Offline-First-Sicherheitsdrohnen: Warum lokale Steuerung zählt

Eine Sicherheitsdrohne, die von der Cloud abhängt, ist kein Sicherheitssystem mehr, sobald die Verbindung abbricht. Local-First (oder Offline-First) bedeutet, dass der Standort alles, was er zum Fliegen, Sehen, Erkennen und Aufzeichnen braucht, auf eigener Edge-Hardware hat. Die Cloud ergänzt – falls überhaupt genutzt – Fernansicht, Speicher oder Flottenmanagement, und wer sie abschaltet, schaltet nicht die Sicherheit ab.

• Ausfallsicherheit: Patrouillen, Alarmreaktion und Aufzeichnung laufen bei Internetausfällen und Störungen beim Hersteller weiter.
• Datenkontrolle: Video und Erkennungen bleiben standardmäßig vor Ort – das unterstützt Datenminimierung und Speicherbegrenzung nach DSGVO.
• Governance: Fernzugriff wird zu einer ausdrücklichen, protokollierten Entscheidung statt zu einer ständig offenen Tür.
• Regulierte Standorte: NIS2 und die CER-Richtlinie verlangen von wesentlichen und kritischen Einrichtungen, Lieferkettenrisiken, Sicherheitsvorfälle und Betriebskontinuität zu managen; eine Local-First-Architektur kann diese Arbeit unterstützen.
• Keine Architektur macht einen Betreiber allein compliant. Sie verändert, wie viel Risiko der Betreiber managen muss.

Was bedeutet Cloud-abhängige Drohnensicherheit in der Praxis?

Viele Drohnen- und Videosicherheitsprodukte leiten Missionssteuerung, Benutzeranmeldung, Video oder Analysen über die Server des Herstellers. Daraus entstehen Abhängigkeiten, die ein Käufer klar sehen sollte:

• Verbindungsverlust. Fällt die Internetverbindung des Standorts aus oder wird sie absichtlich gekappt, kann eine Cloud-gesteuerte Drohne möglicherweise nicht starten, ihren Videopfad oder ihre Bediener verlieren – genau dann, wenn ein Eindringling vor Ort ist.
• Ausfall beim Hersteller. Eine Störung, ein abgelaufenes Zertifikat oder ein Wartungsfenster in der Cloud des Herstellers kann alle Kunden gleichzeitig treffen.
• Daten verlassen den Standort. Videoaufnahmen von Personen sind personenbezogene Daten. Jede an Dritte gesendete Kopie bedeutet einen weiteren Auftragsverarbeiter, eine weitere Aufbewahrungsrichtlinie und einen weiteren Ort, an dem Daten abfließen können.
• Lock-in. Liegen Aufnahmen, Protokolle und Konfiguration nur in der Plattform eines Herstellers, können ein Anbieterwechsel oder die Einhaltung einer Speicherfrist von dessen Exportfunktionen und Vertragsbedingungen abhängen.
• Ausländische Rechtsordnung. Werden Daten von einem Anbieter gespeichert oder verarbeitet, der dem Recht eines Nicht-EU-Landes unterliegt, können die dortigen Behörden möglicherweise Zugriff verlangen. Kapitel V der DSGVO legt Bedingungen für die Übermittlung personenbezogener Daten in Drittländer fest, die der Verantwortliche prüfen muss.

Was bedeutet Local-First architektonisch?

Bei einem Local-First-Design betreibt ein Edge-Knoten (ein am Standort installierter Rechner) die gesamte Plattform: Telemetrie- und Befehlsverarbeitung, Missionsplanung, Geofencing, Live-Video, KI-Erkennung, Aufzeichnung, Benutzerkonten und Audit-Protokoll. Bediener verbinden sich über das Standortnetzwerk per Browser. Drohne und Station kommunizieren mit dem Edge-Knoten, nicht mit dem Internet.

Die Cloud wird zu einer Erweiterung, die nur auf Wunsch aktiviert wird: Fernansicht für eine externe Leitstelle, Fernsteuerung unter strengen Richtlinien, Langzeitspeicherung von Video, Analysen oder die gemeinsame Verwaltung mehrerer Standorte. Bricht die Cloud-Verbindung ab, arbeitet der Standort weiter, und das lokale Protokoll läuft fort.

Cloud-First vs. Local-First: ein Vergleich

Cloud-First hat echte Vorteile bei Flottenmanagement und Updates; Local-First tauscht einen Teil davon gegen Autonomie an jedem Standort.

DSGVO und Drohnenüberwachung: wie Local-First hilft

Eine Sicherheitsdrohne, die Personen aufzeichnet, verarbeitet personenbezogene Daten, daher gilt die DSGVO (Verordnung (EU) 2016/679). Die Grundsätze, auf die die Architektur am stärksten wirkt:

• Datenminimierung (Art. 5 Abs. 1 lit. c) und Speicherbegrenzung (Art. 5 Abs. 1 lit. e). Die EDSA-Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte besagen, dass Aufnahmen in den meisten Fällen nach wenigen Tagen gelöscht werden sollten, idealerweise automatisch, und dass eine längere Speicherdauer (insbesondere über 72 Stunden) mehr Begründung erfordert. Ein lokaler Ringpuffer mit automatischem Überschreiben und standardmäßig deaktiviertem Upload nach extern machen die Umsetzung einfacher.
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25) verlangt geeignete technische und organisatorische Maßnahmen ab dem Zeitpunkt, an dem die Mittel der Verarbeitung festgelegt werden. Die EDSA-Leitlinien wenden dies auf die Planung von Videoüberwachung an.
• Eine Datenschutz-Folgenabschätzung (Art. 35) ist bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche erforderlich (Art. 35 Abs. 3 lit. c) und kann in anderen Fällen mit hohem Risiko nötig sein. Eine Drohne, die über den Zaun hinaus sehen kann, verdient eine sorgfältige DSFA. Geofences und geplante Routen helfen, die Erfassung zu begrenzen.
• Übermittlungen (Kapitel V). Bleiben Aufnahmen vor Ort in der EU, werden Drittlandübermittlungen standardmäßig vermieden.

NIS2 und CER: Resilienz für wesentliche und kritische Einrichtungen

Die NIS2-Richtlinie (EU) 2022/2555 (Umsetzungsfrist 17. Oktober 2024) verpflichtet wesentliche und wichtige Einrichtungen in Sektoren wie Energie, Verkehr und Wasser zu Risikomanagementmaßnahmen im Bereich der Cybersicherheit. Artikel 21 Abs. 2 nennt unter anderem die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs wie Backup-Management und Wiederherstellung nach einem Notfall sowie die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern. Artikel 23 legt Meldefristen für erhebliche Sicherheitsvorfälle fest, mit einer Frühwarnung innerhalb von 24 Stunden.

Die Richtlinie über die Resilienz kritischer Einrichtungen (CER) (EU) 2022/2557 betrifft die physische Resilienz. Artikel 13 verlangt von kritischen Einrichtungen einen angemessenen physischen Schutz ihrer Räumlichkeiten, wobei beispielsweise Zäune, Sperren, Instrumente und Verfahren für die Überwachung der Umgebung, Detektionsgeräte und Zugangskontrollen gebührend zu berücksichtigen sind. Die Mitgliedstaaten mussten kritische Einrichtungen bis zum 17. Juli 2026 ermitteln.

Für diese Organisationen ist eine Sicherheitsdrohne zugleich Schutzinstrument und vernetztes System in ihrer Lieferkette. Entscheidende Fragen: Bleibt sie in einem sicheren Zustand, wenn der Hersteller nicht erreichbar ist? Lässt sie sich prüfen? Wer kann sie aus der Ferne steuern? Woher stammen ihre Komponenten und ihre Software? Eine Local-First-Architektur mit protokolliertem, richtliniengesteuertem Fernzugriff kann diese Bewertungen unterstützen. Die nationale Umsetzung unterscheidet sich, prüfen Sie daher die Regeln in Ihrem Mitgliedstaat; in Tschechien ist NÚKIB die nationale Cybersicherheitsbehörde.

Standorte mit schlechter Konnektivität

Viele Standorte, die Perimeterschutz brauchen, haben das schwächste Internet: Solar- und Windparks, abgelegene Umspannwerke, Steinbrüche und Baustellen. Der Mobilfunkempfang ist lückenhaft, und kontinuierliches Drohnenvideo darüber in die Cloud zu streamen, ist unpraktikabel. Ein Local-First-System behält das Video in voller Qualität vor Ort und sendet nur, was der Bediener auswählt, etwa Alarme oder ausgewählte Clips, über eine schmale Verbindung.

Wie sollte der Fernzugriff geregelt werden?

Die Fernsteuerung eines Fluggeräts ist eine Fähigkeit mit großer Tragweite. Ein solides Design behandelt sie als Ausnahme:

• Fernzugriff standardmäßig deaktiviert, aktivierbar nur durch einen Administrator, der sich erneut authentifizieren muss.
• Richtlinienmodi: nur lokal, Fernansicht, Fernsteuerung.
• Weitere Einschränkungen: lokale Bestätigung von Fernbefehlen, Nur-Notfall-Modus, Zeitfenster, Ratenbegrenzung und Einschränkungen nach Drohnenstatus.
• Rollen (Administrator, Operator, Betrachter) mit minimalen Rechten.
• Audit jeder Aktivierung, jedes Befehls und jeder Konfigurationsänderung, exportierbar zur Prüfung.

Verschlüsselte Funkverbindung mit gegenseitiger Kopplung

Die Funkverbindung zwischen Drohne und Bodenstation überträgt Video, Telemetrie und Befehle. Ist sie unverschlüsselt oder nur lose gekoppelt, könnte jemand in der Nähe das Bild mitsehen oder in die Steuerung eingreifen. Fragen Sie, ob jedes Paket verschlüsselt und authentifiziert ist und ob die Drohne nur mit ihrer eigenen gekoppelten Bodenstation kommuniziert.

KI-Erkennung ohne biometrische Identifizierung

Zu erkennen, dass eine Person oder ein Fahrzeug anwesend ist, ist etwas anderes, als zu erkennen, wer jemand ist. Die KI-Verordnung der EU (Verordnung (EU) 2024/1689) definiert biometrische Identifizierung als automatisierte Erkennung menschlicher Merkmale zur Feststellung der Identität einer Person. Sie verbietet seit Februar 2025 bestimmte biometrische Praktiken, etwa biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (mit engen Ausnahmen), und führt biometrische Fernidentifizierung unter den Hochrisiko-Anwendungen; laut Kommission gelten die Regeln für diese Bereiche nach Anhang III ab dem 2. Dezember 2027. Eine Erkennung auf Klassenebene, die keine Einzelpersonen identifiziert, fällt in der Regel nicht unter diese biometrischen Kategorien, doch die Einstufung eines KI-Systems hängt immer von seiner Verwendung ab. Lassen Sie Ihren Fall rechtlich prüfen.

Fragen an jeden Anbieter von Sicherheitsdrohnen

1. Kann die Drohne bei getrennter Internetverbindung noch starten, patrouillieren, auf Alarme reagieren, Video übertragen und jede Aktion protokollieren? Zeigen Sie es mir.
2. Wo werden Video, Erkennungen und Protokolle standardmäßig gespeichert, und wer in Ihrem Unternehmen hat Zugriff darauf?
3. Ist das Hochladen von Aufnahmen nach extern standardmäßig an oder aus? Lässt sich die Speicherdauer auf wenige Tage mit automatischer Löschung einstellen?
4. Ist die Fernsteuerung standardmäßig deaktiviert? Welche erneute Authentifizierung, Richtlinien und Protokolle greifen, wenn sie aktiv ist?
5. Kann ich den vollständigen Audit-Trail in einem offenen Format exportieren?
6. Ist die Funkverbindung pro Paket verschlüsselt und authentifiziert, und wie erfolgt die Kopplung?
7. Identifiziert die KI Einzelpersonen oder erkennt sie nur Objektklassen? Wo läuft sie?
8. Wo werden die kritischen Komponenten und die Firmware hergestellt, und wie werden Updates signiert und ausgeliefert?
9. Was passiert mit meinen Daten und meiner Betriebsfähigkeit, wenn Ihr Unternehmen oder Ihr Cloud-Dienst eingestellt wird?

Wie Nestua Local-First umsetzt

Nestua ist nach diesen Prinzipien aufgebaut. Status: Die Softwareplattform ist in Entwicklungsversionen funktionsfähig; Drohne und Basisstation befinden sich noch im Bau. Es gibt noch keine Installationen bei Kunden.

• Der Edge-Knoten betreibt alles. Ein Edge-Knoten steuert eine Drohne und betreibt Browser-Cockpit, Live-Karte, Missionseditor, Geofences, Video, KI und Audit – ohne Internet. Flotten bestehen aus mehreren Edge-Knoten, die über die optionale Cloud verbunden sind.
• Video bleibt lokal. WebRTC-Video mit geringer Latenz im Browser (alternativ HLS/LL-HLS), lokale Aufzeichnung in einen Ringpuffer mit Clip-Export, Upload von Aufnahmen nach extern standardmäßig deaktiviert. Die Aufbewahrungsdauer der Telemetriehistorie kann der Administrator konfigurieren.
• Edge-KI auf einer NPU. YOLO-Erkennung der Klassen Person und Fahrzeug auf der NPU eines NXP-i.MX-8M-Plus-Edge-Rechners. KI-Regeln können benachrichtigen, aufzeichnen, schweben oder zum Startpunkt zurückkehren – stets im Rahmen der Sicherheitsrichtlinien und Geofences, ratenbegrenzt und protokolliert. Keine Gesichtserkennung oder Identifizierung von Einzelpersonen.
• Sicherheitsrichtlinien-Engine. Lokale und Fernmodi, erneute Authentifizierung des Administrators, lokale Freigabe von Fernbefehlen, Nur-Notfall-Modus, Ratenbegrenzung, Zeitfenster und Einschränkungen nach Drohnenstatus. Befehle gelten erst nach der MAVLink-Bestätigung der Drohne als ausgeführt; kritische Befehle erfordern eine getippte Bestätigung.
• Eigene verschlüsselte Funkverbindung. Nestuas digitale Funkverbindung, geschrieben in Zig, nutzt AES-256-GCM- oder ChaCha20-Poly1305-Verschlüsselung pro Paket mit X25519-Schlüsselaustausch und strikter gegenseitiger Kopplung: Die Drohne sendet nichts im Klartext, bevor sie mit ihrer eigenen Bodenstation gekoppelt ist.
• Optionale Cloud, klar geregelt. Fernüberwachung und Befehlsübermittlung über einen WireGuard-Tunnel mit HMAC-signierten Befehlen pro Knoten, MFA und optionalem SSO für Cloud-Benutzer.
• Audit und Betrieb. Ereignisjournal, Befehlsprotokoll, Nachverfolgung von Konfigurationsänderungen, Protokolle der Geräteregistrierung, Wetterüberwachung, per Watchdog überwachte Dienste und eine Systemstatusseite.
• Lieferkette. Kritische Komponenten von europäischen und US-amerikanischen Herstellern; der Nestua H743 Flugcontroller wird in Europa entwickelt und gebaut.

Nestua ist darauf ausgelegt, Betreiber bei DSGVO, NIS2 und CER zu unterstützen; es ist keine Zertifizierung. Neu beim Thema? Beginnen Sie mit was eine Drone-in-a-Box ist, oder fordern Sie eine Demo an.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 5, 25, 35 und Kapitel V: eur-lex.europa.eu/eli/reg/2016/679/oj
• EDPB (EDSA), Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0: edpb.europa.eu
• Richtlinie (EU) 2022/2555 (NIS2), Art. 21 und 23: eur-lex.europa.eu/eli/dir/2022/2555/oj
• Europäische Kommission, Überblick NIS2-Richtlinie: digital-strategy.ec.europa.eu/en/policies/nis2-directive
• Richtlinie (EU) 2022/2557 (CER), Art. 6 und 13: eur-lex.europa.eu/eli/dir/2022/2557/oj
• Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 3 Nr. 35, Art. 5, Anhang III: eur-lex.europa.eu/eli/reg/2024/1689/oj
• Europäische Kommission, Rechtsrahmen und Zeitplan der KI-Verordnung: digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• NÚKIB, Nationale Behörde für Cyber- und Informationssicherheit (Tschechien): nukib.gov.cz