Das KRITIS-IT-Grundschutz-Profil für den ÖSPV

Das Profil richtet sich an Betreiber von U-Bahnen, Straßenbahnen und Omnibussen. Oberleitungsbusse und Schwebebahnen gehören zwar zum ÖSPV, werden aber „aufgrund ihrer geringeren Bedeutung nicht betrachtet“ (Kap. 2, Fn. 1). Den ÖPNV zieht das Profil nur zur Abgrenzung heran: Er umfasst den ÖSPV und den Schienenpersonennahverkehr; der Nahverkehr der Eisenbahn nach dem Allgemeinen Eisenbahngesetz, etwa S-Bahnen, gehört nicht zum Geltungsbereich (Kap. 3.2, 4). Mit U-Bahn meint das Profil eine kreuzungsfreie, von anderen Verkehrsmitteln unabhängige Bahn, nicht zwingend eine unterirdische (Fn. 2). Die kritische Dienstleistung fasst es enger als die Verordnung, nämlich als „die sichere und planmäßige Beförderung von Fahrgästen“ (Kap. 3.2).

Nach der BSI-Kritisverordnung in der Fassung, die das Profil zugrunde legt, nennt Kap. 3.2 zwei Anlagenkategorien: das schienengebundene Netz mit Stellwerken, Beeinflussungsanlagen und Fahrstromversorgung sowie die Leitzentrale zur Überwachung und Steuerung des Verkehrs. Zur Leitzentrale zählen danach auch die Flottentelematik und die Fahrzeugbereitstellung im Betriebshof, außerdem Systeme für Fahrgastsicherheit, Fahrgastinformation sowie Personal- und Fahrzeugdisposition, diese aber nur, soweit ihre Störung die Beförderung erheblich beeinträchtigen kann oder sie zur Evakuierung gebraucht werden, insbesondere unterirdisch.

Die Geschäftsprozesse gliedert das Profil in Angebotsplanung (G1), Betriebsplanung (G2), Ressourceneinsatz mit Fahrzeug- und Personaldisposition und Werkstatt (G3) sowie Verkehrssteuerung (G4) mit den Teilprozessen Betriebslenkung (G4.1: Leitstelle, zentrale Leittechnik, Kommunikation mit Fahrpersonal, Beeinflussung von Lichtsignalanlagen, Fahrstraßen) und Infrastruktur (G4.2: Fahrweg, Fahrstrom und Ladestrom, Störungsmanagement). Controlling, Vertrieb, Recht, Unternehmenskommunikation, Personalwesen, Fahrgeldmanagement und Fahrgastinformation betrachtet es nicht, soweit sie nicht unmittelbar zur kritischen Dienstleistung beitragen (Kap. 4). Ausdrücklich außerhalb liegen auch die Anwendungen dynamische Fahrgastinformation, Fahrgastzählung, Prognosesystem und Lichtsignalanlagenbeeinflussung; ob sie bei Ihnen Teil der kritischen Infrastruktur sind, sollen Sie selbst prüfen (Kap. 5.1.2).

Die Referenzarchitektur beschreibt einen größeren Betrieb mit Bussen, Straßenbahnen und U-Bahnen und abstrahiert auf je ein Gebäude der Typen Leitzentrale, Station, Betriebshof und Stellwerk (Kap. 5.2). Im Zentrum steht das Verkehrsleitsystem, heute meist ITCS (Intermodal Transport Control System), früher RBL (rechnergestütztes Betriebsleitsystem) genannt: Es vergleicht Fahrzeugstandorte mit dem Fahrplan und verbindet Fahrpersonal und Leitstelle (Kap. 5.1.3). Dazu kommen 14 Anwendungen, davon Zugsicherung und Störungsmanagement Zugsicherung nur bei Schienenbetrieb, elf IT-Systeme von den Servern für ITCS, Büro, Betriebshofmanagement und Stationen bis zum Mobiltelefon, acht Objekte der industriellen IT nach dem Purdue-Modell (Server des elektronischen Stellwerks, Steuerungsanlage der zentralen Leittechnik, speicherprogrammierbare Steuerungen, Bordeinheit, Bordrechner, Aktoren, Sensoren), sechs Netzkomponenten, sieben Netze, drei Raumtypen und zwei Fahrzeugtypen (Kap. 5.1.2 bis 5.1.7).

Fünf Annahmen sollten Sie kennen, bevor Sie übernehmen (Kap. 5.2): Redundanzen von Gebäuden und Systemen sind nicht dargestellt, für keine Funktion wird ein externer Dienstleister angenommen, Server laufen unter Windows Server 2012 und Clients unter Windows 10, ITCS und Steuerungsanlage der zentralen Leittechnik stehen der Einfachheit halber im selben Raum, und jeder Gebäudetyp kommt nur einmal vor. Die Referenzarchitektur sieht eigene Netzsegmente für Leitzentrale, Stellwerke, zentrale Leittechnik, Betriebshöfe und Büro vor und nennt ihre Trennung mitentscheidend für die Sicherheit. Stellwerk- und Leittechniknetz reichen über mehrere Standorte und sind dort per VPN oder gleichwertig abzusichern. Die Verbindung von den Bedienplätzen der Leitzentrale zu den Stellwerken „erfolgt nur lesend“, als Beispiel nennt das Profil Netzwerkdioden; eine Internetverbindung darf nur vom Büronetz über eine DMZ bestehen (Kap. 5.2).

Die Grafik zeigt, welche Teile davon für einen reinen Busbetrieb und welche zusätzlich bei Straßenbahn oder U-Bahn gelten. Das Profil selbst verlangt, Architektur, Anwendungen, Systeme und Restrisiken gegen den eigenen Betrieb zu prüfen; „sicherheitsrelevante Abweichungen sollten dokumentiert und in ihrer Auswirkung betrachtet werden“ (Kap. 8).

Schutzbedarf am Fahrbetrieb gemessen: Die Kategorien richten sich nach der Wirkung auf die kritische Dienstleistung. Normal heißt, die Beförderung der Fahrgäste bleibt unberührt, hoch, sie kann beeinträchtigt werden, sehr hoch, sie kann ausfallen (Tab. 9). Zusätzlich zu Vertraulichkeit, Integrität und Verfügbarkeit bewertet das Profil für jeden der vier Geschäftsprozesse die Authentizität. Angebots- und Betriebsplanung sind durchgehend normal, der Ressourceneinsatz ist hoch außer bei der Vertraulichkeit, die Betriebslenkung bei Verfügbarkeit, Integrität und Authentizität sehr hoch, die Infrastruktur bei der Verfügbarkeit sehr hoch und sonst hoch (Tab. 10). Die Begründungen sind branchenkundig: Fahrzeuge könnten ohne ITCS zwar tagelang autark fahren, beherrschbar sei ein Ausfall in der Praxis aber eher im Stundenbereich, weil Störungen ohne ITCS schwer zu behandeln sind; der Busbetrieb ist am ehesten unabhängig; falsche Daten im ITCS wirken wie ein Ausfall (Kap. 5.3).

Vertraulichkeit nur dort hoch, wo Pläne liegen: Hoch ist sie bei der Infrastruktur und der Geoinformationsanwendung, weil Leitungspläne und Lagedaten Angriffe erleichtern (Tab. 10, 11). Kap. 7 stützt das mit koordinierten Angriffen auf mehrere Standorte von Verkehrsbetrieben, die offenbar nur mit detaillierter Kenntnis der Infrastruktur möglich waren und auch redundante Systeme getroffen haben. Bordanwendung, Bordeinheit, Bordrechner und damit die Fahrzeuge selbst stuft das Profil dagegen durchgehend normal ein, weil ihr Ausfall nur ein Fahrzeug betrifft (Tab. 11, 13, 16).

Safety hat Vorrang vor Verfügbarkeit: Nach Kap. 3.5 bewerten Personenbeförderungsgesetz, BOStrab und BOKraft den Schutz von Leib und Leben höher als die Verfügbarkeit. Der Stillstand aller Fahrzeuge gilt als „sicherer Betriebszustand“, der der kritischen Dienstleistung widerspricht und den gezielt vorgehende Angreifer ausnutzen könnten (Kap. 7). Konflikte zwischen beidem sollen über das Compliance Management einheitlich geregelt werden (Hinweis zu ORP.5).

Was aus der Schablone stammt und was eigens für den ÖSPV geschrieben ist: Ein großer Teil der zusätzlichen Anforderungen in Kap. 6 stimmt nahezu wörtlich mit der Schablone zur Erstellung von KRITIS-IT-Grundschutz-Profilen überein, etwa zu Bestandsverzeichnissen, Gruppenkennungen, Altsystemen bei Authentisierung und Patches, Parametrierung als Entwicklung, Protokollierung, Detektion und Auditprogramm. Eigens für den ÖSPV formuliert sind vor allem: die Notbetriebsfragen zu DER.4 (Busersatzverkehr bei Ausfall des Schienenverkehrs, Strategien bei Spannungsausfall, Betrieb ohne ITCS mit mündlicher Anleitung durch die Fahrdienstleitung, Weichenstellen von Hand bei Stellwerksausfall, Reichweite der Treibstoffreserven), Redundanz für ITCS und Bedienplätze mit Kooperation benachbarter Verkehrsbetriebe, Georedundanz für Zugsicherung und Betriebshöfe, Gegenmaßnahmen gegen Denial of Service für Verkehrssteuerung und Zugsicherung, Zutrittsschutz und Alarmierung an unbemannten dezentralen Stellwerken und Stationen, der Hinweis, dass ein rund um die Uhr mit mindestens zwei Personen besetzter Leitstand zwar Schutz bietet, das Personal aber auf Social Engineering hingewiesen werden sollte, öffentlicher Mobilfunk oder Satellitentelefonie als Rückfall für den Betriebsfunk und Offline-Datensicherungen in einem zusätzlichen Brandabschnitt wegen Ransomware, schärfer formuliert als in der Schablone (Kap. 6.1 bis 6.6).

Fahrzeuge als Zielobjekte: Busse und Schienenfahrzeuge modelliert das Profil mit dem Baustein INF.11 Allgemeines Fahrzeug. „Es gibt keinen für Schienenfahrzeuge vorgesehenen IT-Grundschutzbaustein“, deshalb empfiehlt es, INF.11 um eine Risikoanalyse für Schienenfahrzeuge zu ergänzen (Kap. 6.6). Genannt werden die Manipulation automatischer Türöffnungen, die bei U-Bahnen größeren Schaden anrichten könnte, ein drahtgebundenes Steuerungsnetz entlang der Schienen und Zusatzfunktionen auf den Bordsystemen. Eine Entgleisung halten die meisten ÖSPV-Betriebe nach Einschätzung des Profils mechanisch für erheblich einfacher herbeizuführen als über einen Cyberangriff auf die abgeschotteten Stellwerke.

Ein ausgearbeitetes Risikobeispiel: Anhang 10.1 führt die Risikoanalyse für die Steuerungsanlage der zentralen Leittechnik vor, mit drei zusätzlichen Gefährdungen (zunehmende Vernetzung interner Systeme, zunehmende Verbindung zum Internet, Verletzung der Echtzeitanforderungen). Für die Vernetzung von IT und OT setzt es die Eintrittshäufigkeit mindestens auf „selten“ und den Schaden auf „beträchtlich“ und kommt damit zu einem hohen Risiko. Als Maßnahmen nennt es einen isolierten Client mit verschlüsseltem Zugang zu einem Jumphost und einen Schleusen-PC für jede eingebrachte Software; manche Betriebe trennen die OT ganz vom IT-Verbund und setzen im Notfall Personal vor Ort an den Relaisstellwerken ein.

Die Prüfliste geht die Annahmen durch, die das Profil selbst als modellhaft bezeichnet (Kap. 5.2, 8), und ergänzt die Stellen, an denen es Prüfungen ausdrücklich Ihnen überlässt. Beantworten Sie jede Frage für Ihren Betrieb. Jede Abweichung dokumentieren Sie mit ihrer Auswirkung, wie Kap. 8 es verlangt. Die rechte Spalte zeigt, wohin das Ergebnis in Grundschutz++ gehört: Standorte, Dienstleister und Mobilgeräte als Assets (300-1 Anhang 1), Fernwartungszugänge und Meldepunkte als Schnittstellen (Kap. 3.1), Fahrgastinformation bei Bedarf als eigener Geschäftsprozess (Kap. 2.5, 2.6), Altsysteme und ein Steuerungsnetz entlang der Schienen als Anlass einer Risikobetrachtung (Kap. 2.11) und die Redundanz- und Lesezugriffsvorgaben als ergänzende Anforderungen (Kap. 3.4.3).

Für einen Verkehrsbetrieb ändern sich beim Wechsel nach Grundschutz++ vier Dinge: die Kategorien für Ressourceneinsatz, Betriebslenkung und Infrastruktur, die Authentizität als eigenes Schutzziel, die Einordnung von Stellwerken, Leittechnik und Fahrzeugen und die Bausteinbasis, von der nur rund ein Drittel der gültigen Anforderungen im Mapping-Entwurf verknüpft ist. Eine Fassung des ÖSPV-Profils für Grundschutz++ haben wir am 02.11.2026 nicht gefunden; es beruht weiter auf BSI-Standard 200-2 und dem Kompendium 2022.

Erstens die Kategorien. Grundschutz++ kennt für Geschäftsprozesse die Kategorien normal und hoch; eigene Kategorien sind erlaubt und „auf die Schutzbedarfskategorien des GS++ zu mappen“ (300-1 Kap. 2.6). Hoch und sehr hoch des Profils fallen damit in die Kategorie hoch. Ressourceneinsatz, Betriebslenkung und Infrastruktur brauchen dann eine explizite Risikobetrachtung, Angebots- und Betriebsplanung bei normalem Schutzbedarf keine eigene (Kap. 2.6, 2.11). Beachten Sie die unterschiedlichen Maßstäbe: Normal heißt im Profil, Schäden haben „keinen Einfluss auf die Erbringung der kritischen Dienstleistung“ (Tab. 9), in 300-1 sind die Auswirkungen „begrenzt und überschaubar“ (Kap. 2.6). Stuft ein reiner Busbetrieb die Infrastruktur nach dem Profil normal ein, entfällt für diesen Prozess der Anlass „hoher Schutzbedarf“; die übrigen Anlässe aus Kap. 2.11 bleiben, und die Betriebslenkung bleibt hoch.

Zweitens die Authentizität. 300-1 stellt den Schutzbedarf für die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit fest (Kap. 2.6). Das Profil bewertet zusätzlich die Authentizität und stuft sie bei der Betriebslenkung sehr hoch ein. Unser Vorschlag: Führen Sie die Spalte als eigene Bewertung weiter und berücksichtigen Sie sie in der Risikobetrachtung, statt sie stillschweigend in die Integrität zu ziehen. Ob Sie sie aus rechtlichen Gründen gesondert ausweisen müssen, entscheidet diese Seite nicht.

Drittens die OT und die Fahrzeuge. In der Liste der Zielobjektkategorien in Anhang 1 von 300-1 haben wir keine eigene Kategorie für Stellwerkstechnik, speicherprogrammierbare Steuerungen, Sensoren und Aktoren oder Fahrzeuge gefunden. Für Assets, die die bestehenden Kategorien nicht hinreichend abdecken, verlangt 300-1 eine explizite Risikobetrachtung (Kap. 2.11) und empfiehlt ergänzende Anforderungen (Kap. 3.4.3). Das trifft den Kern des ÖSPV-Profils: Stellwerke, zentrale Leittechnik, Bordeinheiten und Schienenfahrzeuge.

Viertens die Bausteine. Wir haben die Bausteine, denen das Profil in Kap. 6 oder in Anhang 10.2 Zielobjekte zuordnet, gegen den Mapping-Entwurf IT-Grundschutz 2023 → Grundschutz++ ausgezählt. Nicht gezählt sind CON.7 und CON.10, die das Profil an einer Stelle als „Nicht Gegenstand“ führt; OPS.2.1 haben wir durch seinen Nachfolger OPS.2.3 ersetzt. Alle übrigen Kennungen gibt es in der Edition 2023 noch. Grundlage ist die Mapping-Datei mit Status „draft“ vom 21.07.2026; aufgelöst haben wir die Ziele gegen den Anwenderkatalog Build 2026-10-29. Das Ergebnis ist ein Entwurf und keine amtliche Zuordnung.

Das Profil begründet sich mit § 8a Absatz 1 und 1a BSIG, verweist zu Sicherheitsvorfällen auf die Kontaktstelle nach § 8b BSIG, leitet die Anlagenkategorien aus der BSI-Kritisverordnung ab und nennt in Kap. 9 den Mindeststandard nach § 8 BSIG. Diese Verweise beziehen sich auf das BSI-Gesetz und die BSI-Kritisverordnung in der Fassung vor dem 06.12.2025, also auf die Rechtslage zur Zeit des Profils. Die BSI-Kritisverordnung selbst gilt in geänderter Fassung fort. Ob und mit welchen Pflichten das geltende BSI-Gesetz oder das KRITIS-Dachgesetz Ihren Verkehrsbetrieb erfasst, ob Ihre Anlagen Schwellenwerte erreichen und welche Nachweise Sie erbringen müssen, legt diese Seite nicht aus.

Das Profil konkretisiert nach eigener Aussage den Stand der Technik für den ÖSPV und muss an den eigenen Betrieb angepasst werden (Kap. 2, 8). Die Orientierungshilfe zu branchenspezifischen Sicherheitsstandards (B3S) nennt es nur im Literaturverzeichnis; ob es für den ÖSPV einen B3S gibt und wie er sich zum Profil verhält, haben wir nicht geprüft. Eine Aussage, dass die Anwendung des Profils als Nachweis gilt, enthält das Profil nicht. Wie sich Profil, B3S, Audit und gesetzlicher Nachweis allgemein zueinander verhalten, steht im unten verlinkten Abschnitt.

Personenbeförderungsgesetz, BOStrab, BOKraft, Straßenverkehrsordnung, EN 50128 und die VDV-Schriften nennt das Profil als weitere Regelungen (Kap. 3.5). Wir nennen sie, legen sie aber nicht aus; eine vollständige Liste der gesetzlichen Anforderungen erhalten Sie laut Kap. 9 über Ihre technische Aufsichtsbehörde. Die Umsetzung des Profils ist auch keine Zertifizierung.