Compliance · 13 Min. Lesezeit

Videowand-Compliance: Regulatorik für die Beschaffung

Zuletzt aktualisiert: 2026-06-01

Für einen Leitstand, ein NOC oder ein SOC ist Compliance kein am Ende der Beschaffung abgehaktes Kästchen. Sie ist die Einschränkung, die entscheidet, welche Hersteller überhaupt bieten dürfen. Eine Videowand, die die regulatorische Prüfung nicht besteht, ist keine Videowand, die der Käufer installieren kann — ungeachtet von Preis oder Funktionen. Dieser Artikel kartiert die regulatorischen Rahmen, die die Beschaffung von Leitstand-Videowänden tatsächlich formen — nach Rechtsraum — und wie jeder die Architektur einschränkt.

Warum Compliance die Beschaffung anführt

Ein Boardroom-Display hat fast keine Compliance-Oberfläche. Eine Leitstand-Videowand hat eine große, weil sie operative Daten trägt, die Regulierer klassifizieren und schützen: Live-Kamera-Feeds (personenbezogene Daten), Telemetrie kritischer Infrastruktur, Sicherheitsereignisse, Netzwerkzustände, die Kundenauswirkungen offenbaren. Die Wand ist kein passiver Bildschirm — sie ist ein informationsverarbeitendes System, und der Regulierer behandelt sie als solches.

Die praktische Folge: Schreiben Sie die Compliance-Anforderungen zuerst in die Ausschreibung, bewerten Sie dann Hersteller daran. Ein Bake-off, der Hersteller nach Funktionen einordnet und die Compliance-Lücke danach entdeckt, verschwendet die Zeit aller.

Russland — Минцифры-Register und FZ-187

Zwei Rahmen dominieren die russische Leitstand-Beschaffung:

Минцифры-Register russischer Software. Staatsbetreiber und viele staatsnahe Käufer sind verpflichtet, aus dem Register inländischer Software zu beschaffen. Ein nicht-russischer Hersteller ist von diesen Ausschreibungen per Definition ausgeschlossen — deshalb gewinnen Polywall und andere im Register gelistete RU-Hersteller Staatsbeschaffungen, die westliche Stacks nicht betreten können.
FZ-187 — kritische Informationsinfrastruktur. Energie, Verkehr, Finanzen, Gesundheitswesen und Regierungsbetriebe sind als kritische Infrastruktur ausgewiesen. Ihre Systeme müssen die Betriebsschicht im Land halten und für die höheren Bedeutungskategorien oft per Air-Gap. Eine cloud-abhängige Videowand scheitert für diese Käufer an FZ-187 — siehe den Artikel zur Hybrid-Cloud-Architektur für die On-Premise-Anforderung.

FZ-152 (Lokalisierung personenbezogener Daten) gilt ebenfalls überall dort, wo Kamera-Feeds identifizierbare Personen erfassen — die Daten müssen auf Servern innerhalb Russlands verarbeitet werden.

Europäische Union — DSGVO, BSI C5, ANSSI

DSGVO. Live-Kamera-Feeds, die identifizierbare Personen enthalten, sind personenbezogene Daten nach Artikel 4(1). Die Wand verarbeitet diese Daten; sie über eine Steuerungsebene außerhalb der EU zu verarbeiten oder über eine, die von einem dem US CLOUD Act unterliegenden Anbieter betrieben wird, erfordert Schutzmaßnahmen, die die meisten Anlagen nicht etablieren können. Die saubere Antwort ist On-Premise-Verarbeitung ohne Datenpfad in ein Drittland.
BSI C5 (Deutschland). Der Cloud Computing Compliance Criteria Catalogue des Bundes setzt die Messlatte für Cloud-Sicherheit in der Beschaffung des öffentlichen Sektors. Allzweck-SaaS-Steuerungsebenen erreichen sie selten, was deutsche Regierungs-Leitstände zu On-Premise- oder Souveräne-Cloud-Designs drängt.
ANSSI (Frankreich). Die französische nationale Cybersicherheitsbehörde stellt Anforderungen an die Betreiber von vitaler Bedeutung (OIV) und wesentlichen Diensten (OSE). Französische Leitstände kritischer Infrastruktur bewerten Videowand-Systeme an der ANSSI-Vorgabe, die On-Premise-, auditierbare Designs mit minimaler Angriffsfläche bevorzugt.

USA — FedRAMP, DoD Impact Levels und CISA

Eine US-Bundesanlage, die kontrollierte nicht-klassifizierte oder klassifizierte Daten verarbeitet, kann eine Videowand nicht über eine kommerzielle SaaS-Steuerungsebene routen, ohne FedRAMP-Autorisierung auf der passenden Ebene — und für Verteidigungsanlagen heben die DoD Impact Levels (IL4, IL5, IL6) die Messlatte weiter an. Die Standarderwartung für diese Bereitstellungen ist On-Premise-Verarbeitung mit NIPRNet- oder Air-Gap-Isolierung. Das Beschaffungsteam erhält selten eine Cloud-Autorisierung, sodass cloud-abhängige Architekturen früh ausgeschlossen werden.

Für Käufer kritischer Infrastruktur ist eine CISA-Videowand-Anforderung meist keine Bitte um ein von CISA zertifiziertes Videowand-Produkt. Es bedeutet, dass die Wand zum erwarteten Cybersicherheitsprofil rund um CISA-konforme Operationen passen muss: bekannte Assets, segmentierte Netze, MFA oder SSO für Bediener, keine gemeinsam genutzten Admin-Passwörter, rollenbasierte Wand-Steuerung, auditierbare Aktionen, dokumentierte Patch-Fenster, kontrollierter Remote-Support und ein Wiederherstellungspfad, der auch dann funktioniert, wenn der Standort isoliert ist.

Identität: Wand-Benutzer sind benannten Bedienern oder Service-Accounts zugeordnet, nicht gemeinsamen Raum-Zugangsdaten. Nutzen Sie den Leitfaden für Videowand-RBAC, -SSO und -API für das Bediener-Zugriffsmodell.
Protokollierung: Layout-Änderungen, Quellen-Hervorhebung, Admin-Aktionen, API-Aufrufe und Support-Zugriffe sind mit Zeitstempel versehen und für die Vorfall-Nachprüfung aufbewahrt.
Isolierung: Räume mit Zugangsbeschränkung können weiterhin freigegebene lokale Quellen rendern, ohne Hersteller-Cloud-Zugriff. Siehe den Air-Gap-Videowand-Leitfaden für die Sprache einer cloudlosen Architektur.
Lieferkette: Der Käufer kann die Herkunft von Betriebssystem, Server, Capture, Updates, Support und Software dokumentieren, statt die Wand als Blackbox zu behandeln.

ISO 11064 — Leitstand-Ergonomie überall

ISO 11064 ist keine Sicherheitsregulierung — es ist der internationale Standard für die ergonomische Gestaltung von Leitzentralen, und er gilt über Rechtsräume hinweg. Er umfasst die physische Anordnung des Leitstands, die Sichtlinien zur Videowand, Betrachtungsabstände, Display-Höhen und die Anordnung der Bediener-Arbeitsplätze.

ISO 11064 schließt selten einen Hersteller aus, formt aber die Wandspezifikation: Der Betrachtungsabstand, den der Standard aus der Raumanordnung ableitet, treibt den Display-Pixelabstand (siehe den MicroLED-Artikel für die Pitch-zu-Distanz-Berechnung), und die Sichtlinien-Anforderungen treiben Wandgröße und Montage. Eine Beschaffung, die ISO 11064 zitiert, signalisiert, dass das Wand-Design gegen die Bediener-Ergonomie gerechtfertigt werden muss, nicht einfach aus einem Katalog gewählt.

Wie Compliance die Architektur formt

Streicht man die Rechtsräume herunter, laufen die regulatorischen Rahmen auf eine kleine Menge architektonischer Anforderungen zusammen:

On-Premise-Verarbeitung. Fast jeder ernsthafte Rahmen verlangt, dass Video und operative Daten vor Ort bleiben. Cloud-abhängige Architekturen sind von regulierten Bereitstellungen ausgeschlossen.
Air-Gap-Fähigkeit. Die Kategorien höherer Bedeutung (FZ-187 kritische Infrastruktur, DoD IL5+, ANSSI OIV) verlangen oft, dass die Wand ganz ohne ausgehende Konnektivität arbeitet.
Auditierbarkeit. Wer die Wand wann geändert hat und was angezeigt wurde — der Audit-Trail ist eine wiederkehrende Anforderung, weil die Nachprüfung nach einem Vorfall davon abhängt.
Minimale Angriffsfläche. Weniger externe Abhängigkeiten, weniger offene Ports, standardisierte, auditierbare Komponenten — das Sicherheitsprüfungsprofil bevorzugt einfach vor clever.
Beschaffung von inländischen Herstellern, wo vorgeschrieben. Die Минцифры-Register-Anforderung ist binär — sie entscheidet den Herstellerpool vor jeder technischen Bewertung.

Wo Craft Wall passt — ehrlich

Die Architektur von Craft Wall deckt sich mit den gängigen Anforderungen: On-Premise-first, Air-Gap-fähig, lokal bereitgestellte Browser-Steuerung, standardisierte, auditierbare Linux-Komponenten, keine verpflichtende Cloud-Abhängigkeit. Für Bereitstellungen, bei denen die Einschränkung lautet „alles im Gebäude halten und auditierbar machen", ist die Architektur eine saubere Passung.

Die ehrlichen Grenzen: Craft Wall ist ein in Russland gebautes Produkt, das noch nicht im Минцифры-Register gelistet ist (Antrag in Vorbereitung), sodass russische Staatsbeschaffungen, die an das Register gebunden sind, heute Polywall oder einen anderen im Register gelisteten Hersteller bewerten sollten. Craft Wall hält derzeit keine FedRAMP-, BSI-C5- oder formale ISO-11064-Zertifizierung; Bereitstellungen, die eine bestimmte Zertifizierung als Ausschreibungszeile verlangen, sollten den Zertifizierungsstatus des Herstellers direkt bestätigen, statt anzunehmen, dass architektonische Übereinstimmung gleich Zertifizierung ist. Dass die Architektur compliance-förmig ist und der Hersteller ein bestimmtes Zertifikat hält, sind zwei verschiedene Dinge, und eine sorgfältige Beschaffung prüft beides.

Fazit

Compliance ist der erste Filter in einer Leitstand-Videowand-Beschaffung, nicht der letzte. Kartieren Sie die regulatorischen Rahmen, die für die Bereitstellung gelten, schreiben Sie sie als harte Anforderungen in die Ausschreibung und bewerten Sie Hersteller daran, bevor Sie auf Funktionen oder Preis schauen. Die Architektur-Anforderungen laufen zusammen — On-Premise, Air-Gap-fähig, auditierbar, minimale Angriffsfläche — und ein Hersteller, der diese nicht erfüllen kann, ist kein Kandidat, wie die Demo auch aussieht.

Weiterlesen: Hybrid-Cloud-Videowände für die On-Premise-/Cloud-Aufteilung, Videowand-RBAC, -SSO und -API für CISA-konformen Bediener-Zugriff, die NOC-Referenzarchitektur für ein konformes On-Premise-Design, und der Vergleich der acht Plattformen dazu, wo jeder Hersteller auf der Compliance-Achse steht.

Häufig gestellte Fragen

Welche Vorschriften gelten für die Beschaffung einer Leitstand-Videowand?

Fünf regulatorische Rahmen entscheiden die meisten Beschaffungen: (1) DSGVO (EU) für den Umgang mit personenbezogenen Daten in jedem Kamera-Feed; (2) BSI C5 (Deutschland) für die Cloud-Nutzung in kritischer Infrastruktur; (3) ANSSI (Frankreich) für Bereitstellungen im staatlichen Sektor; (4) FedRAMP + DoD Impact Levels (USA) für Bundesbereitstellungen; (5) ISO 11064 (global) für die Ergonomie der Bediener-Arbeitsplätze. In Russland sind FZ-187 (КИИ) und die Konformität mit dem Минцифры-Register die dominierenden Einschränkungen; im Gesundheitswesen HIPAA in den USA und ähnliche nationale Gesetze andernorts.

Ist die DSGVO eine Einschränkung für Videowände?

Ja, immer wenn Kamera-Feeds identifizierbare Personen erfassen. DSGVO-Artikel 6 verlangt eine Rechtsgrundlage für die Verarbeitung solcher Daten; Artikel 32 schreibt Sicherheitskontrollen vor; Artikel 30 verlangt Verarbeitungsverzeichnisse. Praktisch: (1) Quellen-Feeds müssen im DSGVO-kontrollierten Gebiet bleiben, (2) der Bediener-Zugriff muss protokolliert und widerrufbar sein, (3) die Datenspeicherung hat ein Maximum (meist 30-90 Tage für Kameraspeicherung). Das Hybrid-Cloud-Architekturmuster ist genau darauf ausgelegt, diese zu erfüllen.

Was verlangt ISO 11064 von einer Leitstand-Videowand?

ISO 11064 setzt eine ergonomische Basislinie für Bediener-Arbeitsplätze und gemeinsame visuelle Displays. Wichtige wandrelevante Klauseln: (1) Sichtwinkel-Grenzen — jeder Bediener muss die Wand innerhalb eines horizontalen 60°-Kegels sehen; (2) Blendungskontrolle — keine direkte Lichtquelle in der Reflexionsebene der Wand; (3) Informationsdichte-Grenzen — nicht mehr als 9-12 verschiedene Informationsbereiche pro visuellem Bediener-Kegel zugleich; (4) Zugänglichkeit — der Wandinhalt muss von allen Sitzpositionen der Bediener lesbar bleiben, einschließlich ganz links / rechts. Die meiste moderne Wandsoftware unterstützt dies über Layout-Vorlagen.

Wie wirkt sich das Минцифры-Register auf die Videowand-Beschaffung in Russland aus?

Für Beschaffungen im staatlichen Sektor und in kritischer Infrastruktur (КИИ) ist der Kunde verpflichtet, aus dem Минцифры-Register (Ministerium für digitale Entwicklung) russischer Software zu beschaffen. Nicht registrierte Hersteller (Userful, Hiperwall, Datapath, Barco, Christie, VuWall, Craft Wall) sind nicht zugelassen. Registrierte Alternativen: Polywall (Polymedia), BridgeWall und eine kleine Gruppe inländischer Anbieter. Präferenzen für ausländische Hersteller in nicht-kritischen AV-Bereitstellungen bestehen fort, verschärfen sich aber mit der Weiterentwicklung von FZ-187.

Gilt FedRAMP für Regierungs-Leitstandwände?

FedRAMP gilt für die Nutzung von Cloud-Diensten durch US-Bundesbehörden — direkt relevant für cloud-verwaltete und Hybrid-Cloud-Videowand-Plattformen, die Bundeskunden bedienen. Impact Level Moderate ist die typische Basislinie für zivile Behörden; Impact Level High für Verteidigung und Nachrichtendienste. Reine On-Premise-Videowand-Software liegt per Definition außerhalb des FedRAMP-Geltungsbereichs. Hersteller, die auf die US-Bundesbeschaffung zielen, zertifizieren entweder die Cloud-Steuerungsebene (Userful hat eine FedRAMP-Autorisierung für Teile der Infinity Platform) oder positionieren sich als reines On-Premise.

Weiterführende Artikel