Artikel vom 22. Januar 2026
KRITIS und Datensouveränität: Anforderungen an kritische Infrastruktur
1. Das KRITIS-Dachgesetz: Wer ist betroffen? #
Das KRITIS-Dachgesetz (KRITIS-DachG) ist seit 17. März 2026 in Kraft (Bundesgesetzblatt I Nr. 66 vom 16. März 2026). Es schafft erstmals einen einheitlichen Rechtsrahmen für die physische Resilienz kritischer Infrastruktur in Deutschland, setzt die EU-CER-Richtlinie (2022÷2557) um und ergänzt das NIS2UmsuCG.
Die KRITIS-Sektoren #
- Energie: Strom, Gas, Fernwärme, Raffinerien
- Wasser: Trinkwasserversorgung, Abwasserentsorgung
- Transport und Verkehr: Schiene, Luftfahrt, Seehäfen, Straße
- Gesundheit: Krankenhäuser, Labore, Pharmahersteller
- Finanz- und Versicherungswesen: Kreditinstitute, Zahlungsinfrastruktur, Börsen
- Ernährung: Lebensmittelherstellung, Verteilung
- Informationstechnik und Telekommunikation: Rechenzentren, DNS-Resolver, Cloud-Anbieter
- Siedlungsabfallentsorgung: kommunale Entsorgungsbetriebe
- Weltraum: Satellitenbetreiber, Bodenstationen
- Öffentliche Verwaltung: Bundesbehörden, kritische Verwaltungsinfrastruktur
Schwellenwerte #
Die Betroffenheit richtet sich nach sektorspezifischen Schwellenwerten, die per Rechtsverordnung festgelegt werden. Energie-Netzbetreiber ab einer bestimmten Netzkapazität, Krankenhäuser ab einer definierten Bettenzahl oder Trinkwasserversorger ab einem bestimmten Versorgungsvolumen fallen in den Anwendungsbereich. Die aktuellen Schwellenwerte publiziert das BSI.
2. Datensouveränitätspflichten für KRITIS-Betreiber #
Was das Gesetz fordert #
Das KRITIS-Dachgesetz schreibt vor, dass Betreiber kritischer Infrastruktur Maßnahmen zur Resilienz ihrer Anlagen und Systeme umsetzen, einschließlich der IT-Systeme, die für den Betrieb notwendig sind. Konkret bedeutet das für Datenspeicherung:
- Verfügbarkeitsgarantien für betriebskritische Daten auch im Störungsfall
- Schutz vor unbefugtem Zugriff, Manipulation und Datenverlust
- Nachweis gegenüber den Aufsichtsbehörden im Rahmen von Prüfungen
Was das Gesetz impliziert, aber nicht immer explizit benennt: Datensouveränität ist die Voraussetzung für echte Resilienz. Wer seine Daten in einer fremden Infrastruktur speichert, kann Verfügbarkeit, Integrität und Kontrolle nur bedingt garantieren.
Datensouveränität als Compliance-Begriff #
Datensouveränität bedeutet für :
- Rechtshoheit: Die Daten unterliegen ausschließlich deutschem und europäischem Recht
- Zugriffshoheit: Nur autorisierte Personen und Systeme des Betreibers haben Zugriff
- Speicherhoheit: Der Betreiber bestimmt, wo und wie Daten gespeichert werden
- Löschhoheit: Der Betreiber kann Daten nach eigenem Ermessen löschen oder archivieren
Jede dieser Dimensionen ist bei Cloud-Speicherung potenziell eingeschränkt.
3. Warum Cloud-Abhängigkeiten für KRITIS strukturelle Risiken schaffen #
Single Point of Failure #
Wenn ein KRITIS-Betreiber seine betriebskritischen Daten ausschließlich bei einem Cloud-Anbieter speichert, entsteht ein Single Point of Failure außerhalb der eigenen Kontrolle. Die Ausfallhistorie großer Cloud-Anbieter zeigt: Regionale Ausfälle, die stundenlang dauern, sind keine theoretischen Szenarien.
Für einen Energieversorger, einen Wasseraufbereiter oder ein Krankenhaus kann ein mehrstündiger Datenzugriffsverlust kritische Konsequenzen haben, für den Betrieb und für die Compliance.
Ausländischer Rechtsrahmen #
Alle drei großen Hyperscaler (AWS, Microsoft Azure, Google Cloud) sind US-Konzerne. Der US CLOUD Act verpflichtet sie, US-Behörden auf richterliche Anordnung Zugriff auf Kundendaten zu gewähren, auch wenn diese physisch in europäischen Rechenzentren liegen. Für KRITIS-Betreiber, die mit staatsrelevanten Daten arbeiten, ist das kein abstraktes Risiko.
Ein Betreiber, der nicht ausschließen kann, dass Dritte ohne sein Wissen auf seine Betriebsdaten zugreifen, erfüllt die Anforderungen an Datensouveränität nicht vollständig.
Ausfall des Anbieters als Szenario #
KRITIS-Betreiber müssen im Rahmen des KRITIS-Dachgesetzes Notfallszenarien durchdenken und dokumentieren. Der Ausfall des Cloud-Speicheranbieters ist eines dieser Szenarien. Wer keine On-Premises-Fallback-Infrastruktur betreibt, kann dieses Szenario nicht beherrschen.
4. BSI-Anforderungen an Datenspeicherung für KRITIS-Betreiber #
Das BSI konkretisiert die Anforderungen des NIS2UmsuCG im IT-Grundschutz; das KRITIS-Dachgesetz ergänzt die physische Dimension. Für Datenspeicherung und Backup gelten folgende Kernprinzipien:
Offline-Backup-Pflicht #
Das BSI empfiehlt ausdrücklich die 3 – 2‑1 – 1‑0-Regel: mindestens eine Sicherungskopie offline und vom Netz getrennt. Für KRITIS-Betreiber ist diese Empfehlung faktisch ein Gebot, da Ransomware-Resilienz zu den geforderten Schutzmaßnahmen zählt.
Unveränderlichkeit (Immutability) #
Für Protokolldaten, Betriebsaufzeichnungen und Audit-Logs fordert das BSI Manipulationsschutz. -Speicher (Write Once Read Many) erfüllt diese Anforderung durch technische Unveränderlichkeit, unabhängig von Benutzerrechten oder administrativem Zugriff.
Nachvollziehbarkeit und Protokollierung #
KRITIS-Betreiber müssen Zugriffe auf kritische Systeme protokollieren und diese Protokolle revisionssicher aufbewahren. Das schließt Protokolle aus IT-Betriebssystemen, Leitsystemen (SCADA) und Sicherheitslösungen ein.
Regelmäßige Prüfungen #
KRITIS-Betreiber müssen die Umsetzung ihrer Sicherheitsmaßnahmen regelmäßig gegenüber dem BSI nachweisen; das BSI kann zusätzlich Prüfungen anordnen. Datenspeicher und Backup-Systeme werden dabei auf Konformität mit den BSI-Vorgaben geprüft. Fehlende Restore-Tests, keine Offline-Kopien oder ungesicherte Protokollspeicher führen zu Beanstandungen.
5. Lieferkettensicherheit: Warum die Herkunft von Storage-Hardware eine Compliance-Frage ist #
Supply Chain Security unter KRITIS #
Das KRITIS-Dachgesetz und NIS2 verpflichten Betreiber, die Sicherheit ihrer Lieferkette zu bewerten. Das schließt die Hardware ein, auf der kritische Daten gespeichert werden.
Storage-Hardware aus Hochrisikoländern oder von Herstellern ohne Transparenz über ihre Produktionskette stellt ein Risiko dar: Manipulierte Firmware, eingebettete Backdoors oder schwache kryptografische Implementierungen können die gesamte Datensicherheitsstrategie untergraben.
Made in Germany als Compliance-Argument #
Für KRITIS-Betreiber ist die Herkunft der Speicherhardware ein nachweisbarer Faktor in der Risikobewertung. Hardware, die in Deutschland entwickelt und gefertigt wird, unterliegt deutschem Recht und ist gegenüber dem BSI nachvollziehbar dokumentierbar.
FAST LTA entwickelt und fertigt seine Storage-Systeme in München. Das schließt Silent Cubes für Langzeitarchivierung und das Silent Brick System für Air-Gap-Backup ein. Für KRITIS-Betreiber ist das ein überprüfbares Argument in der Lieferkettendokumentation.
6. On-Premises als Datensouveränitätsstrategie für KRITIS #
Air Gap: Schutz auch bei Netzwerkkompromittierung #
Ein trennt Backup-Systeme physisch oder galvanisch vom Produktionsnetz. Wenn Angreifer das Produktionsnetzwerk eines KRITIS-Betreibers kompromittieren, erreichen sie air-gapped Backups nicht.
Das Silent Brick System bietet zwei Varianten:
- Silent Brick Pro: Physisch aus dem Controller X entnehmbar. Die Brick-Einheit kann in einem Tresor oder einem separaten Sicherheitsbereich gelagert werden, das ergibt maximalen physischen Schutz.
- Silent Brick Max Air: Galvanische Trennung ohne physisches Entnehmen. Geeignet für automatisierte Backup-Prozesse mit hohem Datendurchsatz und gleichzeitiger Netzwerktrennung.
WORM für unveränderliche Archivierung #
Silent Cubes sind Hardware--Systeme. Daten, die auf Silent Cubes geschrieben werden, lassen sich nicht überschreiben oder löschen: nicht durch Software, nicht durch Administrator-Berechtigungen, nicht durch Ransomware. Für KRITIS-Betreiber, die Betriebsprotokolle, Audit-Logs und regulatorische Aufzeichnungen revisionssicher archivieren müssen, ist Hardware- die technisch sicherste Lösung.
Physische Kontrolle als Resilienzmerkmal #
On-Premises-Infrastruktur bleibt im Angriffsfall zugänglich, auch wenn Netzwerkverbindungen ausgefallen sind. Für KRITIS-Betreiber, bei denen Netzausfall ein realistisches Angriffsszenario ist, ist das ein struktureller Vorteil gegenüber Cloud-only-Strategien.
7. Sektorspezifische Anforderungen: Energie, Gesundheit, Wasser im Vergleich #
Energie
- Primäre Regulierung: KRITIS-DachG, NIS2UmsuCG/BSIG, EnWG
- Besondere Datenkategorien: SCADA-Daten, Netztopologie
- -Relevanz: Protokollsicherung, Audit-Logs
- Air-Gap-Anforderung: hoch (kritische Infrastruktur)
- Datenspeicherort: Deutschland empfohlen
Gesundheit
- Primäre Regulierung: KRITIS-DachG, NIS2UmsuCG/BSIG, §630f BGB, §203 StGB, Art. 9
- Besondere Datenkategorien: Patientendaten (besonders geschützt)
- -Relevanz: Patientenakten, Röntgenbilder, OP-Berichte
- Air-Gap-Anforderung: hoch (Ransomware-Risiko im Gesundheitssektor)
- Datenspeicherort: Deutschland aus §203-StGB-Gründen geboten
Wasser
- Primäre Regulierung: KRITIS-DachG, NIS2UmsuCG/BSIG, DVGW-Regelwerk
- Besondere Datenkategorien: Verfahrensdaten, Netzpläne
- -Relevanz: Messdaten, Betriebsprotokolle
- Air-Gap-Anforderung: hoch (Versorgungssicherheit)
- Datenspeicherort: Deutschland empfohlen
Besonderheit Gesundheitssektor #
Für Krankenhäuser und Kliniken kommt zu den KRITIS-Anforderungen der besondere Schutz von Patientendaten nach Art. 9 hinzu. §203 StGB verbietet die unbefugte Weitergabe von Patientendaten, auch an Cloud-Anbieter, deren Mitarbeiter Zugriff haben. Die Kombination aus KRITIS-Pflichten und §203 StGB macht On-Premises-Speicherung für Kliniken in vielen Fällen zur rechtssichersten Lösung.
8. Zeitplan: Was bis wann umgesetzt sein muss #
- KRITIS-Dachgesetz, Grundpflichten: in Kraft seit 17. März 2026
- NIS2UmsuCG, Registrierungspflicht beim BSI: in Kraft seit 6. Dezember 2025; BSI-Portal seit 6. Januar 2026; Registrierungsfrist war der 6. März 2026
- NIS2UmsuCG, technische Sicherheitsmaßnahmen: gelten seit 6. Dezember 2025 ohne allgemeine Übergangsfrist; BSI-Prüfungen laufen
- Umsetzungsnachweis besonders wichtiger Einrichtungen: bis Dezember 2028 gegenüber dem BSI
- Lieferkettensicherheit (Bewertung): laufende Pflicht seit Inkrafttreten
- Notfallmanagement-Nachweise: laufende Pflicht, in Prüfungen nachzuweisen
Hinweis: KRITIS-Betreiber, die noch nicht vollständig konform sind, sollten die Bestandsaufnahme ihrer Speicherinfrastruktur priorisieren. BSI-Prüfungen finden statt.
Weiterführende Ressourcen #
→ KRITIS-Dachgesetz: Was sich für Betreiber kritischer Infrastruktur ändert (/de/blog/kritis-dachgesetz/) → Was ist Datensouveränität? (/de/blog/was-ist-datensouveraenitaet/) → Logischer vs. physischer : Technischer Vergleich (/de/blog/logischer-vs-physischer-air-gap/) → Made in Germany: Sichere IT-Infrastruktur aus Deutschland (/de/blog/made-in-germany-it-infrastruktur/) → US CLOUD Act: Was IT-Entscheider wissen müssen (/de/blog/us-cloud-act-erklaert/)
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.