Praxisorientierte Einordnung zu VS-NfD-Readiness-Check: Organisation, Räume, IT und Personal prüfen: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für VS-NfD aufbauen.
Ein VS-NfD-Readiness-Check beantwortet nicht nur, ob ein Unternehmen einzelne Sicherheitsmaßnahmen besitzt. Er zeigt, ob ein konkreter Auftrag mit Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH vom ersten Dokument bis zur Rückgabe oder Vernichtung kontrolliert bearbeitet werden kann. Dafür müssen Vertrag, Organisation, Personen, Räume, IT, Übermittlungswege und Unterauftragnehmer als zusammenhängender Prozess geprüft werden.
Die wichtigste Leitlinie ist das für den Auftrag geltende VS-NfD-Merkblatt. Seit September 2023 gliedert es die Pflichten von Auftraggeber und Auftragnehmer, allgemeine Handhabungsregeln, IT-Anforderungen, Kennzeichnung, Verpflichtungsnachweis und Vereinbarungen für die Privatwohnung. Ein guter Check übersetzt diese Vorgaben in beobachtbare Prüfkriterien und belastbare Nachweise.
Was „ready“ bei VS-NfD tatsächlich bedeutet
Readiness ist erreicht, wenn die geplante Verarbeitung fachlich beschrieben, auf befugte Personen begrenzt und durch angemessene organisatorische, materielle sowie technische Maßnahmen abgesichert ist. Das Unternehmen muss erklären können, welche Verschlusssachen entstehen, wo sie verarbeitet werden, wer sie kennen darf, wie sie übertragen werden und was am Ende des Auftrags mit ihnen geschieht.
Ein vorhandenes Informationssicherheitsmanagementsystem ist dafür eine wertvolle Grundlage, aber kein Ersatz für die auftragsbezogenen Geheimschutzregeln. ISO-27001-Dokumente belegen beispielsweise einen allgemeinen Risikoprozess. Sie belegen noch nicht, dass Kennzeichnung, Verpflichtung, Versand, Homeoffice oder die Auswahl geeigneter VS-IT für den konkreten Auftrag korrekt geregelt sind.
Prüfgrundlage zuerst verbindlich festlegen
Vor Interviews und technischen Tests wird der normative Rahmen geklärt. Dazu gehören die Ausschreibung, der Vertrag, das vom Auftraggeber einbezogene VS-NfD-Merkblatt, projektspezifische Sicherheitsauflagen sowie gegebenenfalls Vorgaben zu eingesetzten Produkten, Standorten oder Nachweisen. Abweichungen zwischen Angebot, Vertrag und tatsächlichem Betriebsmodell werden ausdrücklich dokumentiert.
Für reine VS-NfD-Aufträge ist nach dem Geheimschutzhandbuch des Bundesministeriums für Wirtschaft und Energie grundsätzlich kein förmliches Geheimschutzverfahren erforderlich; maßgeblich ist das VS-NfD-Merkblatt. Diese Einordnung verhindert, dass Anforderungen höherer Geheimhaltungsgrade unreflektiert übertragen werden. Zusätzliche Vertrags- oder Auftraggebervorgaben bleiben dennoch verbindlich und müssen im Check separat ausgewiesen werden.
Scope und Datenfluss als Ausgangspunkt
Die Prüfung beginnt mit einem konkreten Verarbeitungsszenario statt mit einer abstrakten Kontrollliste. Erfasst werden Eingang, Erstellung, Bearbeitung, Vervielfältigung, Speicherung, Besprechung, Übermittlung, Archivierung, Rückgabe und Vernichtung. Für jeden Schritt werden Personen, Räume, Geräte, Anwendungen, Dienstleister und Schnittstellen zugeordnet.
Besondere Aufmerksamkeit verdienen unscheinbare Kopien: lokale Synchronisation, Druckwarteschlangen, E-Mail-Caches, temporäre Dateien, Vorschaubilder, Protokolle, Suchindizes und Sicherungen. Eine Umgebung kann im sichtbaren Arbeitsablauf sauber wirken und dennoch unkontrollierte Replikate erzeugen. Der Readiness-Check verfolgt deshalb nicht nur das Originaldokument, sondern seine technische und organisatorische Spur.
Prüffeld 1: Verantwortlichkeiten und Steuerung
Das Unternehmen sollte eine verantwortliche Person und eine Vertretung für die Umsetzung der VS-NfD-Anforderungen benennen. Die Rolle benötigt ausreichende Befugnisse, Zugang zu Projektleitung, IT, Personal, Einkauf und Gebäudemanagement sowie einen geregelten Eskalationsweg zum Auftraggeber. Eine bloße Namensnennung ohne Aufgabenbeschreibung ist kein belastbarer Nachweis.
Geprüft werden außerdem Freigaben für neue Nutzer, Systeme und Unterauftragnehmer, regelmäßige Kontrollen sowie der Umgang mit Veränderungen. Ein Standortwechsel, ein neues Kollaborationssystem oder ein zusätzlicher Supportdienstleister kann den genehmigten Aufbau wesentlich verändern. Ein Change-Prozess muss solche Änderungen erkennen, bewerten und erforderlichenfalls vorab abstimmen.
Prüffeld 2: Personenkreis und Need-to-know
Der Grundsatz „Kenntnis nur, wenn nötig“ verlangt eine fachlich begründete Begrenzung. Der Check gleicht Projektrollen, tatsächliche Berechtigungen und organisatorische Einheiten miteinander ab. Sammelgruppen wie „gesamte IT“ oder „alle Projektmitarbeitenden“ sind kritisch, wenn einzelne Personen für ihre Aufgabe keinen Zugriff auf die Verschlusssache benötigen.
Zu einem prüffähigen Rollenmodell gehören Antrag, Genehmigung, Einrichtung, periodische Überprüfung und unverzüglicher Entzug. Vertretungs- und Notfallszenarien müssen berücksichtigt werden, ohne vorsorglich überbreite Rechte zu vergeben. Stichproben in Verzeichnisdienst, Dateisystem, Anwendung und Backup-Konsole zeigen, ob das dokumentierte Modell tatsächlich umgesetzt ist.
Prüffeld 3: Verpflichtung, Unterweisung und Eignung
Personen, die VS-NfD kennen müssen oder sich im Rahmen ihrer Aufgabe Zugang verschaffen können, sind nachweisbar nach den einschlägigen Regeln zu verpflichten. Der Readiness-Check prüft, ob dies vor dem ersten Zugriff erfolgt, ob der Nachweis eindeutig einer Person zugeordnet ist und ob externe Kräfte, Administratoren, Reinigung, Wartung oder Support sachgerecht berücksichtigt wurden.
Eine Unterweisung sollte reale Arbeitssituationen behandeln: Kennzeichnung, Gespräche, Bildschirm- und Papierschutz, Drucken, Übermittlung, mobiles Arbeiten, Verlust sowie verdächtige Ereignisse. Verständnisfragen oder kurze Fallübungen sind aussagekräftiger als eine ungelesene Präsentation. Wiederholung und Aktualisierung werden an Rollenwechsel, Vorfälle und veränderte Auftraggebervorgaben gekoppelt.
Prüffeld 4: Räume und physische Arbeitsumgebung
Die räumliche Prüfung folgt dem tatsächlichen Betriebsablauf. Sie betrachtet Zutritt, Besucher, Sichtschutz, Besprechungen, Aufbewahrung, Schlüssel oder elektronische Zutrittsmittel, Drucker, Posteingang und Entsorgung. Entscheidend ist, ob Unbefugte auch außerhalb der Kernarbeitszeit Zugang oder Einblick erhalten könnten.
Ein Rundgang liefert häufig andere Erkenntnisse als Richtlinien: Ausdrucke liegen am Multifunktionsgerät, Whiteboards bleiben nach Besprechungen beschrieben oder Dienstleister bewegen sich unbeaufsichtigt. Festgestellte Schwachstellen werden mit Ort, Szenario, Verantwortlichem und Abhilfefrist dokumentiert. Fotos sollten nur angefertigt werden, wenn dies selbst zulässig und sicher handhabbar ist.
Prüffeld 5: Papier, Datenträger und Kennzeichnung
Der Check untersucht, wie eingehende Verschlusssachen erkannt und wie selbst erstellte Dokumente korrekt gekennzeichnet werden. Kennzeichnungen müssen über Ausdruck, Export und zulässige Weiterverarbeitung hinweg erhalten bleiben. Vorlagen, Arbeitsanweisungen und Stichproben aus dem Projektbestand belegen, ob die Regel praktisch funktioniert.
Für Papier und Datenträger werden Ausgabe, Nutzung, Zwischenablage, Transport, Aufbewahrung, Rückgabe und Vernichtung geprüft. Besonders kritisch sind private Notizen, nicht gekennzeichnete Arbeitskopien und USB-Medien ohne klaren Status. Ziel ist eine lückenlose Handhabung, die auch bei Zeitdruck und Vertretung nachvollziehbar bleibt.
Prüffeld 6: Architektur der VS-IT
Die technische Prüfung benötigt ein aktuelles Architektur- und Datenflussbild. Es umfasst Clients, Server, Netze, Sicherheitskomponenten, Identitätsdienste, Administrationszugänge, Protokollierung, Druck, Datenträger, Backup, externe Dienste und Übergabepunkte. Nicht nur die sichtbare Anwendung, sondern jede verarbeitende oder speichernde Komponente gehört in den Scope.
Das BSI weist in seinen Umsetzungshinweisen ausdrücklich darauf hin, dass Speicherung nicht auf Clients reduziert werden darf. Server, Rechenzentrum, Dienstleistende und Backups müssen den Schutz ebenfalls gewährleisten. Der Check verifiziert daher Konfigurationen und Betriebsabläufe stichprobenartig, statt sich auf ein vereinfachtes Architekturdiagramm zu verlassen.
Prüffeld 7: Geeignete und zugelassene Sicherheitsprodukte
Wo die Verschlusssachenanweisung oder der Auftraggeber zugelassene IT-Sicherheitsprodukte verlangt, reicht ein marktübliches Produkt mit guten Werbeaussagen nicht aus. Der BSI-Katalog der Produktklassen und -typen konkretisiert die Vorgaben zu Zulassungen. Zusätzlich sind die für ein Produkt geltenden Einsatz- und Betriebsbedingungen zu beachten.
Im Readiness-Check wird für jede relevante Schutzfunktion festgehalten, ob eine Zulassung benötigt wird, welches konkrete Produkt einschließlich Version eingesetzt ist und ob der vorgesehene Betriebsfall abgedeckt wird. Ablaufdaten, Einschränkungen und Schlüsselmanagement werden einbezogen. Die bloße Nennung einer Produktfamilie ist wegen möglicher Versions- und Einsatzgrenzen kein ausreichender Nachweis.
Prüffeld 8: Identitäten, Administration und Protokollierung
Benutzerkonten müssen personenbezogen, rollenbasiert und nachvollziehbar verwaltet werden. Der Check prüft starke Authentisierung, Sperrung, Rezertifizierung, technische Dienstkonten und den Umgang mit privilegierten Rechten. Administratoren erhalten nicht automatisch fachliche Leseberechtigung; ihr möglicher technischer Zugriff ist zu minimieren und besonders zu kontrollieren.
Protokolle sollen sicherheitsrelevante Ereignisse erkennbar machen, dürfen aber nicht unkontrolliert Inhalte oder Metadaten der Verschlusssachen in weniger geschützte Systeme übertragen. Deshalb werden Logquellen, Zielsysteme, Berechtigungen, Aufbewahrung und Auswertung gemeinsam betrachtet. Ein Alarm ohne verantwortliche Reaktion und getesteten Prozess erzeugt nur scheinbare Sicherheit.
Prüffeld 9: Übermittlung und Zusammenarbeit
Für jeden Übermittlungsweg wird geprüft, ob Empfänger, Berechtigung, technischer Schutz und gegebenenfalls Freigabe feststehen. Normale E-Mail, öffentliche Dateifreigaben oder spontane Messenger-Nutzung dürfen nicht aus Bequemlichkeit zum Schattenprozess werden. Der sichere Weg muss für Mitarbeitende verständlich und im Arbeitsalltag verfügbar sein.
Auch Besprechungen, Bildschirmfreigaben und gemeinsame Dokumentbearbeitung sind Verarbeitung. Der Check betrachtet Einladungen, Teilnehmerprüfung, Aufzeichnung, Chat, Transkription und heruntergeladene Dateien. Moderne Konferenzplattformen aktivieren teilweise Zusatzfunktionen automatisch; diese werden vor der Nutzung auf ihren Datenfluss und ihre Zulässigkeit geprüft.
Prüffeld 10: Mobile Arbeit und Privatwohnung
Homeoffice ist kein stillschweigender Bestandteil eines hybriden Arbeitsmodells. Das VS-NfD-Merkblatt enthält hierfür eine eigene Vereinbarung. Der Check klärt deshalb zunächst, ob die Verarbeitung in der Privatwohnung überhaupt vorgesehen und durch Auftraggeber sowie vertragliche Grundlage gedeckt ist.
Ist mobile Arbeit zulässig, werden Arbeitsraum, Sicht- und Mithörschutz, Aufbewahrung, Familien- oder Besucherzugang, Druck, Transport, Netzwerk, Störungen und Rückgabe geprüft. Technische Fernzugriffslösungen lösen die physischen Risiken nicht automatisch. Eine dokumentierte Einzelfreigabe ist belastbarer als eine allgemeine Homeoffice-Richtlinie.
Prüffeld 11: Unterauftragnehmer und externe Dienste
Nach der Anlage zum VS-NfD-Merkblatt ist vor einer Weitergabe an Unterauftragnehmer die Zustimmung des öffentlichen Auftraggebers einzuholen. Der Readiness-Check identifiziert deshalb nicht nur vertraglich benannte Subunternehmen, sondern alle Stellen mit möglichem Zugriff: Hosting, Fernwartung, Managed Security, Entsorgung, Druckservice, Software-Support und Zeitarbeit.
Für jeden Dritten werden Leistung, Standort, Zugriffsmöglichkeit, technische Verbindung, Personal, vertragliche Verpflichtung und Genehmigungsstatus erfasst. Eine Datenschutz-Auftragsverarbeitung oder ISO-Zertifizierung ersetzt diese Prüfung nicht. Änderungen in der Lieferkette müssen vor ihrem Wirksamwerden in den Freigabeprozess gelangen.
Prüffeld 12: Vorfälle, Verlust und Wiederanlauf
Der Meldeweg muss auch außerhalb üblicher Geschäftszeiten funktionieren. Mitarbeitende benötigen klare Auslöser: Verlust eines Dokuments oder Geräts, Fehlversand, unbefugter Einblick, verdächtiger Systemzugriff, kompromittierte Zugangsdaten oder Abweichung von genehmigten Verfahren. Zuständigkeiten für Eindämmung, Beweissicherung, Auftraggeberinformation und Entscheidung werden vorab festgelegt.
Wiederanlauf und Backup sind Teil des Schutzkonzepts. Eine Sicherung ist selbst schutzbedürftig und darf nicht ungeprüft in eine allgemeine Cloud oder zu einem unbekannten Betreiber repliziert werden. Ein praktischer Restore-Test zeigt, ob befugte Personen die Daten in einer geeigneten Umgebung wiederherstellen können, ohne neue unkontrollierte Kopien zu erzeugen.
Nachweise bewerten: Dokument, Umsetzung und Wirksamkeit
Ein belastbarer Check unterscheidet drei Ebenen. Erstens beschreibt ein Dokument den Sollzustand. Zweitens zeigt eine Konfiguration, Beobachtung oder Stichprobe, dass die Vorgabe umgesetzt ist. Drittens belegt ein Test, ein Protokoll oder eine Kennzahl, dass die Maßnahme im Alltag funktioniert. Nur eine unterschriebene Richtlinie erfüllt diese Kette nicht.
Für jedes Prüfkriterium werden Anforderung, Nachweis, Feststellung, Risiko und empfohlene Maßnahme festgehalten. Personenbezogene oder eingestufte Nachweise werden dabei selbst angemessen geschützt. Der Bericht sollte genügend Details für Entscheidungen enthalten, aber keine unnötige Sammlung sensibler Inhalte erzeugen.
Readiness sinnvoll einstufen
Eine reine Prozentzahl kann schwerwiegende Lücken verdecken. Zweckmäßiger ist eine statusbezogene Bewertung: nicht anwendbar, ungeklärt, konzipiert, umgesetzt, wirksam nachgewiesen oder kritisch abweichend. Zusätzlich erhält jede Feststellung eine Priorität nach möglichem unbefugtem Zugriff, Vertragsrelevanz und Nähe zum geplanten Produktivstart.
Ein Unternehmen kann beispielsweise organisatorisch weit sein, aber wegen eines ungeklärten Übertragungswegs noch nicht starten. Das Management erhält deshalb eine Go-/No-Go-Sicht auf zwingende Voraussetzungen sowie einen Maßnahmenplan für nachgelagerte Verbesserungen. Ausnahmen müssen befristet, begründet, genehmigt und mit kompensierenden Maßnahmen versehen sein.
Ein praktikabler Ablauf in sechs Phasen
- Auftrag, Merkblatt, Zusatzvorgaben und geplanten Starttermin aufnehmen.
- Informationsarten, Lebenszyklus, Standorte, Personen und Dritte modellieren.
- Dokumente prüfen und Interviews mit Projekt, IT, Personal, Einkauf und Facility führen.
- Räume, Systeme, Berechtigungen und Betriebsabläufe durch Stichproben verifizieren.
- Abweichungen risikoorientiert priorisieren und eindeutige Verantwortliche festlegen.
- Kritische Maßnahmen nachtesten und eine nachvollziehbare Startentscheidung dokumentieren.
Typische Scheinsicherheit im Readiness-Check
Häufig wird eine allgemeine Sicherheitszertifizierung als pauschaler Eignungsnachweis verwendet. Andere Unternehmen prüfen nur den vorgesehenen Arbeitsplatz, lassen aber Backup, Administration und externe Dienste außer Acht. Ebenfalls problematisch sind Listen, die jedes Kriterium ohne Beleg als erfüllt markieren oder Anforderungen höherer Geheimhaltungsgrade und VS-NfD vermischen.
Ein weiterer Fehler ist der einmalige Check ohne Veränderungsprozess. Projekte wechseln Personen, Softwareversionen, Standorte und Dienstleister. Die Readiness muss deshalb bei wesentlichen Änderungen, Vorfällen und in angemessenen Intervallen erneut bestätigt werden. So bleibt aus einer Aufnahme ein steuerbarer Betriebszustand.
Fazit: Der Check muss den echten Auftrag abbilden
Ein VS-NfD-Readiness-Check ist dann wertvoll, wenn er die reale Verarbeitung von der Einstufung bis zur Vernichtung nachvollzieht. Er verbindet vertragliche Grundlage, Need-to-know, Verpflichtung, Räume, VS-IT, Produktzulassung, Übermittlung, mobile Arbeit, Lieferkette und Vorfallmanagement zu einer prüfbaren Startentscheidung.
BlackMount führt den VS-NfD-Readiness-Check auftragsbezogen durch, trennt zwingende Voraussetzungen von Verbesserungen und begleitet die Schließung kritischer Lücken. Dadurch entsteht kein Papierkatalog, sondern ein belastbarer Arbeits- und Nachweisrahmen für den Projektstart.
