Drohnen-Autonomie an Bord: Was sich für Betreiber ändert

In Verkaufsgesprächen und Datenblättern wird der Begriff Autonomie inflationär verwendet. Für Betreiber, Asset-Manager und Instandhaltungsverantwortliche von Industrieanlagen und Infrastrukturen zählt jedoch nicht das Marketingversprechen, sondern der rechtlich verbindliche Rahmen. Artikel 2 der Durchführungsverordnung (EU) 2019/947 definiert unmissverständlich: „autonomer Betrieb“ bezeichnet einen Betrieb, bei dem das unbemannte Luftfahrzeug in Betrieb ist, ohne dass der Fernpilot eingreifen kann.

Aus dieser juristischen Definition folgt eine grundlegende operative Unterscheidung: Fast alle industriell eingesetzten Systeme fliegen keineswegs autonom, sondern hochgradig automatisiert. Solange ein Fernpilot über eine bestehende Funkverbindung Steuerbefehle übersteuern, den Flug abbrechen oder einen Nothalt auslösen kann, verbleibt die luftrechtliche Letztverantwortung beim Menschen. Echte Autonomie beginnt genau an der Schnittstelle, an der das System ohne Rückfallebene eigene navigatorische Entscheidungen trifft. Die entscheidende Betreiberfrage lautet daher nicht, ob ein Fluggerät technisch in der Lage ist, eine Trajektorie abzufliegen, sondern was der Betreiber gegenüber Genehmigungsbehörden, Prüfstellen und Versicherern lückenlos nachweisen muss, sobald der Mensch aus der Steuerungsschleife ausscheidet.

Dabei ist eine strikte methodische Abgrenzung erforderlich: In diesem Beitrag geht es ausschließlich um bordseitige Flug- und Navigationsentscheidungen in Echtzeit. Die nachträgliche automatisierte Bildauswertung, Risserkennung oder thermografische Schadensklassifikation ist ein separater Prozessschritt, der gesondert betrachtet werden muss, etwa im Rahmen strukturierter Inspektionsabläufe wie einer Deichinspektion als Programm oder bei der baulichen Zustandsanalyse für Dämme und Talsperren aus der Luft.

In der Praxis findet echte bordseitige Autonomie heute vor allem dort statt, wo Umweltbedingungen den menschlichen Eingriff physikalisch unmöglich machen: in vollständig geschlossenen Räumen und Industrieanlagen wie Tanks, Silos, Kesseln, Ballasttanks oder unterirdischen Kanalsystemen. Hier entfaltet die Technik ihren primären betriebswirtschaftlichen Nutzen, indem sie den gefährlichen menschlichen Seilzugang oder das Begehen beengter Räume (Confined Space Entry) überflüssig macht.

Rechtlich betrachtet existiert im Gebäudeinneren ein klarer Freiraum: Das Luftfahrt-Bundesamt (LBA) stellt in seinen FAQ zum UAS-Betrieb klar: „Diese Anforderungen gelten nicht für den Betrieb von UAS in Gebäuden“. Die Registrierungs-, Kategorisierungs- und Kompetenznachweispflichten des EU-Rahmens greifen im Gebäudeinneren damit nicht. Dies eröffnet industrielle Einsatzfelder in anspruchsvollen Infrastrukturen, wie sie beispielsweise für geschlossene Baugruppen bei der Offshore-Inspektion per Drohne typisch sind.

Die praktische Trennlinie zwischen Innenraum und Außenwelt ist im Betriebsalltag jedoch oft fließend. Nach Angaben des Inspektionsdrohnen-Herstellers Flyability finden bis zu 70 Prozent der Flüge mit Inspektionssystemen wie der Elios-Plattform zumindest teilweise im Freien statt. Bereits die kurze Flugstrecke vom Abstellplatz über das Werksgelände bis zum Mannloch oder Kanalschacht aktiviert den vollständigen europäischen Rechtsrahmen für den unbemannten Luftverkehr. Betreiber müssen diese Übergangszonen daher von Beginn an luftrechtlich sauber bewerten.

Um die Belastbarkeit von Systemen im Betrieb zu beurteilen, müssen Asset-Manager den realen Stand der Technik von akademischen Forschungskonzepten unterscheiden. In geschlossenen Industrieumgebungen steht kein globales Satellitennavigationssystem (GNSS) zur Verfügung. Die Positionsbestimmung stützt sich daher auf bordseitige SLAM-Algorithmen (Simultaneous Localization and Mapping), die LiDAR-Messungen mit optischen Kameras zur optischen Fluss- und Geschwindigkeitsmessung kombinieren.

Ein zentrales Beschaffungskriterium ist das Sicherheitskonzept gegen Hinderniskollisionen. Ein öffentlich dokumentiertes Marktbeispiel, ausdrücklich ohne Liefer- oder Partnerbeziehung, ist die Elios-Plattform des Herstellers Flyability. Sie setzt auf eine kollisionstolerante Schutzstruktur in Form eines geschlossenen Carbon-Käfigs anstelle von aktivem Sense-and-Avoid. In engen Rohren, staubigen Kesseln oder komplexen Gitterstrukturen versagen optische Ausweichsysteme häufig durch Sichtverdeckung oder Sensorreflexionen; die mechanische Kollisionstoleranz ermöglicht den kontinuierlichen Weiterflug trotz unvermeidbarer Wandberührungen.

Automatische Andockfunktionen und bordseitige Pfadanpassungen sind heute vor allem bei bodengebundenen Stationen etabliert, wie sie bei automatisierten Systemen für die Drone-in-a-Box auf dem Werksgelände zum Einsatz kommen. Dort erfolgt der Anflug auf Ladekontakte hochpräzise über optische Passmarken und Nahbereichssensoren.

Sobald ein Fluggerät den geschlossenen Raum verlässt, ändert sich die planerische Herausforderung grundlegend. Nicht mehr die physikalische Flugfähigkeit oder die Traglast des Geräts begrenzen den Einsatz, sondern die Nachweisführung in der Betriebsgenehmigung. Trifft das unbemannte System bordseitige Flugentscheidungen im Außenbereich, steigen die regulatorischen Anforderungen an die Nachweisführung deutlich.

Die Verordnung (EU) 2019/947 unterteilt den Betrieb in die Kategorien offen, speziell und zulassungspflichtig. Nahezu alle komplexen Inspektionsflüge mit autonomer oder automatisierter Trajektorienführung fallen in die spezielle Kategorie. Für diesen Rahmen ist eine systematische Risikobewertung vorgeschrieben, deren Details in der praxisbezogenen Einordnung zur BVLOS-Genehmigung nach EU-Drohnenverordnung vertieft werden. Anstatt auf Ausnahmegenehmigungen zu hoffen, müssen Betreiber eine nachvollziehbare Sicherheitskette vorweisen, die fehlerhafte autonome Entscheidungen im Luftraum wirksam eingrenzt.

Ein zentrales rechtliches Kriterium für bordseitige Entscheidungslogiken ist das Verhalten bei Verbindungsverlust. Punkt UAS.SPEC.050 in Teil B des Anhangs der Verordnung (EU) 2019/947 verpflichtet den UAS-Betreiber, Verfahren und Betriebsgrenzen passend zur vorgesehenen Betriebsart und zum jeweiligen Risiko festzulegen. Das deterministische Verhalten bei Verlust der Steuerungs- und Kontrollverbindung (C2-Link) gehört damit in die dokumentierten Betriebsverfahren des Betreibers, und ein Kontrollverlust darf nicht dazu führen, dass das unbemannte Fluggerät das zugewiesene Einsatzvolumen unkontrolliert verlässt.

Die regulatorische Risikobewertung folgt dem aktuellen Standard SORA 2.5, der von der internationalen Expertenorganisation JARUS erarbeitet und von der EASA mit der ED Decision 2025/018/R vom 29. September 2025 offiziell eingeführt wurde (integriert in die Revision Juni 2026 der Easy Access Rules for Unmanned Aircraft Systems).

In SORA 2.5 nimmt das Containment (die Rückhaltung) eine Schlüsselrolle ein: Es wird bereits in Schritt 8 bewertet, noch bevor in Schritt 9 die eigentlichen operativen Sicherheitsziele (Operational Safety Objectives, OSOs) bestimmt werden. Bewertet wird das Restrisiko, dass das System durch Fehlfunktionen oder Navigationsfehler das definierte Betriebsvolumen verlässt und in das angrenzende Gebiet eindringt. Die Risikoanalyse differenziert hierbei exakt zwischen dem operationellen Betriebsvolumen, dem Bodenrisikopuffer und dem angrenzenden Luftraum. Ein autonomes System muss garantieren, dass es bei einem Abbruch des C2-Links sofort in ein vorprogrammiertes, sicheres Contingency-Verhalten übergeht, etwa durch automatisches Verharren, kontrollierten Rückflug oder Notlandung innerhalb des Puffers.

Für Betreiber von Industrieanlagen stellt sich in Genehmigungsverfahren regelmäßig dasselbe Problem: Hersteller werben mit hochentwickelter künstlicher Intelligenz und bordseitiger Autonomie, liefern für die Genehmigungsbehörde jedoch keine standardisierten Prüfbelege. Behörden und Prüfinstitutionen akzeptieren keine reinen Marketingversprechen. Erforderlich sind nachvollziehbare, herstellerunabhängige Prüfberichte und validierte Hardwaredokumentationen.

Besonders kritisch ist dieser Nachweis bei anspruchsvollen Infrastrukturprüfungen mit geringen Sicherheitsabständen zu Tragwerken, wie etwa bei der Brückeninspektion ohne Sperrung. Hier muss der Betreiber exakt nachweisen können, wie das System auf unvorhergesehene Windböen, GNSS-Abschattungen oder Sensorstörungen reagiert.

• Deterministische Abbruchkriterien: Nachweis, dass der Bordcomputer bei Sensorausfall oder Widersprüchen in der Lagebestimmung definierte Sicherheitsmanöver auslöst, statt unberechenbare Korrekturen zu berechnen.
• Validierte Geofencing- und Puffergrenzen: Prüfnachweise darüber, dass physikalische Begrenzungen im Speicher der Flugsteuerung manipulationssicher hinterlegt sind und nicht durch Software-Timeouts überflogen werden.
• Vollständige Telemetrieprotokollierung: Lückenlose Aufzeichnung aller Sensorrohdaten, Steuerungskommandos und Zustandsentscheidungen des Bordstapels zur nachträglichen Auditierung durch Prüfbehörden.
• Dokumentierte Failure-Modes: Schriftliche Verifikation der Ausfallwahrscheinlichkeiten einzelner Komponenten des bordseitigen Navigationsrechners gemäß den geforderten Integritätsstufen.

Die Einführung bordautonomer Inspektionssysteme erfordert eine präzise Formulierung in Ausschreibungen und Pflichtenheften. Betreiber sollten technische Spezifikationen nicht auf Flugzeiten und Sensormodelle beschränken, sondern die regulatorischen Nachweispflichten zum Kern der Beschaffung machen.

1. Betriebsbereich schriftlich fixieren: Eindeutige Definition der Umweltgrenzen (Temperaturbereich, Staubbelastung, Windstärken, GNSS-Verfügbarkeit und Beleuchtungsverhältnisse), für die der bordseitige Algorithmus zertifiziert ist.
2. Ausfallverhalten deterministisch festlegen: Vertragliche Fixierung der genauen Notfallprozeduren bei Verlust von C2-Link, Einzelsensoren oder Batteriespannung.
3. Flugprotokolle als prüfbarer Nachweis: Verpflichtung des Anbieters zur Bereitstellung standardisierter, unverschlüsselter Telemetriedaten zur Erfüllung behördlicher Nachweispflichten.
4. Genehmigungsinhaberschaft und Betriebsverantwortung regeln: Klare vertragliche Zuweisung, wer als registrierter Betreiber auftritt, wer die Fernpiloten stellt und wer die SORA-Dokumentation pflegt.

Als herstellerunabhängiger Systemintegrator unterstützt werob Betreiber dabei, diese Schnittstellen zwischen Technologie, Genehmigungsrecht und Betriebspraxis zu strukturieren. Die werob Platform bildet hierfür das softwaregestützte Fundament: Sie begleitet Unternehmen von der neutralen Spezifikation und Systemauswahl über die betriebliche Softwareintegration bis zum kontinuierlichen Monitoring der eingesetzten Flotten, ohne selbst als OEM oder Modellentwickler aufzutreten. Betreiber erhalten so eine geprüfte, herstellerneutrale Gesamtlösung, die im industriellen Alltag sowohl technisch als auch genehmigungsrechtlich Bestand hat.