Praxisorientierte Einordnung zu Sicherheitsüberprüfung und Need-to-know: Zugriffe im VS-NfD-Umfeld gestalten: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für VS-NfD aufbauen.
Bei VS-NfD-Projekten werden drei unterschiedliche Fragen häufig vermischt: Muss eine Person formell sicherheitsüberprüft sein? Muss sie über die besonderen Regeln belehrt und auf deren Einhaltung verpflichtet werden? Und welche Teile einer Verschlusssache darf sie für ihre konkrete Aufgabe tatsächlich kennen? Wer diese Ebenen trennt, vermeidet sowohl gefährlich breite Zugriffe als auch unnötige Personalverfahren.
Das Sicherheitsüberprüfungsgesetz definiert Need-to-know als gesetzlichen Grundsatz für sämtliche Verschlusssachen. Zugleich knüpft es die formelle Sicherheitsüberprüfung im Regelfall an bestimmte sicherheitsempfindliche Tätigkeiten, insbesondere den Zugang zu VS-VERTRAULICH oder höher. Für reine VS-NfD-Aufträge sieht das aktuelle Merkblatt dagegen eine nachweisbare Belehrung und Verpflichtung vor. Vertrag und Auftraggeber können den konkreten Einsatzrahmen zusätzlich präzisieren.
Drei Prüfungen statt einer pauschalen „Freigabe“
Eine belastbare Zugangsentscheidung besteht aus drei voneinander unabhängigen Schritten. Zuerst wird geprüft, ob Gesetz oder besonderer Einsatzkontext eine Sicherheitsüberprüfung verlangen. Danach wird sichergestellt, dass die Person vor einer Zugangsmöglichkeit ordnungsgemäß belehrt und verpflichtet wurde. Schließlich wird für jede Aufgabe festgelegt, welche Informationen, Systeme und Räume tatsächlich benötigt werden.
Keine dieser Ebenen ersetzt die andere. Eine sicherheitsüberprüfte Person erhält nicht automatisch Zugriff auf alle Verschlusssachen. Umgekehrt macht eine unterschriebene Verpflichtung eine fachlich unnötige Berechtigung nicht zulässig. Das Rollen- und Berechtigungsmodell muss alle drei Entscheidungen sichtbar abbilden.
Was das Sicherheitsüberprüfungsgesetz unter Need-to-know versteht
Nach § 4 Absatz 1a SÜG dürfen nur Personen Kenntnis erhalten, die diese aufgrund ihrer Aufgabenerfüllung haben müssen. Zudem darf niemand umfassender oder früher unterrichtet werden, als es für die Aufgabe notwendig ist. Need-to-know besitzt damit eine sachliche, zeitliche und mengenmäßige Dimension.
Die FAQ zum VS-NfD-Merkblatt betont die enge Auslegung: Die Kenntnis muss zwingend für eine spezifische Aufgabe erforderlich sein. „Mitarbeit im Projekt“, Hierarchie oder technische Bequemlichkeit genügen nicht. Zugriffe werden deshalb auf konkrete Arbeitspakete, Informationsarten und Zeiträume bezogen.
Wann eine formelle Sicherheitsüberprüfung vorgesehen ist
§ 1 SÜG zählt die sicherheitsempfindlichen Tätigkeiten auf. Dazu gehört insbesondere, wer Zugang zu STRENG GEHEIM, GEHEIM oder VS-VERTRAULICH eingestuften Verschlusssachen hat oder ihn sich verschaffen kann. Hinzu kommen besondere Konstellationen, etwa Verpflichtungen gegenüber über- oder zwischenstaatlichen Einrichtungen oder Tätigkeiten in ausdrücklich bestimmten Sicherheitsbereichen und Einrichtungen.
Damit darf aus dem Begriff „Verschlusssache“ nicht pauschal gefolgert werden, dass jede VS-NfD-Aufgabe automatisch ein formelles Überprüfungsverfahren auslöst. Das BMWE-Sicherheitsforum stellt für das VS-NfD-Merkblatt ausdrücklich klar, dass eine Sicherheitsüberprüfung für VS-NfD gesetzlich nicht vorgesehen ist. Ob ein Projekt daneben einen anderen gesetzlichen oder vertraglichen Auslöser enthält, muss dennoch im Einzelfall geprüft werden.
VS-NfD-Verpflichtung ist kein Ersatzbegriff für Sicherheitsüberprüfung
Bevor eine Person Zugang oder auch nur eine Zugangsmöglichkeit zu VS-NfD erhält, muss das Unternehmen sie nach Teil 2 des Merkblatts belehren und auf die Einhaltung verpflichten. Bei Zugang zu VS-NfD auf IT ist zusätzlich Teil 3 einzubeziehen. Belehrung, Verpflichtung und Empfang der erforderlichen Teile werden mit dem in Teil 5 vorgesehenen Nachweis dokumentiert.
Dieses Verfahren ist auf den sicheren Umgang im Auftrag ausgerichtet. Es umfasst keine behördliche Prüfung persönlicher Lebensumstände wie ein Sicherheitsüberprüfungsverfahren. In Richtlinien und Personalunterlagen sollten daher die korrekten Begriffe verwendet werden, damit Beschäftigte, Projektleitung und Prüfer wissen, welcher Nachweis tatsächlich vorliegt.
Die Rolle bestimmt den Informationsbedarf
Need-to-know beginnt mit einer verständlichen Aufgabenbeschreibung. Für jede Rolle wird festgehalten, welche Arbeitsergebnisse sie erzeugt, prüft oder freigibt und welche eingestuften Informationen dafür zwingend erforderlich sind. Erst danach werden Systeme, Ordner, Dokumentklassen und Räume zugeordnet.
Ein Softwareentwickler kann beispielsweise Quellcode und technische Schnittstellen benötigen, aber keine vollständige operative Lagebeschreibung. Der Einkauf benötigt möglicherweise Vertrags- und Lieferinformationen, jedoch keine Systemkonfiguration. Die Geschäftsführung braucht Entscheidungsinformationen, ohne automatisch Zugriff auf sämtliche Arbeitsunterlagen zu erhalten.
Kenntnis, Zugriff, Zugang und Zutritt unterscheiden
Das BSI unterscheidet in den Umsetzungshinweisen zwischen Zugriff auf Informationen, Zugang zu VS-IT-Systemen und Zutritt zu räumlich abgegrenzten Bereichen. Diese Begriffe beschreiben verschiedene Schutzebenen. Wer einen Raum betreten darf, muss nicht jedes darin verarbeitete Dokument kennen dürfen; wer ein System administriert, benötigt nicht automatisch fachliche Leserechte.
Ein gutes Berechtigungsmodell führt deshalb getrennte Matrizen oder Attribute für Raumzutritt, Systemnutzung, Informationszugriff und administrative Sonderrechte. Die Kombination wird auf unbeabsichtigte Umgehungen geprüft. Ein Administrator ohne Leserecht kann durch Backup, Debugging oder Datenbankzugriff dennoch faktisch Kenntnis erlangen.
Administratoren nach dem möglichen Zugriff beurteilen
Bei privilegierten Rollen zählt nicht nur die vorgesehene tägliche Tätigkeit, sondern die technische Möglichkeit. Betriebssystem-, Speicher-, Netzwerk-, Sicherheits- und Backup-Administratoren können Inhalte oder Schlüssel oft indirekt erreichen. Diese Zugangsmöglichkeit muss in Verpflichtung, Need-to-know-Entscheidung und technischer Gestaltung berücksichtigt werden.
Geeignete Gegenmaßnahmen sind Aufgabentrennung, temporäre Privilegien, Vier-Augen-Freigabe, besonders geschützte Administrationswege, Protokollierung und Verschlüsselung mit getrenntem Schlüsselzugriff. Ziel ist nicht, Administratoren formal auszuschließen, sondern ihre tatsächliche Kenntnismöglichkeit auf das notwendige Maß zu reduzieren und nachvollziehbar zu kontrollieren.
Reinigung, Sicherheit, Wartung und Support einbeziehen
Need-to-know betrifft auch Personen außerhalb des Kernteams. Reinigungskräfte können unverschlossene Unterlagen sehen, Haustechnik kann geschützte Räume betreten und Software-Support kann Bildschirm oder Protokolle einsehen. Der FAQ-Katalog nennt solche Konstellationen ausdrücklich als typische Anwendungsfälle für organisatorische Absicherung.
Je nach Szenario werden Tätigkeiten außerhalb der Verarbeitungszeit geplant, Personen begleitet, Unterlagen verschlossen, Bildschirme gesperrt oder technische Daten vor einer Supportübergabe bereinigt. Wenn eine Zugangsmöglichkeit nicht zuverlässig ausgeschlossen werden kann, ist die Person in den Verpflichtungs- und Berechtigungsprozess einzubeziehen.
Zeitliche Begrenzung konsequent umsetzen
Das Gesetz verbietet nicht nur zu umfassende, sondern auch zu frühe Kenntnis. Zugriffe werden deshalb möglichst kurz vor dem tatsächlichen Arbeitspaket aktiviert und nach Abschluss wieder entzogen. Reserven „für den Fall der Fälle“ widersprechen diesem Prinzip, wenn keine konkrete Aufgabe vorliegt.
Ein wirksamer Prozess verbindet Start- und Enddaten mit Projektplanung und Personalereignissen. Urlaub, Rollenwechsel, Freistellung, Vertragsende oder Wechsel des Unterauftragnehmers lösen definierte Prüfungen aus. Befristete technische Berechtigungen verringern das Risiko, dass ein manueller Entzug vergessen wird.
Informationsmenge auf den Zweck zuschneiden
Auch innerhalb eines Dokuments kann die vollständige Kenntnis unnötig sein. Arbeitspakete lassen sich durch Auszüge, getrennte Anlagen, geschwärzte Fassungen oder abstrahierte technische Spezifikationen begrenzen. Die Einstufung und Kennzeichnung der daraus entstehenden Unterlagen muss durch die zuständige fachliche Stelle geklärt bleiben.
Dashboards und Suchfunktionen verdienen besondere Aufmerksamkeit. Eine Person kann über Einzelberechtigungen korrekt eingeschränkt sein, aber durch Volltextsuche, Vorschau, Metadaten oder aggregierte Berichte mehr erfahren als vorgesehen. Berechtigungstests müssen daher die tatsächliche Benutzeroberfläche und nicht nur die Ordnerstruktur prüfen.
Ein rollenbasiertes Need-to-know-Modell aufbauen
Als Grundlage dient eine Matrix aus Rolle, Aufgabe, Informationsobjekt, zulässiger Handlung, System, Standort und Gültigkeitszeitraum. Rollen werden klein genug definiert, um unterschiedliche Aufgaben zu trennen, aber nicht so kleinteilig, dass niemand sie verwalten kann. Sonderzugriffe werden einzeln begründet und befristet.
Das Modell sollte fachlich genehmigt werden. Die IT kann technisch umsetzen, aber nicht allein entscheiden, welche Kenntnis für einen Projektzweck nötig ist. Verantwortliche Person, Informationsverantwortliche und Projektleitung wirken zusammen; bei Unklarheiten wird der VS-NfD-Auftraggeber einbezogen.
Joiner, Mover und Leaver ohne Lücken
Beim Eintritt werden Identität, Aufgabe, Verpflichtungsnachweis, erforderliche Unterweisung und Freigabe geprüft, bevor Konten aktiviert werden. Beim Rollenwechsel werden alte Rechte nicht bloß um neue ergänzt. Das bisherige Paket wird vollständig bewertet und nur weiterhin notwendige Berechtigungen bleiben bestehen.
Beim Austritt oder Projektende sind Zugriffe, Zutrittsmittel, Datenträger, Papierunterlagen und lokale Kopien einzuziehen. Auch Gruppenzugehörigkeiten, Freigabelinks, Zertifikate, Schlüssel und Zugriff über externe Mandanten werden entfernt. Ein Abschlussnachweis verbindet Personal-, IT- und Projektprozess.
Vertretung und Notfallzugriff richtig planen
Vertretung ist eine legitime Aufgabe, aber kein Grund für dauerhaft doppelte Rechte. Für planbare Abwesenheiten kann eine benannte, verpflichtete und eingewiesene Vertretung zeitlich begrenzt aktiviert werden. Der Umfang orientiert sich an den konkret zu übernehmenden Tätigkeiten.
Für Notfälle eignen sich besonders geschützte Konten oder Freigabeverfahren mit dokumentiertem Anlass. Nutzung wird sofort gemeldet und nachträglich geprüft. Ein Break-Glass-Konto, dessen Passwort allgemein bekannt ist oder das unbemerkt Inhalte öffnet, verletzt den Zweck der Notfallregelung.
Besprechungen als Zugriffssituation behandeln
Teilnehmerlisten werden vorab nach Aufgabenbezug geprüft. Die Einstufung des Themas steht in Einladung und Unterlagen soweit zulässig eindeutig fest; spontane Gäste erhalten nicht automatisch Zugang. Räume, Videokonferenz, Bildschirmfreigabe und mögliche Mithörer müssen den vorgesehenen Personenkreis schützen.
Protokolle und Aufzeichnungen erzeugen neue Informationsobjekte. Automatische Transkription, Meeting-Assistenten oder cloudbasierte Zusammenfassungen können Inhalte an nicht freigegebene Dienste übertragen. Solche Funktionen sind technisch zu deaktivieren oder vor Nutzung ausdrücklich zu bewerten und freizugeben.
Externe Berater und Unterauftragnehmer
Ein Beratungsmandat begründet nicht automatisch Need-to-know. Die FAQ des Sicherheitsforums weist darauf hin, dass Beratung möglich ist, die Pflichten der verantwortlichen Person jedoch bestehen bleiben und die technisch-organisatorische Absicherung eine unzulässige Weitergabe verhindern muss. Oft kann Beratung auf Basis abstrahierter Sachverhalte ohne Kenntnis der VS erfolgen.
Muss ein Unterauftragnehmer tatsächlich VS-NfD erhalten, sind Zustimmung des öffentlichen Auftraggebers, vertragliche Einbindung, Verpflichtung und technische Absicherung vor der Weitergabe zu klären. Die gleiche Prüfung gilt für Personal des Unterauftragnehmers; eine pauschale Unternehmensfreigabe genügt nicht.
Technische Durchsetzung in Systemen
Gruppen und Rollen werden nach dem Minimalprinzip konfiguriert. Wo möglich, trennen Mandanten, Projekte oder Sicherheitszonen die Informationsbestände. Starke Authentisierung, kontrollierte Endgeräte und gesicherte Administrationswege verhindern, dass ein korrektes fachliches Rollenmodell durch schwache Technik unterlaufen wird.
Schnittstellen und Zusammenschaltungen sind gesondert zu bewerten. Das BSI verlangt bei der Verbindung von VS-IT die Prüfung, welche Informationen ausgetauscht werden dürfen, ob die Verbindung zwingend erforderlich ist und ob der Gesamtbestand eine andere Einstufung bewirken kann. Systemübergänge müssen die Need-to-know-Grenzen technisch erhalten.
Rezertifizierung auf fachliche Notwendigkeit ausrichten
Eine regelmäßige Berechtigungsprüfung darf nicht zur routinemäßigen Bestätigung langer Listen werden. Verantwortliche erhalten verständliche Informationen: Person, Rolle, konkrete Aufgabe, Datenumfang, letzter Zugriff, Enddatum und Sonderrechte. Nicht erklärbare Rechte werden entzogen oder bis zur Klärung gesperrt.
Die Frequenz richtet sich nach Projektdynamik und Risiko. Zusätzlich lösen organisatorische Änderungen, neue Systeme, Vorfälle oder Hinweise auf ungeeigneten Umgang eine außerordentliche Prüfung aus. Das Geheimschutzhandbuch verlangt, Personen von der Bearbeitung auszuschließen, wenn sie sich für die Einhaltung der Verpflichtung als ungeeignet erweisen oder dagegen verstoßen haben.
Wirksamkeit mit Negativtests prüfen
Ein positiver Test zeigt, dass eine berechtigte Person arbeiten kann. Für Need-to-know ist ebenso wichtig, dass eine nicht berechtigte Person weder über Suche, Vorschau, Export, Backup noch direkten Link zugreifen kann. Testkonten und kontrollierte Stichproben machen Fehlkonfigurationen sichtbar.
Auch physische Szenarien werden getestet: Ist ein Ausdruck nach Feierabend zugänglich? Kann ein Besucher unbeaufsichtigt einen Bildschirm sehen? Erhält die Vertretung mehr Unterlagen als vorgesehen? Ergebnisse fließen in Rollenmodell, Unterweisung und technische Kontrollen zurück.
Datenschutz bei Personalnachweisen beachten
Verpflichtungsnachweise, Berechtigungsentscheidungen und gegebenenfalls Unterlagen aus formellen Sicherheitsüberprüfungen haben unterschiedliche Zwecke und Schutzanforderungen. Sie sollten nicht in einer allgemein zugänglichen Projektablage vermischt werden. Zugriffe auf Personal- und Sicherheitsinformationen werden ebenfalls nach Need-to-know begrenzt.
Die Projektleitung benötigt beispielsweise den Status, dass eine notwendige Voraussetzung erfüllt ist, nicht sämtliche Hintergrundinformationen. Aufbewahrung, Berichtigung und Löschung werden nach der jeweils einschlägigen Rechts- und Vertragsgrundlage geregelt. Das reduziert unnötige personenbezogene Datenbestände.
Ein kompakter Entscheidungsablauf
- Konkrete Aufgabe und benötigte VS-NfD-Informationen beschreiben.
- Gesetzlichen oder besonderen Auslöser einer Sicherheitsüberprüfung prüfen.
- Belehrung, Verpflichtung und erforderliche Merkblattteile vor Zugang nachweisen.
- Zugriff, Systemzugang und Raumzutritt getrennt fachlich genehmigen.
- Rechte technisch minimal, zeitlich begrenzt und nachvollziehbar einrichten.
- Wirksamkeit testen, regelmäßig rezertifizieren und bei Änderungen sofort anpassen.
Typische Fehlannahmen
„Verpflichtet“ bedeutet nicht „für alles freigegeben“. „Sicherheitsüberprüft“ bedeutet nicht „darf jede VS sehen“. „Administrator“ bedeutet nicht „braucht vollständigen Inhaltszugriff“. Und „Mitglied des Projekts“ ist keine ausreichende Need-to-know-Begründung. Diese Kurzschlüsse führen zu unnötigen Kenntnismöglichkeiten.
Das Gegenstück ist pauschale Übererfüllung: Eine formelle Sicherheitsüberprüfung wird für jede VS-NfD-Rolle verlangt, ohne gesetzlichen oder besonderen Auslöser zu prüfen. Das bindet Zeit, verarbeitet sensible Personendaten und schafft trotzdem kein gutes Berechtigungsmodell. Präzise Trennung ist sicherer und effizienter.
Fazit: Vertrauen ersetzt keine begründete Zugriffentscheidung
Der Schutz von VS-NfD stützt sich auf klar definierte Aufgaben, nachweisbare Verpflichtung und konsequentes Need-to-know. Formelle Sicherheitsüberprüfungen werden dort durchgeführt, wo Gesetz oder besonderer Einsatzkontext sie verlangen; sie sind weder pauschale Voraussetzung jeder VS-NfD-Tätigkeit noch Ersatz für minimale Berechtigungen.
BlackMount unterstützt beim Aufbau eines belastbaren Rollen- und Zugriffskonzepts für VS-NfD-Umgebungen. Dazu gehören die richtige Einordnung personeller Voraussetzungen, Verpflichtungsprozesse, Berechtigungsmatrizen, technische Negativtests und prüffähige Nachweise.
