Praxisorientierte Einordnung zu VS-NfD in Unternehmen: Anforderungen, Rollen und sicherer Projektstart: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für VS-NfD aufbauen.
VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) ist der niedrigste Geheimhaltungsgrad für Verschlusssachen des Bundes. Die Einstufung bedeutet nicht einfach „vertrauliche Unternehmensinformation“. Sie wird von einer amtlichen Stelle des Bundes oder auf deren Veranlassung vergeben, wenn eine Kenntnisnahme durch Unbefugte für Interessen der Bundesrepublik Deutschland oder eines Landes nachteilig sein kann.
Unternehmen begegnen VS-NfD häufig in öffentlichen Aufträgen, Verteidigungs-, Sicherheits-, Forschungs- oder Infrastrukturprojekten. Ein sicherer Start benötigt klare vertragliche Grundlage, Verantwortliche, Need-to-know, geeignete Räume und eine zugelassene beziehungsweise abgestimmte IT-Lösung. Die konkrete Vorgabe des amtlichen Auftraggebers hat Vorrang; ein allgemeines ISO-27001-Setup darf nicht automatisch als ausreichend betrachtet werden.
Was eine Verschlusssache rechtlich kennzeichnet
Das Sicherheitsüberprüfungsgesetz beschreibt Verschlusssachen als im öffentlichen Interesse geheimhaltungsbedürftige Tatsachen, Gegenstände oder Erkenntnisse unabhängig von ihrer Darstellungsform. Auch Produkte, Dokumente und Kryptomittel können darunter fallen. Die Einstufung erfolgt nach Schutzbedürftigkeit.
VS-NfD betrifft Informationen, deren unbefugte Kenntnisnahme nachteilig sein kann. Die Einstufung und Kennzeichnung erfolgen durch die zuständige amtliche Stelle beziehungsweise nach deren Vorgaben. Unternehmen sollten niemals eigenmächtig aus allgemeiner Vertraulichkeit eine amtliche Einstufung ableiten oder sie entfernen.
VS-NfD von Geschäftsgeheimnissen unterscheiden
Geschäftsgeheimnisse, personenbezogene Daten und interne Klassifizierungen besitzen eigene Rechts- und Schutzgrundlagen. Sie können ähnlich sensibel wirken, sind aber nicht automatisch Verschlusssachen. Umgekehrt verliert eine VS-NfD ihre amtliche Behandlung nicht, weil der Inhalt technisch wenig spektakulär erscheint.
Das Informationsklassifikationsmodell des Unternehmens sollte VS als eigene Kategorie führen. Kennzeichnung, Eigentümer, Freigabe und Lebenszyklus müssen separat abgebildet werden. So werden ISO-, Datenschutz- und Geheimschutzanforderungen nicht vermischt.
Die vertragliche Grundlage zuerst prüfen
Bei einem VS-Auftrag legt der Auftraggeber Anforderungen, Merkblätter, Anlagen, Bearbeitungsorte, Weitergaberegeln und gegebenenfalls technische Vorgaben fest. Prüfen Sie Vertrag, Ausschreibung, Sicherheitsklauseln und alle Anlagen vollständig. Offene Fragen werden vor Empfang der ersten VS geklärt.
Das BSI veröffentlicht eine Anlage zum VS-NfD-Merkblatt, die als Vertragsbestandteil zwischen Auftraggeber und Auftragnehmer verwendet werden kann. Sie verlangt unter anderem die Benennung einer verantwortlichen Person, die Bekanntgabe des Merkblatts, besondere IT-Maßnahmen, Genehmigung vor Weitergabe und Kontrolle der Einhaltung.
Geheimschutzbetreuung nicht pauschal annehmen
Für VS-NfD-Projekte gelten nicht automatisch dieselben organisatorischen Verfahren wie für VS-VERTRAULICH, GEHEIM oder STRENG GEHEIM. Ob ein Unternehmen geheimschutzbetreut ist und welche Stelle zuständig ist, hängt von Auftrag, Geheimhaltungsgrad und Rechtsrahmen ab.
Unternehmen sollten den Status mit dem amtlichen Auftraggeber und den zuständigen Geheimschutzstellen klären. Ein bestehender Sicherheitsbevollmächtigter kann Verantwortung übernehmen; bei nicht geheimschutzbetreuten Unternehmen kann eine andere verantwortliche Person nach Vertragsvorgabe benannt werden.
Eine verantwortliche Person und Vertretung benennen
Die verantwortliche Person koordiniert organisatorische und technische Schutzmaßnahmen, unterweist Beschäftigte, prüft Weitergaben und kontrolliert Einhaltung. Sie benötigt Mandat, Ressourcen und direkten Zugang zur Projektleitung. Eine Vertretung verhindert Stillstand und unkontrollierte Ausnahmen.
Informationssicherheitsbeauftragte, Datenschutz, IT, Facility Management, Personal und Einkauf unterstützen fachlich. Die Geheimschutzverantwortung darf nicht in einem allgemeinen Security-Team unsichtbar werden. Zuständigkeiten werden schriftlich festgelegt.
Projekt-Scope und VS-Datenflüsse erfassen
Bevor Technik beschafft wird, muss klar sein, welche VS entstehen oder empfangen werden, in welcher Form und an welchen Orten. Erfassen Sie Eingang, Erstellung, Bearbeitung, Speicherung, Übertragung, Vervielfältigung, Besprechung, Archivierung, Rückgabe und Vernichtung.
Dokumentieren Sie Systeme, Räume, Personen, Dienstleister und Unterauftragnehmer. Markieren Sie Übergaben zum Auftraggeber und Schnittstellen zu nicht eingestuften Informationen. Datenfluss und Lebenszyklus bestimmen die Schutzarchitektur.
Need-to-know als verbindliches Zugriffsprinzip
Nach dem SÜG dürfen Personen nur Kenntnis erhalten, wenn dies für ihre Aufgabenerfüllung notwendig ist. Zugang wird nicht allein durch Abteilungszugehörigkeit oder Beschäftigungsstatus begründet. Definieren Sie Rollen und konkrete Projektaufgaben.
Führen Sie eine autorisierte Personenliste, regeln Sie Änderungen und prüfen Sie Berechtigungen periodisch. Technische Gruppen müssen den fachlichen Bedarf abbilden. Gemeinsame Projektlaufwerke ohne differenzierte Rechte sind ungeeignet.
Sicherheitsüberprüfung differenziert betrachten
Das SÜG definiert sicherheitsempfindliche Tätigkeiten insbesondere für Zugang zu VS-VERTRAULICH oder höher sowie besondere Sicherheitsbereiche. Daraus folgt nicht pauschal, dass jede VS-NfD-Tätigkeit automatisch dieselbe Sicherheitsüberprüfung erfordert. Vertragliche, bereichsspezifische oder internationale Vorgaben können dennoch zusätzliche Anforderungen enthalten.
Prüfen Sie dies mit zuständiger Stelle und Auftraggeber. Unabhängig von einer förmlichen Überprüfung benötigen Beschäftigte Berechtigung, Unterweisung und Verpflichtung zur Verschwiegenheit sowie die Einhaltung der Schutzmaßnahmen.
Unterweisung vor dem ersten Zugang
Beschäftigte müssen Geheimhaltungsgrad, Kennzeichnung, Need-to-know, erlaubte Systeme, Räume, Übertragung, Besprechung, mobile Arbeit, Vorfallsmeldung und Konsequenzen verstehen. Die Bekanntgabe des einschlägigen Merkblatts wird nachweisbar dokumentiert.
Nutzen Sie rollenspezifische Beispiele. Entwickler, Projektleitung, Administration und Empfang besitzen unterschiedliche Risiken. Wiederholen Sie Unterweisung bei Änderungen und regelmäßig nach dem vereinbarten Konzept.
Räume und physische Verarbeitung planen
VS dürfen nicht unkontrolliert von Unbefugten eingesehen werden. Bewerten Sie Büro, Besprechungsraum, Drucker, Aufbewahrung, Besucher, Reinigung und Gebäudetechnik. Definieren Sie Bearbeitungszeiten und Clear-Desk-Verhalten.
Die konkrete Ausgestaltung richtet sich nach VSA, Merkblatt und Auftraggebervorgaben. Ein normaler abschließbarer Raum kann je nach Nutzung nicht automatisch genügen. Prüfen Sie Sichtschutz, Zutritt, Schlüsselverwaltung und unbeaufsichtigte Aufbewahrung.
Papierdokumente kontrolliert behandeln
Kennzeichnung muss erhalten bleiben. Regeln Sie Ausdruck, Kopie, Verteilung, Transport, Aufbewahrung, Rückgabe und Vernichtung. Nutzen Sie geeignete Geräte und Behältnisse gemäß Vorgabe. Allgemeiner Büroabfall oder frei zugängliche Multifunktionsdrucker sind nicht zulässig.
Dokumentieren Sie, welche Nachweise für Empfang und Bestand erforderlich sind. VS-NfD besitzt gegenüber höheren Graden gegebenenfalls vereinfachte Verfahren, doch die konkrete Vertragsregel bleibt maßgeblich. Vermeiden Sie sowohl Unter- als auch unnötige Übersteuerung.
VS-IT frühzeitig konzipieren
Das BSI betont in seinen Umsetzungshinweisen die frühe Einbindung der Geheimschutzverantwortlichen in die Beschaffung. Wird Geheimschutz erst nach Produktauswahl berücksichtigt, können notwendige Funktionen oder Zulassungen fehlen.
Erstellen Sie ein IT-Sicherheitskonzept für die konkrete VS-Verarbeitung. Es umfasst Architektur, Systemgrenze, Nutzer, Rollen, Endpunkte, Netz, Datenträger, Übertragung, Protokollierung, Administration, Wartung, Backup, Vorfall und Stilllegung. Der Auftraggeber beziehungsweise die zuständige Stelle muss geforderte Nachweise und Freigaben bestätigen.
Zugelassene IT-Sicherheitsprodukte korrekt auswählen
Die VSA und BSI-Kataloge bestimmen, für welche Produktklassen zugelassene IT-Sicherheitsprodukte einzusetzen sind. Zulassung ist produkt-, versions-, Geheimhaltungsgrad- und einsatzbezogen. Eine kommerzielle Verschlüsselung mit guter Technik ist nicht automatisch als VS-Produkt zugelassen.
Prüfen Sie die aktuelle BSI-Schrift 7164, Produktklasse sowie Einsatz- und Betriebsbedingungen. Befristungen und Versionsstände müssen in Beschaffung und Betrieb berücksichtigt werden. Wo kein geeignetes Produkt verfügbar ist, wird die Alternative mit zuständiger Stelle geklärt – nicht eigenmächtig ersetzt.
Endgeräte als kontrollierte VS-Arbeitsplätze aufbauen
Verwenden Sie gehärtete, zentral verwaltete und klar zugeordnete Geräte. Begrenzen Sie Software, lokale Rechte, Schnittstellen und Cloud-Synchronisation. Authentisierung, Festplattenverschlüsselung, Schadsoftware-Schutz und Protokollierung werden gemäß Konzept umgesetzt.
Private Geräte und nicht freigegebene Anwendungen dürfen keine VS verarbeiten. Prüfen Sie Zwischenablage, Screenshot, Druck, USB, Spracherkennung und KI-Dienste. Viele moderne Komfortfunktionen übertragen Inhalte an externe Plattformen und müssen gezielt bewertet oder deaktiviert werden.
Netz und Systemgrenze eindeutig gestalten
Definieren Sie, welche Systeme zur VS-IT gehören und welche Verbindungen zulässig sind. Segmentierung, Firewall, Applikations-Gateway und kontrollierte Übergänge begrenzen Datenabfluss. Ein allgemeines Unternehmensnetz mit vielen Diensten und Administratoren ist schwerer beherrschbar.
Dokumentieren Sie Datenimporte und -exporte. Übergänge benötigen Freigabe, Prüfung und Protokoll. Administrationswege sind Teil der Schutzgrenze; privilegierte Tools dürfen nicht unbemerkt VS-Inhalte oder Speicherabbilder in andere Systeme übertragen.
Übertragung und Kommunikation abstimmen
VS-NfD darf nicht über beliebige E-Mail-, Filesharing- oder Kollaborationsdienste übertragen werden. Nutzen Sie die vom Auftraggeber und Konzept zugelassenen Verfahren sowie erforderliche Kryptoprodukte. Empfänger und Berechtigung werden vor Versand geprüft.
Auch Telefonie, Videokonferenz und Bildschirmfreigabe können VS offenlegen. Definieren Sie zugelassene Kanäle und Besprechungsregeln. Ein falsch adressierter Link ist ebenso ein Geheimschutzvorfall wie verlorenes Papier.
Mobile Arbeit nur innerhalb freigegebener Bedingungen
Homeoffice, Dienstreise und mobile Nutzung verändern Raum-, Netzwerk- und Einsichtsrisiko. Sie sind nicht automatisch durch allgemeine Remote-Work-Regeln abgedeckt. Prüfen Sie, ob und unter welchen Bedingungen mobile VS-Verarbeitung erlaubt ist.
Gerät, Kryptomittel, Aufbewahrung, Mitnahme, Sichtschutz und private Umgebung müssen berücksichtigt werden. Eine Genehmigung wird dokumentiert. Wenn die Voraussetzungen nicht sicher erfüllt werden können, bleibt die Verarbeitung auf definierte Standorte beschränkt.
Administratoren nach Need-to-know einbinden
Administratoren können sich technisch Zugang verschaffen, auch wenn sie Inhalte nicht fachlich benötigen. Begrenzen Sie Rechte, trennen Sie Rollen und protokollieren Sie privilegierte Tätigkeiten. Remote-Support und Herstellerzugriff werden besonders kontrolliert.
Klärung von Berechtigung und erforderlichen Verpflichtungen gehört vor Betriebsstart. Wartung, Logexport und Datenträgeraustausch dürfen keine unkontrollierte Weitergabe erzeugen. Vier-Augen-Verfahren kann bei sensiblen Tätigkeiten sinnvoll sein.
Unterauftragnehmer nur nach Genehmigung einbeziehen
Das VS-NfD-Merkblatt sieht eine Genehmigung des amtlichen Auftraggebers zur Weitergabe vor, beispielsweise bei Unteraufträgen. Prüfen Sie dies frühzeitig. Beschaffungs- oder Projektzeitdruck rechtfertigt keine informelle Weitergabe.
Unterauftragnehmer müssen die einschlägigen Anforderungen vertraglich übernehmen und praktisch erfüllen. Erfassen Sie Personen, Orte, IT und Datenflüsse. Der Hauptauftragnehmer bleibt für die kontrollierte Lieferkette verantwortlich.
Cloud- und externe Dienste nicht voraussetzen
Allgemeine SaaS-, Cloud-, Ticketing-, Backup- oder KI-Dienste sind nicht automatisch für VS-NfD geeignet. Prüfen Sie Zulassung, Systemgrenze, Datenstandort, Administration, Unterauftragnehmer und Auftraggebervorgabe. Auch Metadaten und Logs können VS-Bezug besitzen.
Wenn ein externer Dienst vorgesehen ist, muss er Teil des abgestimmten Sicherheitskonzepts sein. Ein ISO-Zertifikat oder C5-Bericht ersetzt keine VS-spezifische Eignung.
Backups und Wiederherstellung VS-konform planen
Backups enthalten VS und unterliegen denselben Schutzgrundsätzen. Verschlüsselung, Datenträger, Standort, Zugriff und Löschung müssen in das Konzept passen. Notfallzugänge dürfen den Geheimschutz nicht umgehen.
Testen Sie Restore in einer geeigneten Umgebung. Prüfen Sie, ob Dienstleister oder Administratoren dabei Kenntnis erhalten können. Aufbewahrungs- und Rückgabepflichten aus Vertrag und Auftraggebervorgabe bleiben erhalten.
Geheimschutzvorfälle klar melden
Definieren Sie Ereignisse wie Verlust, Fehlversand, unberechtigte Einsicht, Schadsoftware, kompromittiertes Konto, falsche Verarbeitung oder Verdacht auf Abfluss. Mitarbeitende benötigen einen schnellen, bekannten Meldeweg.
Die verantwortliche Person sichert Informationen, begrenzt weitere Offenlegung und bindet Auftraggeber beziehungsweise zuständige Stelle gemäß Vorgabe ein. Keine eigenständige Außenkommunikation. Technische Incident Response und Geheimschutzmeldung werden koordiniert.
Kontrollen und Nachweise organisieren
Führen Sie Nachweise zu Verantwortlichen, Unterweisung, Berechtigungen, Räumen, Geräten, Produkten, Konfiguration, Freigaben, Weitergaben, Unterauftragnehmern, Vorfällen und Vernichtung. Umfang richtet sich nach Vorgabe und Risiko.
Kontrollieren Sie nicht nur Dokumentexistenz. Stichproben prüfen Arbeitsplatz, Rechte, Kennzeichnung, Übertragung und mobile Nutzung. Feststellungen erhalten Eigentümer, Termin und Wirksamkeitsprüfung.
Ein sicherer Projektstart in zwölf Schritten
- Vertrag, Einstufung, Merkblatt und Auftraggebervorgaben vollständig prüfen.
- Status der Geheimschutzbetreuung und zuständige Ansprechpartner klären.
- Verantwortliche Person und Vertretung schriftlich benennen.
- VS-Lebenszyklus, Datenflüsse, Personen, Orte und Unterauftragnehmer erfassen.
- Need-to-know-Rollen und Berechtigungsverfahren festlegen.
- Unterweisung erstellen und vor Zugang nachweisbar durchführen.
- Räume, Aufbewahrung, Druck und Vernichtung konzipieren.
- VS-IT-Sicherheitskonzept mit Produkt- und Zulassungsprüfung entwickeln.
- Übertragung, mobile Arbeit, Administration und Backup regeln.
- Freigaben und Genehmigungen des Auftraggebers einholen.
- Arbeitsplatz, Zugriff und Vorfallweg vor Produktivstart testen.
- Periodische Kontrolle und Change-Prozess etablieren.
Typische Fehlstarts vermeiden
Häufig wird VS-NfD erst nach Zuschlag oder Gerätebeschaffung betrachtet. Weitere Fehler sind die Gleichsetzung mit ISO 27001, Nutzung normaler Cloudspeicher, unklare Unterauftragnehmer, pauschale Projektgruppen und fehlende mobile Regeln.
Problematisch ist auch Übererfüllung ohne Abstimmung. Unnötig komplexe Strukturen können Projekte blockieren und Verantwortungen verwischen. Setzen Sie die konkreten VSA-, Merkblatt- und Vertragsanforderungen nachvollziehbar um und klären Sie Zweifel mit zuständiger Stelle.
Fazit: VS-NfD benötigt ein eigenes, abgestimmtes Schutzkonzept
Ein sicherer VS-NfD-Projektstart verbindet amtliche Einstufung, Vertrag, Need-to-know, verantwortliche Rollen, Räume, IT-Produkte, Übertragung und kontrollierte Lieferkette. Allgemeine Informationssicherheit ist eine wichtige Basis, ersetzt aber den Geheimschutz nicht.
BlackMount unterstützt Unternehmen bei der VS-NfD-Readiness von der Anforderungsanalyse bis zum prüffähigen Arbeitsplatz- und Organisationskonzept. Die Umsetzung wird frühzeitig mit Auftraggebervorgaben und aktueller BSI-Systematik abgeglichen.
