Das IT-Grundschutz-Profil für den Einsatz von UAS in BOS

Das Profil betrachtet ein UAS aus drei Blickwinkeln: als Teilnehmer am Luftverkehr, als hochmobiles Endgerät, das Daten erfasst, speichert und sendet, und als Führungs- und Einsatzmittel einer BOS (Kap. 1). Daraus leitet es zwei Leitfragen ab: wie Informationssicherheit eine Beeinträchtigung der Betriebssicherheit verhindert und wie sie die erfassten, gespeicherten und übermittelten Daten schützt. Die Informationssicherheit dient hier also auch dazu, Personen- und Sachschäden zu vermeiden.

Den Betrieb beschreibt das Profil mit vier Prozessen und zwanzig Teilprozessen (Kap. 2.2, 5.1): Flugbetrieb von der Einsatzvorbereitung über Start, Flug und Landung bis zur Einsatznachbereitung; Wartung und Instandsetzung einschließlich Aktualisierung der Flugbetriebssoftware und der Software von Nutzlast, Bediengeräten, Antennen und Ladesystemen; Datenhaltung der primären Sensordaten mit Auslesen, Speichern in der Auswerteumgebung und Löschen der lokalen Speicher; Auswertung der sekundären Flugbetriebsdaten in technischer, qualitativer, taktischer und regulatorischer Hinsicht.

Die Referenzarchitektur kennt zwölf Anwendungen, darunter Flugplanung, Fernsteuerung, UAS-Betriebssystem, Batterieverwaltung, BOS-Kommunikation, Leitstelle und Luftraumüberwachung (Tab. 1), acht Geräte vom Arbeitsplatz-Computer über das BOS-Digitalfunkgerät bis zum Steuergerät an Bord (Tab. 2), sieben Netze, getrennt nach Verbindungen zwischen UAS und Bodenkontrollstation, sonstigen Verbindungen und den UAS-internen Netzen für Flugsicherheit und sonstige Funktionen (Tab. 3), die mobile Infrastruktur mit Multicopter, Starrflügler, mobilem Leitstand und Fahrzeugen (Tab. 4) und die stationäre mit Werkstatt, Datenzentrum und zwei Lufträumen für Übung und Einsatz (Tab. 5). Seit Version 1.2 unterscheidet Kapitel 5 zwei Schichten: Die Tabellen 1 bis 6 bilden einen elementaren Informationsverbund ab, die Tabellen 7 und 8 einen komplexeren.

Ausgeschlossen sind nach Kap. 4.2 das Flugsicherheitsmanagement, KI-gestützte Verfahren zur Flugsicherheit, Schwarmverbünde, der autonome Betrieb ohne Überwachung durch einen Fernpiloten, die Auslagerung von Flugsicherheitsrisiken an Dritte, etwa Versicherer, und die elektronische Drohnenabwehr. Handlungsempfehlungen zum Datenschutz enthält das Profil nicht (Kap. 3), ebenso keine Analyse des Cyber Resilience Act, den es zur Beachtung empfiehlt. Die Systemarchitektur eines bestimmten UAS-Typs (Kap. 5.7) und die Akteure (Kap. 5.8) beschreibt es nur der Vollständigkeit halber. Für den Einsatz im unternehmerischen oder privaten Kontext ist das Profil ausdrücklich nicht gedacht (Kap. 3).

Weicht Ihr Informationsverbund von der Referenzarchitektur ab, verlangt das Profil, die Anpassung in der Strukturanalyse zu dokumentieren und zusätzlichen Prozessen und Komponenten passende Bausteine zuzuordnen; nicht vorhandene Teile können entfallen (Kap. 5.9). Für die Anpassung von Teilprozessen bietet Anlage 5 eine Ankreuzvorlage mit allen Objektkennungen.

Das UAS als Teil der Betriebstechnik: Die Bausteine der Industriellen IT nimmt das Profil auf, mit dem Vermerk „Ausschließlich als Komponente eines UAS.“ (Tab. 19). Prozessleit- und Automatisierungstechnik, ICS-Komponente, Sensoren und Aktoren, Maschine und Safety Instrumented Systems gelten damit für das Fluggerät selbst; für die Safety Instrumented Systems nennt das Profil Anti-Kollisionssysteme und die automatische Rückkehr zur Startposition bei Verbindungsabbruch. Dazu kommen Eingebettete Systeme, IoT-Gerät und Wechseldatenträger (Tab. 18), die Netzbausteine von der Netzarchitektur bis zur TK-Anlage, jeweils mit dem Hinweis „z.B. als Komponente eines UAS-Betriebsnetz“ (Tab. 20), und die Verkabelung für Drohnen am Kabel (Tab. 21). Der Luftraum erscheint als eigenes Objekt der stationären Infrastruktur, getrennt für Übung und Einsatz (Tab. 5).

Eingrenzungen für BOS: Cloud-Nutzung bezieht das Profil vor allem auf dezidierte Datenräume einer BOS-Cloud, Nutzung und Anbieten von Outsourcing auf die Zusammenarbeit mit anderen BOS (Tab. 16). Software-Tests und Individualsoftware hebt es für Open-Source-Software wie UAS-Betriebssysteme hervor (Tab. 16, 17). Für die Revision nach dem Leitfaden IS-Revision vermerkt das Profil: „Ggf. gemäß Vorgabe der BOS-Fachaufsicht.“ (Tab. 15). Konformität kann eine BOS selbst bewerten oder in einem gegenseitigen Audit mit anderen BOS prüfen lassen (Kap. 3).

Schutzbedarf ohne Vorgabe: Anders als viele Profile stellt dieses keinen Schutzbedarf für einzelne Objekte fest. Es nennt Beispiele für die sechs Schadensszenarien, etwa einen Absturz durch einen Störsender mit Personenschaden (SZ 03, Tab. 9), und eigene Kategoriedefinitionen, die unter anderem an der Reichweite festmachen: normal bleibt auf einen Teilprozess begrenzt, hoch betrifft mehrere Teilprozesse, sehr hoch den gesamten Prozess oder erreicht ein existenz- oder lebensbedrohliches Ausmaß (Tab. 10). Die Feststellung selbst überlässt es der BOS, bei Bedarf angepasst für jede Ebene ihrer Hierarchie (Kap. 6).

Risikoanalyse als Regelfall: Eine Risikoanalyse nach BSI-Standard 200-3 ist erforderlich bei hohem Schutzbedarf, wenn kein passender Baustein vorliegt oder bei einem besonderen Einsatzszenario; das Profil folgert: „Betroffen sind hiervon also alle beschriebenen Teilprozesse beim Betrieb von UAS.“ (Kap. 6.1). Als Grenze für das Restrisiko nennt es höchstens geringe Eintrittshäufigkeit bei mittlerer Auswirkung; Ausnahmen sind möglich, die Leitungsebene der BOS verantwortet das Restrisiko und dokumentiert es revisionssicher (Kap. 8).

Konkrete Hinweise zur Datensicherheit (Kap. 9.2): Kommunikationsprotokolle verschlüsselt nach Stand der Technik, mit Verweis auf die Technische Richtlinie TR-02102-1; Sicherheitseinrichtungen wie Secure Boot nach Stand der Technik (Kap. 6); bei gestörter Verbindung Wechsel des Frequenzbereichs, redundante Verbindungen oder autonome Rückkehr; Sensordaten verschlüsselt ablegen; Unbefugte sollen bei einem Zugriff weder auf Einsatzzweck noch auf Betreiber schließen können; unbeabsichtigt erfasste Bilddaten, die unzulässig in die Persönlichkeitsrechte unbeteiligter Dritter eingreifen, sicher löschen; Hashwerte als denkbares Mittel, um Veränderungen nachzuweisen; Kontrollebenen, etwa nach dem Vier-Augen-Prinzip.

Rollen statt Konten: Kapitel 7.3 beschreibt Fernpilot, Co-Fernpilot, Luftraumbeobachter, Nutzlastspezialist, Wartungstechniker, Auswerter sowie internes und externes Leitungspersonal als Grundlage für eine rollenbasierte Zugriffskontrolle. Eine Person darf mehrere Rollen ausüben, wenn sich die Zeitpunkte nicht überlagern und keine Zielkonflikte entstehen.

Widersprüche, die Sie beim Übernehmen kennen sollten: Kapitel 1 schreibt UAS „einem hohen Schutzbedarf“ zu, Kapitel 6 geht „allgemein von einem normalen Schutzbedarf“ aus. Kapitel 1 kündigt UAS-spezifische, benutzerdefinierte Bausteine an; Kapitel 7 enthält nur Bausteine des Kompendiums. Anlage 1 führt D 01 und D 02 als Multicopter und Starrflügler, die Tabellen 2 bis 4 führen unter D 01 und D 02 die Steuergeräte und die Fluggeräte unter U 01 und U 02. Das Datenzentrum R 05 dient in Tabelle 5 der „Datenspeicherung und -aufbereitung“, in Tabelle 8 der „Administration und Management“. Die Leitstelle A 11 ist in Tabelle 1 der Einsatzvorbereitung, Nachbereitung, Datenhaltung und Auswertung zugeordnet, in Tabelle 7 der Einsatzvorbereitung, Start, Flug und Landung. Das Mobiltelefon steht als Gerät C 03 im Verbund, der Baustein SYS.3.3 Mobiltelefon ist ausgeschlossen. Von den 111 Bausteinen des Kompendiums 2023 führt Kapitel 7 alle bis auf INF.6 Datenträgerarchiv auf; einige Titel weichen von der Edition 2023 ab, etwa „Notebooks“ für SYS.3.1, die Kennungen stimmen.

Das BOS-Profil führt die Leitstelle als Anwendung A 11 im eigenen Informationsverbund (Kap. 5.2, Tab. 1), verknüpft sie mit Arbeitsplatz- und Mobil-Computern, Mobiltelefon und Digitalfunkgerät und sogar mit dem Steuergerät an Bord (Tab. 2, 8) und weist dem Co-Fernpiloten die Kommunikation mit der Leitstelle zu (Kap. 7.3). Welche Daten fließen, über welchen Weg und wer die Gegenstelle betreibt, beschreibt es nicht. Das IT-Grundschutz-Profil für Leitstellen erwähnt Drohnen nicht und berücksichtigt den BOS-Digitalfunk nicht vollständig, während das BOS-Profil Digitalfunkgeräte und TK-Anlagen „als technische Anlagen für BOS-Digitalfunk“ einbezieht (Tab. 2, 20).

Die zweite Leitfrage des Profils betrifft den Schutz der erfassten Daten. Die Zuständigkeiten dafür verteilt es auf drei Stellen, die nicht übereinstimmen: Tabelle 6 ordnet Akteure den Teilprozessen zu, Tabelle 7 ordnet sie anders zu und lässt die Datenhaltung ohne Akteur, und Kapitel 7.3 beschreibt den Auswerter als die Rolle, die Daten aufbereitet und auswertet, obwohl er zur Betriebsunterstützung gehört, die Tabelle 6 nur der Wartung zuordnet. Die Matrix führt die Angaben je Schritt zusammen. Die rechte Spalte füllen Sie für Ihre Einheit aus; jede leere Zelle ist eine offene Zuständigkeit.

Grundlage des Profils sind BSI-Standard 200-2 und das Kompendium 2023. Auch Version 1.2 vom Februar 2026 bleibt bei dieser Methodik; eine Fassung des Verbands für Grundschutz++ haben wir bis zum 2. November 2026 nicht gefunden. Beim Übertrag sind für die Drohneneinheit drei Punkte zu klären.

Erstens der Schutzbedarf. Die drei Kategorien des Profils mit ihrer Definition über die Reichweite eines Schadens (Tab. 10) sind auf die zwei von Grundschutz++ „zu mappen“, normal und hoch (300-1 Kap. 2.6); „sehr hoch“, beim Profil der gesamte Prozess oder ein lebensbedrohliches Ausmaß, landet nach unserer Lesart bei hoch. Als Hilfe zur Ermittlung eines hohen Schutzbedarfs nennt 300-1 unter anderem die „Beeinträchtigung der persönlichen Unversehrtheit“, ohne Einschränkung. Das Profil selbst führt einen Absturz mit Personenschaden als Szenario (SZ 03). Wer dieses Szenario für den Flugbetrieb der eigenen Einheit für möglich hält, kann den Ausgangswert normal aus Kapitel 6 des Profils schwer begründen. Hoher Schutzbedarf verlangt in Grundschutz++ eine Risikobetrachtung (300-1 Kap. 2.6, 2.11); das Profil verlangt sie ohnehin für alle Teilprozesse.

Zweitens das Fluggerät als Asset. Grundschutz++ leitet Anforderungen aus Zielobjektkategorien ab (300-1 Kap. 3.4.2). Eine eigene Kategorie für Fluggeräte, Fahrzeuge oder eingebettete Systeme haben wir weder in Anhang 1 von 300-1 noch in den Zielobjektkategorien des Anwenderkatalogs gefunden. Unser Vorschlag: UAS und Steuergeräte den IT-Systemen zuordnen, Mobil-Computer am Einsatzort den Mobilen Endgeräten und die Funkstrecken den Netzen. Was diese Kategorien für ein Fluggerät nicht hinreichend abdecken, löst nach 300-1 Kap. 2.11 eine explizite Risikobetrachtung aus; die Ergebnisse schreiben Sie als ergänzende Anforderungen in das Anforderungspaket (Kap. 3.4.3). Das betrifft vor allem die Themen, die das Profil über die Industrie-Bausteine abdeckt, etwa Kollisionsvermeidung und Rückkehr bei Verbindungsabbruch.

Drittens die Bausteine. Für die 77 Bausteine, die das Profil berücksichtigt, haben wir jede Anforderung im Mapping-Entwurf IT-Grundschutz 2023 → Grundschutz++ nachgeschlagen und gezählt. Die Zuordnungsdatei hat den Status „draft“ (Stand 21.07.2026); aufgelöst haben wir die Ziele im Anwenderkatalog Build 2026-10-29. Die Zahlen geben deshalb einen Entwurfsstand wieder, keine amtliche Zuordnung.

Das Profil verweist für den Flugbetrieb auf die „einschlägigen nationalen und internationalen Vorschriften“ (Kap. 3) und nennt Flugerlaubnis, Flugverbotszonen, Flughöhen und die Kennzeichnungspflicht nur als Beispiele. Luftrecht legen wir nicht aus, ebenso wenig Polizei-, Feuerwehr- oder Katastrophenschutzrecht. Welche Vorgaben für Ihre Einsätze gelten, ergibt sich aus Ihrer Aufgabe, Ihrem Träger und der zuständigen Aufsicht.

Datenschutz berücksichtigt das Profil nach eigener Aussage nur in Teilbereichen und ohne Handlungsempfehlungen (Kap. 3). Welche Datenschutzvorschriften für die Aufnahmen Ihrer Einheit gelten, entscheidet diese Seite nicht. Dasselbe gilt für den Cyber Resilience Act, den das Profil für Konstruktion, Vertrieb und Beschaffung von UAS zur Beachtung empfiehlt, und für die Empfehlungen EGRED 2 und die weiteren Papiere aus Anlage 6, deren Inhalt wir nicht geprüft haben.

Ein nach diesem Profil aufgebautes Konzept ist weder eine Zertifizierung noch ein Nachweis gegenüber Aufsichtsbehörden. Selbstbewertung und gegenseitiges Audit, die das Profil vorschlägt (Kap. 3), sind Prüfwege zwischen BOS. Was der Vermerk „Prüfung und Freigabe BSI“ zu Version 1.0 umfasst, sagt das Dokument nicht; dass das BSI das Profil veröffentlicht, begründet für Ihre Einheit keine Pflicht, es anzuwenden.