Sensoren, Aktoren und Zähler ebenfalls, soweit sie Daten verarbeiten. Nach unserer Einschätzung decken die Kategorien und ihre Anforderungen diese Assets nicht hinreichend ab; für solche Assets ist eine explizite Risikobetrachtung erforderlich (300-1 Kap. 2.11). Die Schutzzonen nach IEC 62443, die das Profil verlangt, können Sie in den Kriterien festlegen, die ARCH.2.2 „Einschränkung von Verbindungen zwischen Segmenten“ als Parameter offenlässt (unser Vorschlag).

Viertens die Bausteine. Für die 66 Bausteine, die der Anhang des Profils Zielobjekten zuordnet, haben wir den Mapping-Entwurf IT-Grundschutz 2023 → Grundschutz++ ausgezählt. Vorher haben wir die Kennungen auf die Edition 2023 umgestellt: OPS.2.1 „Outsourcing für Kunden“ heißt dort OPS.2.3 „Nutzung von Outsourcing“, OPS.3.1 „Outsourcing für Dienstleister“ OPS.3.2 „Anbieten von Outsourcing“, SYS.2.2.3 heißt nur noch „Clients unter Windows“. SYS.2.2.2 für Windows 8.1 ist in 2023 entfallen; das Profil nennt ihn nur als Möglichkeit, gezählt haben wir ihn nicht. Nicht gezählt sind auch OPS.1.2.6 und SYS.1.3, die nur im Text stehen (siehe Unstimmigkeiten); sie bringen zusammen 22 gültige Anforderungen, eine davon mit Eintrag. Die Mapping-Datei steht auf Status „draft“ (Stand 21.07.2026), die Ziele haben wir im Anwenderkatalog Build 2026-10-29 aufgelöst. Das Ergebnis ist ein Entwurf und keine amtliche Zuordnung.

Die Tabelle zeigt, was das Fernleitungsprofil selbst zu Profil, branchenspezifischem Sicherheitsstandard (B3S), Audit und gesetzlichem Nachweis sagt. Eine Aussage, dass seine Anwendung als gesetzlicher Nachweis gilt oder einen B3S ersetzt, enthält es nicht.