Eine Anfrage oder ein neuer Auftrag landet auf deinem Tisch. Der Kunde: eine Behörde oder eine Organisation aus einem sicherheitskritischen Umfeld. Das Projekt ist attraktiv, die Anforderungen sind anspruchsvoll – und dann tauchen fünf Buchstaben auf, die plötzlich viele Fragen aufwerfen: VS-NfD. 

Kann deine bestehende IT die Informationen überhaupt verarbeiten? Wer darf auf die Daten zugreifen? Reicht die vorhandene Verschlüsselung? Welche Verantwortung trägt die Geschäftsführung und was muss die IT konkret umsetzen? 

Genau an diesem Punkt wird aus einem vermeintlichen Spezialthema eine unternehmerische Aufgabe von strategischer Reichweite. 

Denn VS-NfD im Unternehmen betrifft längst nicht nur klassische Rüstungs- oder Sicherheitsunternehmen. Auch IT-Dienstleister, Softwareanbieter, Beratungsbüros, Systemhäuser und Unterauftragnehmer können im Rahmen öffentlicher oder sicherheitsrelevanter Projekte mit entsprechend eingestuften Informationen in Berührung kommen. 

Wer darauf vorbereitet ist, reduziert nicht nur Sicherheits- und Compliance-Risiken. Die Fähigkeit, entsprechende Anforderungen zuverlässig zu erfüllen, kann auch eine zwingende Voraussetzung dafür sein, sich überhaupt an entsprechenden Ausschreibungen beteiligen zu können. 

Was bedeutet VS-NfD eigentlich?

VS-NfD steht für „VERSCHLUSSSACHE-NUR FÜR DEN DIENSTGEBRAUCH“ und bezeichnet den niedrigsten der vier Geheimhaltungsgrade für Verschlusssachen des Bundes. Eine Information wird entsprechend eingestuft, wenn ihre Kenntnis durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein kann. 

Dabei muss es sich keineswegs um ein Dokument mit spektakulärem Inhalt handeln. In einem Projekt können beispielsweise technische Unterlagen, Architekturinformationen, Kommunikationsdaten, Lageinformationen oder bestimmte Projektdokumentationen betroffen sein. 

Entscheidend ist nicht die Dateiform oder der vermeintliche wirtschaftliche Wert einer Information, sondern ihre offizielle Einstufung als Verschlusssache. 

Für dich als IT-Leiter, CISO oder Geschäftsführer bedeutet das: Sobald dein Unternehmen VS-NfD-Informationen erhält, verarbeitet oder im Rahmen eines Auftrags selbst erstellt, reicht „normale“ Informationssicherheit unter Umständen nicht mehr aus. 

Der Umgang mit diesen Informationen folgt besonderen Vorgaben. Dabei gilt unter anderem das Prinzip „Kenntnis nur, wenn nötig“: Zugriff sollen nur Personen erhalten, die die betreffende Information für ihre Tätigkeit tatsächlich benötigen.  
Auch Speicherung, Übertragung, Zugriffsschutz, Datenträger und der Betrieb der eingesetzten IT müssen entsprechend betrachtet werden. 

Warum betrifft VS-NfD auch privatwirtschaftliche Unternehmen?

Stell dir vor, dein Unternehmen entwickelt eine Anwendung für einen öffentlichen Auftraggeber. Die Software selbst ist nicht geheim. Während des Projekts erhält dein Team jedoch Architekturunterlagen, Netzpläne oder andere eingestufte Informationen. 

Plötzlich befindet sich VS-NfD in deiner gewohnten Projektlandschaft – zwischen Ticketsystem, Fileserver, Collaboration-Plattform, E-Mail und vielleicht verschiedenen Cloud-Diensten. 

Genau hier beginnt die Herausforderung. 

Die Verschlusssachenanweisung des Bundes richtet sich unmittelbar an Bundesbehörden beziehungsweise bundesunmittelbare Einrichtungen. Für Unternehmen entstehen die relevanten Anforderungen insbesondere über den jeweiligen Auftrag und die vertraglich vereinbarten Geheimschutzbestimmungen. Das BSI weist ausdrücklich darauf hin, dass bei der Beauftragung nichtöffentlicher Dienstleister entsprechende Bestimmungen zum Umgang mit VS-NfD vertraglich berücksichtigt werden müssen. 

Relevant kann das beispielsweise für Unternehmen werden, die in folgenden Bereichen tätig sind: 

• IT- und Digitalisierungsprojekte für öffentliche Auftraggeber 

• Verteidigungs- und Sicherheitsindustrie 

• kritische Infrastrukturen 

• Systemintegration und Managed Services 

• Softwareentwicklung und IT-Beratung 

• technische Dienstleistungen für Behörden 

• Lieferketten und Unterauftragnehmer sicherheitsrelevanter Projekte 

Die entscheidende Frage lautet deshalb nicht nur: „Arbeiten wir direkt für eine Behörde?“ Sondern vielmehr: „Können innerhalb unserer Projekte VS-NfD-Informationen in unsere Prozesse und Systeme gelangen?“ 

Gerade bei Unterauftragnehmern wird dieser Punkt leicht übersehen. 

Wer trägt die Verantwortung für VS-NfD im Unternehmen?

Montagmorgen, Jour fixe zum neuen Behördenprojekt. Der Einkauf spricht über Vertragsanforderungen, die IT über technische Möglichkeiten, der Projektleiter über den Zeitplan – und irgendwann fällt die Frage: 

„Wer ist bei uns eigentlich für VS-NfD verantwortlich?“ 

Wenn darauf mehrere Personen gleichzeitig aufeinander zeigen, besteht bereits Handlungsbedarf. 

VS-NfD lässt sich nicht als reines IT-Projekt behandeln. Sichere Umsetzung entsteht erst, wenn Unternehmensführung, Organisation und Technik zusammenspielen. 

Geschäftsführung: Rahmen und Verantwortung schaffen 

Für die Geschäftsführung steht vor allem die unternehmerische Perspektive im Mittelpunkt:

• Welche Aufträge wollen wir übernehmen?
• Welche Risiken entstehen daraus?
• Welche Ressourcen, Verantwortlichkeiten und organisatorischen Strukturen benötigen wir? 

Dazu gehört auch die Entscheidung, VS-NfD nicht lediglich als technische Zusatzanforderung eines einzelnen Projekts zu betrachten. 

Denn sobald mehrere Abteilungen, Mitarbeitende oder Dienstleister beteiligt sind, wird aus der technischen Frage schnell ein Thema für Governance, Compliance und Risikomanagement. 

CISO und Informationssicherheit: Anforderungen übersetzen 

Für CISOs und Verantwortliche der Informationssicherheit besteht die Aufgabe vor allem darin, aus regulatorischen und vertraglichen Anforderungen konkrete Schutzmaßnahmen abzuleiten. 

• Welche Informationen sind betroffen?
• Wo werden sie verarbeitet?
• Wer benötigt Zugriff?
• Welche Systeme befinden sich im Informationsfluss?
• Welche Schutzmaßnahmen bestehen bereits – und wo gibt es Lücken? 

Gerade hier zahlt sich ein strukturiertes Informationssicherheitsmanagement aus. 
Das BSI verfolgt für VS-IT ausdrücklich einen Security-by-Design-Ansatz: Geheimschutzanforderungen sollen frühzeitig in Sicherheitskonzept und Systemgestaltung einbezogen werden, statt erst nachträglich ergänzt zu werden. 

IT-Leitung: Aus Vorgaben funktionierende Systeme machen 

Für die IT beginnt anschließend die operative Arbeit. 

Zugriffsrechte, Authentisierung, Endgeräte, Speicherorte, Verschlüsselung, Kommunikationswege, Datenträger, Administration und Wartung müssen gemeinsam betrachtet werden.

Ein entscheidender Punkt dabei: Nicht jedes Produkt, das im normalen Unternehmensumfeld als „sicher“ gilt, erfüllt automatisch auch die jeweiligen Anforderungen an eine VS-NfD konforme Verarbeitung. Das BSI sieht für verschiedene Einsatzszenarien konkrete Anforderungen an VS-IT und geeignete IT-Sicherheitsprodukte vor.

Deshalb sollte die Architektur immer aus den tatsächlich für den Auftrag geltenden Anforderungen abgeleitet werden – und nicht umgekehrt.

VS-NfD sicher umsetzen: Drei Handlungsfelder entscheiden

In der Praxis funktioniert VS-NfD nicht durch den Kauf eines einzelnen Security-Produkts. 

• Eine starke Firewall löst keinen falsch adressierten E-Mail-Versand.
• Eine Verschlüsselung verhindert nicht, dass zu viele Mitarbeitende Zugriff erhalten.
• Und die beste Richtlinie bringt wenig, wenn niemand weiß, wie sie im Arbeitsalltag anzuwenden ist. 

Für eine belastbare Umsetzung solltest du deshalb drei Bereiche zusammen betrachten: Prozesse, Menschen und IT. 

Prozesse: Wissen, was mit der Information passiert

Der erste Schritt besteht darin, den Lebenszyklus der VS-NfD-Information zu verstehen. 

• Wo kommt sie ins Unternehmen?
• Wer nimmt sie entgegen?
• Wo wird sie gespeichert? Wer bearbeitet sie?
• Wie wird sie weitergegeben? Welche externen Partner erhalten Zugriff?
• Was passiert nach Abschluss des Projekts? 

Daraus entstehen verbindliche Prozesse beispielsweise für Zugriff, Speicherung, Übertragung, Mitnahme, Löschung oder Vernichtung. 

Wichtig ist dabei vor allem eines: Die Vorgaben müssen im Tagesgeschäft funktionieren. Ein Prozess, den Mitarbeitende regelmäßig umgehen müssen, weil er zu kompliziert ist, wird selbst zum Sicherheitsrisiko. 

Mitarbeitende: Zugriff braucht Bewusstsein 

Technologie schützt Informationen nur bis zu einem gewissen Punkt. 

Ein Mitarbeiter lädt eine Datei in den gewohnten Cloud-Speicher. Eine Projektleiterin leitet Unterlagen an einen Kollegen weiter. Ein Administrator öffnet im Rahmen einer Support-Anfrage ein betroffenes System. 

Was in normalen Projekten völlig selbstverständlich sein kann, muss im VS-NfD-Kontext gezielt bewertet werden. 

Der Zugriff folgt grundsätzlich dem Need-to-know-Prinzip. Personen, denen Zugang zu entsprechenden Verschlusssachen eingeräumt wird, müssen zudem mit den für sie geltenden Vorgaben vertraut gemacht werden. 

Schulungen sollten deshalb nicht bei abstrakten Regeln stehen bleiben. Sie müssen konkrete Alltagssituationen beantworten: 

Was darf ich mit einer Datei tun? Wo darf ich sie speichern? Wie darf ich sie versenden? Wen frage ich, wenn ich unsicher bin? 

IT: Eine sichere Umgebung statt einzelner Sicherheitsprodukte 

Für IT-Verantwortliche ist dies häufig der anspruchsvollste Teil. 

VS-NfD kann Auswirkungen auf die gesamte Verarbeitungskette haben – vom Endgerät über Identitäts- und Zugriffsmanagement bis zu Speicherung, Netzwerk, Kommunikation, Administration und Wartung. 

Das BSI beschreibt für VS-IT unter anderem Anforderungen an Zugangs- und Zugriffsschutz, elektronische Speicherung und Übertragung sowie den Einsatz geeigneter IT-Sicherheitsprodukte. Mehr-Faktor-Authentisierung wird beim Zugangs- und Zugriffsschutz beispielsweise ausdrücklich empfohlen. 

Die Kernfrage lautet daher nicht: 

„Haben wir Verschlüsselung?“ 

Sondern: 

„Ist unsere gesamte Verarbeitungskette für den konkreten VS-NfD-Anwendungsfall geeignet und entsprechend abgesichert?“ 

Das ist ein wesentlicher Unterschied. 

Welche Fehler treten bei VS-NfD besonders häufig auf?

Viele Probleme beginnen nicht mit einem Cyberangriff. Sie beginnen mit Annahmen. 

• „Unsere ISO-Zertifizierung wird schon reichen.“ 
• „Die Datei liegt doch nur intern.“ 
• „Der Administrator braucht schließlich Zugriff.“ 
• „Unser Cloud-Anbieter verschlüsselt doch alles.“ 
• „Das macht der Projektleiter.“ 

Solche Aussagen wirken zunächst plausibel – können aber gefährlich werden, wenn daraus ungeprüfte Prozesse entstehen. 

Typische Schwachstellen sind: 

• nicht eindeutig definierte Rollen und Verantwortlichkeiten, 
• fehlende Transparenz darüber, wo VS-NfD verarbeitet wird, 
• zu weit gefasste Zugriffsrechte, 
• nicht ausreichend geschulte Mitarbeitende, 
• ungeprüfte Speicher- und Kommunikationslösungen, 
• fehlende Regeln für externe Dienstleister und Unterauftragnehmer, 
• technische Entscheidungen, bevor die konkreten Geheimschutzanforderungen geklärt wurden. 

Gerade der letzte Punkt ist relevant. Das BSI empfiehlt, Geheimschutzanforderungen bereits während Planung und Beschaffung zu berücksichtigen. Werden sie erst später betrachtet, können bereits ausgewählte Produkte oder Architekturen ungeeignet sein.

Wie startest du die VS-NfD-Umsetzung im Unternehmen?

Wenn heute ein VS-NfD-Projekt auf deinem Schreibtisch landet, solltest du nicht als Erstes neue Technologie bestellen. 

Beginne mit Transparenz. 

Schritt 1: Anforderungen des konkreten Auftrags klären 

Prüfe zunächst, welche Informationen tatsächlich als VS-NfD eingestuft werden und welche Vorgaben der Auftraggeber vertraglich festgelegt hat. 

Gerade für Unternehmen ist dieser Punkt entscheidend, da die konkrete Umsetzung nicht losgelöst vom jeweiligen Vertrags- und Projektkontext betrachtet werden sollte. 

Schritt 2: Informationsflüsse und Systeme erfassen 

Dokumentiere, wo die Informationen entstehen, gespeichert, bearbeitet und übertragen werden. 

Berücksichtige dabei nicht nur zentrale Systeme. Auch Endgeräte, mobile Arbeit, Backups, E-Mail, Collaboration-Plattformen, Supportprozesse und externe Dienstleister können Teil der Verarbeitungskette sein. 

Schritt 3: Rollen und Zugriffsrechte definieren 

Lege fest, wer fachlich und organisatorisch verantwortlich ist und welche Personen tatsächlich Zugriff benötigen. 

Das Need-to-know-Prinzip sollte sich anschließend nicht nur in einer Richtlinie wiederfinden, sondern auch technisch in Rollen und Berechtigungen abgebildet werden. 

Schritt 4: Soll-Ist-Abgleich durchführen 

Vergleiche die Anforderungen mit deiner bestehenden Infrastruktur. 

• Welche Kontrollen sind bereits vorhanden?
• Welche Prozesse können angepasst werden?
• Wo sind zusätzliche organisatorische oder technische Maßnahmen erforderlich? 

So vermeidest du, eine komplett neue Umgebung aufzubauen, obwohl Teile deiner vorhandenen Sicherheitsarchitektur möglicherweise weiterverwendet werden können. 

 Schritt 5: Menschen und Betrieb einbeziehen 

Eine technisch saubere Architektur ist nur der Anfang. 

Schulungen, Onboarding und Offboarding, Administration, Support, Wartung, Incident-Prozesse und regelmäßige Überprüfungen entscheiden darüber, ob die Sicherheitsmaßnahmen auch nach sechs oder zwölf Monaten noch funktionieren. 

VS-NfD sollte deshalb nicht als einmaliges Implementierungsprojekt verstanden werden, sondern als Bestandteil eines dauerhaft beherrschten Sicherheitsprozesses. 

Fazit: VS-NfD wird beherrschbar, wenn du frühzeitig Struktur schaffst 

VS-NfD wirkt auf den ersten Blick wie ein Spezialgebiet voller Vorschriften, technischer Anforderungen und neuer Verantwortlichkeiten. 

In der Praxis lässt sich die Herausforderung auf eine überschaubare Frage reduzieren: 

Weißt du jederzeit, welche schutzbedürftigen Informationen sich wo befinden, wer darauf zugreifen darf und ob Menschen, Prozesse und Technologie diesen Schutz tatsächlich gewährleisten? 

Wer diese Frage belastbar beantworten kann, hat bereits einen entscheidenden Schritt gemacht. 

Für Geschäftsführer bedeutet das, die organisatorischen Voraussetzungen zu schaffen. Für CISOs geht es darum, Anforderungen in ein tragfähiges Sicherheitskonzept zu übersetzen. Und für IT-Leiter besteht die Aufgabe darin, dieses Konzept technisch zuverlässig und im Alltag praktikabel umzusetzen. 

Dabei lohnt es sich, VS-NfD im Unternehmen frühzeitig zu betrachten – idealerweise bevor ein konkreter Auftrag die Umsetzung unter Zeitdruck erzwingt. 

Denn gute Geheimschutzmaßnahmen sollen Projekte nicht komplizierter machen. Sie sollen ermöglichen, dass dein Unternehmen auch mit sensiblen Informationen zuverlässig, sicher und handlungsfähig bleibt. 

Quelle:

Thomas Bauer

Sales Director WK IT GmbH

„Nach vielen Jahren als Team- und Sales-Manager bei einem Engineering-Dienstleister vertrete ich heute die WK IT mit ihren Leistungen im Bereich IT-Security und Managed Services gegenüber Kunden und Partnern. Meine Wurzeln liegen in der Politikberatung. Networking und Moderation liegen mir also im Blut, was meine Aufgabe als Sales Director für die WK IT sehr unterstützt“. 

Zu meinem LinkedIn Account