Was tun, wenn eine Drohne über dem Kraftwerk kreist?

w

„Infrastruktur lässt sich heute deutlich niederschwelliger stören oder angreifen“

Drohnensichtungen über Flughäfen, Kraftwerken oder anderen kritischen Anlagen sind längst kein theoretisches Szenario mehr. Mit dem KRITIS-Dachgesetz rücken physische Sicherheit, Resilienzkonzepte und Meldepflichten stärker in den Fokus. Doch was dürfen Betreiber kritischer Infrastruktur tatsächlich tun, wenn eine Drohne über einer Anlage auftaucht? energie.blog hat darüber mit Dr. Sebastian Daub und Jan Hörmann gesprochen. Daub ist Partner bei der internationalen Wirtschaftskanzlei Ashurst im Bereich Corporate M&A mit Fokus auf Infrastruktur, Energie und Defence. Hörmann ist Associate in seinem Team, Reserveoffizier bei der Bundeswehr und beschäftigt sich unter anderem mit gesellschaftsrechtlichen Fragen in den Sektoren Infrastruktur und Defence.

Warum Drohnen zur KRITIS-Frage werden

e.b: Warum steht Drohnenabwehr gerade jetzt so stark auf der Agenda?
Sebastian Daub: Ein wesentlicher Treiber ist, dass sich Betreiber kritischer Infrastruktur stärker als früher mit hybrider Kriegsführung auseinandersetzen müssen. Das Thema war zwar grundsätzlich bekannt, stand aber für viele Betreiber lange nicht im Mittelpunkt.

Seit der Vollinvasion Russlands in die Ukraine hat sich das verändert. Hybride Angriffe werden als Szenario realistischer. Infrastruktur kann heute auf deutlich niederschwelligere Weise gestört oder angegriffen werden als durch konventionelle militärische Mittel. Das kann durch Sabotage, Störaktionen, von staatlichen Akteuren oder Privatpersonen ausgehen, beispielsweise durch Drohnenüberflüge.

Der Gesetzgeber hat darauf auch mit Blick auf eine europäische Vereinheitlichung reagiert. Das KRITIS-Dachgesetz soll unter anderem einheitliche Reportingpflichten schaffen und Betreiber dazu verpflichten, sich systematisch mit der Resilienz ihrer Anlagen auseinanderzusetzen.

e.b: Was hat der Ukrainekrieg an der Bedeutung von Drohnen verändert?
Sebastian Daub: Vor zehn Jahren kannte man Drohnen vor allem aus dem Hobbybereich. Sie wurden für Luftaufnahmen oder Immobilienvideos genutzt. Das war ein anderes Thema.

Durch den Krieg in der Ukraine hat sich die Dimension vollständig verändert. Heute sieht man in der Ukraine und auch im Nahen Osten sehr deutlich: Krieg ohne Drohnen ist kaum noch vorstellbar. Deutschland befindet sich zwar nicht in einem heißen Krieg. Aber die neue Realität ist, dass sich auch Betreiber von Infrastruktur mit solchen Szenarien beschäftigen müssen.

Dabei geht es nicht nur um Drohnen als Waffe. Auch Aufklärung kann relevant sein. Wenn Drohnen Bilder von Anlagen machen, können diese Informationen später für Sabotagehandlungen genutzt werden.

e.b: Was bedeutet das KRITIS-Dachgesetz für Betreiber kritischer Infrastruktur?
Sebastian Daub: Das Gesetz bringt einen neuen Pflichtenkatalog. Betreiber müssen sich mit Resilienzplänen, Schutzmaßnahmen, Überwachung und Meldepflichten befassen. Es geht also nicht mehr nur darum, theoretisch vorbereitet zu sein, sondern um dokumentierte und überprüfbare organisatorische Maßnahmen.

Für Geschäftsleitungen ist das relevant, weil solche Pflichten haftungsbewehrt sein können. Wenn Pflichten verletzt werden oder ein Schaden entsteht, müssen Organmitglieder im Zweifel darlegen können, dass sie angemessen gehandelt haben. Dazu gehört, dass sie Schutzmaßnahmen geprüft, Pläne erstellt und Prozesse eingerichtet haben.

Abwehr bleibt Aufgabe des Staates

e.b: Heißt das, Stadtwerke oder Kraftwerksbetreiber müssen künftig selbst Drohnen abwehren können?
Jan Hörmann: Nein, so einfach ist es nicht. Gerade bei der aktiven Abwehr gibt es enge Grenzen. Öffentliche und private Betreiber sitzen hier im selben Boot. Viele kommunale Unternehmen sind zwar mittelbar staatlich gehalten, aber als GmbH oder andere Gesellschaft organisiert. Sie haben keine staatlichen Eingriffs- oder Durchgriffsbefugnisse, um Drohnen selbst vom Himmel zu holen.

Der Standardweg bleibt daher: Polizei rufen. In vielen Fällen sind Polizeibehörden zuständig, häufig die Landespolizei. Für bestimmte Objekte können auch andere Zuständigkeiten greifen. Gerade daran sieht man, dass die Lage komplex ist.

e.b: Was darf ein Betreiber konkret tun, wenn eine Drohne über einem Kraftwerk auftaucht?
Jan Hörmann: Praktisch bleibt zunächst der Weg über die 110. Betreiber sollten den Vorfall melden und die vorgesehenen Strukturen einbinden.

Selbst tätig zu werden, ist rechtlich hochriskant. Zwar gibt es Notwehrrechte. Aber die Abwägung ist in solchen Fällen sehr schwierig. Entscheidend ist auch, wie eine Drohne überhaupt heruntergebracht werden soll. Dafür braucht man geeignete technische Mittel oder Waffen. Je nach eingesetztem Mittel können schnell waffenrechtliche Fragen oder Verstöße gegen das Telekommunikationsrecht entstehen.

Bei sogenannten Jammern, also Störsendern, ist das besonders deutlich. Sie greifen stark in Funkverbindungen ein. In Deutschland gibt es sehr dichte Funk- und Kommunikationsnetze. Deshalb dürfen private Akteure solche Technik in der Regel nicht einfach einsetzen.

Drohnenabwehr: Für Betreiber gelten enge rechtliche Grenzen

e.b: Warum dürfen Betreiber Drohnen nicht einfach selbst abschießen oder stören?
Jan Hörmann: Das hängt mit dem staatlichen Gewaltmonopol zusammen. Der Staat will vermeiden, dass aktive Gefahrenabwehr privatisiert wird. Das ist auch aus Haftungsgründen nachvollziehbar.

Wenn ein Betreiber eine Drohne herunterholt und diese auf ein Gebäude fällt oder Menschen verletzt, entsteht ein erhebliches Haftungsrisiko. Gleiches gilt, wenn durch technische Störung andere Systeme beeinträchtigt werden. Gerade bei Kraftwerken oder anderen sensiblen Anlagen kann nicht ausgeschlossen werden, dass Funkstörungen zusätzliche Risiken auslösen. Deshalb ist Selbsthilfe im Regelfall nicht der vorgesehene Weg. Die Befugnis zur konkreten Abwehr soll bei den zuständigen staatlichen Stellen bleiben.

e.b: Welche Rolle spielen Polizei, Bundeswehr und Drohnenabwehrzentrum?
Jan Hörmann: Grundsätzlich ist der Einsatz der Bundeswehr im Inland nur in Ausnahmefällen vorgesehen. Mit den Änderungen im Luftsicherheitsgesetz wurden Befugnisse klarer gefasst. Ziel ist unter anderem, dass die Bundeswehr in bestimmten Ausnahmesituationen Drohnen abschießen kann. Die Schwelle für einen solchen Einsatz bleibt aber hoch.

Im Alltag werden häufig Polizeibehörden zuständig sein. Gleichzeitig versucht der Staat, die Zuständigkeiten stärker zu bündeln. Ein gemeinsames Drohnenabwehrzentrum soll helfen, Informationen zusammenzuführen, Sicherheitsbehörden zu vernetzen und ein gemeinsames Lagebild zu schaffen.

Sebastian Daub: Man hat bei den Drohnensichtungen über Flughäfen gesehen, wie groß die praktischen Probleme sein können. Wenn ein Flughafen auch nur für kurze Zeit lahmgelegt wird, entstehen schnell hohe Schäden. Deshalb ist es wichtig, dass Zuständigkeiten klarer werden und die Dienstwege kurz sind.

Beleihung als möglicher Ausweg

e.b: Was ist mit dem Vorschlag, Betreiber staatlich zu „beleihen“?
Sebastian Daub: Die Idee der Beleihung soll genau den Zielkonflikt lösen. Betreiber könnten dann als verlängerter Arm staatlicher Behörden handeln. Polizei oder eine andere zuständige Stelle würde ihnen bestimmte Aufgaben übertragen. Sie würden dann nicht als Private in eigener Verantwortung handeln, sondern in einem hoheitlichen Auftrag.

Der Vorteil wäre: Das Gewaltmonopol bliebe beim Staat. Gleichzeitig könnte man vor Ort schneller reagieren. Das ist etwas anderes als unkontrollierte Selbsthilfe. Solche Modelle müssten aber gesetzlich sehr genau geregelt werden.

e.b: Würde eine Beleihung auch die Haftungsfrage lösen?
Sebastian Daub: Sie könnte sie jedenfalls anders verteilen. Wenn Betreiber im Rahmen einer Beleihung hoheitliche Aufgaben wahrnehmen, läge die Haftung grundsätzlich beim Staat. Das wäre vergleichbar mit anderen hoheitlichen Tätigkeiten.

Wichtig ist aber: Dieses Konzept ist bisher vor allem eine Forderung beziehungsweise ein Diskussionspunkt. Es ist noch nicht in der nötigen Tiefe gesetzlich umgesetzt. Gerade deshalb wird man die weitere Entwicklung aufmerksam beobachten müssen.

Jan Hörmann: Dazu kommen praktische Fragen. Man müsste klären, welche Technik eingesetzt werden darf, wer sie bedienen kann und wie die Ausbildung aussieht. Eine klassische Abfangdrohne ist nicht ohne Weiteres ein ziviles Sicherheitsmittel. Manche Systeme sind für militärische Szenarien entwickelt. Andere Varianten müssten erst angepasst und regulatorisch bewertet werden.

Zwischen Meldepflicht und Haftungsrisiko

e.b: Welche Schutzmaßnahmen bleiben Betreibern dann überhaupt?
Sebastian Daub: Es geht vor allem um Resilienz und Organisation. Betreiber müssen prüfen, welche Risiken für ihre Anlagen bestehen, welche Meldewege eingerichtet sind und wie Personal sensibilisiert wird. Dazu gehören auch Notfall- und Backup-Konzepte.

Jan Hörmann: Wichtig ist, dass die Maßnahmen zum jeweiligen Objekt passen. Ein Offshore-Windpark über viele Quadratkilometer lässt sich nicht vollständig mit Kameras überwachen. Bei einer punktuellen Anlage kann technische Überwachung dagegen sinnvoller sein.

Es gibt auch neue technische Entwicklungen. Audiosensoren können mit Hilfe künstlicher Intelligenz Drohnensignaturen erkennen und frühzeitig Alarm auslösen. Solche Systeme können je nach Objekt eine Rolle spielen. Entscheidend ist aber immer die konkrete Gefährdungslage.

e.b: Müssen Drohnensichtungen gemeldet werden?
Jan Hörmann: Für relevante Sicherheitsvorfälle gibt es Meldepflichten. Nach unserer Erinnerung geht es dabei um kurze Fristen, etwa 24 Stunden. Zudem gibt es ein Online-Portal, über das Meldungen zusammenlaufen sollen.

Der Sinn liegt nicht nur in der Einzelfallbearbeitung. Wenn in einer Region mehrere Vorfälle gemeldet werden, können Sicherheitsbehörden Muster erkennen. Dadurch entsteht ein besseres Lagebild. Betreiber müssen organisatorisch sicherstellen, dass solche Meldungen im Betrieb auch tatsächlich erfolgen können.

e.b: Wird physische Resilienz damit zur Haftungsfrage für Geschäftsführer?
Sebastian Daub: Ja, das ist ein zentraler Punkt. Geschäftsleitungen bekommen seit Jahren immer mehr Pflichten. Viele davon sind haftungsbewehrt. Mit dem KRITIS-Dachgesetz kommen weitere Anforderungen hinzu.

Wenn ein Betreiber keine angemessenen Schutzmaßnahmen vorbereitet, keine Resilienzpläne erstellt oder relevante Vorfälle nicht meldet, kann das haftungsrechtlich relevant werden. Geschäftsleiter müssen dann im Zweifel zeigen können, dass sie die Risiken angemessen bewertet und vertretbare Maßnahmen ergriffen haben.

Jan Hörmann: Gleichzeitig enthält das Gesetz unbestimmte Begriffe. Was im Einzelfall angemessen ist, hängt vom konkreten Objekt ab. Ein Gericht würde später prüfen, welche Sorgfalt von einem ordentlichen Geschäftsleiter zu erwarten war. Genau deshalb ist eine saubere Dokumentation wichtig.

Resilienz beginnt vor dem Ernstfall

e.b: Was sollten Betreiber jetzt konkret tun?
Jan Hörmann: Sie sollten zunächst ihre Zuständigkeiten und Meldewege klären. Wer erkennt einen Vorfall, wer bewertet ihn, wer meldet ihn, wer kommuniziert mit Behörden? Das muss vorbereitet sein, bevor etwas passiert.

Außerdem sollten Betreiber prüfen, ob bestehende Resilienz- und Sicherheitskonzepte physische Bedrohungen ausreichend abdecken. Dazu gehören auch Szenarien unterhalb eines direkten Angriffs, etwa Aufklärung, Sabotagevorbereitung oder Störungen durch Drohnen.

Sebastian Daub: Wichtig ist, das Thema nicht nur technisch zu betrachten. Es ist eine Führungs- und Organisationsaufgabe. Geschäftsleitungen sollten zeigen können, dass sie die Risiken kennen, angemessene Maßnahmen prüfen und Prozesse eingerichtet haben. Genau diese Nachweisbarkeit wird künftig wichtiger.

e.b: Wird sich der Rechtsrahmen weiter verändern?
Jan Hörmann: Davon ist auszugehen. In den vergangenen Monaten ging vieles vergleichsweise schnell. Es entstehen Drohnenabwehrzentren, neue Einheiten und neue technische Fähigkeiten bei Behörden. Der politische Wille, das Thema anzugehen, scheint vorhanden zu sein. Zugleich entwickelt sich die Technik sehr schnell. Was heute als ausreichend gilt, kann in zwei Jahren schon wieder überholt sein. Deshalb werden Betreiber und Gesetzgeber das Thema weiter beobachten müssen.

Sebastian Daub: Besonders offen ist die Frage, ob und wie Betreiber künftig in die konkrete Abwehr eingebunden werden können. Das Thema Beleihung und die damit verbundenen Haftungsfragen sind noch nicht abschließend geklärt. Genau dort liegt eine der wichtigsten offenen Baustellen.