Personeller Geheimschutz und Geheimschutzbetreuung: von der Verpflichtung bis zum Sicherheitsbescheid

Problem in der Praxis

Kaum ein Geheimschutzthema erzeugt so viel Fehlsteuerung wie die Personalfrage. Bei der ersten Ausschreibung mit VS-NfD-Bezug verlangen interne Stellen reflexhaft „Sicherheitsüberprüfungen für das Projektteam", HR sucht einen Antragsweg, der nicht existiert, und der Vertrieb möchte eine „Geheimschutz-Zertifizierung" als Referenz aufbauen. Alle drei Wege gehen ins Leere: Für reine VS-NfD-Aufträge sieht das Gesetz keine Sicherheitsüberprüfung vor, in die Geheimschutzbetreuung kann sich ein Unternehmen nicht selbst einbringen, und der Sicherheitsbescheid darf nicht zu Werbezwecken offenbart werden. Umgekehrt wird der Sabotageschutz regelmäßig übersehen, weil er nicht am VS-Zugang hängt. Das Ergebnis: verzögerte Angebote, unnötige Prozesse, im ernsteren Fall Personal mit Zugang ab VS-VERTRAULICH ohne VS-Ermächtigung.

CISO-Einordnung

Das SÜG ist klar gestuft: Eine sicherheitsempfindliche Tätigkeit nach § 1 Abs. 2 SÜG liegt unter anderem vor, wenn eine Person Zugang zu Verschlusssachen der Grade STRENG GEHEIM, GEHEIM oder VS-VERTRAULICH erhält. VS-NfD ist dort bewusst nicht genannt: Der bloße VS-NfD-Zugang ist keine sicherheitsempfindliche Tätigkeit und löst weder eine Überprüfung noch eine Sicherheitsakte aus, so ausdrücklich auch die BfDI-Arbeitshilfe zum SÜG.

Ab VS-VERTRAULICH kennt das Gesetz drei Regelfälle: die einfache Sicherheitsüberprüfung Ü1 (§ 8 SÜG) für VS-VERTRAULICH, die erweiterte Ü2 (§ 9 SÜG) für GEHEIM, eine hohe Anzahl VS-VERTRAULICH oder den Sabotageschutz und die Ü3 mit Sicherheitsermittlungen (§ 10 SÜG) für STRENG GEHEIM oder eine hohe Anzahl GEHEIM. Im Einzelfall sind Abweichungen gesetzlich vorgesehen; „hohe Anzahl" ist ein unbestimmter Rechtsbegriff ohne feste Zahl (Konkretisierung zu prüfen). Die Entscheidung trifft die zuständige Stelle; mitwirkende Behörde ist das BfV, im Verteidigungsbereich das BAMAD.

Ein eigener Tatbestand daneben ist der vorbeugende personelle Sabotageschutz (§ 1 Abs. 4 SÜG): Er erfasst Personen an sicherheitsempfindlichen Stellen lebens- oder verteidigungswichtiger Einrichtungen, mit deutlichem KRITIS-Bezug, unabhängig vom VS-Zugang. Die erfassten Einrichtungen bestimmt die Sicherheitsüberprüfungsfeststellungsverordnung (SÜFV, Verordnungsstand zu prüfen) bzw. Landesrecht; vorgesehen ist grundsätzlich eine Ü2. Für Behörden gilt die Verschlusssachenanweisung (VSA) mit eigener Rollenwelt (Geheimschutzbeauftragte); dieser Artikel behandelt die Wirtschaft nach dem Geheimschutzhandbuch (GHB).

Umsetzungsperspektive

Für einen reinen VS-NfD-Auftrag ist der personelle Aufwand bewusst schlank. Grundlage ist die vertragliche Einbeziehung der GHB-Anlage 4 (VS-NfD-Merkblatt, in Kraft seit 01.09.2023; Fassungsstand am BMWE-Portal zu prüfen); die Verpflichtung stützt sich im nichtöffentlichen Bereich auf § 35 Abs. 2 SÜG in Verbindung mit dieser vertraglichen Regelung. Vor dem ersten Zugang wird jede betroffene Person nachweislich belehrt und schriftlich verpflichtet; der Zugang folgt dem Need-to-know, nicht einer förmlichen Ermächtigung. Ein Verzeichnis der verpflichteten Personen (wer, wann, für welchen Auftrag) hält Belehrungsstatus und Fristen steuerbar. Im Offboarding gilt: Die Verpflichtung wirkt nach dem Ausscheiden fort; der Nachweis ist spätestens fünf Jahre nach dem Ausscheiden aus der VS-NfD-bezogenen Tätigkeit zu vernichten (Teil 1a Ziff. 4.2 GHB-Anlage 4). Anlaufstelle ist die VS-NfD-verantwortliche Person; eine Betreuungsaufnahme entfällt.

Ab VS-VERTRAULICH wechselt das Regime. Die Geheimschutzbetreuung ist in § 25 SÜG funktional dem Wirtschaftsministerium zugewiesen, wird beim (beabsichtigten) Zugang ab VS-VERTRAULICH erforderlich und ist rechtzeitig vorher einzuleiten. Einen Eigenantrag gibt es nicht: Die Aufnahme erfolgt nur auf Veranlassung eines VS-Auftraggebers, einer öffentlichen Stelle oder eines bereits geheimschutzbetreuten Unternehmens, bei einem konkreten Auftrag. Die Geschäftsleitung schlägt eine leitende, ihr unmittelbar unterstellte Person als SiBe vor; nach Zustimmung des BMWE erfolgt die Bestellung. SiBe-Aufgaben sind unter anderem das VS-Auftragsverzeichnis, Beantragung und Kontrolle von VS-Ermächtigungen, Belehrungen und die Anforderung von Sicherheitsbescheiden. Die VS-Ermächtigung ist ab VS-VERTRAULICH die personenbezogene Zugangsbasis nach abgeschlossener Sicherheitsüberprüfung. Der Sicherheitsbescheid weist den Betreuungsstatus gegenüber Auftraggebern nach, ein Verfahrensnachweis, kein Gütesiegel, nicht zu Werbezwecken zu offenbaren. Im grenzüberschreitenden Geheimschutzverkehr übernimmt die Facility Security Clearance (FSC) diese Nachweisfunktion (Details: vsnfd-005).

Typische Fehler

1. Für einen reinen VS-NfD-Auftrag werden Sicherheitsüberprüfungen verlangt, obwohl Belehrung und schriftliche Verpflichtung genügen; das Angebot verzögert sich grundlos.
2. Das Unternehmen bewirbt sich ohne konkreten VS-Auftrag selbst um Geheimschutzbetreuung oder Sicherheitsbescheid, obwohl die Aufnahme nur über einen VS-Auftraggeber möglich ist.
3. Der Sicherheitsbescheid wird als Vertriebsargument verwendet, obwohl er nicht zu Werbezwecken offenbart werden darf.
4. Belehrungen und Verpflichtungen werden nicht dokumentiert; es fehlt ein Verzeichnis der verpflichteten Personen, das Offboarding ignoriert Fortgeltung und Fünfjahresfrist für die Nachweisvernichtung.
5. Der Sabotageschutz wird übersehen, weil „kein VS-Zugang" fälschlich mit „kein SÜG-Thema" gleichgesetzt wird.
6. Rollen werden vermischt: VS-NfD-verantwortliche Person, SiBe und Informationssicherheitsbeauftragte werden gleichgesetzt; der SiBe-Aufbau beginnt erst mit dem VS-VERTRAULICH-Auftrag.

Risiken und Trade-offs

Das Hauptrisiko ist beidseitige Fehldosierung. Übererfüllung, etwa der Versuch, VS-NfD-Personal förmlich überprüfen zu lassen, kostet Zeit und erzeugt keinen zusätzlichen Rechtsstatus. Untererfüllung ab VS-VERTRAULICH ist gravierender: Wer die Betreuungsaufnahme nicht rechtzeitig vor dem Zugang über den Auftraggeber anstößt, riskiert Terminverzug im Vergabeverfahren oder VS-Zugang ohne Ermächtigung. Planungsunsicherheit entsteht durch die Einzelfallabhängigkeit der Überprüfungsstufe („hohe Anzahl" als unbestimmter Rechtsbegriff, mögliche Abweichungen); die Stufe legt die zuständige Stelle fest, nicht das Unternehmen. Organisatorisch ist die SiBe-Funktion ein Engpass: eine leitende, der Geschäftsleitung unterstellte Person mit Zustimmungsvorbehalt des BMWE lässt sich nicht kurzfristig ersetzen. Strategisch ist abzuwägen, ob das Unternehmen im VS-NfD-Segment bleibt oder über einen Auftraggeber in die Geheimschutzbetreuung hineinwächst, dauerhafter Verfahrensaufwand als Preis für höher eingestufte Aufträge.

Entscheidungspunkte

• Bleibt unser Auftragsportfolio bei VS-NfD, oder ist Zugang ab VS-VERTRAULICH absehbar?
• Liegt unabhängig vom VS-Zugang ein Tatbestand des vorbeugenden personellen Sabotageschutzes (SÜFV, KRITIS-Bezug) vor?
• Wer ist als VS-NfD-verantwortliche Person benannt, und wer käme im Betreuungsfall als SiBe in Frage?
• Wie werden Belehrung, Verpflichtung, Verzeichnisführung und Offboarding nachweisbar in HR-Prozesse integriert?
• Über welchen VS-Auftraggeber würde im Bedarfsfall die Betreuungsaufnahme veranlasst, und ist der Vorlauf eingeplant?

Praktische Empfehlungen

1. Verankern Sie ein Zwei-Spuren-Modell: VS-NfD löst Belehrung, Verpflichtung und Need-to-know aus; Überprüfung, Betreuung, SiBe und VS-Ermächtigung beginnen erst ab VS-VERTRAULICH.
2. Standardisieren Sie den Verpflichtungsprozess mit HR: Belehrung vor dem ersten Zugang, schriftliche Verpflichtung, revisionssichere Ablage des Nachweises.
3. Führen Sie ein Verzeichnis der verpflichteten Personen und hinterlegen Sie die Offboarding-Logik: Fortgeltung kommunizieren, Nachweis spätestens fünf Jahre nach dem Ausscheiden aus der Tätigkeit vernichten.
4. Benennen Sie die VS-NfD-verantwortliche Person mit klarem Meldeweg und Vertretungsregelung.
5. Prüfen Sie einmalig und bei wesentlichen Änderungen, ob sicherheitsempfindliche Stellen im Sinne des Sabotageschutzes vorliegen (SÜFV, Verordnungsstand prüfen).
6. Planen Sie bei absehbaren Aufträgen ab VS-VERTRAULICH frühzeitig mit dem Auftraggeber die Betreuungseinleitung und identifizieren Sie SiBe-Kandidaten vorab.

Relevante Normreferenzen

• SÜG, insbesondere § 1 Abs. 2 und 4, §§ 8 bis 10, § 25, § 35: gesetzliche Grundlage des personellen Geheimschutzes; frei zugänglich, Fassungsstand datumsabhängig (zuletzt geändert lt. Vollzitat 09.01.2026, vor Nutzung prüfen).
• SÜFV: bestimmt die vom Sabotageschutz erfassten Einrichtungen; Verordnungsstand zu prüfen.
• VSA vom 13.03.2023 (in Kraft 01.04.2023): materieller Geheimschutz der Bundesverwaltung, hier nur zur Abgrenzung.
• GHB mit Anlage 4 (VS-NfD-Merkblatt, in Kraft seit 01.09.2023; Fassungsstand am BMWE-Portal prüfen) und FAQ (Stand 05/2026, datumsabhängig): Grundlage der Verpflichtungspraxis in der Wirtschaft.