Drohnenschutz für KRITIS

Stand der Dinge

Betreiber kritischer Einrichtungen sind Schlüsselakteure, lokale Bedrohungen aus der Luft frühzeitig zu erkennen, richtig zu bewerten und angemessen zu reagieren. Doch in diesem Unterfangen stehen sie praktischen wie rechtlichen Unsicherheiten gegenüber. Seitens des Staates finden sie kein klares Schutzkonzept vor, stattdessen langjährige Grundsatzdebatten und Unklarheit bei Zuständigkeiten.

Praktisch erweisen sich die Sicherheitsvorkehrungen kritischer Anlagen gegenüber Drohnen oft als ausbaufähig. Maßnahmen wie Personenkontrolle, Videoüberwachung und die Platzierung sensibler Anlagenteile sind auf horizontale, nicht vertikale Bedrohungen aus der Luft ausgerichtet. Es bedarf daher einer Erweiterung des Schutzkonzepts: Prävention, Detektion, Bewertung und Reaktion.

Die Frage ist nur, wie.

An praktischen Lösungen mangelt es seitens des Marktes nicht: Zahlreiche neue Systeme zur Drohnendetektion sind verfügbar. Was fehlt, ist verbindliche staatliche Regulatorik, welche Fähigkeiten private Akteure überhaupt rechtssicher einsetzen dürfen, wo die Grenze zwischen Detektion und Abwehr liegt, und wie Verantwortung und Risiken zwischen Bund, Ländern und Betreibern aufgeteilt sind.

Regulatorisch gibt es weder im EU-CER-Rahmen noch im KRITIS-Dachgesetz Konkretes zu Drohnen oder UAVs. Erst die CER Guidelines geben Betreibern praktische Hinweise: Seit Juli 2026 greifen die EU-CER-Guidelines das Thema Drohnen erstmals auf, in fünf Punkten unter Sektion C, Physical Protection Measures. Betreiber kritischer Einrichtungen finden dort Empfehlungen von C 46 bis C 50.

Detektion (C 46)

Betreiber werden ermutigt, Systeme zur Erkennung, Verfolgung und Identifizierung von Drohnen einzusetzen (z. B. Radar, Funkfrequenzscanner, Tages-Wärmebildkameras, akustische Sensoren) sowie mit Telekommunikationsanbietern zu kooperieren, um über ISAC-Daten Kenntnis von unautorisierter Drohnenaktivität in ihrem Sicherheitsperimeter zu erhalten.

Sobald eine Gefahr detektiert ist, stößt die Handlungsfähigkeit laut deutschem Recht schnell an ihre Grenzen. Aktive Störsysteme wie Jammer dürfen Unternehmen in Deutschland laut Frequenzordnung des Telekommunikationsgesetzes grundsätzlich nicht eigenmächtig betreiben, siehe §55 TKG (2021).

Insgesamt betrachtet obliegt der passive Schutz vor Drohnen den Betreibern, die aktive Abwehr hingegen dem Staat. Diese Aufteilung beruht auf dem klassischen staatlichen Gewaltmonopol. Legitime physische Zwangsgewalt darf laut Max Weber allein der Staat ausüben, im Gegenzug garantiert er Schutz, siehe BPB (2020).

In der Praxis erweist sich das bei Drohnenangriffen jedoch als problematisch, da die nötige Reaktionszeit oft kürzer ist, als staatliche Kräfte faktisch brauchen. Sicherheitsverbände kritisieren diese Problematik seit Jahren, und auch auf EU-Ebene wird diskutiert, inwieweit private Akteure künftig in die aktive Drohnenabwehr eingebunden werden sollen. Siehe Europäische Kommission (2026). In Deutschland dürfte es allein aus rechtlichen und Haftungsrisiken vorerst beim Status quo bleiben.

Physische Barrieren (C 47 und 48)

Betreiber sind angehalten, zur Spionageabwehr die Sichtbarkeit sensibler Anlagen und Ausrüstung zu reduzieren, etwa durch Tarnung, Verlagerung oder Unterbringung in geschlossenen Gebäuden. Zum Sabotageschutz empfehlen die Guidelines unter anderem Anti-Drohnen-Netze und -Überdachungen sowie bauliche Verstärkungen wie splittersichere Fenster, verstärkte Dachplatten oder vollständige bauliche Einhausungen.

Welche Maßnahmen realistisch und wirksam für den Schutz der kritischen Einrichtung sind, sollte Fall für Fall geprüft werden. Nicht jede Maßnahme lohnt sich für jede Anlage. Abgesehen von der Frage nach dem Kosten-Nutzen-Verhältnis sollte die notwendige Zeit für das behördliche Genehmigungsverfahren neuer Baumaßnahmen eingeplant werden. Auch Folgewirkungen sollten nicht außer Acht gelassen werden: So bringt etwa eine Verlegung einer Netzleitstelle in den Keller neue Risiken durch Hochwasser oder Starkregen für den Zugang mit sich.

Vor diesem Hintergrund sollten Betreiber kritischer Einrichtungen ihre drohnenspezifischen Risiken systematisch und gesamtheitlich als Nuancierung der ohnehin vorgeschriebenen CER-Risikoanalyse erfassen. Erst wenn die Risiken miteinander ins Verhältnis gesetzt werden, können effiziente, da in ihrer Gesamtheit stimmige, Resilienzmaßnahmen abgeleitet werden. Mehr dazu weiter unten.

Risikobewertung und -mitigation (C 49)

Kritische Einrichtungen sollten erwägen, im Rahmen des Konzepts geografischer Zonen zu agieren, um Risiken durch unautorisierte oder unsichere Drohnenflüge in der Nähe ihrer Anlagen zu steuern und zu verringern. Auf Basis einer Risiko- und Verhältnismäßigkeitsprüfung können Betreiber in Deutschland bei den Luftfahrtbehörden eine Konkretisierung oder engere Definition solcher Zonen für den geografischen Raum ihrer spezifischen Anlage beantragen. Siehe LuftVO (2025).

Mittels dieser Zonen soll Geo-Awareness, eine Warnfunktion für Drohnenpiloten, sowie auch Geo-Fencing, das aktive Verhindern des Einflugs regelkonformer Drohnen, ermöglicht werden.

Diese Kontrolle zielt auf die derzeit größte Herausforderung für Betreiber ab: Sie müssen eine gesichtete Drohne richtig, und zwar sehr schnell, einordnen, ob es sich um den harmlosen Überflug eines Hobbypiloten oder einen gezielten Spionage- oder Sabotageversuch handelt. Eine entscheidende Limitation bleibt: Sowohl Geo-Awareness wie Geo-Fencing wirken nur bei regelkonformen Drohnen, die ihre Position korrekt übermitteln.

Gegen missbräuchlich eingesetzte Drohnen, Sabotage oder Spionage, bieten sie keinen Schutz.

Darüber hinaus sollten Betreiber für die behördlichen Beantragungen ausreichend Zeit einkalkulieren. Betreiber mit Standorten in mehreren Bundesländern könnten dabei auf unterschiedliche Luftfahrtbehörden treffen. Eine frühe Koordination mit Ansprechpartnern und Verständigung zum Prozess und Einreichen notwendiger Unterlagen (z. B. einer angepassten Risikoanalyse) sind daher ratsam.

Abwehr mit staatlichen Instanzen (C 50)

Kritische Einrichtungen sollten enger mit Drohnenabwehr-Akteuren zusammenarbeiten, etwa mit lokalen Strafverfolgungsbehörden, der Verteidigung oder anderen Stellen, die rechtlich zur Abwehr befugt sind (zum Beispiel durch Funkstörung, Spoofing oder andere Gegenmaßnahmen). Ferner sollten sie den Einsatz solcher Abwehrsysteme zum Schutz ihres Geländes aktiv unterstützen, soweit der geltende Rechtsrahmen dies zulässt.

Diese Empfehlung trifft in Deutschland auf ein fragmentiertes System. Mehr als 40 Behörden sind mit Aufgaben der Luftsicherheit befasst. Bund, Länder, Polizei, Bundespolizei, Luftsicherheitsbehörden und Bundeswehr teilen sich die Verantwortung, was Kritiker als Zuständigkeitswirrwarr bezeichnen, siehe NDR (2026). Aktuelle Reformen des Luftsicherheits- und Polizeigesetzes sind ein richtiger Schritt, dennoch wird der Fähigkeitsaufwuchs und die Ertüchtigung Zeit kosten.

Darüber hinaus berühren die CER-Guidelines die Grundsatzdebatte zum Einsatz der Bundeswehr im Inneren. Art. 87a GG begrenzt diesen strikt auf den Verteidigungsfall. Obwohl diese Trennung im Drohnenkontext aufgrund des Verschwimmens von außen- und innenpolitischer Bedrohung zunehmend angefochten wird, könnte das potenzielle Mandat zur (aktiven) Drohnenabwehr im Inneren aus historischen und politischen Gründen wohl eher von der Bundeswehr getrennt bei der Polizei bleiben.

Und weiter?

Während der Staat regulatorisch und im Fähigkeitsaufbau erst noch nachzieht, spitzt sich die Bedrohungslage bereits zu. Betreiber sind daher gut beraten, nicht auf den Rechtsrahmen zu warten, sondern selbst frühzeitig tätig zu werden.

Sicherheit und Integrität des eigenen Betriebs liegen im ureigenen Interesse jedes Betreibers – unabhängig davon, dass es bislang keine rechtsverbindliche Regulierung gibt, die das Mindest- und Höchstmaß des Zulässigen definiert. Gerade deshalb sollten Betreiber ihre eigene Reaktionsfähigkeit und ihr Krisenmanagement stärken und im Vorfeld klären, mit wem im Ernstfall zusammengearbeitet werden soll.

Den Ausgangspunkt dafür sollte eine neue, nuancierte Risikoanalyse bilden: was wäre durch eine Drohne überhaupt sichtbar und angreifbar?

• Aufklärung und Spionage: welche sensiblen Informationen ließen sich aus der Luft erfassen?
• Angriff: welche Anlagenteile wären einem direkten Treffer oder Absturz ausgesetzt?
• Manipulation: wo könnten Signale gestört oder durch eine Drohne kompromittiert werden?

Erst diese Differenzierung erlaubt es, Schutzmaßnahmen dort anzusetzen, wo sie tatsächlich wirken, statt pauschal aufzurüsten.

Global betrachtet versetzt eine derart frühzeitige, präzise Risikoeinschätzung Betreiber in die Lage, ihr präventives Krisenmanagement effizienter, kostengünstiger und passgenauer auszurichten – und im Ernstfall handlungsfähiger zu sein. Konkret zahlt sich das in allen vier Bereichen aus:

Eine fundierte Fallanalyse erlaubt es, Detektionssysteme gezielter auszuwählen, baulichen Schutz auf tatsächlich sinnvolle Maßnahmen zu konzentrieren und fundierter zu beurteilen, ob und in welchem Umfang eine Drohnenverbotszone erforderlich ist. Nicht zuletzt lässt sich auch die Frage, welche Partnerschaften mit welchen Ansprechpartnern konkret notwendig sind, erst auf Basis einer solchen nuancierten Risikoanalyse verlässlich beantworten.

Idealerweise sollte diese Risikobewertung auch in die Resilienzstrategie (CER) des BMI zurückfließen.

Quellen

1. Europäische Kommission: Proposal for a Cloud and AI Development Act (CADA), 3. Juni 2026.
2. Europäische Kommission, Generaldirektion Migration und Inneres: Guidelines on the application of Article 13(5) of Directive (EU) 2022/2557 on the resilience of critical entities, 14. Juli 2026.
3. Bundesministerium der Justiz: Telekommunikationsgesetz (TKG), § 55 Frequenzzuteilung, 23. Juni 2021.
4. Bundeszentrale für politische Bildung: Gewaltmonopol, in: Das Politiklexikon, 2020.
5. Europäische Kommission: Action Plan on Drone and Counter Drone Security, COM(2026) 81 final, 11. Februar 2026.
6. Bundesministerium der Justiz: Luftverkehrs-Ordnung (LuftVO), § 21h Regelungen für den Betrieb von unbemannten Fluggeräten in geografischen Gebieten, zuletzt geändert 2025.
7. NDR: Günther: Bundeswehr im Inneren bei Drohnenabwehr einsetzen, August 2026.