Vier Buchstaben im Vertrag, ein Merkblatt als Anlage, und plötzlich gelten für dein Büro Regeln aus dem staatlichen Geheimschutz. Was VS-NfD ist, wen es trifft und was du unterschreibst.
*Teil 1 von 6 der Serie „VS-NfD für Unternehmen\“. Die Übersicht aller Teile findest du am Ende des Artikels.*
Ein Ingenieurbüro mit 25 Leuten bekommt den Zuschlag für die Sanierung einer Kaserne. Im Vertrag steht ein Satz über „Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH“, dahinter hängt ein Merkblatt mit sechs Teilen. Die Geschäftsführung unterschreibt, weil der Auftrag gut ist. Zwei Wochen später kommen die ersten Lagepläne, oben auf jeder Seite in Großbuchstaben: VS-NUR FÜR DEN DIENSTGEBRAUCH.
Ab diesem Moment gelten in diesem Büro Regeln, die mit normaler Informationssicherheit wenig zu tun haben. Wer darf die Pläne sehen? Darf der Projektleiter sie per E-Mail an den Statiker schicken? Darf die Zeichnerin sie zu Hause auf dem Laptop öffnen? Und auf welchem Rechner dürfen sie überhaupt liegen?
Die ehrliche Antwort lautet in vielen Unternehmen: Das weiß niemand so genau. Genau dafür ist diese Serie gedacht.
Die vier Geheimhaltungsgrade
Der Staat stuft Informationen, deren Bekanntwerden ihm schaden kann, in vier Grade ein. Geregelt ist das in § 4 des Sicherheitsüberprüfungsgesetzes:
| Grad | Wenn Unbefugte Kenntnis erhalten, kann das … |
|---|---|
| STRENG GEHEIM | den Bestand oder lebenswichtige Interessen der Bundesrepublik gefährden |
| GEHEIM | die Sicherheit der Bundesrepublik gefährden oder ihren Interessen schweren Schaden zufügen |
| VS-VERTRAULICH | für die Interessen der Bundesrepublik schädlich sein |
| VS-NUR FÜR DEN DIENSTGEBRAUCH | für die Interessen der Bundesrepublik oder eines Landes nachteilig sein |
VS-NfD ist also die unterste Stufe. Das hat zwei angenehme Folgen. Es braucht kein Geheimschutzverfahren beim Wirtschaftsministerium, und niemand im Unternehmen muss sich einer Sicherheitsüberprüfung unterziehen. Ein förmlicher „VS-Auftrag“ im Sinne des Geheimschutzhandbuchs liegt erst ab VS-VERTRAULICH vor.
Die unangenehme Folge: Weil die Hürde niedrig ist, landet VS-NfD bei sehr vielen Unternehmen, die mit Geheimschutz nie etwas zu tun hatten. Und die Pflichten sind trotzdem verbindlich.
Welche Regeln gelten
Für Behörden des Bundes gilt die Verschlusssachenanweisung, kurz VSA, in der Fassung vom 13. März 2023. Unternehmen sind an die VSA nicht direkt gebunden. Sie kommen über einen Vertrag ins Spiel. Die VSA verpflichtet die Behörde, vor der Weitergabe von VS-NfD an ein Unternehmen einen Vertrag zu schließen, in den das VS-NfD-Merkblatt einbezogen ist.
Dieses Merkblatt ist Anlage 4 des Geheimschutzhandbuchs, das das Bundeswirtschaftsministerium herausgibt. Die aktuelle Fassung trägt den Stand 07/2023 und gilt seit dem 1. September 2023. Sie hat sechs Teile:
- Teil 1a und 1b: Rechte und Pflichten von Auftraggeber und Unternehmen, dazu die Vereinbarung, mit der du eine verantwortliche Person benennst
- Teil 2: der Umgang mit VS-NfD im Alltag, von der Aufbewahrung bis zur Vernichtung
- Teil 3: die Anforderungen an die IT, einschließlich der Selbstakkreditierung
- Teil 4: wie VS-NfD gekennzeichnet werden
- Teil 5: der Nachweis, dass Mitarbeitende belehrt und verpflichtet wurden
- Teil 6: die Vereinbarung für das Homeoffice
Wenn du dir aus dieser Serie nur eine Sache merkst, dann diese: Lies das Merkblatt. Es hat knapp zwanzig Seiten, und es ist erstaunlich konkret. Die meisten Fragen, die in Unternehmen zu VS-NfD auftauchen, beantwortet es selbst.
Wie VS-NfD ins Haus kommt
Es gibt zwei Wege. Entweder ist dein Auftraggeber eine Behörde, also etwa eine Bundeswehrdienststelle, ein Bundesamt oder eine Landesbehörde. Dann schließt sie den Vertrag mit dir direkt. Oder du bist Unterauftragnehmer eines Unternehmens, das selbst VS-NfD-Auftragnehmer ist. Dann muss dieses Unternehmen dich auf das Merkblatt verpflichten und übernimmt dir gegenüber die Rolle des Auftraggebers, samt Kontrollrechten.
Der zweite Weg ist der häufigere und der tückischere. Ein Zulieferer in dritter Reihe bekommt ein Lastenheft mit VS-NfD-Kennzeichnung und eine Anlage zum Bestellschreiben, die niemand liest. Rechtlich hat er sich damit verpflichtet, alle Teile des Merkblatts einzuhalten. Das Merkblatt weist ausdrücklich auf strafrechtliche und vertragliche Konsequenzen bei Verstößen hin.
Typische Fälle aus dem Mittelstand:
- Planungs- und Ingenieurbüros, die an Liegenschaften von Bundeswehr, Polizei oder Bundesbehörden arbeiten
- Softwarehäuser und IT-Dienstleister, die Fachverfahren für Behörden entwickeln oder betreuen
- Zulieferer im Verteidigungs- und Sicherheitsumfeld, die Zeichnungen, Spezifikationen oder Prüfberichte erhalten
- Sicherheitsdienstleister, Gebäudetechniker und Facility-Manager mit Zugang zu Plänen und Alarmkonzepten
- Beratungsunternehmen, die für Ministerien Gutachten oder Konzepte schreiben
Was eine VS-NfD ausmacht
Wichtig für das Verständnis: Du entscheidest nicht, was VS-NfD ist. Das tut die Behörde, die das Dokument erstellt oder in Auftrag gibt. Das Merkblatt nennt sie Herausgeber. Ein Unternehmen ist nie selbst Herausgeber, es kann eine Einstufung nur auf Veranlassung des Herausgebers vornehmen.
Das hat eine praktische Konsequenz, die oft übersehen wird. Wenn du aus einer VS-NfD einen eigenen Bericht, eine Zeichnung oder eine Präsentation erstellst, die deren Inhalte übernimmt, ist auch dein Dokument VS-NfD. Das gilt ausdrücklich auch für Zwischenmaterial wie Entwürfe. Der Ausdruck im Drucker, die Skizze auf dem Notizblock, der Export als PDF: alles VS-NfD.
Die Einstufung gilt höchstens 30 Jahre und endet mit Ablauf des Jahres, in das das Fristende fällt. Der Herausgeber kann eine kürzere Frist setzen. Verlängern kann er sie nicht.
Der Grundsatz, um den sich alles dreht
Im Merkblatt taucht ein Satz immer wieder auf: Kenntnis nur, wenn nötig. Von einer VS-NfD dürfen nur Personen erfahren, die sie für ihre Aufgabe brauchen. Und auch die nicht mehr und nicht früher als nötig.
Das klingt selbstverständlich, kollidiert aber mit fast allem, was moderne Zusammenarbeit ausmacht. Der gemeinsame Projektordner, auf den das ganze Team Zugriff hat. Der Teams-Kanal, in dem auch die Werkstudentin mitliest. Die Standardrechte im Betriebssystem, bei denen jeder Nutzer erst einmal alles sehen darf, was nicht ausdrücklich gesperrt ist. Das Merkblatt verlangt das Gegenteil: Zugriff nur nach ausdrücklicher Freigabe.
Was VS-NfD nicht abdeckt
Zwei Abgrenzungen sparen dir später Ärger.
Erstens gilt das Merkblatt nur für deutsche VS-NfD und vergleichbar eingestufte ausländische Verschlusssachen, die einem Unternehmen in Deutschland überlassen wurden. Für Verschlusssachen von NATO, EU, ESA oder OCCAR gelten deren eigene Vorschriften. „NATO RESTRICTED“ ist also nicht automatisch mit dem VS-NfD-Merkblatt erledigt.
Zweitens ist VS-NfD kein Ersatz für den Schutz deiner eigenen Geschäftsgeheimnisse und keine Datenschutzkategorie. Ein Dokument kann gleichzeitig VS-NfD sein, personenbezogene Daten enthalten und unter eine Vertraulichkeitsvereinbarung fallen. Dann gelten alle drei Regelwerke nebeneinander.
Warum das Thema gerade jetzt drängt
Lange war VS-NfD im Mittelstand eine Formalie. Das Merkblatt lag dem Vertrag bei, ein paar Leute unterschrieben eine Verpflichtung, und die Pläne lagen im abschließbaren Schrank. Für die IT galten zwar auch Regeln, aber kaum jemand hat sie geprüft.
Mit der Fassung von 2023 hat sich das geändert. Seit dem 1. September 2025 muss jedes Unternehmen, das VS-NfD auf IT verarbeitet, eine Selbstakkreditierung vorweisen können. Die für VS-NfD verantwortliche Person bestätigt der Geschäftsleitung schriftlich, dass die IT-Anforderungen umgesetzt sind. Auftraggeber und Wirtschaftsministerium können diese Bestätigung jederzeit anfordern.
Und die Verarbeitung beginnt laut Merkblatt bereits mit dem Lesen. Wer eine VS-NfD-PDF auf seinem normalen Büro-Laptop öffnet, verarbeitet sie auf IT. Damit dürfte fast jedes Unternehmen mit VS-NfD-Auftrag betroffen sein.
Wie es in dieser Serie weitergeht
In sechs Teilen gehe ich das Merkblatt so durch, dass du am Ende weißt, was zu tun ist:
1. Was VS-NfD ist und warum es dich betrifft (dieser Teil) 2. Die Selbstakkreditierung: wer was bestätigt und was in der Erklärung stehen muss 3. Organisation, Räume, Menschen: verantwortliche Person, Belehrung, Kennzeichnung, Versand, Vernichtung, Homeoffice 4. Die IT, Variante A: der isolierte Arbeitsplatz ohne Netzverbindung 5. Die IT, Variante B: VS-NfD im Netzwerk, mit Firewall, Verschlüsselung und der Frage nach Cloud und Microsoft 365 6. Der Weg zur Akkreditierung in 30 Tagen, mit Checkliste
Bis nächsten Montag eine Hausaufgabe, die zehn Minuten dauert: Such in deinen laufenden Verträgen und Bestellungen nach den Wörtern „Verschlusssache“, „VS-NfD“ und „Dienstgebrauch“. Wie viele Treffer hast du, und weiß in deinem Haus jemand davon?
Alle Teile der Serie
1. Was VS-NfD ist und warum es dich betrifft (dieser Artikel) 2. Die Selbstakkreditierung: wer was bestätigt 3. Organisation, Räume, Menschen 4. Die IT, Variante A: der isolierte Arbeitsplatz 5. Die IT, Variante B: VS-NfD im Netzwerk 6. In 30 Tagen zur Selbstakkreditierung, mit Checkliste