Der Cyberangriff auf Quantum Systems zeigt, wie verletzlich die IT-Sicherheit von Drohnenherstellern und deren Lieferketten sein kann. Was ist über den Angriff bekannt, wie reagieren Betreiber und welche Anforderungen ergeben sich für Datenschutz und Cybersicherheit?
Einleitung. Der deutsche Drohnenhersteller Quantum Systems aus Gilching bei München hat am 12. November 2026 einen Cyberangriff öffentlich bestätigt. Nach Angaben des Unternehmens war der Vorfall bereits Ende Oktober erkannt worden. Er betrifft einen Anbieter, dessen unbemannte Systeme unter anderem für militärische Aufklärung, Sicherheit und zivile Anwendungen entwickelt werden. Damit geht es nicht nur um einen gewöhnlichen IT-Sicherheitsvorfall, sondern um die Vertrauenswürdigkeit sensibler technischer Lieferketten.
Cyberangriff auf Quantum Systems: Was ist gesichert?
Quantum Systems teilt in einer eigenen englischsprachigen Pressemitteilung mit, dass eine interne Untersuchung einen aktiven Angriff durch feindliche Akteure festgestellt habe. Die IT- und Sicherheitsteams hätten die Bedrohung gemeinsam mit staatlichen Behörden eingedämmt. Der Vorfall sei den zuständigen Stellen gemeldet worden; die Untersuchungen mit internen und externen Fachleuten dauerten an. Das Unternehmen erklärt ausdrücklich, dass nach den getroffenen Maßnahmen und aufgrund der Art des Vorfalls für Endnutzer und Betreiber beim Betrieb seiner unbemannten Systeme kein Risiko bestehe.
Weder Angriffsweg noch Umfang eines möglichen Datenabflusses oder Identität der Angreifer sind in dieser Erklärung konkret benannt. Eine weitergehende technische Bewertung ist deshalb derzeit nicht möglich.
Berichte über vorsorgliche Maßnahmen der Bundeswehr
Unter Berufung auf die Financial Times berichten unter anderem Golem und das Handelsblatt, die Bundeswehr habe den Einsatz von Drohnen des Herstellers vorsorglich ausgesetzt. Ein bestätigter Nachweis für eine Kompromittierung der Drohnen selbst folgt daraus nicht. Das Verteidigungsministerium bestätigte die Berichte zunächst nicht. Diese Unterscheidung zwischen bestätigtem Angriff auf ein Unternehmen und möglichen Folgen für dessen Produkte ist wesentlich.
Technische und organisatorische Risiken
Bei vernetzten Drohnensystemen können unter anderem Entwicklungsumgebungen, Softwarelieferketten, Signatur- und Update-Prozesse, Fernzugriffe, Telemetriedaten sowie Einsatz- und Wartungsinformationen sicherheitskritisch sein. Dass diese Bereiche im konkreten Fall betroffen sind, ist nicht belegt. Sie verdeutlichen jedoch, welche Schutzbedarfe ein Hersteller und seine Auftraggeber systematisch prüfen müssen: Netzwerksegmentierung, privilegierte Zugriffe, Schlüsselmanagement, überprüfbare Softwareintegrität, belastbare Protokollierung und unabhängige Sicherheitsnachweise.
Datenschutzrechtliche Einordnung
Ein Cyberangriff ist nicht automatisch eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO. Entscheidend ist, ob personenbezogene Daten tatsächlich von einer Verletzung der Sicherheit betroffen sind. Erst danach stellen sich insbesondere die Fragen nach einer Meldung gemäß Art. 33 DSGVO und einer Benachrichtigung gemäß Art. 34 DSGVO. Eine allgemeine behördliche Meldung des Cybersicherheitsvorfalls ersetzt eine solche datenschutzrechtliche Einzelfallprüfung nicht.
Für Verantwortliche, die Bild-, Standort- oder sonstige personenbezogene Informationen mit Drohnen verarbeiten, bleiben zudem Art. 5 Abs. 1 lit. f, Art. 25 und Art. 32 DSGVO sowie gegebenenfalls die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO maßgeblich. Je nach Einsatzgebiet können daneben besondere nationale Sicherheits- und Geheimschutzanforderungen gelten.
Was Nutzer und Betreiber prüfen sollten
- Aktuelle Sicherheitsinformationen des Herstellers und mögliche betroffene Komponenten einholen.
- Wartungs-, Update- und Fernzugriffspfade sowie Zugriffsberechtigungen erfassen.
- Integrität und Herkunft von Firmware, Steuerungssoftware und Konfigurationsänderungen überprüfen.
- Aufbewahrung, Schutz und Löschung von Flug-, Bild- und Telemetriedaten dokumentieren.
- Notfallabläufe für die zeitweilige Außerbetriebnahme oder den Ersatz eines Systems festlegen.
NoDSB-Kommentar
Der Vorfall verdeutlicht, dass Informationssicherheit nicht an der Grenze der eigenen Organisation endet. Auch ein sorgfältig konfiguriertes Gerät bleibt auf die Vertrauenswürdigkeit seines Herstellers, seiner Softwareprozesse und seiner Betriebsinfrastruktur angewiesen. Für Kunden und Betreiber sollte daher nicht nur die Leistung eines Produkts, sondern die nachprüfbare Sicherheit seiner gesamten Lieferkette entscheidend sein. Vorsorgliche Einsatzbeschränkungen sind dabei nicht mit dem Beweis einer Produktkompromittierung gleichzusetzen.
Cyberangriff auf Quantum Systems: Welche Lehren folgen daraus?
Der Cyberangriff auf Quantum Systems unterstreicht die Bedeutung nachweisbarer Sicherheitsstandards bei Lieferanten. Organisationen und Betreiber sollten ihre Sicherheits- und Betriebskonzepte an den Grundsätzen des BSI-IT-Grundschutzes orientieren und die Verfügbarkeit, Integrität und Vertraulichkeit der eingesetzten Systeme anhand des Standard-Datenschutzmodells betrachten. Weitere Grundlagen bietet unsere Übersicht zur Datensicherheit.
Was bedeutet der Cyberangriff auf Quantum Systems für die Drohnensicherheit?
Der Cyberangriff auf Quantum Systems wirft grundlegende Fragen nach der Sicherheit vernetzter Drohnentechnik auf. Konkrete Hinweise auf manipulierte Flugsteuerungen oder kompromittierte Drohnen liegen allerdings bislang nicht vor. Gerade deshalb ist eine sorgfältige Trennung zwischen dem bestätigten Angriff auf das Unternehmen und hypothetischen Risiken für dessen Produkte erforderlich.
Für die Bewertung technischer Schutzmaßnahmen bieten der BSI-IT-Grundschutz, das Standard-Datenschutzmodell und unsere Grundlagen zur Datensicherheit weiterführende Orientierung.