Was das Verteidigungsministerium entdeckte

Der Verteidigungskorrespondent des Telegraph, Richard Holmes, berichtete am 9. August 2026, dass Überwachungskameras an Drohnenbooten der Royal Navy vom Typ K3 Scout, die von den Royal Marines genutzt werden und eng mit Einsätzen des Special Boat Service aus Poole verbunden sind, chinesische Bauteile enthielten, die "Heartbeat-Signale" an ein Gerät in China sendeten. Ein Sprecher des Verteidigungsministeriums bestätigte den Kern der Geschichte: Die Übertragungen seien bei einer "routinemäßigen Cyber-Sicherheitsprüfung" der K3-Flotte entdeckt worden, und die ausgetauschten Informationen hätten lediglich bestätigt, dass die Kamera online und funktionsfähig war - keine operativen Daten. Nach der Entdeckung kappte das MoD die gesamte Internetverbindung der betroffenen Kameras.

Die offizielle Haltung des MoD, gegenüber mehreren Medien wiederholt, lautet, eine anschließende Untersuchung habe keine Hinweise gefunden, dass MoD-Daten oder -Systeme zugegriffen, kompromittiert oder nach außen übertragen wurden. Das ist eine engere Aussage, als die Bauteile für sicher zu erklären: Sie bestätigt keine bekannte Abschöpfung von Daten - nicht, dass das Nachhause-Telefonieren beabsichtigt, offengelegt oder je vorgesehen war.

Die 12-Millionen-Pfund-Flotte hinter Project Beehive

Die K3 Scout ist ein 8,4 Meter langes unbemanntes Überwasserfahrzeug des britischen Rüstungsherstellers Kraken Technology Group mit Sitz in Fareham, Hampshire. Die Royal Navy beauftragte Kraken im Rahmen von Project Beehive mit der Lieferung von 20 K3-Scout-Booten samt Bodenkontrollsystemen, einem Programm zur Integration schneller unbemannter Boote in die Flottenoperationen; die Boote können Sensor-, Fracht- oder Waffenlasten tragen und wurden unter anderem bei einem Abwurftest aus einem A400M der Royal Air Force erprobt. Die 12 Millionen Pfund teure Flotte ist seit März 2026 bei den Royal Marines im Einsatz, wobei einige Boote Berichten zufolge für einen Golf-Einsatz zum Schutz der Schifffahrt in der Straße von Hormus vorgesehen sind.

Kraken Technology Group erklärte gegenüber Journalisten, die Kameras seien NDAA-konform - erfüllten also den US-Beschaffungsstandard, der bestimmte chinesische Zulieferer ausschließt -, räumte aber ein, die Geräte enthielten "eine kleine Zahl von Bauteilen außerhalb des Vereinigten Königreichs", die man von einem Drittanbieter mit Sicherheitszusicherungen bezogen habe. Kraken betonte, es seien keine sensiblen Informationen weitergegeben worden.

Wo die Zusicherungskette tatsächlich brach

Die Kette hat hier drei Glieder: Kraken baute und verkaufte die K3 Scout an die Royal Navy; Kraken kaufte das Kameramodul von einem Drittanbieter; dieser Anbieter gab Kraken Sicherheitszusicherungen zu dem Bauteil. Keine dieser Zusicherungen erfasste den Heartbeat-Datenverkehr, bevor die Boote im Einsatz waren. Er kam erst rund fünf Monate nach Einsatzbeginn ans Licht, als das MoD eine routinemäßige Cyber-Sicherheitsprüfung durchführte - eine Prüfung, die periodisch stattfindet, nicht eine, die fest in die Aufnahme des Bauteils eines neuen Zulieferers eingebaut ist.

Die Schatten-Sicherheitsministerin Alicia Kearns erklärte, der Vorfall zeige, wie Schwachstellen in der Lieferkette souveräne Verteidigungsfähigkeiten untergraben können, selbst wenn der Hauptauftragnehmer britisch ist und ein Compliance-Standard (NDAA) formal erfüllt wurde. Genau das erfasst Compliance-Papierkram nicht: Ein Bauteil kann einen benannten Standard und eine schriftliche Zusicherung eines Zulieferers bestehen und sich im Betrieb dennoch so verhalten, wie es niemand vorgelagert getestet oder offengelegt hat.

Was das für EU- und UK-Unternehmen jenseits der Verteidigung bedeutet

Das ist nicht nur ein Problem des Verteidigungsministeriums. Chinesische Kamera- und Sensormodule stecken in einer riesigen Bandbreite kommerzieller Hardware, die gewöhnliche EU- und UK-Unternehmen kaufen: Sicherheitskameras, Zutrittskontrollsysteme, Gebäudesensorik, industrielle Überwachungstechnik, sogar Kundenterminals. Der K3-Scout-Fall zeigt, dass eine schriftliche Zusicherung eines Zulieferers - "NDAA-konform", "keine sensiblen Daten geteilt", ein unterschriebener Sicherheitsfragebogen - nicht dasselbe ist wie die Aussage "wir haben getestet, was dieses Gerät tatsächlich im Netzwerk tut", und beides kann auseinanderfallen, ohne dass es jemand in der Kette bemerkt, bis eine unabhängige Prüfung es zufällig aufdeckt.

Nach NIS2 tragen wesentliche und wichtige Einrichtungen in der gesamten EU (Energieversorger, Gesundheitswesen, digitale Infrastruktur, Hersteller kritischer Produkte und mehr) eine ausdrückliche Pflicht zum Management von Lieferkettenrisiken: Artikel 21(2)(d) verlangt die Bewertung der Sicherheitspraktiken direkter Zulieferer und Dienstleister - nicht nur deren Papierkram. In Deutschland setzt das NIS2-Umsetzungsgesetz diese Pflicht für KRITIS-Betreiber und weitere betroffene Unternehmen um, mit dem BSI als zuständiger Aufsichtsbehörde. Der Vorfall bei der Royal Navy ist eine konkrete Illustration dafür, warum diese Pflicht sich in einen technischen Schritt übersetzen sollte, nicht nur in einen vertraglichen. Ein Einkaufsteam, das vermeiden will, sein eigenes "Heartbeat"-Problem erst fünf Monate nach Inbetriebnahme zu entdecken, sollte vor dem Einsatz eine unabhängige Netzwerkverkehrsanalyse jedes Kamera-, Sensor- oder IoT-Moduls eines Drittanbieters verlangen - und prüfen, wohin es tatsächlich Verbindung aufnimmt, nicht nur, was der Zulieferer behauptet, dass es nicht tut. Das Vereinigte Königreich fällt nicht unter die NIS2-Zuständigkeit, ist aber demselben praktischen Risiko ausgesetzt, weshalb das dortige NCSC aus genau diesem Grund ähnliche Leitlinien zur Absicherung der Lieferkette veröffentlicht hat.

Weiterlesen: Wechseln Sie jeden CI-Schlüssel vom 4. August  |  Die Korrektur signiert neue Dateien, nicht Ihr Archiv