Das IT-Grundschutz-Profil für die Verkehrssteuerungs- und Leitsysteme der Bundesautobahn

Das Profil richtet sich an „die für Informationstechnik verantwortlichen Entscheidungsträger aus dem Bereich des Betriebs der Bundesautobahnen“ (Kap. 1.2). Es soll außerdem anderen Betreibern im Straßenverkehr mit ähnlichen Prozessen helfen und Herstellern sowie Dienstleistern als Leitfaden für die Sicherheitskonzeption dienen (ebd.). Es versteht sich als „Schablone“, die das Sicherheitsniveau der Standard-Absicherung erreichen will.

Betrachtet werden drei Hauptprozesse (Tab. 1): der Straßenbetriebsdienst mit Streckenkontrolle, Winterdienst samt Straßenzustands- und Wetterinformationssystem und Sofortmaßnahmen; die Instandhaltung der verkehrs-, betriebs-, nachrichten- und elektrotechnischen Infrastruktur mit Systemüberwachung, Wartung und Instandsetzung; und das operative Verkehrsmanagement mit dem Bedienen von Verkehrsbeeinflussungsanlagen und tunnelbetrieblichen Einrichtungen, Störfallmanagement und Verkehrsinformation. Der Informationsverbund reicht von der Verkehrszentrale und ihrer Ersatzzentrale über Autobahnmeistereien und Kabelhäuser mit den Unterzentralen bis zu den Streckenstationen an der Strecke und, für Tunnel, über Tunnelleitzentrale, Tunnelbetriebsgebäude mit lokaler Ersatz-Leitstelle und den Tunnel selbst bis zum Pumpenhaus (Tab. 7). Als Straßentunnel gilt ein Bauwerk für den Kraftfahrzeugverkehr mit mindestens 80 m geschlossener Länge und einer Planungsgeschwindigkeit von 80 oder 100 km/h (Kap. 1.3).

Der fachliche Kern liegt in der Steuerungstechnik. Die Unterzentrale verarbeitet die Verkehrs- und Umfelddaten der Außenanlagen, ermittelt aus hinterlegten Parametersätzen die Anzeigeprogramme für die Wechselverkehrszeichen und sendet Stellbefehle nach den Technischen Lieferbedingungen für Streckenstationen (TLS) an die Strecke (Tab. 2, APP-0011). Dazwischen sitzt der Kommunikationsrechner Inselbus, der den Datenfluss zu den Streckenstationen koordiniert (Tab. 3, SYS-0001). In der Streckenstation hängen Sensoren und Aktoren über Ein- und Ausgabekonzentratoren an einem Steuermodul; stellt die Unterzentrale das Polling ein, wechselt die Streckenstation in einen „autarken Modus“ (Tab. 3, SYS-0002 und SYS-0007). Im Tunnel werden alle technischen Anlagen über ein Prozessleitsystem visualisiert und bedient (Tab. 2, APP-0006); zur Steuerungstechnik zählen dort die SPS der Automatisierungsebene, Lüftung, Beleuchtung und Fluchtwegkennzeichnung, dazu eine SPS für die Pumpen der Entwässerung. Die BOS-Notfallbedienkonsole gibt Feuerwehr und Polizei vor Ort die Schalthoheit über Beleuchtung, Lüftung und Sperrung (Tab. 3 und 4).

Außerhalb des Verbunds liegen die Systeme, die bei Feuerwehr und Polizei auf die Brandmeldeanlage des Tunnelbetriebsgebäudes aufgeschaltet sind (Tab. 3, SYS-0016). Die nicht verwendeten Bausteine der Prozessschichten ISMS, ORP, CON, OPS und DER „müssen in übergreifenden Informationsverbünden sowie im Teilverbund zur Administration behandelt werden“ (Kap. 1.3); diese Teile müssen Sie also an anderer Stelle Ihres Sicherheitskonzepts abdecken. Die Tabelle der Kommunikationsverbindungen mit Protokoll, Port und Verschlüsselung ist leer und soll von der Institution ausgefüllt werden (Kap. 2.5, Tab. 6).

Steuerungstechnik als eigene Objektgruppe: Neben Anwendungen, IT-Systemen, Netzen und Räumen führt das Profil eine eigene Gruppe „Industrielle IT“ mit acht Objekten: SPS der Automatisierungsebene, Beleuchtung, Lüftung, aktive Leiteinrichtung mit Fluchtwegkennzeichnung, Verkehrsdetektoren, Wettersensoren, SPS der Pumpensteuerung und die Pumpe selbst (Tab. 4). Modelliert werden sie mit IND.1 Prozessleit- und Automatisierungstechnik, IND.2.1 Allgemeine ICS-Komponente, IND.2.2 Speicherprogrammierbare Steuerung, IND.2.3 Sensoren und Aktoren und IND.2.4 Maschine (Tab. 28). Viele Geräte der Strecke führt das Profil aber als eingebettete Systeme und modelliert sie nur mit SYS.4.3: Streckenstation, Kommunikationsrechner Inselbus, Server Unterzentrale, Wechselverkehrszeichen, dynamische Wegweiser, Kameras, Brandmeldeanlagen, BOS-Notfallbedienkonsole, Modems sowie Beleuchtung und Leiteinrichtung im Tunnel (Tab. 27). Nur die Verkehrsbeeinflussung mit Tunnelsperranlage bekommt beides, SYS.4.3 und die IND-Bausteine.

Vier Grundwerte statt drei: Für den KRITIS-Bereich bewertet das Profil zusätzlich die Authentizität (Kap. 3). Die Begründungen zeigen, warum: Für die Instandhaltung und das Verkehrsmanagement gilt, „Manipulierte oder verfälschte Softwarekomponenten der Tunnelsteuerung können zu nicht akzeptierbaren Personenschäden (persönliche Unversehrtheit) führen“ (Tab. 13, 14). Integrität und Authentizität sind deshalb hoch. Beim Straßenbetriebsdienst hält das Profil die Authentizität für normal, unter anderem weil die Sensoren hardwareseitig mit den Steuerungen verknüpft sind (Tab. 12).

Verfügbarkeit überall normal: Für alle drei Prozesse setzt das Profil die Verfügbarkeit auf normal (Tab. 15). Für Instandhaltung und Verkehrsmanagement gilt das unter einer Bedingung: nur solange der Verkehrsfluss nicht durch Gefahrguttransporte gefährdet ist und das Bauwerk keine besondere Bedeutung für die Versorgung einer Stadt, einer Region oder eines kritischen Dienstleisters hat (Tab. 13, 14). Sehr hoch kommt in keiner Tabelle vor; nach dem Maximumprinzip sind alle Anwendungen, Systeme, Steuerungen, Netzkomponenten und Räume hoch (Tab. 16 bis 20). Kapitel 7 erlaubt, eine einzelne Tunnelleitzentrale begründet niedriger einzustufen, weil sich der Schutzbedarf über alle Tunnelleitzentralen hinweg ergibt.

Fachregelwerke der Branche als Rahmen: Das Profil stützt sich auf die Empfehlungen für die Ausstattung und den Betrieb von Straßentunneln (EABT-80/100, Ausgabe 2019), die Richtlinien RABT 2006, die Technischen Lieferbedingungen für Streckenstationen (TLS 2012) und das Merkblatt für die Ausstattung von Verkehrsrechnerzentralen und Unterzentralen (MARZ 2018). RABT, TLS und MARZ bezeichnet es für die Bundesfernstraßen als eingeführt und verbindlich, die EABT als Empfehlungen, die den Stand der Technik wiedergeben (Kap. 8.1, 8.2, Stand 2022). Als Herausgeber von TLS und MARZ nennt es „Bundesministerium für Verkehr, Bau und Stadtentwicklung, heute BMVI“ (Kap. 8.2). Aus der EABT übernimmt es konkrete Vorgaben in die Strukturanalyse, etwa Videoüberwachung in Tunneln ab 400 m mit Vorhaltung der Daten für mindestens 72 Stunden (Tab. 3, SYS-0019 und SYS-0023).

Was das Profil nicht liefert: Der IT-Grundschutz-Check und die Risikoanalyse sind nur als Verfahren beschrieben, mit Bewertungsskalen, aber ohne Ergebnisse (Kap. 5, 6). Hinweise zur Umsetzung einzelner Anforderungen enthält es nicht. Der Wert liegt in der Strukturanalyse mit 74 Zielobjekten von der Zentrale bis zum Feldgerät und in der Bausteinauswahl.

Unstimmigkeiten, auf die Sie beim Übernehmen achten sollten: Bei NET.4.1 TK-Anlagen steht das Kreuz in der Spalte „Nein“, die Begründung wendet den Baustein aber auf Tunnelnotruf und BOS-Funk an (Tab. 29). Der Ringspeicher arbeitet laut Tabelle 3 mit „SYS-0020 - Videoüberwachung“ zusammen; SYS-0020 ist die Rundfunkversorgung, die Videoüberwachung ist SYS-0019. Die Streckenstationssoftware, die laut Beschreibung in der Streckenstation läuft, ist als Anwendung auf dem Server Unterzentrale eingetragen, die Steuerungssoftware der Unterzentrale dagegen auf dem Server zentrale Steuerung (Tab. 2, 3). In den Begründungen zu SYS.2.2.2, SYS.4.1 und INF.7 stehen falsche Kennungen oder Objekte (Tab. 27, 30). Klären Sie diese Stellen, bevor Sie die Modellierung in ein Werkzeug übernehmen.

Grundschutz++ kennt keine eigene Zielobjektkategorie für Steuerungstechnik. Anhang 1 von BSI-Standard 300-1 führt Kategorien wie IT-Systeme, Hostsysteme, Anwendungen, Netze und Räume für technische Infrastruktur; die Definition der Anwendungen schließt die „Steuerung, Konfiguration, Überwachung oder Administration von Hardware, technischen Anlagen oder anderen Softwaresystemen“ ein. Assets, die durch die Kategorien und ihre Anforderungen „nicht hinreichend abgedeckt“ werden, lösen eine explizite Risikobetrachtung aus (300-1 Kap. 2.11, Anhang 3 Nr. 33); daraus entstehen ergänzende Anforderungen im Format von Grundschutz++ (Kap. 3.4.3). Die Tabelle zeigt für die Steuerungstechnik des Profils, wo die Objekte in Grundschutz++ landen und was Sie dabei prüfen. Die Zuordnung der Autobahn-Objekte zu Zielobjektkategorien ist unser Vorschlag; maßgeblich sind die Definitionen in Anhang 1.

Für die Verkehrssteuerung ändern sich beim Wechsel nach Grundschutz++ vier Dinge: der Schutzbedarf der drei Prozesse, die Authentizität als viertes Schutzziel, die Einordnung der Steuerungstechnik ohne IND-Bausteine und die Bausteinbasis, die das Profil noch aus dem Kompendium 2021 nimmt. Eine Fassung des Profils für das Kompendium 2023 oder für Grundschutz++ haben wir am 02.11.2026 nicht gefunden.

Erstens der Schutzbedarf. Grundschutz++ stellt ihn für Geschäftsprozesse fest, für Vertraulichkeit, Integrität und Verfügbarkeit, in zwei Kategorien normal und hoch (300-1 Kap. 2.6). Alle drei Prozesse des Profils haben bei mindestens einem Grundwert hohen Schutzbedarf; damit ist für sie eine explizite Risikobetrachtung erforderlich (Kap. 2.6, 2.11). Eine Ausnahme kann der Straßenbetriebsdienst sein: Das Profil erlaubt, seine Vertraulichkeit auf normal zu setzen, wenn personenbezogene Daten immer nur in den Kameras verarbeitet werden (Tab. 12). Die Begründungen des Profils, etwa die Personenschäden durch manipulierte Tunnelsteuerung, können Sie für Ihre eigene Einstufung verwenden.

Zweitens die Authentizität. 300-1 stellt den Schutzbedarf nur für die drei klassischen Grundwerte fest. Im Risikoregister verlangt es dagegen „mindestens“ Vertraulichkeit, Integrität und Verfügbarkeit als betroffene Schutzziele (Anhang 3 Nr. 14); dort können Sie die Authentizität weiterführen. Im Anwenderkatalog Build 2026-10-29 enthalten 900 der 1.000 Anforderungen in ihren Metadaten auch einen Wert für Authentizität.

Drittens die Steuerungstechnik. Unterzentrale, Inselbus, Streckenstation und Tunnel-SPS verlieren ihre Bausteine SYS.4.3 und IND; Sie ordnen sie allgemeinen Zielobjektkategorien zu (Tabelle oben). An der Strecke greift der Katalog an zwei Stellen: Die Verbindungen zwischen Betriebsnetz und Steuerungstechnik schränken Sie nach ARCH.2.2.5 „OT-Systeme“ ein (normal-SdT, SOLLTE), und die Kommunikationsmatrix, die Tabelle 6 des Profils leer lässt, gehört in das Inventar der Netze nach ARCH.2.4 (normal-SdT, SOLLTE). Für den autarken Modus der Streckenstation, für Zonen, die beim Ausfall anderer Zonen weiterarbeiten, und für die Kalibrierung der Detektoren gibt es keine Anforderung; das entsteht in Ihrer Risikobetrachtung (Beispiele 2 und 3 unten).

Viertens die Bausteine. Für 47 Bausteine des Profils haben wir den Mapping-Entwurf IT-Grundschutz 2023 → Grundschutz++ ausgezählt: die 47 mit „Ja“ markierten ohne den entfallenen SYS.2.2.2, dazu NET.4.1. Vorher haben wir die Kennungen auf das Kompendium 2023 gebracht: SYS.2.2.2 Clients unter Windows 8.1 ist entfallen und nicht mitgezählt, OPS.2.1 Outsourcing für Kunden ist durch OPS.2.3 Nutzung von Outsourcing ersetzt, SYS.2.2.3 heißt jetzt „Clients unter Windows“, APP.2.2 „Active Directory Domain Services“. NET.4.1 haben wir trotz der Markierung „Nein“ mitgezählt, weil das Profil den Baustein Zielobjekten zuordnet. Die Mapping-Datei steht auf Status „draft“ (Stand 21.07.2026), die Ziele haben wir im Anwenderkatalog Build 2026-10-29 aufgelöst. Das Ergebnis ist ein Entwurf und keine amtliche Zuordnung.

Das Profil verweist auf das BSI-Gesetz und die BSI-Kritisverordnung „jeweils in der zum Zeitpunkt der Erstellung des IT-Grundschutz-Profils geltenden Fassung“, also mit Änderungsständen von Juni und September 2021 (Kap. 8.4), und richtet die Risikoanalyse zusätzlich an der Kritisverordnung aus (Kap. 6). Diese Verweise beziehen sich auf das BSI-Gesetz und die BSI-Kritisverordnung in den Fassungen von 2021, also vor dem 06.12.2025; das BSI-Gesetz ist seitdem neu gefasst worden, die BSI-Kritisverordnung gilt in geänderter Fassung fort. Ob und mit welchen Pflichten das heutige Recht für einen Betreiber von Verkehrssteuerungs- oder Tunnelanlagen gilt, entscheidet diese Seite nicht.

Die Angaben des Profils zu EABT, RABT, TLS und MARZ, etwa dass die RABT durch Rundschreiben eingeführt und „rechtlich bindend“ seien (Kap. 8.1), geben wir mit dem Stand von 2022 wieder. Ob diese Regelwerke heute in derselben Fassung gelten, haben wir nicht geprüft. Dasselbe gilt für die datenschutzrechtliche Bewertung der Videobeobachtung, die das Profil in Kapitel 1.4 nur anreißt.

Das Profil ist laut Kapitel 7 eine Empfehlung des BSI und des Autors: „Jedem Betreiber einer Bundesautobahn ist es freigestellt, ob er das Profil anwendet.“ Eine Aussage, dass seine Umsetzung als Nachweis gegenüber einer Aufsicht gilt, enthält das Profil nicht; eine Zertifizierung ist mit ihm nicht verbunden. Welche Bedeutung das Profil für die Pflichten Ihres Betriebs hat, legt diese Seite nicht aus.