Der britische Fall um den unbemannten K3 Scout hat eine direkte deutsche Industriekomponente. Kameras an den Marinebooten sendeten sogenannte Heartbeat-Signale an eine Internetadresse in China. Gleichzeitig läuft die Serienproduktion des K3 Scout nach Angaben des Herstellers inzwischen bei Rheinmetall Blohm+Voss in Hamburg.
The Telegraph berichtete zuerst über die Verbindung; auch The Wall Street Journal und The Times beschrieben den ausgehenden Datenverkehr. Heartbeat-Nachrichten sind üblicherweise kurze Statuspakete, mit denen ein Gerät meldet, dass es online und funktionsfähig ist. Öffentlich belegt ist damit kein Transfer geheimer Videoaufnahmen nach China.
Das britische Verteidigungsministerium erklärte, die Auffälligkeit sei bei einer Prüfung auf Cyber-Schwachstellen entdeckt worden. Anschließend wurde die Internetverbindung der Kameras entfernt. Die Untersuchung habe keine Hinweise ergeben, dass sensible Daten oder Systeme des Ministeriums eingesehen, kompromittiert oder nach außen übertragen worden seien.
Trotzdem ist der Fall für militärische Systeme relevant. Eine Kamera auf einem zivilen Firmengelände darf je nach Konfiguration mit Herstellerdiensten kommunizieren. Auf einer Plattform für militärische Aufklärung gelten andere Maßstäbe. Schon ein unnötiger externer Kanal kann Metadaten über Aktivitätszeiten liefern oder zeigen, dass ein Bauteil Funktionen besitzt, die der Betreiber nicht vollständig kontrolliert.
Großbritannien hat 20 K3 Scout im Rahmen von Project Beehive beschafft. Die Royal Navy nennt Überwachung, Schutz eigener Kräfte und Präzisionsschläge als mögliche Aufgaben. Im Juli demonstrierte sie zudem das Absetzen unbemannter Boote aus einem Transportflugzeug. QinetiQ erklärte gegenüber Janes, dass K3 für einen möglichen Einsatz im Bereich der Straße von Hormus vorbereitet würden.
Die industrielle Dimension reicht über Großbritannien hinaus. Kraken Technology Group teilte im April mit, die Serienfertigung bei Rheinmetall Blohm+Voss in Hamburg begonnen zu haben. Im Mai meldete das Unternehmen außerdem eine Vereinbarung mit dem US Special Operations Command im Umfang von bis zu 49 Millionen Dollar. Damit müssen dieselben Plattformen Anforderungen mehrerer alliierter Beschaffungs- und Sicherheitsregime erfüllen.
Für Deutschland und die Schweiz ist das ein Beispiel dafür, wie sich europäische Rüstungsproduktion verändert. Nationale Herkunft allein sagt immer weniger über ein System aus. Ein britisches Produkt kann in Deutschland gefertigt werden, internationale Sensoren enthalten und für amerikanische Kunden vorgesehen sein. Entscheidend wird deshalb die Transparenz bis hinunter zu Firmware, Kommunikationsmodulen und Unterlieferanten.
London hatte das Risiko chinesischer Überwachungstechnik bereits zuvor politisch adressiert. Das Verteidigungsministerium räumte in einer Parlamentsantwort chinesisch hergestellte Güter in seiner Lieferkette ein und verwies auf besondere Sicherheitsprüfungen. Im Juni kündigte die Regierung zudem die Entfernung bestimmter chinesisch verbundener Überwachungssysteme von sensiblen Standorten an.
The Telegraph zitierte außerdem eine anonyme Quelle mit der Behauptung, einzelne Kameras könnten auch nach dem Abschalten der Boote aktiv geblieben sein und K3 seien in der Nähe geheimer Treffen von Spezialkräften gewesen. Diese Angaben sind öffentlich nicht unabhängig bestätigt. Die offizielle britische Aussage bleibt, dass kein Abfluss sensibler Daten festgestellt wurde.
Der nächste Test findet deshalb in der Produktion statt. Wenn Hamburg zum Serienstandort wird, muss die Lieferkette nicht nur schneller, sondern auch überprüfbarer werden. Der Vorfall zeigt, dass Cyber-Sicherheit bei unbemannten Systemen nicht am Hauptcomputer endet. Sie beginnt bei jedem Sensor, der Strom bekommt und theoretisch eine Verbindung nach außen aufbauen kann.