Drohnenabwehr an Energieanlagen: was das KRITIS-Dachgesetz jetzt verlangt
Dieser Artikel trennt drei Dinge, die oft durcheinandergehen. Was das KRITIS-Dachgesetz konkret verlangt. Wie real die Drohnenbedrohung an Energieanlagen ist. Und wo die rechtliche Grenze zwischen dem verläuft, was ein Betreiber selbst tun darf, und dem, was allein dem Staat vorbehalten ist. Am Ende steht, wie eine legale Detektionsschicht aussieht und was jetzt zu tun ist.
Das KRITIS-Dachgesetz (KRITISDachG) ist seit dem 17. März 2026 in Kraft und verpflichtet Betreiber kritischer Anlagen erstmals bundeseinheitlich zu physischem Schutz. Es setzt die EU-CER-Richtlinie (EU) 2022/2557 um, deren Umsetzungsfrist Deutschland am 18. Oktober 2024 versäumt hatte. Der Regelschwellenwert liegt bei 500.000 von einer Anlage versorgten Einwohnern (§ 5 KRITISDachG). Betroffene Betreiber registrieren sich binnen drei Monaten nach Einstufung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, erstellen mindestens alle vier Jahre eine Risikoanalyse und setzen Resilienzmaßnahmen um. Verstöße kosten bis zu 1.000.000 Euro (§ 24). Die Bedrohung ist dokumentiert: Das BKA zählte 2025 über 1.000 verdächtige Drohnenflüge und von Januar bis August 2026 747 Sichtungen über kritischer Infrastruktur mit 1.068 identifizierten Drohnen. Aktive Abwehr bleibt staatliches Monopol. Jamming, GNSS-Spoofing, Steuerungsübernahme und Abschuss sind für Betreiber verboten. Seit der LuftSiG-Novelle vom 6. März 2026 liegt die Abwehr an Flughäfen bei Bundespolizei und Bundeswehr, koordiniert vom Gemeinsamen Drohnenabwehrzentrum in Berlin. Für Betreiber bleibt eine legale, mehrschichtige Detektionskette aus Sensorfusion, Beweissicherung und Alarmierung der Polizei.
Was das KRITIS-Dachgesetz Betreibern abverlangt
Sicherheit ist seit dem 17. März 2026 keine freiwillige Kür mehr, sondern eine dokumentierte Pflicht mit Fristen. Das KRITIS-Dachgesetz ist das erste bundeseinheitliche Gesetz für den physischen Schutz kritischer Anlagen. Es ist das Gegenstück zur NIS2-Umsetzung im Cyber-Bereich: Was das BSIG für die IT regelt, regelt das KRITISDachG für Zäune, Zufahrten und Luftraum.
Dahinter steht europäisches Recht. Das Gesetz setzt die CER-Richtlinie (EU) 2022/2557 um, deren Umsetzungsfrist eigentlich am 18. Oktober 2024 ablief. Deutschland war spät dran, die EU-Kommission hatte bereits ein Vertragsverletzungsverfahren eingeleitet. Jetzt gilt das Gesetz, und die Uhr für die Betreiber läuft.
Was heißt das praktisch? Wer über dem Schwellenwert liegt, hat eine Kette von Pflichten abzuarbeiten. Zuerst die Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), spätestens drei Monate nach der Einstufung als kritische Anlage. Dann die Risikoanalyse, mindestens alle vier Jahre, und daraus abgeleitet ein Resilienzplan mit vier Zielrichtungen: Vorfälle verhindern, physisch schützen, auf Vorfälle reagieren und die Folgen begrenzen, den Betrieb wiederherstellen.
Die Fristen greifen gestaffelt nach der Registrierung. Resilienzmaßnahmen nach § 12 sind erstmals neun Monate danach fällig, weitere Pflichten nach den §§ 13, 18 und 20 nach zehn Monaten. Wer das ignoriert, riskiert Bußgelder. Der Höchstsatz nach § 24 liegt bei 1.000.000 Euro für einen Verstoß gegen die Registrierungspflicht, gestaffelt darunter für Nachweis- und Anordnungsverstöße. Kursierende Zahlen von zehn Millionen Euro stimmen nicht, der Gesetzestext deckelt bei einer Million.
Drohnen tauchen im Gesetz nicht namentlich auf. Sie gehören trotzdem in jede ernsthafte Risikoanalyse, weil sie die derzeit sichtbarste physische Bedrohung aus der Luft sind. Wie stark diese Regeln mit der Cyber-Seite verzahnt sind, zeigt die Analyse zu NIS2 und dem KRITIS-Dachgesetz.
Wie real die Drohnenbedrohung an Energieanlagen ist
Die Zahlen stehen in offiziellen Lagebildern, nicht in Alarmmeldungen. Das Bundeskriminalamt führt Drohnen über kritischer Infrastruktur inzwischen in vierstelliger Größenordnung.
Für 2025 nannte das BKA über 1.000 verdächtige Drohnenflüge. Am stärksten betroffen: militärische Anlagen, Flughäfen, kritische Infrastruktur. Von Januar bis August 2026 kamen laut BKA-Lageupdate 747 Sichtungen über kritischer Infrastruktur hinzu, dabei wurden 1.068 Drohnen identifiziert. Die Schwerpunkte lagen in Niedersachsen, Nordrhein-Westfalen und Bayern.
Der Luftverkehr liefert ein zweites Bild. Die Deutsche Flugsicherung meldete 161 Drohnen-Behinderungen im Jahr 2024 und 225 im Jahr 2025, ein Anstieg von rund 40 Prozent. Und die Vorfälle bleiben nicht abstrakt. Am Flughafen München wurde der Betrieb zwischen dem 2. und 5. Oktober 2025 zweimal binnen 24 Stunden eingestellt, rund 10.000 Reisende waren betroffen.
An Energieanlagen selbst ist der Fall Brunsbüttel der deutlichste. Ab dem 8. August 2024 kam es über dem dortigen Industriegebiet, dem stillgelegten Kernkraftwerk und dem LNG-Terminal wochenlang zu verdächtigen Überflügen. Die Staatsanwaltschaft Flensburg ermittelte wegen des Verdachts geheimdienstlicher Agententätigkeit zu Sabotagezwecken. Ob dahinter ein staatlicher Akteur stand, ist offen. Der Punkt ist ein anderer: Eine Energieanlage lässt sich aus der Luft ausspähen, lange bevor jemand einen Zaun berührt. Parallel zeigt die Cyber-Seite, wie gezielt Angreifer Energieanlagen ins Visier nehmen, etwa mit der DynoWiper-Schadsoftware der Gruppe Sandworm.
Wer gegen Drohnen vorgehen darf, und wer nicht
Hier liegt die größte Fehleinschätzung im ganzen Thema. Ein Betreiber darf seine Anlage schützen, aber die Drohne nicht abwehren. Aktive Abwehr ist in Deutschland staatliches Monopol, und das aus gutem Grund: Ein Störsender legt neben der Drohne auch Funk, GPS und Nachbarsysteme lahm, ein Abschuss gefährdet Dritte.
Was Betreiber dürfen, ist die passive Seite: erkennen, klassifizieren, dokumentieren, Beweise sichern, die Polizei alarmieren. Auch passive physische Barrieren über Schutzbereichen sind möglich, solange sie ohne elektronische Störung auskommen.
Was Betreiber nicht dürfen, ist alles Aktive. Jammen setzt eine Zulassung der Bundesnetzagentur voraus, die zivil nicht erteilt wird, unbefugter Betrieb ist strafbar. GNSS-Spoofing und die Übernahme der Steuerung fallen unter dasselbe staatliche Wirkmittel-Monopol. Der kinetische Abschuss ist für Werkschutz oder Sicherheitsdienstleister tabu, hier greifen Waffenrecht und der Straftatbestand des gefährlichen Eingriffs in den Luftverkehr nach § 315 StGB.
Auf der staatlichen Seite hat sich 2026 einiges bewegt. Die zweite Novelle des Luftsicherheitsgesetzes ist seit dem 6. März 2026 in Kraft. Sie gibt der Bundespolizei die bundesweite Zuständigkeit für Detektion und Abwehr an Flughäfen und erlaubt der Bundeswehr, im Eilfall zu unterstützen und eine Drohne abzuschießen, wenn das das einzige Mittel ist, um einen besonders schweren Unglücksfall zu verhindern. Diese Abschussbefugnis ist verfassungsrechtlich umstritten. Neu ist auch ein eigener Straftatbestand: Wer unbefugt in den Luftsicherheitsbereich eines Flughafens eindringt, um den Verkehr zu stören, dem drohen bis zu fünf Jahre Freiheitsstrafe.
Koordiniert wird die Abwehr seit dem 17. Dezember 2025 vom Gemeinsamen Drohnenabwehrzentrum (GDAZ) in Berlin, das rund um die Uhr arbeitet und Bundespolizei, BKA, Länderpolizeien und Bundeswehr zusammenführt. Ob der Werkschutz künftig erweiterte Abwehrbefugnisse bekommt, wird politisch diskutiert. Stand heute ist es kein geltendes Recht, und darauf sollte niemand seine Sicherheitsplanung aufbauen.
Technische Schutzkonzepte: die legale Detektionsschicht
Für Betreiber lohnt die Investition genau dort, wo die legale Wirkkette endet: bei der Detektion. Und die funktioniert nur mehrschichtig, ein einzelner Sensor deckt nie alles ab.
Vier Sensortypen spielen zusammen. RF- und HF-Sensorik hört den Funkverkehr mit, erkennt und klassifiziert Drohnen passiv und ortet teils sogar den Piloten, versagt aber bei autonomen oder verschlüsselten Fluggeräten. Radar erfasst auch signalstille Drohnen und deckt große Flächen ab, ist dafür teuer und anfällig für Fehlalarme durch Gebäude oder Wetter. EO/IR-Kameras liefern die visuelle Verifikation und die Dokumentation, brauchen aber Sichtlinie und schwächeln bei Nacht und Nebel. Akustiksensoren sind günstig und passiv, ihre Reichweite ist kurz und in einer lauten Industrieumgebung schnell am Ende.
Der Trick ist nicht der beste Einzelsensor, sondern die Sensorfusion. Erst die Kombination schließt die blinden Flecken der einzelnen Verfahren und senkt die Fehlalarmrate, die eine Leitstelle sonst irgendwann ignoriert. Wer hier schon eine Angriffserkennung für die OT-Netze betreibt, kennt das Prinzip aus der IT-Sicherheit: viele schwache Signale werden erst in der Korrelation belastbar.
Die Wirkkette lässt sich in vier Stufen fassen: erkennen, identifizieren, bewerten, reagieren. Für Betreiber endet Reagieren bei der Alarmierung und der Übergabe an die Polizei. Alles danach, also Jamming, Spoofing, Fangnetze, Abschuss, Hochleistungsmikrowelle oder Laser, liegt bei staatlichen Stellen.
Was kostet das? Belastbare Preise nennt kaum ein Anbieter offen, die Größenordnungen sind aber klar. Einfache Detektionslösungen beginnen im fünfstelligen Bereich, feste Multisensor-Systeme liegen im sechsstelligen, KRITIS-taugliche Anlagen darüber. Dazu kommen über den Lebenszyklus Wartung, Softwarelizenzen, Integration, Schulung und Personal. Wie sich solche physischen Konzepte mit den bestehenden Sicherheitsstandards verzahnen, ordnet die Analyse zur OT-Security nach IEC 62443 ein.
Was Betreiber jetzt tun sollten
Die Pflicht läuft, und die Fristen laufen mit. Wer eine kritische Anlage betreibt, behandelt Drohnen als eigenen Punkt im Risikokatalog und übt die Meldekette, bevor der erste Ernstfall kommt.
Die nächsten Schritte
-
Betroffenheit und Fristen prüfen
Gleiche deine Anlage gegen den Schwellenwert von 500.000 versorgten Einwohnern und die Sektorkriterien ab, und prüfe das Landesrecht, denn über die Öffnungsklausel können Länder auch kleinere Anlagen einstufen. Steht die Einstufung, bleiben drei Monate bis zur Registrierung beim BBK.
-
Risikoanalyse mit Drohnenszenario aufsetzen
Nimm die Drohnenbedrohung ausdrücklich in die Risikoanalyse auf, von der Ausspähung bis zur physischen Störung. Daraus folgt der Resilienzplan entlang der vier Zielrichtungen. Die Fristen § 12 (neun Monate) und §§ 13, 18, 20 (zehn Monate) nach Registrierung stehen dabei fest im Kalender.
-
Legale Detektionsschicht aufbauen
Setz auf Sensorfusion aus RF, Radar, EO/IR und Akustik mit sauberer Beweissicherung. Keine aktiven Wirkmittel beschaffen. Wähle Dienstleister nur mit zivil zulässigen Systemen und schließe Jamming, Spoofing und Abschuss vertraglich aus.
-
Meldekette definieren und üben
Lege fest, wer bei einer Sichtung wen alarmiert, von der Leitstelle über die Landes- oder Bundespolizei bis zur Koordination mit dem GDAZ. Übe den Ablauf mit den Behörden, ein Notfallplan, den niemand geprobt hat, hält dem ersten echten Überflug selten stand.
Weiterführende Informationen
Häufig gestellte Fragen
Das KRITIS-Dachgesetz gilt seit dem 17. März 2026 und verpflichtet Betreiber kritischer Anlagen erstmals bundeseinheitlich zu physischem Schutz. Sie müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren, mindestens alle vier Jahre eine Risikoanalyse erstellen und Resilienzmaßnahmen mit vier Zielrichtungen umsetzen: verhindern, schützen, reagieren, wiederherstellen. Verstöße können mit Bußgeldern bis zu 1.000.000 Euro geahndet werden. Drohnen gehören dabei in den Bedrohungskatalog.
Nein. Aktive Abwehr ist in Deutschland staatliches Monopol. Jamming (Störsender) braucht eine Zulassung der Bundesnetzagentur, die zivil nicht erteilt wird. GNSS-Spoofing, die Übernahme der Steuerung und der kinetische Abschuss sind für Betreiber verboten und können strafbar sein. Erlaubt ist die passive Seite: erkennen, klassifizieren, dokumentieren, Beweise sichern und die Polizei alarmieren. Seit der LuftSiG-Novelle vom 6. März 2026 liegt die aktive Abwehr an Flughäfen bei Bundespolizei und Bundeswehr.
Das Bundeskriminalamt zählte 2025 über 1.000 verdächtige Drohnenflüge, am stärksten betroffen waren militärische Anlagen, Flughäfen und kritische Infrastruktur. Von Januar bis August 2026 registrierte das BKA 747 Sichtungen über kritischer Infrastruktur mit 1.068 identifizierten Drohnen, mit Schwerpunkten in Niedersachsen, Nordrhein-Westfalen und Bayern. Die Deutsche Flugsicherung meldete 161 Drohnen-Behinderungen im Jahr 2024 und 225 im Jahr 2025.
Ein legales Konzept für Betreiber ist eine mehrschichtige Detektionskette, keine aktive Abwehr. Sie kombiniert mehrere Sensortypen: RF- und HF-Sensorik erkennt und klassifiziert Funksignale, Radar erfasst auch signalstille Drohnen, EO/IR-Kameras liefern die visuelle Verifikation, Akustiksensoren decken den Nahbereich ab. Erst die Sensorfusion schließt blinde Flecken und senkt Fehlalarme. Die Kette folgt den Stufen Erkennen, Identifizieren, Bewerten, Reagieren und endet für Betreiber bei der dokumentierten Alarmierung und Übergabe an die Polizei.
Der Regelschwellenwert liegt nach § 5 Absatz 2 KRITIS-Dachgesetz bei 500.000 von einer Anlage versorgten Einwohnern, ergänzt um qualitative Kriterien wie Interdependenzen und Marktanteil. Über eine Öffnungsklausel können die Länder weitere Anlagen unterhalb dieser Bundesschwelle als kritisch einstufen. Nach der Einstufung bleiben drei Monate Zeit für die Registrierung beim BBK, danach greifen die Fristen für Resilienzmaßnahmen.