VS-NfD im Alltag: Kennzeichnung, Aufbewahrung, Weitergabe und Vernichtung

Problem in der Praxis

Beim ersten VS-NfD-Auftrag kippen Unternehmen typischerweise in eines von zwei Extremen. Entweder wird übersteuert: Stahlschränke und Sicherheitsüberprüfungen, die für VS-NfD weder erforderlich noch vorgesehen sind. Oder es wird untersteuert: VS-NfD-Dokumente liegen ungekennzeichnet in der Projektablage, gehen ohne Herausgeber-Einwilligung an Partner oder wandern in Papierform mit nach Hause. Beides fällt meist erst auf, wenn der Auftraggeber nachfragt, ein Dokument verloren geht oder ein Unterauftragnehmer unverpflichtet Kenntnis erhalten hat, dann steht auch die Vertragsbeziehung zur Disposition.

CISO-Einordnung

Der deutsche Geheimschutz kennt zwei parallele Regelwerke: Für Bundesbehörden gilt die Verschlusssachenanweisung (VSA) mit dem VS-NfD-Merkblatt als Anlage V; für Unternehmen die GHB-Anlage 4. Beide teilen den Schutzkern, sind aber eigenständig, Ziffern und Anforderungen dürfen nicht rechtskreisübergreifend übertragen werden. Dieser Beitrag folgt der Unternehmensperspektive der GHB-Anlage 4 (in Kraft seit 01.09.2023, ergänzt durch eine FAQ mit Stand 05/2026; Fassungs- und Ziffernstände datumsabhängig, am BMWE-Portal zu prüfen).

Rechtsgrundlage der Verpflichtung im nichtöffentlichen Bereich ist § 35 Abs. 2 SÜG in Verbindung mit dem GHB beziehungsweise der vertraglichen Geheimschutzregelung. Die VS-NfD-Handhabung ist damit ein vertraglich geschuldeter Organisationsprozess, der sich mit Bordmitteln des ISMS abbilden lässt, Rollen, Belehrungen, Verwahrung, Weitergabe, Vernichtung, Meldewege —, aber eigene Rechtsfolgen hat.

Umsetzungsperspektive

Am Anfang steht der Personalprozess: Vor dem Zugang werden die Beschäftigten nachweislich belehrt und schriftlich verpflichtet (Muster in Teil 5 der Anlage 4; Ziffernstand datumsabhängig). Die Verpflichtung gilt nach dem Ausscheiden fort; der Nachweis ist spätestens fünf Jahre nach dem Ausscheiden aus der VS-NfD-bezogenen Tätigkeit zu vernichten (Teil 1a Ziff. 4.2). Eine Sicherheitsakte entsteht nicht.

Die Kennzeichnung folgt Teil 4: oben auf jeder beschriebenen Seite voll ausgeschrieben "VS-NUR FÜR DEN DIENSTGEBRAUCH" in Schwarz oder Blau; die Abkürzung "VS-NfD" ist nur zulässig, wenn das Ausschreiben nicht möglich ist. Bei selbst erstellten VS-NfD müssen erstellendes Unternehmen, amtlicher VS-NfD-Herausgeber und das maßgebliche Datum erkennbar sein; eine Einstufungsfrist wird nur vermerkt, wenn sie kürzer ist als die Regelfrist von 30 Jahren. Für die Aufbewahrung genügt ein verschlossener Behälter (abschließbarer Schrank oder Schreibtisch) oder ein abgeschlossener Raum; ein zertifiziertes VS-Verwahrgelass oder ein geprüfter Stahlschrank ist erst ab VS-VERTRAULICH erforderlich.

Innerhalb des Unternehmens ist die offene Weitergabe zulässig, solange Need-to-know und Verpflichtung gewahrt bleiben und die Kenntnisnahme Unbefugter ausgeschlossen ist; eine Quittierung ist nicht nötig. "Offen" bedeutet nicht allgemein zugänglich; die Vervielfältigung ist gesondert nach den einschlägigen Ziffern zu beurteilen. An Dritte dürfen VS-NfD nur mit nachweislicher Einwilligung des Herausgebers weitergegeben werden (Herausgeberprinzip); Unterauftragnehmer sind vorab auf das Merkblatt zu verpflichten.

Der nationale Versand ist unspektakulär: per Post oder privatem Zustelldienst als gewöhnliche Brief- oder Paketsendung ohne äußere VS-Kennzeichnung, ohne Doppelumschlag. Grenzüberschreitend gilt das Gegenteil: erforderlich sind Herausgeberzustimmung und grundsätzlich ein einschlägiges Geheimschutzabkommen oder eine vertragliche Regelung, ein bloßes "kein Widerspruch" trägt nicht. Fehlt ein Abkommen, legt der Herausgeber die Modalitäten im Benehmen mit dem BMWE fest; erst danach stellt sich die Frage des Versandwegs (Teil 2 Ziff. 6.4 bis 6.5). Die Mitnahme ist auf Dienstreisen und Besprechungen beschränkt, soweit nötig und gegen Kenntnisnahme und Zugriff gesichert (verschlossener, nicht zwingend versiegelter Umschlag). Die papiergebundene Mitnahme in die Privatwohnung ist grundsätzlich unzulässig; die ausschließlich elektronische Verarbeitung im Homeoffice nach Teil 6 wird im Beitrag zur VS-NfD-IT (vsnfd-003) behandelt.

Am Ende steht die Vernichtung: so, dass der Inhalt nicht erkennbar ist und nicht rekonstruiert werden kann, und nur mit Produkten, Verfahren oder Dienstleistern, die die BSI-Anforderungen erfüllen (Grundlage u. a. BSI-TL 03420). Eine konkrete DIN-66399-Stufe nennt das Merkblatt nicht amtlich; oft zitierte Stufen sind zu prüfende Praxisangaben. Bei Verlust, Verstoß oder Kompromittierung ist unverzüglich die VS-NfD-verantwortliche Person zu informieren; diese unterrichtet den Auftraggeber, sorgt für Schadensabwendung und klärt den Sachverhalt auf.

Typische Fehler

1. Die Maßstäbe von VS-VERTRAULICH werden auf VS-NfD übertragen: Stahlschrank, Sicherheitsüberprüfungen, Geheimschutzbetreuung, obwohl Behälterverschluss, Belehrung und Verpflichtung genügen.
2. Selbst erstellte VS-NfD werden nur mit der Abkürzung oder ohne erkennbaren Herausgeber und maßgebliches Datum gekennzeichnet.
3. Weitergabe an Dritte oder Unterauftragnehmer ohne nachweisliche Herausgeber-Einwilligung und ohne deren vorherige Verpflichtung auf das Merkblatt.
4. Grenzüberschreitender Versand wird auf ein bloßes "kein Widerspruch des Herausgebers" gestützt statt auf Zustimmung plus Abkommen oder vertragliche Regelung.
5. Papierunterlagen werden in die Privatwohnung mitgenommen, weil das elektronische Homeoffice-Modell fälschlich auf Papier übertragen wird.
6. Vernichtung im gewöhnlichen Büroshredder ohne Abgleich mit den BSI-Anforderungen, oder umgekehrt: eine bestimmte DIN-66399-Stufe wird als amtliche Vorgabe behauptet.

Risiken und Trade-offs

Untersteuerung ist das teurere Risiko: Verstöße gegen die einbezogene Anlage 4 sind Vertragsverletzungen mit Melde- und Aufklärungspflichten; eine Strafbarkeit kann, abhängig von Tatbestand, Täterkreis und Verschulden, insbesondere nach §§ 93 bis 99, § 203 Abs. 2 oder § 353b StGB in Betracht kommen, hinzu treten arbeits- und vertragsrechtliche Folgen. Übersteuerung kostet Geld und Glaubwürdigkeit: Wer für reine VS-NfD-Aufträge Sicherheitsbescheide oder Verwahrgelasse anstrebt, bindet Ressourcen ohne Mehrwert und signalisiert dem Auftraggeber Unkenntnis des Regelwerks.

Der operative Trade-off liegt zwischen zentraler und dezentraler Verwahrung: Zentrale Ablagen erleichtern Kontrolle und Nachweis, verlangsamen aber die Projektarbeit; dezentrale Verwahrung ist zulässig, verlangt aber mehr Disziplin. Die Nachweisführung (Verpflichtungen, Fristen, Vernichtungsbelege) ist Aufwand, zahlt sich aber bei jeder Auftraggeberkontrolle aus.

Entscheidungspunkte

• Wer ist als VS-NfD-verantwortliche Person benannt, und wie ist die Vertretung geregelt?
• Wo werden VS-NfD verwahrt (Behälter, Räume), und wer hat Schlüssel oder Zugang?
• Wie sichern wir Need-to-know und die Belehrungs- und Verpflichtungsnachweise projektbezogen, einschließlich der Fristen nach dem Ausscheiden?
• Wann holen wir die Herausgeber-Einwilligung für Weitergaben an Dritte ein, und wie verpflichten wir Unterauftragnehmer?
• Erfüllen unsere Vernichtungsverfahren oder -dienstleister die BSI-Anforderungen?
• Funktioniert der Meldeweg an die VS-NfD-verantwortliche Person und den Auftraggeber auch außerhalb der Geschäftszeiten?

Praktische Empfehlungen

1. Prüfen Sie je Auftrag, ob und in welcher Fassung die GHB-Anlage 4 vertraglich einbezogen ist, und benennen Sie eine VS-NfD-verantwortliche Person mit Vertretung.
2. Etablieren Sie einen Belehrungs- und Verpflichtungsprozess mit Nachweisführung und Fristenmanagement: Fortgeltung nach dem Ausscheiden, Vernichtung des Nachweises spätestens fünf Jahre danach.
3. Regeln Sie Kennzeichnung und Verwahrung konkret: ausgeschriebene Kennzeichnung in Schwarz oder Blau, bei eigenen VS-NfD Herausgeber und Datum, definierte abschließbare Behälter oder Räume statt Stahlschrank-Beschaffung.
4. Operationalisieren Sie die Weitergabe: intern offen nach Need-to-know, an Dritte nur mit nachweislicher Herausgeber-Einwilligung, national als gewöhnliche Postsendung ohne VS-Kennzeichnung, grenzüberschreitend nur mit Zustimmung und Abkommen oder vertraglicher Regelung.
5. Vernichten Sie nur über Produkte, Verfahren oder Dienstleister, die die BSI-Anforderungen (u. a. BSI-TL 03420) erfüllen, ohne eine amtliche DIN-Stufe zu behaupten.
6. Dokumentieren und üben Sie den Meldeweg bei Verlust oder Verstoß bis zur Information des Auftraggebers.

Relevante Normreferenzen

• Sicherheitsüberprüfungsgesetz (SÜG), insbesondere § 4 und § 35 Abs. 2; Fassungsstand an gesetze-im-internet.de prüfen.
• Verschlusssachenanweisung (VSA) vom 13.03.2023 mit Anlage V: Behördenseite, hier nur zur Abgrenzung; Anlage V Ziff. 6.6 als Maßgabe der vertraglichen Einbeziehung.
• GHB-Anlage 4 (VS-NfD-Merkblatt) des BMWE, in Kraft seit 01.09.2023, ergänzt durch FAQ (Stand 05/2026); Fassungsstände datumsabhängig.
• StGB: §§ 93 bis 99, § 203 Abs. 2, § 353b als mögliche Strafnormen im Einzelfall.
• BSI-TL 03420 als Grundlage der Vernichtungsanforderungen.