Das KRITIS-IT-Grundschutz-Profil für Tankstellennetze

Zielgruppe sind Tankstellennetzbetreiber. Das Profil übernimmt die Begriffsbestimmung aus der BSI-Kritisverordnung in der Fassung von 2016 und ihrer ersten Änderung von 2017: ein Tankstellennetz als Anlage oder System zur Verbindung voneinander unabhängiger Tankstellen mittels zentraler Komponenten (Kap. 3). Die kritische Dienstleistung ist die Versorgung der Endkunden mit Kraftstoff für Kraftfahrzeuge; das KRITIS-Schutzziel lautet laut Kap. 5.3 „die Verfügbarkeit und Abgabe ausreichender Mengen Kraftstoff an den Tankstellen“.

Betrachtet werden fünf Geschäftsprozesse: Betrieb (Beschaffung und Preisfestsetzung zentral, Vertrieb auf Stationsebene), Asset Management, Instandhaltung, IT/OT-Services und kommerzielle Abwicklung (Kap. 3, 5.1.1). Der Betrieb gilt als wichtigste Voraussetzung der kritischen Dienstleistung, die IT/OT-Services als wesentliche Voraussetzung für den Betrieb. Die Strukturanalyse führt 22 Anwendungen, sechs IT-Systeme, zehn Komponenten der industriellen IT, vier Netzkomponenten, drei Netze sowie Tankwagen, Zentrale, Station, Büroraum und Rechenzentrum (Tab. 2 bis 7). Jede Anwendung und jedes System bekommt einen Standort: Zentrale, Station oder Tankwagen.

Ausgeschlossen sind der Transport durch Aggregatoren, die Produkten- und Tanklager als eigene Anlagenkategorie und die Handelssysteme, die Preise vorgeben und die Wertschöpfungskette vom Rohöl bis zum Verkauf steuern (Kap. 4). Ebenfalls nicht betrachtet werden Tankstellen für Schiffe, Boote und Schienenfahrzeuge, Flugfeld-Tankanlagen, Shop und Waschanlage sowie die Sprachkommunikation; für die Kontaktaufnahme im Notfall reichen nach dem Profil Festnetz und Mobilfunk. Bemerkenswert: Die Lieferung durch Aggregatoren liegt außerhalb, die Tankwagen des Betreibers mit Onboard-Unit, Tankwagensteuerung und Tankwagennetz liegen innerhalb des Geltungsbereichs. Wer seine Stationen nur über fremde Spediteure beliefern lässt, streicht diesen Teil und dokumentiert stattdessen die Schnittstelle.

Das Profil räumt selbst ein, dass seine Referenzarchitektur nicht alle Betreiber repräsentativ abbildet (Kap. 5.2). Es unterscheidet Konzerntankstellen (Eigenanlage, Pächter ohne Eigentum, Agenturnehmer mit Eigentum, Kommissionär mit eigener Tankstelle) und konzernungebundene Tankstellen wie freie Tankstellen, Supermarkt-Tankstellen und Mehrfach-Tankstellen-Unternehmer. Je nach Betriebsform sind Dienste ausgelagert, etwa Flottenmanagement oder Wartung der Zapfsäulen; für jeden Dienstleister verlangt das Profil den Outsourcing-Baustein. Abweichungen der eigenen Lage sollen nach Kap. 8 dokumentiert und in ihrer Auswirkung betrachtet werden, insbesondere bei Architektur, Anwendungen, IT-Systemen, industrieller IT und Restrisiken.

Auf der Station verortet das Profil die Stationssteuerung, die Bediensoftware, das Prozessdatenarchiv, die Engineeringstation, Zahlungsabwicklung, Kassen- und POS-System und die kommerzielle Abwicklung (Tab. 2), dazu den Bedienarbeitsplatz, einen nur zeitweise angeschlossenen Engineering-Arbeitsplatz und die gesamte industrielle IT: die zentrale und die lokale Tanklager- und Zapfsäulensteuerung, die sicherheitsgerichtete Steuerung mit ihren Aktoren und Sensoren, Zähler, Aktoren, Sensoren und die Preisanzeige (Tab. 3, 4). „Zentrale“ heißt bei der Steuerung IND1 zentral innerhalb der Station; die lokale Steuerung IND2 gehört zu einer einzelnen Zapfsäule. Fällt sie aus, betrifft das nach dem Profil nur diese Säule, deshalb ist ihre Verfügbarkeit normal, die der zentralen Steuerung sehr hoch (Tab. 12).

In der Zentrale stehen die Servergruppe mit Datenbank, Webanwendungen, Betriebsplanung, Assetmanagement, Geoinformationssystem, Flottenmanagement, CRM für die Tankstellenkarten, Fernzählzentrale und Warenwirtschaft, außerdem Büro-PCs, Büronetz und Rechenzentrum. Der Schnitt verläuft aber nicht sauber an der Grundstücksgrenze. Laut Tab. 3 laufen Zahlungsabwicklung, Kassen- und POS-System, Bediensoftware, Prozessdatenarchiv und kommerzielle Abwicklung der Station auf dem Betriebsdatenserver S2 in der Zentrale; ein eigenes IT-System für die Kasse auf der Station führt das Profil nicht. Die Folge steht in den Schutzbedarfstabellen: S2 erbt vom Kassensystem eine sehr hohe Verfügbarkeit, und über S2 werden auch das Büronetz, das Gebäude der Zentrale und das Rechenzentrum bei der Verfügbarkeit sehr hoch (Tab. 11, 14, 15).

Für S2 sieht das Profil zusätzlich ein eigenes Netzsegment vor, das „PDV-Netz“, begründet mit der Gefahr einer Kompromittierung, weil ein solches Netz keinen oder nur streng regulierten Internetzugang hat. Außerdem soll S2 auf eine Wiederherstellungszeit (RTO) von zwei Tagen ausgelegt sein; diese Vorgabe leitet das Profil aus der Zahlungsabwicklung ab und legt sie auch für die kommerzielle Abwicklung und die Netzanbindung des Büronetzes fest (Kap. 6.2, 6.3). Im Netzplan des Profils steht S2 allerdings noch im Büronetz neben der Servergruppe (Abb. 1). Lesen Sie die zusätzliche Anforderung als Zielbild: Wenn bei Ihnen Kassen- und Zahlungsdaten der Stationen zentral verarbeitet werden, gehört dieser Server getrennt vom Büronetz betrieben.

Zwischen Zentrale, Stationen und Dienstleistern laufen die Verbindungen laut Kap. 7 meist über das Internet, gesichert per VPN. Ohne funktionierendes Stationsnetz sind nach dem Profil keine Preismeldung, Fernwartung und Kartenzahlung möglich; deshalb soll der Internetzugang der Station redundant ausgelegt sein (Kap. 6.5), ebenso der Bedienarbeitsplatz (Kap. 6.3). Eine einzelne Station könne bei einem Ausfall des Internetzugangs noch eine gewisse Dauer weiterarbeiten; auf längere Sicht beeinträchtigten Störungen bei Zahlungsabwicklung, Preisfestsetzung und kommerzieller Abwicklung die kritische Dienstleistung (Kap. 7).

Die Fernwartung ist der dritte Ort im Schnitt. Wartungsfirmen halten die Systeme der Station laut Kap. 3 „vor Ort, per Fernwartung oder in der Cloud“ instand. Für die zentrale Steuerung IND1 verlangt das Profil eine verschlüsselte Cloud-Anbindung an Hersteller oder Outsourcing-Partner, physischen Manipulationsschutz der Zapfsäule mit Einbruchserkennung und Updates, die zunächst an einem Gerät getestet werden (Kap. 6.4). Mehr-Faktor-Authentisierung für den Fernzugang nennt es „mittlerweile als Stand der Technik anzusehen“, für OT-Komponenten verweist es auf die Anforderungen IND.2.1.A1 und A2 und empfiehlt einen Sprungserver beim Betreiber (Kap. 6.1 zu OPS.1.2.5). Das Restrisiko begründet es mit einer Marktlage: Zapfsäulensteuerungen und Kassensysteme kommen in der Regel vom selben Hersteller, der sie auch wartet, und in Deutschland seien „nur zwei namhafte Hersteller vertreten“ (Kap. 7). Daraus leitet es drei Szenarien ab: fehlerhafte Updates oder Konfigurationen, ein Innentäter beim Dienstleister und eingeschleppte Schadsoftware, jeweils mit der Gefahr, dass viele Stationen gleichzeitig ausfallen.

Schutzbedarf am Versorgungsausfall gemessen: Die drei Kategorien sind über die Wirkung auf die kritische Dienstleistung definiert. Hoch steht im Profil für eine mögliche Beeinträchtigung mit begrenzten Auswirkungen, sehr hoch für einen möglichen Ausfall mit weitreichenden Auswirkungen; die Stufen hält das Profil ausdrücklich für Tankstellennetze geeignet (Tab. 8 und Erläuterung darunter). Sehr hoch ist nur die Verfügbarkeit des Betriebs; hoch sind Verfügbarkeit, Integrität und Authentizität der IT/OT-Services und die Verfügbarkeit der kommerziellen Abwicklung; die Vertraulichkeit ist überall normal, weil Mess- und Steuerdaten nicht vertraulich seien (Tab. 9 und Begründung in Kap. 5.3). Zur Begründung unterscheidet das Profil den Ausfall einer einzelnen Tankstelle, der lokal begrenzt bleibt, vom Ausfall vieler Stationen oder ganzer Netze. Auf Stationsebene würde ein Ausfall von Zapfsäulensteuerung, Kasse oder Aktorik und Sensorik die Versorgung „sehr kurzfristig (bis 4 Stunden)“ beeinträchtigen, ein Ausfall zentraler Komponenten wie Warenwirtschaft oder Flottenmanagement „kurzfristig (bis zu 2 Tagen)“.

Integrität vor Vertraulichkeit: Folgerichtig verlangt das Profil, bei Kommunikationsverbindungen eher die Integrität zu sichern (Verfeinerung zu CON.1.A3), und weist darauf hin, dass die Kommunikation zwischen zentraler Steuerung, lokaler Steuerung und Kasse häufig über proprietäre Protokolle der Hersteller läuft, teilweise unverschlüsselt (Kap. 7).

Zusätzliche Anforderungen aus einer Risikoanalyse nach BSI-Standard 200-3 (Kap. 6): je nach Personaldecke und betrieblichen Erfordernissen ein Bereitschaftsdienst in der Zentrale, „der 24/7 erreichbar und einsatzfähig ist“, begründet mit der sehr kurzfristigen Beeinträchtigung bei einem Ausfall von Zapfsäulensteuerung, Aktorik, Sensorik und Zählern (zu ORP.2); begründete und dokumentierte Gruppenkennungen, wo der Betrieb sie erzwingt (zu ORP.4.A1); ein Notausschalter, den die Personen bedienen dürfen, die den Notfall bemerken, auch gegen das Prinzip minimaler Rechte (zu ORP.4.A2); Altsysteme, die keine zeitgemäße Authentisierung, Kryptografie oder Patches unterstützen, identifizieren und risikoabhängig absichern (zu ORP.4.A13, CON.1.A1, OPS.1.1.3.A15); ein Offline-Backup kritischer Daten (zu CON.3.A12); die Parametrierung industrieller Steuerungen als Entwicklungstätigkeit mit dokumentiertem Vorgehen (zu CON.8.A2); Virenschutz auf Steuerungen nur nach Risikoanalyse (zu OPS.1.1.4.A3); Stichproben im Auditprogramm, weil viele externe Standorte zum Geltungsbereich gehören (zu DER.3.1.A7); ein Notfallkonzept, das sich an der Versorgungssicherheit für die Allgemeinheit ausrichtet (zu DER.4.A7). Für die Station kommen geeichte Durchflussmesser mit Alarm bei Fehlfunktion, regelmäßige Prüfung von Aktoren und Sensoren und die gesetzlich vorgeschriebenen Prüfungen sicherheitsgerichteter Steuerungen hinzu (Kap. 6.4). Unter „benutzerdefinierte Bausteine“ steht eine Regel zum Umgang mit Informationen von der Inventarisierung bis zur Rückgabe (Kap. 6.1).

Unstimmigkeiten, auf die Sie beim Übernehmen achten sollten: IND.3.2 Fernwartung im industriellen Umfeld und OPS.1.2.6 NTP-Zeitsynchronisation stehen in Kap. 6.1 als anzuwendende Bausteine, in der Modellierungstabelle des Anhangs als „Nicht Gegenstand des Profils“. Umgekehrt führt der Anhang APP.1.4 Mobile Anwendungen, OPS.3.1, SYS.3.2.2 Mobile Device Management, IND.1 und INF.9 Mobiler Arbeitsplatz, die in Kap. 6 nicht modelliert sind. NET.3.3 VPN ist in Kap. 6.5 der VPN-Komponente N4 zugeordnet, im Anhang dem Perimeter-Router N3. Die relationale Datenbank A5 hat in Kap. 6.2 keinen Baustein. Tab. 2 verortet Office, E-Mail und Browser nur in der Zentrale, Kap. 6.2 und Tab. 3 auch auf der Station. Der Büroraum R1 hat bei der Verfügbarkeit den Wert normal mit der Begründung, das Büronetz habe sehr hohen Schutzbedarf (Tab. 15). Warenwirtschaft und Flottenmanagement haben in Tab. 10 normale Verfügbarkeit, obwohl Kap. 5.3 gerade ihren Ausfall als Grund für den hohen Schutzbedarf der IT/OT-Services nennt. Die Kameraüberwachung der Zapfsäulen soll „nötigenfalls unter Berücksichtigung von SYS.4.4“ erfolgen (Kap. 6.4), der Anhang führt SYS.4.4 als nicht Gegenstand des Profils.

Das Profil legt fest, wo ein Zielobjekt steht, aber nicht, wer es betreibt und wartet. Genau das unterscheidet sich zwischen Eigenanlage, Pächter, Agenturnehmer und freiem Betreiber. Vermerken Sie für jede Zeile, wer bei Ihnen betreibt (B), wartet (W) und vertraglich verantwortlich ist (V): Zentrale (Z), Stationsbetreiber (S) oder Hersteller und Dienstleister (H). Jede Zeile, in der H vorkommt, ist eine Schnittstelle nach außen und ein Fall für den Outsourcing-Baustein, den das Profil für jeden Dienstleister verlangt (Kap. 5.2). Die rechte Spalte nennt die Prüffrage, an der die Zuordnung meist hängt.

Das Profil nennt keine Edition des IT-Grundschutz-Kompendiums. Wir haben den gesamten Text, die Modellierungstabelle und das Literaturverzeichnis durchsucht: Das Kompendium kommt nur ohne Jahresangabe vor, und unter den zwölf Literaturangaben fehlt es ganz. Das unterscheidet das Tankstellenprofil von seinen Geschwistern. Die gleichzeitig erschienenen Profile für Raffinerien und Mineralölfernleitungen und das ÖSPV-Profil führen im Literaturverzeichnis jeweils „IT-Grundschutz-Kompendium 2022“.

Indirekt lässt sich die Edition eingrenzen. Die BSI-Seite zu den KRITIS-Profilen gibt als Grundlage das Kompendium 2022 an, und die Schablone, auf die sich das Profil als Vorlage beruft, beruht auf dem Kompendium „Stand Februar 2022“ (Schablone Kap. 2.1). Im Profil selbst stehen Bausteine, die es in der Edition 2023 nicht mehr gibt: OPS.2.1 Outsourcing für Kunden und OPS.3.1 Outsourcing für Dienstleister, die 2023 durch OPS.2.3 Nutzung von Outsourcing und OPS.3.2 Anbieten von Outsourcing ersetzt wurden, und SYS.2.2.2 Clients unter Windows 8.1, der 2023 entfallen ist. Alle drei führt das Kompendium 2023 ausdrücklich als Bausteine „aus der Edition 2022“ auf, die entfallen sind. SYS.2.2.3 heißt im Profil „Clients unter Windows 10“, 2023 „Clients unter Windows“. Auch Anforderungstitel und Rollen folgen der älteren Fassung, etwa CON.3.A12 „Geeignete Aufbewahrung der Datenträger von Datensicherungen“ und die Rolle „[Benutzer]“ statt „[Benutzende]“.

Unser Ergebnis: Das Profil arbeitet mit Bezeichnungen aus der Zeit vor der Edition 2023, und alle Indizien zeigen auf die Edition 2022. Belegt ist das nur indirekt, eine ausdrückliche Angabe fehlt. Für den Übertrag heißt das: Jede Bausteinkennung des Profils gegen die Edition 2023 prüfen, bevor Sie den Mapping-Entwurf benutzen. Zwei Ergänzungen des Profils beziehen sich zudem auf Anforderungen, die in der Edition 2023 als entfallen gekennzeichnet sind: OPS.1.1.2.A20 (neben ORP.1.A8 und IND.1.A4 bei den Bestandsverzeichnissen) und CON.1.A3 (Verschlüsselung der Kommunikationsverbindungen).

Eine Fassung des Profils für Grundschutz++ haben wir in den ausgewerteten Quellen (Stand 2. November 2026) nicht gefunden. Beim Übertrag ändert sich zuerst der Schutzbedarf. Grundschutz++ stellt ihn für Geschäftsprozesse fest, kennt die Kategorien normal und hoch und verlangt, eigene Kategorien darauf abzubilden: Sie „sind hierbei auf die Schutzbedarfskategorien des GS++ zu mappen“ (300-1 Kap. 2.6). Nach unserer Einordnung fallen „hoch“ und „sehr hoch“ des Profils in die Kategorie hoch, weil beide eine Beeinträchtigung oder einen Ausfall der kritischen Dienstleistung beschreiben (Tab. 8). Betrieb, IT/OT-Services und kommerzielle Abwicklung liegen dann im hohen Schutzbedarf, und für diese Prozesse ist eine Risikobetrachtung erforderlich (Kap. 2.6, 2.11). Asset Management und Instandhaltung bleiben normal. 300-1 nennt als Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit; die Authentizität, die das Profil getrennt bewertet, führen Sie nach unserem Vorschlag unter der Integrität mit, weil das Profil sie mit denselben Gründen bewertet (Kap. 5.3). Die Risikoanalyse, aus der das Profil seine zusätzlichen Anforderungen ableitet, und die Ausfallzeiten der Begründung können Sie als Material für diese Risikobetrachtung verwenden. Beachten Sie dabei ihre Voraussetzung: Das Profil ist davon ausgegangen, dass bei Zielobjekten mit hohem oder sehr hohem Schutzbedarf die Anforderungen für erhöhten Schutzbedarf „weitgehend erfüllt sind“ (Kap. 6). In Grundschutz++ sind die entsprechenden Anforderungen mit dem Niveau erhöht optional. Setzen Sie sie nicht um, reichen die zusätzlichen Anforderungen des Profils allein nicht aus, und Ihre Risikobetrachtung muss die Lücke selbst bewerten.

Für den Bausteinteil haben wir 75 Bausteine gezählt: alle, die das Profil in Kap. 6 oder in der Modellierungstabelle einem Zielobjekt zuordnet, einschließlich der mit „ggf.“ versehenen. OPS.2.1 und OPS.3.1 haben wir durch ihre Nachfolger OPS.2.3 und OPS.3.2 ersetzt; SYS.2.2.2 Windows 8.1 hat in der Edition 2023 keine Entsprechung und ist nicht gezählt. Die Zuordnungsdatei IT-Grundschutz 2023 → Grundschutz++ steht auf Status „draft“ (Stand 21.07.2026), die Ziele haben wir im Anwenderkatalog Build 2026-10-29 aufgelöst. Das Ergebnis ist ein Entwurf und keine amtliche Zuordnung.