Wie kann ich sicherstellen, dass Produkte chinesischer Agrardrohnen US-Datensicherheitsstandards erfüllen, wenn ich sie kaufe?

Wenn unser Ingenieurteam Flugsysteme entwickelt, hören wir Ihre Bedenken hinsichtlich des Datenschutzes laut und deutlich. SOC 2 Typ II ¹. Datenschutz ² Sicherheitsverletzungen können eine Erntesaison ruinieren und sensible Farmdaten gefährden.

Um die Einhaltung zu gewährleisten, vergewissern Sie sich, dass der Hersteller die FCC Covered List meidet und die Standards von NDAA Section 848 erfüllt. Sie müssen eine Firmware verlangen, die den “Local Data Mode” unterstützt, um die automatische Synchronisierung zu verhindern, sicherstellen, dass alle Daten mit AES-256 verschlüsselt sind, und bestätigen, dass jede verwendete Cloud-Speicherung physisch auf US-basierten Servern und nicht auf ausländischer Infrastruktur gehostet wird.

Hier erfahren Sie genau, wie Sie diese Sicherheitsmaßnahmen vor dem Kauf überprüfen und verifizieren können.

Wie überprüfe ich, ob ein chinesischer Drohnenhersteller die NDAA-Vorschriften einhält?

Wir aktualisieren ständig unsere Listen für die Beschaffung von Komponenten, um sie an globale Exportstandards anzupassen und eingeschränkte Hardware zu vermeiden. Die Navigation durch staatliche schwarze Listen kann verwirrend sein, aber die Überprüfung des Hardwareursprungs ist der erste entscheidende Schritt.

Sie müssen eine vollständige Stückliste (BOM) anfordern, um zu bestätigen, dass die Drohne keine kritischen Komponenten von Unternehmen enthält, die auf der NDAA Section 848-Verbotsliste stehen. Gleichen Sie den Namen des Herstellers mit der spezifischen Liste des Verteidigungsministeriums “Chinesische Militärunternehmen” und der “Covered List” der FCC ab, um sicherzustellen, dass die Ausrüstung für die Verwendung in den USA zugelassen ist.

Das Verständnis der regulatorischen Landschaft ist für US-Käufer von entscheidender Bedeutung. Der National Defense Authorization Act (NDAA) zielt speziell auf National Defense Authorization Act (NDAA) ³ Risiken in der Lieferkette ab. Abschnitt 848 verbietet dem Verteidigungsministerium den Betrieb oder die Beschaffung von unbemannten Flugsystemen (UAS), die in China hergestellt werden. Obwohl dies streng für Bundesbehörden gilt, übernehmen viele private Unternehmen und staatliche Landwirtschaftsabteilungen diese Standards als Benchmark für "sichere" Technologie.

Die Stücklistenprüfung

Um die Einhaltung wirklich zu überprüfen, können Sie sich nicht auf ein einfaches "Ja" von einem Verkäufer verlassen. Sie müssen unter die Haube schauen. Eine Drohne ist eine Sammlung verschiedener Komponenten, und die NDAA konzentriert sich auf kritische Teilsysteme. Sie sollten den Lieferanten um eine detaillierte Komponentenaufschlüsselung bitten.

Bei der Überprüfung der Stückliste (BOM) konzentrieren Sie sich auf diese drei Kernbereiche:

1. Flugsteuerung: Dies ist das Gehirn der Drohne. Stellen Sie sicher, dass der Chipsatz nicht von einer verbotenen Entität stammt.
2. Funkübertragungssystem: Die Verbindung zwischen der Fernbedienung und der Drohne ist ein häufiger Vektor für Datenlecks.
3. Kamera- und Gimbal-Systeme: Visuelle Sensoren sammeln die sensibelsten Daten.

Überprüfung von Bundeslisten

Es gibt zwei Hauptlisten, die Sie überprüfen müssen. Die erste sind die Beschränkungen gemäß NDAA Section 848. Die zweite, und vielleicht dringendere für kommerzielle Betreiber, ist die FCC Covered List. FCC-gedeckte Liste ⁴ Der Secure Equipment Act von 2021 verbietet es der FCC, Geräte auf dieser Liste zu genehmigen. Wenn ein neues Drohnenmodell auf der Covered List steht, kann es in den USA nicht legal importiert oder vermarktet werden.

Konformität vs. Freigabe

Es gibt einen Unterschied zwischen "NDAA-konform" und der Aufnahme in die "Blue UAS Cleared List"." Blue UAS Cleared List ⁵ Blue UAS ist eine sehr exklusive Liste von vorab genehmigten Drohnen für das Verteidigungsministerium. Die meisten kommerziellen Agrardrohnen werden aufgrund von Kosten und Stückzahlen nicht auf der Blue UAS-Liste stehen. Sie können jedoch immer noch NDAA-konform sein, wenn sie keine verbotenen Komponenten verwenden.

Beziehen Sie sich auf die folgende Tabelle, um die Unterschiede im regulatorischen Status zu verstehen.

Durch die Durchführung dieser Prüfungen filtern Sie Hochrisiko-Hardware heraus, bevor sie überhaupt auf Ihren Hof gelangt.

Kann ich die Flugsteuerungssoftware anpassen, um sicherzustellen, dass Daten innerhalb der USA bleiben?

Unser Software-Engineering-Team arbeitet oft mit US-Kunden zusammen, um kundenspezifische Firmware-Versionen zu entwickeln, die unnötige Netzwerkanrufe entfernen. Wir wissen, dass standardisierte, gesperrte Software für sicherheitsbewusste Landwirte oft mehr Angst als Nutzen verursacht.

Ja, Sie können oft eine “kundenspezifische Firmware-Erstellung” anfordern oder ein SDK (Software Development Kit) verwenden, um den Standard-Kommunikationsstack zu ersetzen. Dies ermöglicht es Ihnen, “nach Hause telefonierende” Funktionen dauerhaft zu deaktivieren, Hintergrundnutzungsanalysen zu entfernen und die Drohne so zu betreiben, dass sie vollständig offline arbeitet, wobei keine Daten den lokalen Controller verlassen.

Die Hardware ist nur die halbe Miete. Die Software, die auf dem Flugcontroller und der Bodenstation (dem Tablet oder der Fernbedienung) läuft, bestimmt, wohin Ihre Daten gelangen. Viele handelsübliche Agrardrohnen werden mit proprietären Apps geliefert, die Flugprotokolle, Sprühmuster und GPS-Koordinaten automatisch mit der Cloud des Herstellers synchronisieren. Dies geschieht oft zur "Garantievalidierung" oder zur "vorausschauenden Wartung", birgt aber ein Sicherheitsrisiko.

Die Macht von SDKs

Hochwertige Hersteller wie wir bieten ein Mobile SDK (Software Development Kit) oder Onboard SDK an. Dies ist ein leistungsstarkes Werkzeug für die Sicherheit. Ein SDK ermöglicht es amerikanischen Drittanbieter-Softwareunternehmen, die Fluganwendung zu schreiben.

Anstatt die standardmäßige chinesische App zu verwenden, können Sie in Amerika hergestellte Software (wie bestimmte Präzisionslandwirtschaftsplattformen) verwenden, die direkt mit der Drohnenhardware kommuniziert. Dies umgeht die Cloud-Infrastruktur des Herstellers vollständig. Die Daten fließen von der Drohne zum Remote und dann direkt zu Ihren sicheren Secure Equipment Act von 2021 ⁶ Servern.

Lokaler Datenmodus

Wenn das Umschreiben von Software keine Option ist, müssen Sie nach einem "Local Data Mode" suchen. Wenn dieser Modus aktiv ist, fungiert er wie eine Firewall auf der Drohne. Er ermöglicht es der Drohne zu fliegen und zu sprühen, indem sie GPS verwendet, aber er unterbricht die Internetverbindung für den Daten-Upload.

Warum der "Local Data Mode" unerlässlich ist:

• Datenschutz: Feldgesundheitskarten bleiben auf Ihrer SD-Karte.
• Geschwindigkeit: Kein Bandbreitenverschleiß durch den Upload von Gigabytes an 4K-Videos.
• Sicherheit: Reduziert die Angriffsfläche für Cyberbedrohungen.

Air-Gapped Workflows

Für maximale Sicherheit sollten Sie die Drohne als "air-gapped" Gerät behandeln. Das bedeutet, dass die Drohne und ihr Controller niemals das offene Internet berühren. Updates werden über eine verifizierte SD-Karte durchgeführt, nicht über die Luft (OTA).

Nachfolgend finden Sie einen Vergleich, wie verschiedene Softwarekonfigurationen mit Ihren Daten umgehen.

Die Anforderung von SDK-Zugriff oder einem benutzerdefinierten Firmware-Build übergibt die Daten praktisch wieder an Sie.

Welche Dokumentation sollte ich anfordern, um zu beweisen, dass die Firmware der Drohne sicher ist?

Bevor wir eine Einheit aus unserer Xi’an-Anlage an internationale Distributoren versenden, stellen wir sicher, dass unser Dokumentationspaket vollständig ist. Wir glauben, dass Transparenz bei Testberichten der einzige Weg ist, langfristiges Vertrauen bei westlichen Käufern aufzubauen.

Sie sollten einen SOC 2 Typ II-Bericht oder eine ISO 27001-Zertifizierung anfordern, um die internen Datenkontrollen des Anbieters zu validieren. Fragen Sie zusätzlich nach den Ergebnissen von Penetrationstests durch ein anerkanntes Sicherheitsunternehmen und einer klaren Endbenutzer-Lizenzvereinbarung (EULA), die ausdrücklich besagt, dass der Benutzer das 100%ige Eigentum an allen gesammelten Daten behält.

Marketingbroschüren werden immer sagen, dass ein Produkt "sicher" ist. In der Welt der Datenkonformität ist "sicher" jedoch ein rechtlicher und technischer Begriff, der Beweise erfordert. Wenn Sie mit einem Lieferanten verhandeln, sind die von Ihnen geforderten Dokumente Ihr wichtigstes Druckmittel.

Sicherheitsaudits durch Dritte

Selbstzertifizierung reicht nicht aus. ISO 27001-Zertifizierung ⁷ Sie benötigen den Nachweis, dass ein unabhängiger Prüfer das System getestet hat.

• ISO/IEC 27001: Dies ist der internationale Goldstandard für Informationssicherheitsmanagement. Wenn der Hersteller dies hat, bedeutet dies, dass er über systematische Prozesse zur Verwaltung sensibler Unternehmens- und Kundeninformationen verfügt.
• SOC 2 Typ II: Dies ist im US-Softwaremarkt weiter verbreitet. Es bewertet die Wirksamkeit der Kontrollen eines Unternehmens im Laufe der Zeit in Bezug auf Sicherheit, Verfügbarkeit und Vertraulichkeit.

Penetrationstestberichte

Fragen Sie den Hersteller, ob er "Pen Testing" durchgeführt hat. Hierbei versuchen ethische Hacker, in die Software der Drohne einzudringen, um Schwachstellen zu finden. Ein seriöser Hersteller wird eine Zusammenfassung dieser Ergebnisse (aus Sicherheitsgründen geschwärzt) teilen, um zu beweisen, dass er aktiv Lücken schließt.

Analyse der EULA

Die Endbenutzer-Lizenzvereinbarung (EULA) wird oft ignoriert, enthält aber kritische Details. Sie müssen nach bestimmten Klauseln suchen.

• Datenbesitz: Steht im Text "Hersteller besitzt Rechte an aggregierten Daten"? Wenn ja, gehen Sie weg. Es sollte heißen "Benutzer behält das volle Eigentum"."
• Anonyme Nutzungsdaten: Viele Vereinbarungen erlauben Herstellern, "anonyme" Daten zu sammeln. In der Landwirtschaft sind GPS-Koordinaten niemals wirklich anonym, da sie einer bestimmten Farmadresse entsprechen. Stellen Sie sicher, dass Sie sich davon abmelden können.

Verschlüsselungsstandards

Die Dokumentation sollte ausdrücklich die verwendeten Verschlüsselungsstandards angeben. "Militärische Qualität" ist ein Marketingbegriff. Sie suchen nach spezifischen technischen Akronymen.

• AES-256: Der Standard für die Verschlüsselung von Daten im Ruhezustand (auf der SD-Karte der Drohne).
• TLS 1.2 oder 1.3: Der Standard für die Verschlüsselung von Daten während der Übertragung (zwischen der Drohne und dem Controller).

Wenn das technische Datenblatt diese Protokolle nicht angibt, ist dies ein Warnsignal.

Werden meine landwirtschaftlichen Flugdaten lokal gespeichert oder an ausländische Server übertragen?

Wir konfigurieren unsere Bodenkontrollstationen so, dass die Privatsphäre der Nutzer Priorität hat, da wir wissen, dass amerikanische Landwirte ihre Felddaten als proprietäre Geschäftsgeheimnisse betrachten. Wir ziehen es vor, Ihnen die Möglichkeit zu geben, Ihren eigenen Speicherpfad zu wählen, anstatt einen Standard zu erzwingen.

Dies hängt vollständig von der Serverkonfiguration ab, die Sie während der Einrichtung wählen. Sie müssen darauf bestehen, US-basierte Cloud-Infrastruktur (wie AWS oder Azure Microsoft Azure ⁸ gehostet in Nordamerika) oder rein lokale Speicherung zu verwenden, bei der Daten die SD-Karte nie verlassen, um sicherzustellen, dass keine Telemetrie oder Bilder jemals an Server außerhalb der Vereinigten Staaten übertragen werden.

Der physische Standort des Servers ist die letzte Grenze der Datensouveränität. Selbst wenn Daten verschlüsselt sind, sind sie gefährdet, wenn sie auf einem Server in einer Gerichtsbarkeit mit invasiven Datengesetzen liegen. Bei chinesischen Agrardrohnen ist die Standardeinstellung oft ein Server auf dem chinesischen Festland oder in Singapur. Sie müssen dies aktiv ändern.

Die Cloud vs. Lokale Debatte

Moderne Agrardrohnen sind leistungsstarke Datensammler. Sie generieren:

• Orthomosaik-Karten: Hochauflösende Karten Ihrer Felder.
• Multispektrale Daten: Informationen zur Pflanzengesundheit, die für das bloße Auge unsichtbar sind.
• Sprühprotokolle: Aufzeichnungen über die Anwendung von Chemikalien zur Einhaltung gesetzlicher Vorschriften.

Wenn Sie die "Cloud"-Funktionen aus Bequemlichkeit nutzen (einfaches Teilen mit Agronomen), vertrauen Sie dem Computer eines anderen.

In den USA gehostete Cloud-Optionen

Wenn Sie die Cloud nutzen müssen, überprüfen Sie den Hoster. Viele chinesische Hersteller der Spitzenklasse mieten mittlerweile Serverplatz von Amazon Amazon Web Services (AWS) ⁹ Web Services (AWS) Amazon Web Services ¹⁰ oder Microsoft Azure, die sich speziell in Virginia oder Kalifornien befinden, um US-Kunden zu bedienen. Sie sollten eine schriftliche Garantie oder ein Architekturdiagramm anfordern, das zeigt, dass der Datenendpunkt eine US-IP-Adresse ist.

Die "Sneaker-Net"-Lösung

Die sicherste Methode ist der altmodische Weg: physische Medien. Wir empfehlen oft den "Sneaker-Net"-Ansatz für Kunden mit hohen Sicherheitsanforderungen.

1. Fliegen Sie die Drohne im Offline-Modus.
2. Daten werden auf der integrierten SD-Karte gespeichert.
3. Landen Sie die Drohne.
4. Entfernen Sie die SD-Karte und bringen Sie sie (Sneaker) zu einem sicheren, isolierten Computer.
5. Verarbeiten Sie die Daten lokal mit Desktop-Software wie Pix4Dfields oder Agisoft Metashape.

Diese Methode stellt sicher, dass die Drohne, selbst wenn sie Daten übertragen wollte, dies physisch nicht kann.

Datenhierarchie

Überprüfen Sie diese Hierarchie, um zu entscheiden, welche Risikostufe für Ihren Betrieb akzeptabel ist.

Indem Sie den Speicherendpunkt kontrollieren, machen Sie den Ursprung der Hardware für die Sicherheit Ihrer Daten irrelevant.

Schlussfolgerung

Die Sicherung Ihrer landwirtschaftlichen Daten bei der Verwendung chinesischer Drohnen erfordert einen proaktiven Ansatz, nicht nur blindes Vertrauen. Sie müssen die Herkunft der Hardware anhand von NDAA-Listen überprüfen, die Software anpassen, um die Übertragung ausländischer Daten zu blockieren, strenge Sicherheitszertifizierungen wie SOC 2 verlangen und strenge lokale Speicherprotokolle durchsetzen. Indem Sie diese Schritte unternehmen, können Sie fortschrittliche Drohnentechnologie nutzen und gleichzeitig die proprietären Daten Ihres Betriebs sicher auf amerikanischem Boden halten.

Fußnoten

1. Offizielle AICPA-Seite, die SOC-Berichterstattung für Dienstleistungsunternehmen erklärt. ︎

2. Allgemeiner Hintergrund zum Konzept der Informations- und Datensicherheit. ︎

3. Offizieller Gesetzestext des Gesetzes, der Abschnitt 848 bezüglich chinesischer UAS enthält. ︎

4. Offizielle Regierungsliste der Kommunikationsausrüstung, die als Risiko für die nationale Sicherheit eingestuft wird. ︎

5. Offizielle Liste des Verteidigungsministeriums für genehmigte Drohnensysteme. ︎

6. Offizielle Gesetzgebung, die die FCC-Genehmigung von Geräten auf der abgedeckten Liste verhindert. ︎

7. Offizieller Standard für Informationssicherheitsmanagementsysteme. ︎

8. Offizielle Website des großen US-Cloud-Anbieters, der als Hosting-Option genannt wird. ︎

9. Offizielle Website des großen US-Cloud-Anbieters, der als Hosting-Option genannt wird. ︎

10. Dokumentation darüber, wie AWS mit Datenschutz und -residenz umgeht. ︎