Praxisorientierte Einordnung zu VS-NfD-Arbeitsplätze einrichten: Typische Fehler und belastbare Nachweise: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für VS-NfD aufbauen.
Ein VS-NfD-Arbeitsplatz ist kein gewöhnlicher Bürorechner mit zusätzlicher Festplattenverschlüsselung. Er ist Teil einer kontrollierten Einsatzumgebung, in der Personen, Räume, Hardware, Software, Kommunikation, Administration, Aufbewahrung und Vernichtung gemeinsam das geforderte Schutzniveau herstellen. Die konkrete Ausgestaltung hängt vom Auftrag, dem VS-NfD-Merkblatt und ergänzenden Vorgaben des Auftraggebers ab.
Viele Probleme entstehen, weil zunächst Geräte gekauft und Schutzanforderungen erst danach geprüft werden. Dann passen Produktzulassung, Betriebsbedingungen, Netzwerk, Supportmodell oder Homeoffice-Wunsch nicht zusammen. Ein belastbarer Aufbau beginnt deshalb mit Nutzungsszenario und Datenfluss, bevor eine technische Lösung ausgewählt wird.
Den Arbeitsplatz als Systemgrenze definieren
Zum Arbeitsplatz gehören mehr als Notebook oder Desktop-PC. Eingeschlossen werden Monitor, Dockingstation, Drucker, Wechseldatenträger, Kartenleser, Schlüsselmittel, Netzwerk, zentrale Server, Identitätsdienste, Sicherheitsmanagement, Protokollierung, Backup und Administrationszugänge. Auch der Raum und die Personen mit möglicher Kenntnisnahme sind Teil des Sicherheitsmodells.
Ein Architekturblatt zeigt Komponenten, Datenflüsse und Übergänge zu anderen Netzen. Für jede Verbindung wird dokumentiert, welche Informationen fließen dürfen und welche Schutzfunktion sie absichert. Nicht benötigte Schnittstellen werden deaktiviert. So entsteht eine prüfbare Grenze statt einer Ansammlung vermeintlich sicherer Einzelprodukte.
Das Verarbeitungsszenario vor der Beschaffung beschreiben
Zunächst wird festgelegt, ob Dokumente nur gelesen, selbst erstellt, ausgedruckt, elektronisch übertragen oder mobil bearbeitet werden. Umfang, Einstufung, Standorte, Nutzerzahl, externe Partner, Verfügbarkeit und vorgesehene Betriebsdauer beeinflussen die Architektur. Ebenso wichtig ist die Frage, wo Sicherungen, temporäre Dateien und Schlüssel liegen.
Die Beschreibung wird mit dem öffentlichen Auftraggeber abgestimmt, wenn Vertrag oder Merkblatt dies erfordern. Eine spätere Änderung des Szenarios kann neue Produkt- oder Freigabeanforderungen auslösen. Deshalb enthält das Konzept klare Annahmen und einen Prozess für Änderungen.
Typischer Fehler 1: Handelsübliche Verschlüsselung pauschal gleichsetzen
Eine starke Verschlüsselungsfunktion ist nicht automatisch ein für den VS-Einsatz zugelassenes Sicherheitsprodukt. Der BSI-Katalog der Produktklassen und -typen konkretisiert, für welche Schutzfunktionen eine Zulassungsaussage relevant ist. Produkt, Version, Geheimhaltungsgrad und vorgesehener Einsatzfall müssen zusammenpassen.
Der Nachweis besteht daher nicht aus einem Datenblatt mit dem Wort „military grade“. Er enthält Produktbezeichnung, Version, Zulassungsstatus, abgedeckte Funktion, Einsatz- und Betriebsbedingungen sowie die konkrete Konfiguration. Befristungen und Änderungen der Zulassung werden während des Betriebs überwacht.
Typischer Fehler 2: Nur die lokale Festplatte betrachten
Office-Anwendungen und Betriebssysteme erzeugen Zwischenspeicher, Wiederherstellungsdateien, Suchindizes, Vorschaubilder und Druckspool-Daten. Synchronisationsdienste können Inhalte unbemerkt in zentrale oder externe Speicher übertragen. Ein verschlüsseltes Notebook schützt diese zusätzlichen Kopien nicht, wenn sie außerhalb der gesicherten Umgebung liegen.
Der technische Check verfolgt deshalb eine Testdatei durch den gesamten Lebenszyklus. Speicherorte, Backups, Protokolle und Übertragungen werden ermittelt und auf zulässige Schutzmechanismen geprüft. Nicht erforderliche Cloud- und Telemetriefunktionen werden deaktiviert oder kontrolliert begrenzt.
Typischer Fehler 3: Zulassung ohne Betriebsbedingungen verwenden
Eine Zulassung gilt nicht losgelöst von ihrer vorgesehenen Einsatzumgebung. Sicherheitsfunktionen können bestimmte Hardware, Schlüsselmittel, Netzgrenzen, Konfigurationen oder organisatorische Verfahren voraussetzen. Wer nur den Produktnamen prüft, kann trotz zugelassener Komponente einen nicht abgedeckten Gesamtbetrieb aufbauen.
Für jede Komponente wird deshalb eine Umsetzungsakte geführt. Sie ordnet relevante Betriebsbedingungen konkreten technischen oder organisatorischen Maßnahmen zu und benennt den Nachweis. Abweichungen werden vor Inbetriebnahme mit zuständiger Stelle geklärt, nicht nachträglich als lokale Risikoakzeptanz behandelt.
Typischer Fehler 4: Normales Unternehmensnetz ohne Übergangsprüfung
Die Verbindung eines VS-NfD-Arbeitsplatzes mit allgemeiner Unternehmens-IT kann neue Kenntnismöglichkeiten und Angriffswege schaffen. Verzeichnisdienste, Softwareverteilung, Monitoring, Fernwartung und zentrale Protokollierung erhalten technisch häufig weitreichenden Zugriff. Eine Firewall-Regel allein beantwortet diese Fragen nicht.
Das BSI fordert bei Zusammenschaltungen eine dokumentierte Bewertung der Notwendigkeit, der entstehenden Gefährdung und des Informationsaustauschs. Geeignete Schutzfunktionen sichern den Systemübergang. Wo eine sichere Integration unverhältnismäßig komplex wäre, kann eine stärker getrennte Umgebung die nachvollziehbarere Lösung sein.
Typischer Fehler 5: Administratoren außerhalb des Konzepts lassen
Administratoren können durch Wartung, Backup, Speicherabbilder oder Fehlersuche Kenntnis erlangen. Sie müssen daher hinsichtlich tatsächlicher Zugangsmöglichkeit betrachtet, erforderlichenfalls verpflichtet und nach Need-to-know eingesetzt werden. Allgemeine Outsourcing-Verträge ersetzen diese auftragsbezogene Entscheidung nicht.
Privilegierte Konten werden personenbezogen, stark authentisiert und getrennt vom normalen Benutzerkonto geführt. Zeitlich begrenzte Rechte, Vier-Augen-Verfahren und nachvollziehbare Sitzungen verringern unkontrollierte Zugriffe. Supportfälle nutzen möglichst bereinigte Diagnosedaten und einen beaufsichtigten Zugang.
Typischer Fehler 6: Kennzeichnung erst beim Ausdruck
Die Einstufung muss im elektronischen Arbeitsablauf erkennbar bleiben. Vorlagen, Dokumenteigenschaften und gegebenenfalls technische Kennzeichnungsfunktionen unterstützen Nutzer. Der BSI-Umsetzungshinweis empfiehlt zu prüfen, ob die Kennzeichnung auch ohne Öffnen sichtbar ist und bei Export oder Ausdruck erhalten bleibt.
Ein Praxistest umfasst Erstellung, Umbenennung, Konvertierung, E-Mail-Entwurf, Ausdruck und zulässige Weitergabe. Dabei wird kontrolliert, ob Kennzeichnungen verloren gehen oder Metadaten widersprüchlich werden. Verantwortlichkeiten für Einstufung und Korrektur bleiben fachlich eindeutig.
Typischer Fehler 7: Drucker und Papier als Nebensache behandeln
Ein zentraler Multifunktionsdrucker kann Dokumente speichern, Vorschaubilder erzeugen oder Aufträge in einer Warteschlange halten. Ausdrucke liegen möglicherweise für andere Beschäftigte sichtbar im Ausgabefach. Scannen oder „Scan-to-Mail“ eröffnet zusätzliche Übertragungswege.
Ein geeigneter Druckprozess begrenzt das Gerät auf die kontrollierte Umgebung, nutzt geschützte Freigabe und regelt lokale Speicherung, Wartung und Entsorgung. Papier wird unmittelbar entnommen, korrekt gekennzeichnet, sicher aufbewahrt und nach den geltenden Regeln vernichtet. Testausdrucke und Fehldrucke gehören in denselben Prozess.
Typischer Fehler 8: Private Geräte und Zubehör anschließen
USB-Sticks, Smartphones, Headsets mit Speicher, private Drucker oder nicht freigegebene Dockingstationen können Daten übertragen oder neue Angriffspfade öffnen. Organisatorische Verbote allein reichen nicht, wenn die Schnittstellen technisch offen und im Arbeitsalltag attraktiv bleiben.
Eine Positivliste definiert erlaubte Geräte und Medien. Gerätekontrolle, deaktivierte Schnittstellen und physische Maßnahmen setzen die Regel soweit möglich technisch durch. Ausnahmen werden begründet, genehmigt, protokolliert und nach Nutzung wieder aufgehoben.
Typischer Fehler 9: Updates und Softwarebeschaffung vergessen
Ein abgeschotteter Arbeitsplatz benötigt trotzdem sichere Aktualisierung. Direkter Internetzugang, spontane Downloads oder private Transfermedien sind kein tragfähiges Patchverfahren. Gleichzeitig kann ein dauerhaft ungepatchtes System bekannte Schwachstellen behalten.
Der Betrieb definiert Quellen, Integritätsprüfung, Freigabe, Übertragung, Test und dokumentierte Installation. Änderungen werden auf Auswirkungen auf Zulassung und Sicherheitskonzept geprüft. Ein Softwarebestand mit Versionen, Freigabestatus und Verantwortlichen schafft die notwendige Transparenz.
Typischer Fehler 10: Homeoffice wie normalen Büroarbeitsplatz behandeln
Das VS-NfD-Merkblatt enthält für die Privatwohnung eine eigene Vereinbarung. Die Verarbeitung ist an Zustimmung, freigegebene IT, den Wohnsitz in Deutschland und besondere Schutzmaßnahmen gebunden. Andere Personen in der Wohnung dürfen keine Einsicht erhalten.
Die Vereinbarung verlangt unter anderem, dass freigegebene Systeme nicht privat genutzt und nicht mit privaten IT-Geräten verbunden werden. Wartung erfolgt nur auf Veranlassung der verantwortlichen Person. Geräte ohne Festplattenverschlüsselung mit Zulassungsaussage sind vor Arbeitsende auszuschalten und entsprechend aufzubewahren.
Typischer Fehler 11: Backup außerhalb der Systemgrenze
Ein Backup enthält dieselbe schutzbedürftige Information wie das Produktivsystem. Automatische Unternehmenssicherungen oder Cloud-Replikation können die VS-NfD-Daten in andere Standorte, Mandanten oder Administrationsbereiche transportieren. Der BSI-Hinweis betont ausdrücklich, dass Server, Rechenzentrum, Dienstleistende und Backups einzubeziehen sind.
Das Backup-Konzept dokumentiert Speicherort, Verschlüsselung, Schlüsselzugriff, Administratoren, Aufbewahrung, Löschung und Wiederherstellung. Restore-Tests erfolgen in einer geeigneten Umgebung. Dabei wird geprüft, ob temporäre Kopien nach dem Test kontrolliert entfernt werden.
Typischer Fehler 12: Löschung mit Papierkorb verwechseln
Das Löschen einer Datei oder Formatieren eines Datenträgers beseitigt Daten nicht zwingend. CON.11.1 beschreibt für elektronische VS und Datenträger konkrete Anforderungen: Je nach Schutz und eingesetzter Verschlüsselung sind Schlüssel sicher zu löschen, zugelassene Löschprodukte zu verwenden oder Datenträger physisch zu vernichten.
Bevor ein Medium die gesicherte Einsatzumgebung dauerhaft verlässt, wird die zulässige Methode durchgeführt und dokumentiert. Kann es nicht sicher gelöscht werden, folgt die physische Vernichtung nach geeignetem Verfahren. Reparatur, Leasingrückgabe und Garantieaustausch werden bereits bei der Beschaffung berücksichtigt.
Der physische Arbeitsplatz
Raumzutritt, Sichtschutz, Mithörschutz, Aufbewahrung und Besucherführung müssen zum Szenario passen. Bildschirme stehen nicht im Blickfeld allgemein zugänglicher Wege. Dokumente und Schlüsselmittel werden bei Abwesenheit gesichert; Clean-Desk ist durch geeignete Aufbewahrung praktisch möglich.
Ein Rundgang außerhalb der Kernzeit prüft, ob Reinigung, Wachschutz oder Technikdienst Zugang haben. Schließmittel, Zutrittslisten und Vertretungsregelungen werden nachvollziehbar verwaltet. Die Maßnahme orientiert sich immer am Need-to-know, nicht nur an der Zugehörigkeit zum Gebäude.
Inbetriebnahme mit Abnahmetest
Vor Produktivstart werden Sollkonfiguration, Softwarestand, Schnittstellen, Konten, Netzwerkwege, Protokollierung, Druck, Backup und physische Umgebung geprüft. Ein berechtigter Nutzer muss arbeiten können; ein unberechtigtes Testkonto darf über Suche, Freigabe oder direkten Pfad keine Inhalte sehen.
Zusätzlich werden Arbeitsabläufe geprobt: Dokument empfangen, kennzeichnen, bearbeiten, übertragen, ausdrucken, aufbewahren und löschen. Feststellungen erhalten Verantwortliche und Fristen. Kritische Abweichungen verhindern die Freigabe, bis sie behoben oder mit zuständiger Stelle geklärt sind.
Welche Nachweise wirklich belastbar sind
Zu einem prüffähigen Arbeitsplatzpaket gehören abgestimmtes Szenario, Architektur, Komponenten- und Softwareliste, Zulassungsbelege, Betriebsbedingungen, Konfigurationsbaseline, Berechtigungsmatrix, Verpflichtungsstatus, Freigabeprotokoll und Nutzeranweisung. Prüfprotokolle belegen die tatsächliche Umsetzung.
Nachweise müssen aktuell und reproduzierbar sein. Ein Screenshot ohne Datum, Systembezug oder Prüfschritt ist schwach. Aussagekräftiger sind automatisiert erzeugte Konfigurationsauszüge, signierte Abnahmeprotokolle und klar versionierte Dokumente. Die Nachweisablage wird selbst gegen unbefugten Zugriff geschützt.
Betrieb und Veränderungen kontrollieren
Nach der Freigabe überwacht der Betrieb Softwareversionen, Zulassungsstatus, Berechtigungen, Hardwarewechsel und sicherheitsrelevante Ereignisse. Änderungen durch zentrale IT-Werkzeuge dürfen die Baseline nicht unbemerkt verändern. Abweichungen werden erkannt, bewertet und gegebenenfalls zurückgesetzt.
Wesentliche Änderungen wie neue Netzverbindung, zusätzlicher Standort, andere Verschlüsselung oder externer Support durchlaufen eine erneute Sicherheitsbewertung. Regelmäßige Stichproben und praktische Tests halten die Dokumentation mit der Realität synchron.
Eine Abnahmecheckliste für die Praxis
- Auftrag, Informationsarten und zulässige Arbeitsabläufe sind abgestimmt.
- Systemgrenze, Datenflüsse und externe Abhängigkeiten sind vollständig dokumentiert.
- Produkte, Versionen, Zulassungen und Betriebsbedingungen passen zum Szenario.
- Verpflichtete Personen, Need-to-know-Rechte und Administration sind geregelt.
- Raum, Druck, Aufbewahrung, Übertragung und mobile Arbeit sind getestet.
- Backup, Restore, Löschung, Reparatur und Vernichtung sind praktisch nachgewiesen.
- Abweichungen sind geschlossen und die Freigabe ist nachvollziehbar erteilt.
Fazit: Nicht das Gerät, sondern der kontrollierte Betrieb zählt
Ein VS-NfD-Arbeitsplatz ist belastbar, wenn sein gesamter Informationslebenszyklus kontrolliert ist. Produktzulassungen sind wichtig, wirken aber nur zusammen mit korrekten Betriebsbedingungen, minimalen Berechtigungen, physischem Schutz, sicherer Administration und überprüften Arbeitsabläufen.
BlackMount konzipiert und prüft VS-NfD-Arbeitsplätze vom Nutzungsszenario bis zur Abnahme. Der Fokus liegt auf einem verständlichen, betreibbaren Aufbau und Nachweisen, die sowohl Auftraggeber als auch interne Verantwortliche nachvollziehen können.
