TETRA-Digitalfunk – aber sicher bitte

Digitale Kommunikation ist in der kritischen Infrastruktur an vielen Stellen Stand der Technik. Leider lassen auch digitale Standards Möglichkeiten für eine unverschlüsselte Kommunikation offen.

Ende 2025 wurde bekannt, dass etliche Einrichtungen kritischer Infrastruktur eigene TETRA-Digitalfunknetze betreiben, bei denen keinerlei Verschlüsselung zum Einsatz kommt.
Ein technischer Schutz gegen das Abhören durch Unbefugte wurde nie umgesetzt.
Betroffen sind unter anderem Justizvollzugsanstalten (JVA) und Flughäfen.

Was ist TETRA-Digitalfunk-Technik ?

Ab Mitte der 1990er Jahre entwickelte sich der Terrestrial Trunked Radio (TETRA) Standard zu einer modernen Alternative zu analogen Bündelfunk-Systemen mit Gruppenruf-Funktionalität, d.h. ein Teilnehmer spricht und viele andere hören zu. Firmen und Behörden können bei der Bundesnetzagentur (BNetzA) die Nutzung eines TETRA-Digitalfunknetzes beantragen. Die Liste der Zuteilungen wird von der Bundesnetzagentur öffentlich einsehbar gepflegt
Darin aufgeführt sind zahlreiche Infrastruktur-Betreiber, sowohl unter- als auch überhalb der KRITIS-Schwelle, sowie auch zahlreiche namhafte Firmen.
Die Antragsteller erhalten bei Zuteilung eine eigene Funknetz-Kennung und eine Frequenzbereichszuweisung.

Technisch besteht die Möglichkeit, die Luftschnittstelle (also die Verbindung zwischen Mobilgerät und Basisstation):

• gar nicht zu verschlüsseln („security class 1“)
• mit einem statischen Schlüssel zu verschlüsseln („security class 2“)
• mittels dynamischen Schlüssel zu verschlüsseln („security class 3“)

Eine obligatorische Verschlüsselung im TETRA-Digitalfunk-Standard gibt es somit nicht.

Unabhängig von der Verschlüsselung der Luftschnittstelle hat der Funknetz-Betreiber ferner die Möglichkeit, eine Ende-zu-Ende-Verschlüsselung zu verwenden. Diese ist technisch unabhängig vom TETRA-Standard, denn die so verschlüsselten Daten werden transparent durchgereicht. Die Ende-zu-Ende-Verschlüsselung ist vom Funknetz-Betreiber somit separat zu implementieren.

Im Netz des digitalen Behördenfunks („BOS-Digitalfunk“) kommen sowohl die dynamische Verschlüsselung der Luftschnittstelle, als auch die zusätzliche Ende-zu-Ende-Verschlüsselung zum Einsatz. Mit diesen Maßnahmen kann der digitale Behördenfunk als ausreichend abhörsicher eingeschätzt werden. Selbst wenn Angreifende direkt Zugriff auf die Basisstationen oder die Vernetzung der Basisstationen untereinander hätten, ist die Kommunikation immer noch gegen Mitlesen oder Mithören gesichert.

Rechtlicher Schutz statt technischer Schutz

Die Betreiber von Funknetzen für kritische Infrastruktur können sich – mangels gesetzlicher Verpflichtungen – gegen den Einsatz von Verschlüsselung entscheiden.
Denn gesetzlich sind sie nicht zu Verschlüsselung verpflichtet.
Errichter von Funknetzen berichten der AG KRITIS, dass sich die Betreiber aufgrund der Kosten – sowohl bei der Anschaffung als auch im laufenden Betrieb – gegen Verschlüsselung entscheiden.
Hier herrscht bei den Auftraggebern wohl die verbreitete Fehlannahme, „digital“ wäre gleichbedeutend mit „verschlüsselt“.

Der Gesetzgeber hat statt eines technisches Schutzes – also der Pflicht zur Verschlüsselung – bislang nur einen rechtlichen Schutz umgesetzt.

In § 5 des „Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten“ (TDDDG) ist das Abhörverbot geregelt.
So heißt es in Absatz 1:
„Mit einer Funkanlage […] dürfen nur solche Nachrichten abgehört oder in vergleichbarer Weise zur Kenntnis genommen werden, die für den Betreiber der Funkanlage, für Funkamateure […], für die Allgemeinheit oder für einen unbestimmten Personenkreis bestimmt sind.“
Gemäß § 27 TDDDG droht bei unbefugtem Abhören eine Freiheitsstrafe von bis zu 2 Jahren.

Sicherheit durch Unklarheit

Seit Ende 2025 wird augenscheinlich ein zusätzliches Schutzkonzept verstärkt angewendet:
Security by Obscurity (zu deutsch „Sicherheit durch Obskurität“, oder auch „Sicherheit durch Unklarheit“ oder „Sicherheit durch Dunkelheit“).

In der Auflistung der in Deutschland zugeteilten TETRA-Digitalfunknetze wurden seit Herbst 2025 neun Schwärzungen vorgenommen.
Die vormals in Klartext benannten Betreiber der Netze wurden nachträglich unkenntlich gemacht.
Bis September 2025 zeigte die Auflistung lediglich drei Schwärzungen.
In einer IFG-Anfrage an die Bundesnetzagentur aus 2019 heißt es dazu:
„[…] Es besteht eine Geheimhaltungspflicht bzw. ein besonderes Amtsgeheimnis.
Die Zuteilungsbescheide zu den Kennungen 264, 265 und 5235 sind als Verschlusssachen gekennzeichnet.
Eine Veröffentlichung der Zuteilungsnehmer kommt daher nicht in Betracht.[…]“

Der Blick in ältere Ausgaben der Aufstellung „Zuteilungen TETRA-Netzkennungen (ITSI-Blocks)“ der Bundesnetzagentur zeigt:

• Die Schwärzungen betreffen neun JVA eines einzelnen Bundeslands
• Das Schwärzen erfolgten nach dem Oktober 2025
• mehrere JVA des betreffenden Bundeslandes sind jedoch weiterhin nicht geschwärzt

Theoretische Betrachtung der Reichweite von Funknetzen

Ein Funknetz kann in einem bestimmten Umkreis um die Sendeanlage empfangen werden.
Je größer dieser Umkreis ist, desto unauffälliger kann ein unbefugter Empfänger betrieben werden.

Mit einem Browser-basierten, frei zugänglichen Werkzeug ist es möglich die Reichweite einer Funkaussendung anhand des Geländeprofils abzuschätzen.
Also jenes geographische Gebiet, in denen ein Funknetz seine Teilnehmer versorgt.
Dabei gehen die folgenden Parameter in die Abschätzung ein:

1. Höhen von Sende- und Empfangsantenne
2. die verwendete Frequenz
3. Sendeleistung
4. die für den verwendeten Funkstandard notwendige Empfängereingangsleistung

Die benötigen Parameter können weitgehend aus offen zugänglichen Quellen bestimmt werden:

1. Höhen der Sendeantenne: Diese können mittels Google Street View oder einfach im Vorbeigehen grob bestimmt werden
2. verwendete Frequenz: aus den „Verwaltungsvorschriften für Frequenzzuteilungen im schmalbandigen Bündelfunk“
3. Sendeleistung: Nach den Regelungen der BEMFV (Verordnung über das Nachweisverfahren zur Begrenzung elektromagnetischer Felder) benötigen ortsfeste Funkanlagen mit einer äquivalenten isotropen Strahlungsleistung von 10 Watt und mehr als Nachweis vor der Inbetriebnahme eine Standortbescheinigung der Bundesnetzagentur. Diese Funkanlagen sind dann in der Übersichtkarte „Elektro­magnetische Felder (EMF)“ der Bundesnetzagentur aufgeführt.
   Aus der Tatsache, dass keine Funknetze aus den „Zuteilungen TETRA-Netzkennungen“ in der Übersichtkarte „Elektro­magnetische Felder (EMF)“ der Bundesnetzagentur aufgeführt sind, kann man schliessen, dass die Strahlungsleistung der Funknetze jeweils unter 10 W EIRP (10 Watt effektive isotrope Strahlungsleistung) beträgt.
4. für den verwendeten Funkstandard notwendige Empfängereingangsleistung: Durch praktische Versuche mit dem Empfang von Amateurfunk-TETRA-Digitalfunknetzen kann hier ein Wert von ca. -60 dBm angenommen werden.

Die Ergebnisse der numerischen Simulation wurden mit den tatsächlichen Reichweiten von Amateurfunk-TETRA-Digitalfunknetzen (ähnliche Sendeleistung, ähnliche Frequenz) verifiziert.

Die Antennen sind meist im Außenbereich der JVA montiert. Um die Funkteilnehmer im Innern der JVA sicher zu erreichen, müssen mehrere dicke Mauern durchdrungen werden. Deshalb ist von einer relativ hohen Sendeleistung auszugehen. In der Umgebung der JVA kann sich mangels Hindernissen eine deutlich höhere Reichweite ergeben.

Die theoretische Reichweiten-Abschätzung der neun nachträglich geschwärzten TETRA-Digitalfunknetzen von Haftanstalten zeigt:
Alle Funknetze haben eine (theoretische) Reichweite weit über die jeweilige Einrichtung hinaus, zum Teil mehrere Kilometer in das umgebende Stadtgebiet hinein.
Der unverschlüsselten Betrieb der Funknetze stellt dann ein massives Sicherheitsproblem dar.
Neben sicherheitsrelevanten Abläufen innerhalb der JVA werden laut Artikel auch die personenbezogenen Daten von Inhaftierten an potentielle Funkempfänger außerhalb der Einrichtung kommuniziert.

Wie schon 2023 dargestellt ist das Mithören von unverschlüsselten TETRA-Digitalfunknetzen mit einem Aufwand unter 50 EUR technisch möglich, wenn auch rechtlich nicht erlaubt.

Es muss also festgestellt werden:
Die Kombination von:

• unverschlüsseltem Betrieb eines digitalen Funknetzes
• großer Reichweite weit über das eigentlich zu versorgende Einzugsgebiet hinaus
• niedriger technischer Hürde zum Empfang des unverschlüsselten Funkverkehrs

stellt ein massives Sicherheitsrisiko für den Betreiber der Digitalfunknetze dar.

Aufgrund der eindeutigen strafrechtlichen Situation müssen wir eindringlich davor warnen, TETRA-Digitalfunknetze selber abzuhören.

Als AG KRITIS fordern wir erneut:

• Alle öffentlich zugänglichen digitalen Schnittstellen im Bereich der kritischen Infrastruktur – insbesondere Digitalfunknetze – müssen Verschlüsselung nutzen.
• Für kritische Infrastrukturen müssen endlich bundesweit einheitlich geltende Sicherheits-Standards umgesetzt werden. Diese gesetzliche Vorgabe für alle Betreiber gibt es bislang nicht.
• Für JVAs muss es ausreichende Sicherheits-Maßnahmen zum Schutz dieser sensiblen Einrichtungen geben, in allen 16 Bundesländern.
  Denn in der nationalen Umsetzung der NIS-2-Richtlinie der EU (NIS2UmsuCG) sind Justizvollzugsanstalten als Einrichtungen der Bundesländer bislang ausgenommen. Die Sicherheit ihrer informationstechnischen Systeme liegt allein im Verantwortungsbereich auf Länder-Ebene.

Bild von Jacek Halicki, Lizenz: unverändertes Werk unter CC BY-SA 4.0