Drohne über dem Firmengelände: Wie viel Sicherheit braucht der Mittelstand?

Wer entscheidet eigentlich, was zu tun ist, wenn plötzlich eine Drohne über dem Firmengelände auftaucht? Wer meldet den Vorfall – und wem? Was passiert, wenn gleichzeitig der Strom ausfällt und die Notfallkontakte nur auf einem Server liegen, der nicht mehr erreichbar ist? Und wer weiß, welches Ersatzteil benötigt wird, wenn eine zentrale Anlage ausfällt?

Es sind erstaunlich einfache Fragen, an denen sich zeigt, wie widerstandsfähig ein Unternehmen tatsächlich ist. Und genau darin liegt für viele Mittelständler derzeit die Herausforderung: Mit dem bereits verabschiedeten KRITIS-Dachgesetz – für das allerdings die für dessen Umsetzung notwendigen Verordnungen noch nicht bekannt sind – und NIS 2, der Richtlinie zur Netz- und Informationssicherheit, steigen die Anforderungen an den Schutz kritischer Infrastruktur. Doch während Unternehmen sich vorbereiten sollen, sind wichtige Details der Umsetzung noch offen.

Bei einem KRITIS-Workshop des Stuttgarter Unternehmens IE2S, einem Joint Venture des Übertragungsnetzbetreibers TransnetBW und der Management- und IT-Beratung MHP, diskutierten deshalb Experten aus Wirtschaft, Sicherheitsbehörden, Bundeswehr und Rechtsberatung darüber, was Unternehmen auch in der Region Stuttgart schon heute tun können – und wo ihnen die Hände gebunden sind. Ein Schwerpunkt: die Bedrohung durch Drohnen und die Frage, wie weit Unternehmen bei deren Detektion und Abwehr gehen können.

Nicht jedes Unternehmen weiß, dass es betroffen sein könnte

Gerade für den Mittelstand beginnt das Problem schon einen Schritt früher. Große Energieversorger und Konzerne beschäftigen sich längst mit KRITIS-Anforderungen. „Aber gerade mittelständische Unternehmen, die auch in der Lieferkette durchaus relevant sind, die wissen es gar nicht unbedingt“, sagte Ulrike Dreyer von IE2S. Dabei könne die mögliche Betroffenheit bereits heute geprüft werden.

Auf die endgültigen Detailregelungen zu warten, hält Dreyer deshalb für den falschen Weg. Ihr Motto: „Einfach machen.“ Denn viele Vorbereitungen sind weder Hightech noch Millioneninvestitionen. Unternehmen können klären, wer im Krisenfall entscheidet und wer über das Budget verfügt. Sie können Verantwortlichkeiten festlegen, eine rund um die Uhr erreichbare Kontaktstelle organisieren und Meldewege testen.

Und sie können ganz banal überprüfen, ob ihr Notfallplan auch dann funktioniert, wenn die IT nicht funktioniert. „Wenn der Strom weg ist und ich habe eine Notfallkontaktliste, die online liegt, dann bringt das gar nichts“, machte Dreyer deutlich. Eine ausgedruckte Kontaktliste kann im Ernstfall wertvoller sein als manches aufwendige Sicherheitssystem.

Ähnliches gilt für Personal und Ersatzteile. Welche Mitarbeiter sind für den Betrieb unverzichtbar? Gibt es Vertretungen, Zugänge und Passwörter, wenn Schlüsselpersonen ausfallen? Welche Komponenten werden benötigt, wenn eine 20 Jahre alte Anlage plötzlich stillsteht – und sind sie überhaupt kurzfristig lieferbar?

Resilienz kostet – fehlende Resilienz aber auch

Genau hier liegt ein Dilemma für den Mittelstand. Sicherheitsmaßnahmen kosten Geld, Personal und Zeit – Ressourcen, die nicht unbegrenzt vorhanden sind. Gleichzeitig wird von Unternehmen erwartet, dass sie ihren Betrieb auch bei gestörten Lieferketten, Stromausfällen oder gezielten Angriffen aufrechterhalten können.

Peter Schittenhelm vom Landeskommando Baden-Württemberg, selbst lange als Geschäftsführer mittelständischer Unternehmen tätig, riet deshalb dazu, Reserven anders zu betrachten: als eine Art Versicherungsprämie. „Wer keine Reserven hat, hat auch keine Resilienz.“ Unternehmen sollten ihre kritischen Abhängigkeiten kennen und materielle, personelle und finanzielle Reserven schaffen.

Dabei geht es längst nicht mehr nur um Naturkatastrophen, technische Defekte oder einen klassischen Einbruch. Neu sei, so Schittenhelm, dass Unternehmen Szenarien einkalkulieren müssten, in denen ihnen jemand „vorsätzlich etwas Böses will“. Cyberangriffe, Sabotage und Drohnen erweitern damit das Spektrum möglicher Bedrohungen erheblich.

Doch nicht jede spektakuläre Gefahr rechtfertigt automatisch eine teure Gegenmaßnahme. Markus Schiemenz vom Landeskriminalamt Baden-Württemberg warnte davor, Sicherheitsentscheidungen an der medialen Aufmerksamkeit auszurichten. Entscheidend sei vielmehr die tatsächliche Risikobedeutung für das einzelne Unternehmen.

Erst das Risiko – dann die Drohnenabwehr

Das zeigt sich besonders beim Thema Drohnen. Die Zahl verdächtiger Überflüge nimmt zu, doch das Lagebild ist uneinheitlich. Häufig lässt sich weder feststellen, wer eine Drohne steuert, noch mit welcher Absicht sie unterwegs ist. Hinter einem Überflug kann ein ahnungsloser Hobbypilot stecken – oder ein gezielter Spionageversuch.

Deshalb zieht Schiemenz eine wichtige Grenze: Das Lagebild belege eine abstrakte Gefahr durch Drohnen, daraus lasse sich aber „eine konkrete Gefahr für Ihr Unternehmen“ nicht automatisch ableiten.

Sein Rat an Mittelständler lautet deshalb: erst analysieren, dann investieren. Welche Prozesse sind tatsächlich kritisch? Wo liegen die größten Schwachstellen? Ist das Unternehmen überhaupt von außen ausspähbar? Und ist eine Drohne wirklich das größte Risiko – oder kann jemand beim Tag der offenen Tür praktisch ungehindert aufs Betriebsgelände gelangen?

„Es kann bekanntlich jeder Euro nur einmal ausgegeben werden“, brachte Schiemenz das Problem auf den Punkt. Wer beim klassischen Schutz gegen unbefugtes Eindringen schlecht aufgestellt sei, müsse möglicherweise dort zuerst investieren, bevor er ein aufwendiges Drohnendetektionssystem anschafft.

Erkennen lässt sich eine Drohne – aber was kommt danach?

Was technisch bereits möglich ist, demonstrierten die Anbieter Walaris und Vanea während des Workshops. Ein modulares Detektionssystem kombinierte die elektronische Eigenkennung handelsüblicher Drohnen mit Kameratechnik und künstlicher Intelligenz. Wird eine Drohne erkannt, richtet sich die Kamera automatisch auf das Flugobjekt.

Technisch lässt sich der Schutz je nach Gefährdung erheblich ausbauen. Doch mit der Detektion beginnt das nächste Problem: Was darf ein Unternehmen tun, wenn tatsächlich eine verdächtige Drohne erkannt wurde?

Genau hier hinkt die Rechtslage den technischen Möglichkeiten hinterher. Während das Erkennen vergleichsweise unproblematisch ist, kann aktive Abwehr schnell in einen Bereich führen, der staatlichen Stellen vorbehalten ist. Rechtsanwalt Christian Trentmann erwartet deshalb keine schnelle und einfache Klärung. Es gehe um grundlegende Kompetenzfragen zwischen Bund und Ländern, innerer und äußerer Sicherheit – und zwischen Staat und Wirtschaft.

Im Ernstfall wird daraus ein sehr praktisches Problem. „Da ist die Drohne, da darf nicht mehr diskutiert werden“, beschrieb Trentmann das Szenario. Doch genau diese Diskussion drohe derzeit: Wer ist zuständig, wer darf eingreifen und wer trägt das Risiko?

Für Unternehmen, die Standorte in mehreren Bundesländern betreiben, wird es noch komplizierter. Unterschiedliche Zuständigkeiten und Ansprechpartner erschweren belastbare Antworten auf drei eigentlich simple Fragen: „Was darf ich tun? Was muss ich tun? Was soll ich tun?“

Sicherheit darf nicht zum Abteilungsprojekt werden

Auch deshalb greift es zu kurz, KRITIS-Schutz als Aufgabe des Werkschutzes oder der IT-Abteilung zu betrachten. In vielen Unternehmen existieren Business Continuity Management, Cybersicherheit, Objektschutz und Krisenmanagement nebeneinander. Jeder Bereich hat eigene Prioritäten und eine eigene Sprache.

Was häufig fehlt, ist das Gesamtbild. „Ich brauche ein Lagebild von meinem Unternehmen, von meinen Resilienzen, von meinen Risiken“, sagte Dreyer. Erst daraus lasse sich ableiten, wo Investitionen wirklich nötig sind.