IT-Grundschutz-Profile für Reedereien: Land- und Schiffsbetrieb

Beide Profile sind in Workshop-Reihen entstanden, die der VHT veranstaltet und das BSI moderiert hat (Kap. 6). Am Landbetrieb haben 13 Personen mitgeschrieben, neun davon aus Reedereien und Schifffahrtsunternehmen, am Schiffsbetrieb 43, darunter Hersteller von Bordtechnik, Anbieter von Satellitenkommunikation und Forschungseinrichtungen. Die Profilliste des BSI verlinkt zu beiden eine englische Fassung.

Der Titelzusatz klingt nach der Basis-Absicherung aus BSI-Standard 200-2, ist aber keine der drei Vorgehensweisen Basis-, Kern- und Standard-Absicherung. Beide Profile sagen selbst, dass ihre Anforderungen mindestens die Standard-Absicherung abdecken und teilweise Anforderungen für hohen oder sehr hohen Schutzbedarf hinzukommen (Kap. 8.3 und 8.4). Die englischen Fassungen übersetzen mit „Minimum Protection“ und verwenden für die Vorgehensweise den Begriff „Standard Protection“. Auch die BSI-Seite zum Landbetrieb nennt als Grundlage die „Standard-Absicherung“; das Wort „Basis-Version“ dort bezieht sich nach unserer Lesart auf die Version des Profils.

„Mindest“ meint im Profil zweierlei. Erstens den Anspruch: Unter dem Gesichtspunkt der Wirtschaftlichkeit enthalte das Profil die Mindestanforderungen, um hohe Schäden abzuwenden (Kap. 2). Zweitens den Ausschnitt: Der Landbetrieb betrachtet nur die Geschäftsprozesse Accounting und Technisches Management, der Schiffsbetrieb nur Technischer Betrieb, Nautischer Betrieb, Ladungsbetrieb und Kommunikation. Um den Mindest-Schutzbedarf des ganzen Betriebs zu bestimmen, müssen laut beiden Profilen „alle übrigen Geschäftsprozesse“ nach derselben Vorgehensweise aufgenommen werden (Kap. 7.2).

Für den Übertrag folgt daraus: „Mindest“ begrenzt den Ausschnitt, das Niveau bleibt die Standard-Absicherung. Grundschutz++ verlangt, die Geschäftsprozesse im Anwendungsbereich zu identifizieren und zu dokumentieren (BSI-Standard 300-1, Kap. 2.5); die vereinfachte Analyse in Anhang 2 sagt dazu: „Innerhalb des festgelegten Anwendungsbereichs sind zunächst alle wesentlichen Geschäftsprozesse vollständig zu identifizieren.“ Die zwei oder vier Profilprozesse sind dafür ein Anfang. Befrachtung, Operations, Personal, QHSE, Versicherungsmanagement, Schnittstellen-Kommunikation, Einkauf und Marketing, die der Landbetrieb in der Strukturanalyse erfasst, aber nicht modelliert hat (Kap. 9.2), kommen hinzu. Die Schnittstellen-Kommunikation ist damit schon im Landbetrieb als eigenes Anwendungsgebiet benannt, aber ohne Zielobjekte und Bausteine.

Landbetrieb: Der Prozess Accounting umfasst Accounting der Reederei, der Schiffsgesellschaft und der Crew, Zahlungsprozesse, Zahlungsverkehr, Reporting sowie Buchhaltung, Steuern und Wirtschaftsprüfung; das Technische Management umfasst Klasse-Erneuerung und Werftaufenthalt, Schiffsinspektionen, Mängelbehebung, Planned Maintenance sowie Reparaturen und Service (Kap. 10.1.1). Der Netzplan zeigt ein Bürogebäude mit Arbeitsräumen für beide Prozesse, einem Serverraum mit AD-, Datei-, Datenbank-, E-Mail-, Applikations- und Terminalserver und einem Router ins Internet (Kap. 10.3). Die Landkarten ergänzen Homeoffice, mobiles Arbeiten, eine externe Lagerung für Backups und Cloud-Dienste (Anhang 1 und 2).

Schiffsbetrieb: Die vier Prozesse reichen von Remote-Management, Fernwartung, Maschinensteuerung, Ballast und Bunkern über Routenplanung, Kollisionsverhütung und Ballastwasser-Management bis zu Stauplanung, Ladungsfürsorge und privater Kommunikation der Besatzung (Kap. 10.1.1). Zielobjekte sind neben Büro-IT die Bordsysteme: ECDIS, Autopilot, Radar, GMDSS, Voyage Data Recorder, AIS, GPS, Navigations- und Steuerungsnetz mit Sensorik (Kap. 10.1.2, 10.1.3). Räume sind Brücke, Maschinenraum, Schiffsführung, Mannschaftsräume, Serverraum, Antennendeck, Panic Room (Zitadelle) und das Schiff als Ganzes (Kap. 10.1.5). Der Netzplan trennt Verwaltungsnetz und Steuerungsnetz und zeigt getrennte WLANs für Verwaltung und Crew sowie die Satellitenanbindung über das Antennendeck (Kap. 10.3).

Die Grenze ist in beiden Dokumenten ausdrücklich: Der Landbetrieb hat die Informationssicherheit an Bord „ausdrücklich nicht berücksichtigt“ und empfiehlt dafür ein eigenes Profil, weil Bordsysteme weitgehend durch internationale Bestimmungen wie Baumuster- und Ausrüstungsvorschriften geregelt seien (Kap. 9.2). Der Schiffsbetrieb klammert umgekehrt den Landbetrieb aus und verweist auf das erste Profil (Kap. 9.2, 9.3). Das Vorwort des Schiffsbetriebs beschreibt, warum das nicht reicht: „Cybersicherheit fängt nicht an der Pierkante an oder hört da auf“.

Landkarten statt Tabellen: Beide Profile fassen Strukturanalyse und Modellierung je Geschäftsprozess in einer „Landkarte“ zusammen, spaltenweise von Prozess über Anwendung und IT-System bis zum Raum, mit den zugeordneten Bausteinen (Kap. 11.1). Ein Stern heißt, die Bausteine reichen allein nicht; zwei Sterne heißen, das Kompendium hat keinen Baustein, Anforderungen sind selbst zu entwickeln. Mit zwei Sternen markiert sind im Landbetrieb unter anderem Buchhaltungs-, Warenwirtschafts- und Crew-Software, E-Banking, Satellitenkommunikation und die PMS-Software für die vorbeugende Wartung; im Schiffsbetrieb Radar-Software, GMDSS, Wetter-Software, GPS, Voyage Data Recorder, ECDIS-PC, die WAN-Anbindung über Satellit und LTE, Antennendeck und Panic Room. Genau dort liegt die sektortypische Arbeit.

Schutzbedarf: Der Landbetrieb setzt für Accounting „hoch“ bei Vertraulichkeit und Integrität an und nennt für die PMS-Software einen sehr hohen Schutzbedarf, weil ein Integritätsverlust in der vorbeugenden Wartung existenzbedrohende Schäden verursachen könne (Kap. 8.2). Die Begründung für Accounting spricht allerdings von Vertraulichkeit und Verfügbarkeit, und Kapitel 13 empfiehlt, „grundsätzlich“ von „normal“ auszugehen und den Schutzbedarf individuell festzustellen. Der Schiffsbetrieb bleibt bei der Standard-Absicherung und nennt Steuerungsnetz und Brücke als Beispiele für erhöhten Schutzbedarf mit Risikoanalyse (Kap. 8.2).

Bausteine für Bordtechnik: Der Schiffsbetrieb nimmt IND.1 als übergeordneten Baustein auf und modelliert fünf Bausteine der industriellen IT (IND.2.1 bis IND.2.4, IND.2.7) auf Steuerungssysteme, Steuerungsnetz, Autopilot, AIS und Navigationssysteme. Er wendet Gebäudebausteine auf das Schiff an: INF.1 Allgemeines Gebäude auf das Schiff, INF.2 Rechenzentrum sowie Serverraum auf Brücke und Serverraum. Der Landbetrieb gibt für die meisten Bausteine eine Umsetzungsreihenfolge R1 bis R3 vor (Kap. 11.2, 11.3), der Schiffsbetrieb nur für die übergeordneten Bausteine in Kap. 11.2, nicht für die Bausteine der Landkarten und damit auch nicht für IND.2.1 bis IND.2.7.

Uneinheitliche Kennungen: Im Landbetrieb ordnet die Landkarte Technisches Management der Cloud den Baustein OPS.2.4 zu, den Kapitel 11.2.4 als Fernwartung führt; die Landkarte Accounting ordnet der Cloud OPS.2.2 zu und nennt außerdem einen Baustein „SYS.1.1.2“, den es im Kompendium 2023 nicht gibt. Im Schiffsbetrieb steht CON.5 in den Landkarten, nicht aber in der Liste der übergeordneten Bausteine. Prüfen Sie jede Kennung, bevor Sie sie übernehmen.

Die Matrix stellt zehn Schnittstellen zwischen Büro und Schiff gegenüber: was jedes Profil dazu sagt, welche Kennung im Kompendium 2023 dazu passt und was Sie festhalten sollten, damit die Schnittstelle in einem der beiden Sicherheitskonzepte geregelt ist. Die letzte Spalte ist unser Vorschlag. Sterne wie in den Landkarten: * Baustein reicht allein nicht, ** kein Baustein.

Beide Profile stehen auf der Methodik nach BSI-Standard 200-2 und einer älteren Kompendium-Edition. Für den Übergang gibt es in der Stand-der-Technik-Bibliothek einen Mapping-Entwurf von IT-Grundschutz 2023 nach Grundschutz++ (Status draft, Stand 21.07.2026). Wir haben ihn auf alle Bausteine angewendet, die Kapitel 11 und die Landkarten nennen, soweit es sie im Kompendium 2023 unter derselben Kennung gibt; für den Landbetrieb zählen INF.6 und INF.10 aus der Landkarte mit. Zielanforderungen sind im Anwenderkatalog Build 2026-10-29 aufgelöst. Die Zahlen sind ein Entwurf über einen Entwurf; eine vollständige Abdeckung folgt aus ihnen nicht.

Beide Profile begründen die Pflicht zur Informationssicherheit mit der Datenschutz-Grundverordnung und dem Bundesdatenschutzgesetz 2018 und nennen in Kap. 8.6 außerdem „zukünftige Anforderungen der International Maritime Organization (IMO)“; der Landbetrieb nennt im Vorwort eine Frist der IMO zum 1. Januar 2021 (Kap. 1, 2, 8.6, 8.7). Das ist der Stand bei Erstellung 2018 und 2020. Welche see-, flaggenstaatlichen oder versicherungsrechtlichen Pflichten Ihre Reederei heute treffen und ob ein nach diesen Profilen erstelltes Konzept sie erfüllt, prüft diese Seite nicht. Dasselbe gilt für die Aussagen der Profile zu Datenschutz, ISO 9001 und ISO 27001 (Kap. 1, 8.5).

Beide Profile verstehen sich selbst als Muster-Sicherheitskonzept und Schablone (Kap. 2). Die Strukturanalyse und Schutzbedarfsfeststellung für Ihre Flotte und Ihr Büro nehmen sie Ihnen nicht ab, und als Nachweis gegenüber Behörden, Versicherern oder Geschäftspartnern reichen sie für sich allein nicht aus. Eine Registrierung beim BSI weisen die Profile nicht aus, und die Verlinkung auf der Profilliste des BSI ist keine Anerkennung.