20 Minuten. Eine Drohne. Kein Alarm.
Es war ein Dienstagmorgen, als der Werkschutzleiter eines mittelständischen Pharmaunternehmens in Bayern zum ersten Mal von dem Vorfall erfuhr. Nicht durch eine interne Meldung – sondern durch einen Anruf eines Nachbarn, der auf seiner Terrasse gefrühstückt und etwas Komisches beobachtet hatte.
06:47 Uhr. Eine DJI Mavic 3 – Kaufpreis 1.700 Euro im Fachhandel – startet von einem Parkplatz 400 Meter entfernt. Der Pilot sitzt in einem unauffälligen Transporter. Zwanzig Minuten lang kartiert die Drohne das gesamte Betriebsgelände. Thermalkamera an Bord: Sie zeigt in Echtzeit, welche Gebäudeteile beheizt sind – und wo es trotz Frühschicht auffällig kalt ist.
Der Serverraum leuchtet als heller Fleck. Die Lüftungsschächte auf dem Dach werden mit GPS-Koordinaten geloggt. Die Lieferzone hinten links: kein Kamerawinkel, keine Bewegungsmelder sichtbar, Zaun in schlechtem Zustand.
07:09 Uhr landet die Drohne. Der Transporter verlässt den Parkplatz. Kein Alarm hat ausgelöst. Kein Mitarbeiter hat etwas bemerkt. Das Unternehmen weiß nicht einmal, dass dieser Überflug stattgefunden hat.
Drei Wochen später meldet das Unternehmen einen Einbruch. Kein Aufbruch. Kein Schaden an Türen oder Fenstern. Der Einbruchspfad führt über genau die Lieferzone, die am Dienstagmorgen auf der Thermalkamera als blinder Fleck erschienen war.
Dieser Vorfall ist kein Einzelfall. Er ist ein Muster – und er beschreibt exakt das, was gut organisierte Angreifer heute als Standard-Recon-Vorbereitung nutzen, bevor sie irgendeinen physischen Schritt unternehmen. Drohnen sind nicht das Werkzeug der Zukunft. Sie sind das Werkzeug der Gegenwart.
Wer glaubt, dass Drohnen nur ein Problem für Flughäfen und Hochsicherheitseinrichtungen sind, hat die aktuelle Bedrohungsrealität noch nicht internalisiert. Ein Consumer-UAV für unter 2.000 Euro liefert heute Informationen, für die ein menschliches Recon-Team früher Tage gebraucht hätte – in zwanzig Minuten, aus sicherer Distanz, ohne eine einzige Schwelle zu betreten.
Was ein Angreifer aus 80 Metern Höhe sieht – und was nicht auf eurem Lageplan steht
Klassisches Reconnaissance – ob digital per OSINT oder physisch vor Ort – hat einen entscheidenden blinden Fleck: Es liefert eine Bodenperspektive. Satellitendaten sind veraltet und zu grob für operative Planung. Google Street View zeigt Fassaden, aber keine Dachinfrastruktur, keine Kamerawinkel, keine Lüftungsarchitektur.
Eine Drohne schließt genau diese Lücke. Sie liefert eine Perspektive, die in keiner Baugenehmigung, keinem Lageplan und keiner Sicherheitsdokumentation zu finden ist: die taktische Vogelperspektive in Echtzeit.
Was ein Angreifer von dort sieht:
- Kameraabdeckung und tote Winkel – Wo stehen Kameras, wohin zeigen sie, und wo entstehen geometrisch bedingte Lücken zwischen zwei Kamerasektoren?
- Dachinfrastruktur – Lüftungsschächte, Lichtkuppeln, Wartungszugänge, Dachluken, Klimaanlagen als Hinweis auf wärmeerzeugende Systeme darunter.
- Lieferzonen und Nebeneingänge – Bereiche, die im Alltagsbetrieb von Mitarbeitern kaum beachtet werden, aber für einen kontrollierten Zugang ideal sind.
- Zustand von Perimeter-Elementen – Zaunlücken, beschädigte Sektionen, Bäume als Kletterhilfe, Baugerüste als temporäre Aufstiegsmöglichkeit.
- Personenbewegungen und Routinen – Wann kommen Lieferwagen? Wann ist die Lieferzone unbesetzt? Wo rauchen Mitarbeiter in der Pause?
- Thermalsignaturen – Mit einer Wärmebildkamera werden beheizte Bereiche, Serverräume, Netzwerkknoten und sogar Personenbewegungen hinter Fenstern sichtbar.
Passiv, aktiv, kombiniert – die drei Phasen des Drohnen-Recon
Ein gut vorbereiteter Angreifer nutzt Drohnen nicht als ersten Schritt, sondern als dritten. Vorher kommt digitale Remote Reconnaissance per OSINT – LinkedIn für Mitarbeiterstrukturen, Shodan für exponierte Systeme, Google Earth für Grundriss-Orientierung. Die Drohne füllt dann die Lücken, die kein Satellit schließen kann.
Was mit diesen Informationen möglich ist
Die gesammelten Drohnendaten allein sind kein Angriff. Sie sind die Vorbereitung, die einen Angriff erst präzise und damit erfolgreich macht. In Kombination mit anderen Vektoren – Social Engineering, Badge-Kloning, REX-Sensor-Manipulation – entsteht daraus eine vollständige Angriffskette.
Was ist erlaubt – und was macht einen Drohnenüberflug zur Straftat?
Drohnenflüge über Unternehmensgelände bewegen sich in Deutschland in einem komplexen Regelwerk aus Luftverkehrsrecht, Datenschutzrecht und Strafrecht. Die entscheidende Frage für betroffene Unternehmen: Was können sie einem Angreifer tatsächlich vorwerfen – und was ist gar nicht illegal?
| Situation | Rechtliche Einordnung | Status |
|---|---|---|
| Überflug aus über 120 m Höhe ohne Kamera | Grundsätzlich zulässig im unkontrollierten Luftraum (SERA.6001), sofern keine Betriebsgenehmigung erforderlich | Legal |
| Überflug mit Kamera über fremdem Grundstück | Verletzung des Hausrechts möglich; Bildaufnahmen unterliegen § 201a StGB (Verletzung des höchstpersönlichen Lebensbereichs) wenn Personen erfasst werden; DSGVO-relevant bei Speicherung | Graubereich |
| Überflug mit Thermalkamera über Gebäuden | Technisch keine andere Kategorie als Optik, aber Thermalbilder von Innenräumen können als unzulässige Überwachung gewertet werden; keine explizite BGH-Entscheidung | Unklar |
| Überflug über Kritische Infrastruktur (KRITIS) | § 15 LuftSiG: Überflugverbot über bestimmten KRITIS-Objekten; Missachtung ist Ordnungswidrigkeit oder Straftat je nach Klassifikation | Verboten |
| Drohnenflug als Teil eines Einbruchs | Vorbereitungshandlung zum Einbruch (§ 123, § 243 StGB); in der Praxis schwer nachweisbar solange kein Zugang stattgefunden hat | Beweisproblem |
| Autorisierter Physical Pentest mit Drohne | Mit schriftlichem Auftrag und definierten Rules of Engagement vollständig legal; Luftrechtliche Genehmigung ggf. zusätzlich erforderlich | Legal mit Auftrag |
Die unbequeme Wahrheit: Ein Angreifer, der euer Gelände aus 100 Metern Höhe mit einer optischen Kamera überflogen hat, hat in den meisten Fällen keine direkt strafbewehrte Handlung begangen – sofern er keine Personen gefilmt hat und das Gelände nicht explizit als Sperrgebiet ausgewiesen ist. Die Konsequenz daraus ist klar: Technische Prävention muss greifen, weil das Strafrecht allein keinen ausreichenden Schutz bietet.
Was gilt beim autorisierten Physical Pentest?
Im Rahmen eines Physical Pentests mit schriftlichem Auftrag und definierten Rules of Engagement sind Drohnenüberflüge ein legitimes und wertvolles Werkzeug. Allerdings gelten zusätzlich die luftrechtlichen Regelungen der EU-Drohnenverordnung (EU 2019/947): Abhängig von Gewichtsklasse und Einsatzgebiet kann eine spezielle Betriebsgenehmigung der Luftfahrtbehörde erforderlich sein. Dieser Aufwand ist in der Praxis handhabbar – muss aber im Scoping-Gespräch explizit adressiert werden.
Was ihr tun könnt – und was nicht funktioniert
Drohnenabwehr ist eines der am häufigsten missverstandenen Themen in der physischen Sicherheit. Viele Maßnahmen, die intuitiv sinnvoll klingen, sind in Deutschland entweder illegal, wirkungslos oder beides. Hier eine ehrliche Einordnung.
Was nicht funktioniert oder nicht erlaubt ist
Drohnen abschießen, per Frequenzstörer (Jammer) zum Absturz bringen oder per Hackerangriff übernehmen – alles davon ist in Deutschland illegal. Auch Netze oder Laser zum aktiven Abfangen sind im privaten Kontext rechtlich problematisch. Diese Maßnahmen sind Behörden und bestimmten Sicherheitsbehörden vorbehalten.
Das Ziel der Drohnenabwehr für ein Unternehmen ist nicht, Drohnen vom Himmel zu holen. Das Ziel ist, den taktischen Informationsgewinn eines Überfliegers zu minimieren – durch Architektur, durch Abdeckung und durch Prozesse, die einen Drohnen-Recon ins Leere laufen lassen.
Was tatsächlich hilft
Wie wir Drohnen-Recon in unsere Physical Assessments integrieren
Ein Physical Pentest der Drohnen nicht berücksichtigt, ist 2026 nicht vollständig. Wir nutzen UAV-basierte Reconnaissance als standardisierten Bestandteil unserer physischen Assessments – wenn der Kunde es wünscht und die rechtlichen sowie luftrechtlichen Rahmenbedingungen es erlauben.
Was dabei entsteht, ist kein Hobbyistenvideo. Es ist ein taktischer Lagebericht:
- Annotiertes Luftbild mit eingezeichneten Kamerasektoren, identifizierten toten Winkeln und markierten Zugangspunkten
- Thermalbild mit Einzeichnung aller Wärmeanomalien, die auf kritische Infrastruktur hinweisen
- Risikopriorisierung: welcher blinde Fleck ist kombiniert mit anderen Faktoren am kritischsten?
- Gegenmaßnahmen-Empfehlungen mit konkreten Umsetzungshinweisen
Kombiniert mit OSINT-Analyse, Social Engineering Tests und physischen Zutrittversuchen ergibt das ein vollständiges Bild davon, wie weit ein realer Angreifer mit dem gesammelten Wissen käme – und wo die kritischen Lücken liegen.
Die wertvollste Erkenntnis aus einem Drohnen-gestützten Physical Pentest ist meistens nicht die Lücke, die man erwartet hat. Es ist der blinde Fleck, den jahrelange Bodenperspektive schlicht unsichtbar gemacht hat.
Fazit: Die Bedrohung kommt nicht mehr nur vom Boden
Physische Sicherheit denkt traditionell in zwei Dimensionen: Wer kann durch welche Tür kommen? Drohnen haben diese Frage um eine dritte Dimension erweitert. Ein Angreifer, der heute professionell vorgeht, beginnt nicht am Zaun – er beginnt 100 Meter in der Luft, aus sicherer Distanz, mit einem Gerät das im Fachhandel gekauft werden kann.
Die Konsequenz daraus ist nicht Panik, sondern Perspektivwechsel: Wer seine eigene Sicherheitsarchitektur noch nie aus der Vogelperspektive betrachtet hat, weiß nicht, was ein Angreifer sieht. Das ist eine auflösbare Wissenslücke – und ein Physical Pentest mit Drohnenkomponente ist der direkteste Weg, sie zu schließen.
Weiterführende Lektüre: Wie Angreifer bereits vor dem ersten Drohnenflug durch digitale Recherche ein Angriffsprofil aufbauen, zeigt unser Post zu Remote Recon to Physical Breach. Was passiert, wenn ein Angreifer dann physisch auf dem Gelände ist, beleuchten die Posts zu REX-Sensor-Schwachstellen und Zutrittskontrollsystemen.
Wie sieht euer Gelände von oben aus?
Wir führen UAV-gestützte Reconnaissance als Teil unserer Physical Pentests durch – mit dokumentiertem Ergebnis und konkreten Empfehlungen. Kostenloses Erstgespräch, kein Commitment.
Physical Assessment anfragen →