Bodensegment-Sicherheit: Was ein Satellitenbetreiber prüft, bevor ein Zulieferer Zugang erhält

Bevor ein Zulieferer in ein Bodensegment gelangt, prüft ein Satellitenbetreiber, wer Zugang haben wird, wie die Verbindung zustande kommt und was dieser Zugang erreicht: benannte Nutzer, Multi-Faktor-Authentifizierung (MFA) auf jedem Zugangsweg, ein Jump-Host mit Sitzungsprotokollierung, Trennung auf Seiten des Zulieferers, das Patchen der gelieferten Software und Unterauftragnehmer. In der EU verpflichtet NIS2 Bodensegmentbetreiber im Anwendungsbereich, dieses Lieferantenrisiko zu steuern.

Dieser Leitfaden behandelt, warum das Bodensegment das Ziel ist, die sechs Bereiche, die Betreiber prüfen, woher die Anforderungen kommen, ob die Größe des Betreibers eine Rolle spielt, das EU-Weltraumgesetz, was auf den Fragebogen folgt und was zuerst aufzubauen ist. Am Ende steht eine Checkliste.

Bereich	Was der Betreiber prüft	Nachweis, der die Frage beantwortet
Identität und Zugang	Benannte Nutzer, MFA auf jedem Weg, keine geteilten Konten	Mit HR abgeglichene Zugangsliste, MFA-Abdeckung
Verbindungsweg	Jump-Host, Sitzungsprotokollierung, zeitlich begrenzter Zugang, verwaltete Geräte	Zugangskonzept, Stichprobe von Sitzungsprotokollen
Trennung auf Ihrer Seite	Was der Arbeitsplatz des Technikers sonst noch erreicht	Netzwerkplan, Nachweise der Geräteverwaltung
Von Ihnen gelieferte Software	Sichere Entwicklung, SBOM, Patch- und Meldefrist	SBOM, Patch-Nachweise, Meldebedingungen
Ihre Unterauftragnehmer	Wer Ihren Zugang erbt und ob der Betreiber davon weiß	Register der Unterauftragnehmer, offengelegt
Personal und Rechtsraum	Überprüfung von Mitarbeitenden mit privilegiertem Zugang, Standort der Mitarbeitenden	Überprüfungsnachweise, Standortliste der Mitarbeitenden

Warum ist das Bodensegment das Ziel von Angriffen?

Einen Satelliten im Orbit anzugreifen ist schwierig. Das Netzwerk anzugreifen, das ihn steuert, ist ein gewöhnliches Eindringen in eine gewöhnliche Infrastruktur, und der kürzeste Weg hinein führt oft über einen Zulieferer mit Fernzugriff und schwächeren Kontrollen als beim Betreiber.

Die ENISA Space Threat Landscape (März 2025) zählt Kontrollzentren und Bodenkontrollstationen zu den Assets des Bodensegments. Eines ihrer Szenarien beginnt mit Social Engineering und erreicht einen Satelliten über die Missionskontrollsoftware, die mit der Bodenstation für Telemetrie, Bahnverfolgung und Kommandierung verbunden ist, begünstigt durch schwache Netzwerksegmentierung und ein verwundbares Sicherheitsprotokoll für die Verbindung. Der CCSDS-Bericht über Bedrohungen für Weltraummissionen nennt vertrauenswürdige Geschäftspartner sowie unredliches Wartungs- und Systempersonal unter den Quellen von Insider-Bedrohungen. Ein Zulieferer mit Fernzugriff ist beides.

Was prüft ein Satellitenbetreiber, bevor ein Zulieferer Zugang erhält?

Der Fragebogen variiert. Die zugrunde liegenden Anliegen nicht. In den Prüfungen, die wir sehen, fallen sie in sechs Bereiche: Das ist Praxis, keine rechtliche Liste.

Identität und Zugang

Wer Zugang hat, namentlich und nicht als Team. MFA auf jedem Zugangsweg, auch auf dem, den Ihre Techniker um zwei Uhr morgens nutzen. Keine geteilten Konten und keine geteilten Zugangsdaten in einem Passwortmanager-Ordner mit der Aufschrift „ops“. Privilegierter Zugang getrennt vom alltäglichen Zugang. Nachweise über Ein- und Austritte mit Datum, denn die Frage hinter der Frage lautet, ob jemand, der im letzten Quartal gegangen ist, ihre Systeme noch erreichen kann.

Wie die Verbindung hergestellt wird

Ein Jump-Host oder Bastion-Host statt direktem Zugang. Sitzungsprotokollierung und bei privilegierten Arbeiten manchmal Sitzungsaufzeichnung. Zugang, der beantragt und zeitlich begrenzt wird, statt dauerhaft offen zu stehen. Techniker, die sich von verwalteten Geräten aus verbinden, nicht vom nächstbesten Laptop.

Trennung auf Ihrer Seite

Ob die Umgebung, über die Sie ihre Systeme erreichen, von Ihrem Unternehmensnetz, Ihrer Entwicklungsumgebung und dem Surfen im Web getrennt ist. Ein Betreiber, der Ihrem Arbeitsplatzrechner Zugang gewährt, hat faktisch allem Zugang gewährt, was dieser Rechner erreichen kann.

Die Software, die Sie liefern

Sichere Entwicklungspraxis, Management von Abhängigkeiten, eine Software-Stückliste (SBOM), wie schnell Sie patchen und wie Sie den Betreiber über eine Schwachstelle in etwas informieren, das er bereits einsetzt. Die ENISA nennt regelmäßiges Patchen und Härten von Weltraumsystemen unter ihren Empfehlungen, rechnen Sie also mit Fragen zu Ihrer Patch-Frist. Dieser Abschnitt ist zunehmend der längste.

Ihre eigenen Unterauftragnehmer

Welche Unterauftragnehmer an der Arbeit beteiligt sind, ob sie Ihren Zugang erben und ob der Betreiber davon erfährt. Nicht offengelegte Unterauftragnehmer mit geerbtem Zugang sind ein wiederkehrender Befund und ein schneller Weg, einen Auftrag zu verlieren.

Personal und Rechtsraum

Überprüfung der Mitarbeitenden mit privilegiertem Zugang und wo sich diese Mitarbeitenden befinden. Bei Weltraumaufträgen wirft das zudem Fragen der Exportkontrolle und des Dual-Use auf, die nichts mit Cybersicherheit zu tun haben, aber im selben Dokument ankommen.

Wenn Sie einen solchen Fragebogen erhalten haben und die Hälfte nicht beantworten konnten, finden Sie die Methode in Wie Sie einen Sicherheitsfragebogen beantworten.

Woher kommen die Sicherheitsanforderungen an das Bodensegment?

Aus NIS2 und aus den Verträgen, die über dem Betreiber stehen.

NIS2 Anhang I: Weltraum

Anhang I führt den Weltraum als Sektor mit hoher Kritikalität und erfasst Betreiber von Bodeninfrastruktur, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befindet und von diesen verwaltet und betrieben wird und die Erbringung weltraumgestützter Dienste unterstützt, ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze. Erwägungsgrund 37 stellt klar, dass Infrastruktur, die im Eigentum der Union steht oder von ihr oder in ihrem Auftrag im Rahmen ihres Weltraumprogramms verwaltet oder betrieben wird, nicht erfasst ist.

Bodensegment, nicht Orbit: Ein Betreiber eines Teleports, eines Bodenstationsnetzes oder einer Missionskontrolle fällt darunter. Ein Unternehmen, das Reaktionsräder baut, nicht, zumindest nicht über diesen Eintrag.

Artikel 21: Wie die Pflicht des Betreibers zu Ihrer Vertragsklausel wird

Vier Punkte des Artikels 21 machen aus der Pflicht des Betreibers Ihre Vertragsbedingungen:

• Artikel 21 Absatz 2 Buchstabe d: Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern.
• Artikel 21 Absatz 3: Der Betreiber muss die spezifischen Schwachstellen jedes unmittelbaren Anbieters sowie die Gesamtqualität seiner Produkte und seiner Cybersicherheitspraxis berücksichtigen, einschließlich seiner Verfahren für die sichere Entwicklung.
• Artikel 21 Absatz 2 Buchstabe i: Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen.
• Artikel 21 Absatz 2 Buchstabe j: gegebenenfalls Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung und gesicherte Kommunikation.

Erwägungsgrund 89 nennt Netzwerksegmentierung sowie Identitäts- und Zugriffsmanagement unter den grundlegenden Verfahren der Cyberhygiene, und Erwägungsgrund 85 ermutigt Einrichtungen, Sicherheitsmaßnahmen in die Verträge mit ihren Zulieferern aufzunehmen. NIS2 spricht nirgends von einem „Jump-Host“. In der Praxis erfüllen Betreiber die Anforderung für den Fernzugriff von Zulieferern mit einem Jump-Host mit MFA und Protokollierung. Die zehn Maßnahmen finden Sie in NIS2 Artikel 21: die 10 Maßnahmen, die Sicht des Betreibers in NIS2-Risikobewertung der Lieferkette.

Keine detaillierten Durchführungsvorschriften für den Weltraumsektor

Die Durchführungsverordnung (EU) 2024/2690 legt detaillierte Anforderungen nach Artikel 21 nur für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Content-Delivery-Netzwerken (CDN), Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter fest. Bodensegmentbetreiber stehen nicht auf der Liste. Ihre Detailanforderungen ergeben sich daher aus nationalem Recht, aus ihrer Risikobewertung und aus ihren Verträgen. Der Anhang der Verordnung mit seinen Abschnitten zur Sicherheit der Lieferkette und zur Zugriffskontrolle bleibt trotzdem ein nützlicher Maßstab.

Eine Ausnahme kann Sie treffen. Wenn Sie Systeme eines Betreibers installieren, verwalten, betreiben oder warten, vor Ort oder aus der Ferne, können Sie ein Anbieter verwalteter Dienste sein (Artikel 6 Nummer 39). Ein MSP, der ein mittleres oder größeres Unternehmen ist, fällt selbst in den Anwendungsbereich, und die Verordnung 2024/2690 gilt unmittelbar für ihn.

Verträge weiter oben in der Kette

Anforderungen von Agenturen und Hauptauftragnehmern kommen als Vertragsbedingungen an, nicht als Gesetz. Es gibt keine Umsetzungsfrist abzuwarten und keine Verhältnismäßigkeitsprüfung, auf die Sie sich berufen könnten. Die Klauseln, die Ihnen wahrscheinlich begegnen, werden in Die Sicherheitsanlage, Klausel für Klausel zerlegt.

Ändert die Größe des Betreibers, was von einem Zulieferer verlangt wird?

Weniger, als man erwarten würde. Nach NIS2 ist ein Bodensegmentbetreiber, der größer als ein mittleres Unternehmen ist, eine wesentliche Einrichtung, ein mittlerer Betreiber eine wichtige Einrichtung, und beide treffen dieselben Maßnahmen nach Artikel 21. Die Aufsicht unterscheidet sich: Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht einschließlich regelmäßiger Audits, wichtige Einrichtungen einer nachträglichen Aufsicht. Kleine Betreiber und Kleinstbetreiber fallen grundsätzlich nicht unter NIS2, es sei denn, einer der größenunabhängigen Fälle des Artikels 2 greift.

In der Praxis bestimmt der Zugang, den Sie erhalten würden, die Prüfung stärker als die Größe des Betreibers. Ein kleiner Betreiber, der für eine Agentur arbeitet, gibt deren Anforderungen ohnehin weiter. Die Größe zeigt sich in der Nachverfolgung: Nach unserer Erfahrung verlangen größere Betreiber früher Nachweise und schreiben Auditrechte in den Vertrag. Wie die Regelwerke zusammenwirken, lesen Sie in Weltraum-Zulieferer: die vier Regelwerke.

Was ist mit dem EU-Weltraumgesetz?

Die Kommission hat das EU-Weltraumgesetz (EU Space Act), eine Verordnung, am 25. Juni 2025 als COM(2025) 335 vorgeschlagen. Es enthält Cybersicherheitsanforderungen für Weltraumbetreiber, darunter ein Risikomanagement der Lieferkette mit Sicherheitsbedingungen in den Verträgen mit Zulieferern (Artikel 92). Nach Artikel 75 Absatz 1 wäre es für Weltraumbetreiber, die nach NIS2 wesentliche oder wichtige Einrichtungen sind, ein sektorspezifischer Rechtsakt, und zwar nur in Bezug auf die Risikomanagementmaßnahmen nach Artikel 21. Die Meldung von Sicherheitsvorfällen nach NIS2 würde weiter gelten (Artikel 93 Absatz 4). In der vorgeschlagenen Fassung würde es ab dem 1. Januar 2030 gelten.

Es ist noch ein Vorschlag. Stand September 2026 hat der federführende Ausschuss des Europäischen Parlaments einen Berichtsentwurf vom 3. März 2026, aber noch nicht abgestimmt, und laut dem Sachstandsbericht des Rates vom 8. Mai 2026 sind mehrere Fragen offen, darunter Anwendungsbereich und Governance. Die Trilogverhandlungen haben nicht begonnen.

Für einen Zulieferer wird nicht das Weltraumgesetz die erste Verpflichtung schaffen. Das tut der Kundenvertrag, und zwar schon heute. Bauen Sie für den Vertrag, dann kommt die Verordnung als Formalität statt als Projekt.

Was passiert nach dem Sicherheitsfragebogen?

Bei dauerhaftem Zugang zu operativen Systemen ist der Fragebogen der Filter, nicht das Ende. Betreiber folgen mit Nachweisanforderungen, einem technischen Prüfgespräch, manchmal einem Besuch vor Ort und einem Auditrecht. Dort treffen Selbstauskünfte auf die Wirklichkeit. Die häufigen Mängel sind nicht exotisch:

• eine Zugangsliste, die nicht zu den Personen passt, die tatsächlich Konten besitzen;
• MFA beim Identitätsanbieter des Unternehmens, die auf einem alten Jump-Host aber umgangen wird;
• ein Austrittsprozess, der das E-Mail-Konto sperrt, aber nicht das VPN-Zertifikat;
• ein Unterauftragnehmer, den niemand erwähnt hat.

Das sind Mängel beim Abgleich, nicht bei den Fähigkeiten, und einen Abgleich bringt man in wenigen Wochen in Ordnung.

Was sollte ein Zulieferer zuerst aufbauen?

Für einen Zulieferer mit dreißig bis hundert Mitarbeitenden besteht diese Reihenfolge die meisten Prüfungen:

1. Eine korrekte Liste, wer worauf Zugang hat, abgeglichen mit Lohnabrechnung und Verträgen.
2. MFA auf jedem Weg in Kundenumgebungen, ohne Umgehung über Altsysteme.
3. Eine getrennte Umgebung für Kundenarbeit, auch wenn sie nur aus einigen verwalteten Geräten und einem Jump-Host besteht.
4. Ein- und Austritte mit Datum und Nachweis, die Kontrolle, die am häufigsten geprüft wird und am häufigsten durchfällt.
5. Protokollierung privilegierter Sitzungen, lange genug aufbewahrt, um eine Frage zum letzten Quartal zu beantworten.
6. Eine Meldezusage, die Sie einhalten können, mit benanntem Kontakt und festgelegter Frist. Ein Betreiber im Anwendungsbereich muss seinem CSIRT oder seiner Behörde innerhalb von 24 Stunden, nachdem er Kenntnis von einem erheblichen Sicherheitsvorfall erlangt hat, eine Frühwarnung übermitteln (Artikel 23), und oft erfährt er davon durch Sie.
7. Eine schriftliche Liste der Unterauftragnehmer mit Zugang, offengelegt statt entdeckt.

Nichts davon braucht ein Sicherheitsteam. Alles davon braucht einen Verantwortlichen. Ein Datensatz pro Kundenumgebung sorgt dafür, dass Sie jederzeit antworten können:

ZUGANGSDATENSATZ BODENSEGMENT (einer pro Kundenumgebung)
Kunde / Umgebung:               ...
Benannte Nutzer:                Name, Rolle, Arbeitgeber, Überprüfungsdatum
Zugangsweg:                     Jump-Host / VPN / Anbieterportal, von wo
Authentifizierung:              MFA-Methode je Weg; geteilte Konten: keine
Privilegierte Konten:           welche, genehmigt von, letzte Überprüfung
Sitzungsprotokollierung:        Speicherort, Aufbewahrung, wer prüft
Trennung auf unserer Seite:     verwaltete Geräte, Admin-Netz, kein Surfen
Gelieferte Software:            eingesetzte Versionen, SBOM, Patch-Frist
Meldebedingungen:               Kontakt, Kanal, Frist laut Vertrag
Unterauftragnehmer mit Zugang:  Name, Umfang, Datum der Offenlegung beim Kunden
Auslöser für Entzug:            Austritt oder Vertragsende, entzogen in ...
Letzter Abgleich:               Datum, gefundene Konten, entfernte Konten

Was lassen die Regeln offen?

Zugang wird einer Identität gewährt und in einer Tabelle entzogen. Die Vergabe ist präzise: Eine Person wird benannt, ein Konto angelegt, ein Zertifikat ausgestellt. Der Entzug beruht auf Gedächtnis und gutem Willen. Jemand geht, ein Projekt endet, ein Unterauftragnehmer wird abgezogen, und das Konto bleibt bestehen, weil kein Prozess das geschäftliche Ereignis mit dem technischen verbindet.

NIS2 verlangt vom Betreiber, das Lieferantenrisiko zu steuern und gegebenenfalls MFA einzusetzen. Sie sagt nichts darüber, woher der Zulieferer an einem bestimmten Tag weiß, wer noch Zugang hat. Die Kontrollen des Betreibers sind meist solide; die Zugangsliste des Zulieferers ist meist falsch, und niemand bemerkt es vor einem Audit oder einem Angriff. Ein Fragebogen kann das nicht aufdecken: Er fragt, ob Sie einen Austrittsprozess haben, und Sie antworten wahrheitsgemäß mit Ja.

Um die Lücke zu schließen, wird die Zugangsliste aus den Systemen erzeugt, die Zugang gewähren (Identitätsanbieter, VPN, Jump-Host, Zertifizierungsinstanz), laufend mit HR-Daten und Vertragsenddaten abgeglichen, und verwaiste Konten werden als Befunde mit einem Verantwortlichen erfasst, statt einmal im Jahr gefunden zu werden. So arbeitet die CloudSoul-Plattform: automatisierte Nachweiserhebung, mit menschlicher Expertise im Prozess für die Ausnahmen. Ein Sicherheitsaudit misst diesen Abgleich, bevor ein Betreiber es tut. Die Sicht auf den Sektor finden Sie auf der Seite zum Weltraumsektor.

Checkliste: Zugang von Zulieferern zum Bodensegment

• Benennen Sie jede Person mit Zugang zu jeder Kundenumgebung, abgeglichen mit HR.
• Erzwingen Sie MFA auf jedem Zugangsweg, auch auf Jump-Hosts und Anbieterportalen.
• Leiten Sie den Zugang über einen Jump-Host von getrennten, verwalteten Geräten, mit protokollierten privilegierten Sitzungen.
• Koppeln Sie Austritte und Vertragsenden an den Entzug der Zugänge, mit dokumentiertem Datum.
• Führen Sie eine SBOM und eine Patch-Frist für die Software, die Sie liefern, und vereinbaren Sie mit jedem Betreiber Meldebedingungen.
• Legen Sie jeden Unterauftragnehmer offen, der Zugang hat oder erbt.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 6, 21 und 23, Anhang I und Erwägungsgründe 37, 85 und 89, EUR-Lex.
• Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 1 und Anhang, EUR-Lex.
• Europäische Kommission, Vorschlag für eine Verordnung über die Sicherheit, Resilienz und Nachhaltigkeit von Weltraumtätigkeiten in der Union (EU Space Act), COM(2025) 335, Artikel 75, 92, 93 und 119, EUR-Lex; Wissenschaftlicher Dienst des Europäischen Parlaments, Briefing zum EU Space Act.
• Europäisches Parlament, Legislative Beobachtungsstelle, Verfahren 2025/0335(COD); Rat der EU, Sachstandsbericht 8861/26 vom 8. Mai 2026, Register des Rates.
• ENISA, Space Threat Landscape 2025, 26. März 2025, ENISA.
• CCSDS 350.1-G-3, Security Threats Against Space Missions, Informational Report, Februar 2022, CCSDS.

Häufige Fragen