Der Weg in den Geheimschutz des Bundes

Was bedeutet Geheimschutz für ein Unternehmen?

Der Geheimschutz gliedert sich in zwei Bereiche. Der amtliche Geheimschutz betrifft den Umgang mit Verschlusssachen innerhalb von Behörden. Der nichtamtliche Geheimschutz, auch Geheimschutz in der Wirtschaft genannt, gilt für Unternehmen, die im Auftrag des Bundes, ausländischer amtlicher Stellen oder internationaler Organisationen mit eingestuftem Material umgehen. Für private Auftragnehmer relevant ist nur der zweite Bereich, der durch das Bundeswirtschaftsministerium betreut wird.

Innerhalb dieses Rahmens sind zwei Schutzrichtungen zu unterscheiden. Der personelle Geheimschutz stellt durch Sicherheitsüberprüfungen sicher, dass nur zuverlässige Personen Zugang zu Verschlusssachen erhalten. Der materielle Geheimschutz umfasst die technischen und organisatorischen Sicherungsmaßnahmen, also die Frage, wie Verschlusssachen in Räumen, IT-Systemen und Prozessen vor unbefugtem Zugriff geschützt werden.

Ein drittes Element ist der vorbeugende personelle Sabotageschutz. Er zielt darauf ab, potenzielle Innentäter von lebens- oder verteidigungswichtigen Einrichtungen fernzuhalten. Die Rechtsgrundlage hierfür ist das Sicherheitsüberprüfungsgesetz (SÜG). Die konkreten Verfahrensregeln für Unternehmen sind im Geheimschutzhandbuch (GHB) des Ministeriums zu finden.

Wie kommt ein Unternehmen in die Geheimschutzbetreuung?

Ein Unternehmen kann sich nicht aus eigenem Antrieb in den Geheimschutz aufnehmen lassen. Auslöser ist immer ein konkreter Bedarf. Den Antrag auf Geheimschutzbetreuung stellt entweder eine Behörde, wie das Bundesamt für Ausrüstung, Informationstechnik und Nutzung der Bundeswehr (BAAINBw), oder ein bereits geheimschutzbetreutes Unternehmen, das einen eingestuften Unterauftrag vergeben will. Erst dieser Antrag setzt das Verfahren beim Bundeswirtschaftsministerium in Gang.

Das Ministerium prüft im Verfahren, ob das Unternehmen die personellen und materiellen Voraussetzungen erfüllt. Dazu gehört die Benennung eines Sicherheitsbevollmächtigten, die Klärung der Eigentums- und Beteiligungsverhältnisse sowie die Prüfung, ob die geplanten Räumlichkeiten und IT-Systeme den Anforderungen genügen.

Bei erfolgreicher Prüfung erteilt das Ministerium einen Sicherheitsbescheid. Dieser bestätigt, dass das Unternehmen Verschlusssachen bis zu einem bestimmten Geheimhaltungsgrad bearbeiten darf und benennt die dafür freigegebenen Personen.

Ohne gültigen Sicherheitsbescheid darf kein eingestuftes Material übergeben werden. Das bedeutet in der Praxis, dass der Zeitbedarf für die Aufnahme in die Angebots- und Projektplanung eingerechnet werden muss, da zwischen Antrag und Bescheid mehrere Monate liegen können.

Was unterscheidet die Sicherheitsüberprüfungen Ü1, Ü2 und Ü3?

Der Umfang der Sicherheitsüberprüfung richtet sich nach dem Geheimhaltungsgrad sowie der konkreten Tätigkeit. Die einfache Sicherheitsüberprüfung Ü1 ist für den Zugang zu Informationen mit der Kennzeichnung „VS-VERTRAULICH” vorgesehen. Im Mittelpunkt stehen dabei die Identität der betroffenen Person sowie mögliche sicherheitserhebliche Erkenntnisse.

Für den Zugang zu „GEHEIM” oder zu einer größeren Zahl von als „VS-VERTRAULICH” eingestuften Unterlagen ist die erweiterte Sicherheitsüberprüfung Ü2 erforderlich. Sie bezieht zusätzliche Erkenntnisquellen ein und erfasst grundsätzlich auch den volljährigen Ehe- oder Lebenspartner. Die Ü3, also die erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen, gilt für Tätigkeiten mit Zugang zu „STRENG GEHEIM”. Hier kommen weitergehende Ermittlungen, wie die Befragung von Referenzpersonen, hinzu.

In allen Stufen gilt der Grundsatz „Kenntnis nur, wenn nötig“. Nicht jede Person im Unternehmen wird vorsorglich überprüft, sondern nur, wenn der Zugang für die konkrete Aufgabe erforderlich ist. Auslandsaufenthalte und schwer aufklärbare Sachverhalte können die Dauer des Verfahrens deutlich verlängern. Deshalb sollten Personalplanung und Projektzeitplan frühzeitig aufeinander abgestimmt werden.

Was bedeutet VS-NfD und worin liegt der Unterschied zu höheren Einstufungen?

VS-NfD steht für „Verschlusssache, Nur für den Dienstgebrauch“ und ist der niedrigste der vier Geheimhaltungsgrade, gefolgt von VS-VERTRAULICH, GEHEIM und STRENG GEHEIM. Für Neueinsteiger ist der Unterschied praktisch bedeutsam, da der Zugang zu VS-NfD keine förmliche Sicherheitsüberprüfung nach dem SÜG voraussetzt. In der Regel genügt für den Umgang mit VS-NfD eine förmliche Verpflichtung der handelnden Person zur Verschwiegenheit und die Einhaltung der materiellen Schutzmaßnahmen. Eine Ü1 wird erst ab VS-VERTRAULICH verlangt.

Diese Schwelle ist für viele Aufträge im Verteidigungsumfeld relevant. Ein erheblicher Teil der Beschaffung bewegt sich auf der Ebene VS-NfD. Für diese Ebene müssen Unternehmen zwar organisatorische und technische Vorgaben erfüllen, aber noch kein vollständiges Sicherheitsüberprüfungsverfahren durchlaufen. Wer diese Ebene beherrscht, hat die Grundlage für den nächsten Schritt geschaffen.

Sobald ein Auftrag jedoch das Niveau VS-VERTRAULICH oder höher erreicht, greift der volle Apparat aus Sicherheitsbescheid, Sicherheitsbevollmächtigtem und personeller Überprüfung. Es empfiehlt sich, die eigene Aufstellung an dem Einstufungsniveau auszurichten, das im angestrebten Marktsegment tatsächlich verlangt wird, statt vorschnell den höchsten Grad anzustreben.

Was hat sich mit der SÜG-Novelle 2026 geändert?

Das Sicherheitsüberprüfungsgesetz wurde durch das Gesetz zur Modernisierung des Sicherheitsüberprüfungsgesetzes mit Wirkung zum 16. Januar 2026 reformiert. Grund dafür ist einerseits der bei der Evaluierung der ersten Novelle festgestellte Anpassungsbedarf und andererseits die verschärfte sicherheitspolitische Lage, die laut Einschätzung des Gesetzgebers eine deutlich höhere Gefahr von Spionage und Sabotage mit sich bringt.

Im Zentrum steht die Ausweitung der Internetrecherche. Die Sicherheitsbehörden dürfen im Rahmen der Überprüfung nun breiter im Netz recherchieren, ausdrücklich auch in sozialen Netzwerken – und das über alle Überprüfungsarten hinweg.

Bei der einfachen Sicherheitsüberprüfung wird die Recherche in sozialen Netzwerken einbezogen, bei den erweiterten Überprüfungen ist eine Internetrecherche hingegen verpflichtend. Hinzu kommen eine stärkere Digitalisierung des Verfahrens zur Beschleunigung sowie Anpassungen beim vorbeugenden personellen Sabotageschutz.

Für Unternehmen bedeutet die Reform vor allem, dass die Bewertungsgrundlage breiter wird. Sicherheitsrelevante Auffälligkeiten in öffentlich zugänglichen Online-Profilen können stärker in die Beurteilung einfließen. Dies ist bei der Vorbereitung der eingesetzten Mitarbeiter zu berücksichtigen.

Welche Pflichten treffen den Sicherheitsbevollmächtigten?

Jedes geheimschutzbetreute Unternehmen muss einen Sicherheitsbevollmächtigten benennen. Diese Person ist die zentrale Schnittstelle zum Bundeswirtschaftsministerium und trägt die Verantwortung dafür, dass die Vorgaben des Geheimschutzhandbuchs im Unternehmen tatsächlich umgesetzt werden. Zu ihren Aufgaben gehört es, die Sicherheitsüberprüfungen der Mitarbeitenden anzustoßen und zu begleiten, den Zugang zu Verschlusssachen nach dem Grundsatz „Kenntnis nur, wenn nötig” zu steuern, die materiellen Schutzmaßnahmen zu überwachen und sicherheitsrelevante Vorkommnisse zu melden.

Der Sicherheitsbevollmächtigte ist keine bloße Formalie. Er muss über die nötige Zuverlässigkeit und Sachkunde verfügen und selbst überprüft worden sein. Die Qualität dieser Funktion entscheidet faktisch darüber, ob ein Unternehmen den laufenden Anforderungen des Geheimschutzes standhält. Die Betreuung endet nämlich nicht mit dem Sicherheitsbescheid, sondern besteht über die gesamte Dauer der Zusammenarbeit fort. Unternehmen unterschätzen häufig, dass hierfür dauerhaft Personal, Prozesse und Dokumentation gebunden werden. In sicherheitsempfindlichen Bereichen gelten für den vorbeugenden Sabotageschutz zusätzliche Anforderungen an die eingesetzten Personen.

Welche Stolpersteine treffen Neueinsteiger besonders?

Für neue Marktteilnehmer ist der Umgang mit ausländischen Beteiligungen oft der problematischste Prüfungspunkt. Das Ministerium untersucht, ob ein Unternehmen durch nichtdeutsche Eigentümer, Gesellschafter oder sonstige Verbindungen einem fremden Einfluss unterliegen könnte.

Nichtdeutsche Beteiligungen müssen offengelegt werden. Sie können der Aufnahme in den Geheimschutz entgegenstehen oder zusätzliche Auflagen auslösen. Für Unternehmen mit ausländischen Investoren, Muttergesellschaften oder Kapitalgebern ist dies ein Punkt, der die gesamte Geheimschutzfähigkeit infrage stellen kann. Er muss deshalb frühzeitig geklärt werden – im Zweifel bereits bei der Gestaltung der Gesellschafterstruktur.

Weitere typische Fehlerquellen liegen im Ablauf. Wer den Zeitbedarf für die Sicherheitsüberprüfungen nicht einplant, gerät zu Projektbeginn unter Druck, da noch nicht freigegebene Mitarbeiter nicht eingesetzt werden dürfen. Wer die materiellen Anforderungen an Räume und IT unterschätzt, muss unter Zeitdruck nachrüsten. Wer den Geheimschutz als einmaliges Projekt begreift statt als Daueraufgabe, riskiert Beanstandungen im laufenden Betrieb. All diese Punkte lassen sich vermeiden, wenn der Geheimschutz von Beginn an als Teil der Unternehmens- und Angebotsplanung behandelt wird und nicht erst, wenn der Auftrag bereits in Aussicht steht.

Wie hängen Geheimschutz und Vergaberecht zusammen?

Im Verteidigungsbereich greifen Geheimschutz und Vergaberecht ineinander. Sicherheitsrelevante und verteidigungsspezifische Aufträge werden nach eigenen vergaberechtlichen Regeln vergeben. Diese erlauben es dem Auftraggeber, Anforderungen an die Informations- und Versorgungssicherheit zu stellen. Der Nachweis der Geheimschutzfähigkeit in Form eines gültigen Sicherheitsbescheids für den geforderten Geheimhaltungsgrad ist dabei häufig eine Eignungsvoraussetzung. Ohne diesen scheidet ein Bieter aus, unabhängig davon, wie gut sein technisches Angebot ist.

Das bedeutet für die Praxis, dass die Geheimschutzvorbereitung und die Vergabestrategie zusammen gedacht werden müssen. Wir bieten beides aus einer Hand: die gesellschafts- und regulierungsrechtliche Aufstellung des Unternehmens für die Aufnahme in den Geheimschutz sowie die vergaberechtliche Positionierung im konkreten Beschaffungsverfahren. Wie die vergaberechtliche Seite verteidigungsspezifischer Aufträge im Detail funktioniert, behandeln wir in unseren Beiträgen zum Vergaberecht im Verteidigungs- und Sicherheitssektor.