Verschlusssachen in der Kommunalverwaltung

Seit dem 4. September liegen laut den Tätern 5,79 Terabyte in 1,44 Millionen Dateien aus dem Berliner Landesnetz ungeschützt im Internet. Darunter befinden sich Notfallpläne, Schutz- und Baupläne kritischer Infrastruktur sowie Kriseneinsatzpläne anderer Länder. Im Innenausschuss hieß es, dass es sich nach bisheriger Kenntnis um Unterlagen der Stufe VS-NUR FÜR DEN DIENSTGEBRAUCH handele. Auch wenn aktuell alle Augen auf Berlin gerichtet sind: In den meisten Kommunen liegen dieselben Dokumente genauso auf dem Gruppenlaufwerk, im Postfach oder im Stabsraum.

Gleichzeitig treffen in den Kommunen immer mehr eingestufte Unterlagen ein. Die Länder haben vom Bund Planungspakete zum Operationsplan Deutschland in den Stufen VS-NfD bis GEHEIM erhalten. Die Einbindung der Kommunen obliegt den Ländern (BT-Drs. 21/7120). Die Kreisbeschreibung Zivile Verteidigung des BBK ist in ihrer zentralen Erfassung als VS-NfD zu kennzeichnen (BBK). Im November 2025 hat der Städtetag einen einheitlichen Umgang mit Verschlusssachen und die Finanzierung dafür gefordert (Deutscher Städtetag). Wer in einer Kommune arbeitet, wird mit VS-NfD zu tun bekommen. Dieser Beitrag erklärt, was das bedeutet und wie es umgesetzt werden kann.

Was eine Verschlusssache ist

Die Grundlage bildet § 4 des Sicherheitsüberprüfungsgesetzes (SÜG). Demnach ist eine Verschlusssache eine im öffentlichen Interesse geheimhaltungsbedürftige Tatsache, ein Gegenstand oder eine Erkenntnis, unabhängig von der Darstellungsform (§ 4 SÜG). Dazu kann beispielsweise ein Papier, eine Datei, ein USB-Stick, eine Lagekarte oder ein gesprochenes Wort in einer Videokonferenz gehören. Die Einstufung erfolgt durch eine amtliche Stelle oder auf deren Veranlassung. Herausgeber ist die Stelle, die die Information erstellt hat, und nur sie darf den Grad der Verschlusssache später ändern oder aufheben (VSA Bund).

Es gibt vier Grade, deren Abgrenzung im erwarteten Schaden liegt. „STRENG GEHEIM” gilt, wenn die Kenntnisnahme durch Unbefugte den Bestand oder die lebenswichtigen Interessen von Bund oder Land gefährden kann. „GEHEIM” gilt, wenn die Informationen die Sicherheit gefährden oder den Interessen schweren Schaden zufügen können. VS-VERTRAULICH gilt, wenn sie den Interessen schaden kann. VS-NUR FÜR DEN DIENSTGEBRAUCH gilt, wenn sie nachteilig sein kann. Ein Dokument mit unterschiedlich eingestuften Teilen trägt insgesamt den höchsten Grad. Auch Geschäftsgeheimnisse und Umstände des persönlichen Lebensbereichs können Verschlusssachen sein, wenn ihre Geheimhaltung im öffentlichen Interesse liegt.

VS-NfD ist der niedrigste Grad. Er ist trotzdem ein echter Grad mit echten Pflichten. Vier Grundsätze prägen ihn.

• Kenntnis nur, wenn nötig. Zugang bekommt, wer die Information für seine Aufgabe braucht. Niemand darf umfassender oder früher unterrichtet werden, als die Aufgabe es verlangt. Eine Führungsfunktion allein reicht nicht. Der Verteiler „Alle Amtsleitungen" ist deshalb fast immer falsch.
• Keine Sicherheitsüberprüfung, aber eine Verpflichtung. Eine Sicherheitsüberprüfung ist erst ab VS-VERTRAULICH nötig. Wer Zugang zu VS-NfD erhält, wird vorher auf das VS-NfD-Merkblatt verpflichtet und bekommt ein Exemplar gegen Empfangsbestätigung (Merkblatt Anlage V). Das Merkblatt nennt auch die Strafvorschriften.
• Persönliche Verantwortung. Wer eine Verschlusssache in der Hand hat, ist persönlich für ihre vorschriftsmäßige Behandlung verantwortlich. Das gilt für die Sachbearbeitung genauso wie für die Verwaltungsleitung.
• Die Einstufung bleibt, auch nach einem Leak. Dass ein Dokument im Darknet liegt, hebt seine Einstufung nicht auf. Wer es weiterverbreitet, verstößt weiter gegen die Regeln. Die Einstufung von VS-NfD endet spätestens nach 30 Jahren mit Ablauf des Jahres. Der Herausgeber kann eine kürzere Frist bestimmen, eine längere nicht.

Geheimschutz ist nicht Datenschutz. Ein Schutzkonzept für ein Umspannwerk enthält kaum personenbezogene Daten. Es ist trotzdem VS-NfD, wenn es zeigt, wo ein Angriff wirken würde. Umgekehrt ist eine Personalakte kein Staatsgeheimnis, aber ein Fall für den Datenschutz. Beides kann zusammenfallen, etwa bei Erreichbarkeitslisten des Krisenstabs. In Berlin ist beides zusammen abgeflossen.

Welche Regeln für Kommunen gelten

Hier beginnt die erste Verwirrung. Die Verschlusssachenanweisung des Bundes vom 13. März 2023 gilt nur für Bundesbehörden (VSA Bund). Kommunen unterliegen der Verschlusssachenanweisung und dem Sicherheitsüberprüfungsgesetz ihres Landes. Die niedersächsische VSA erklärt sich ausdrücklich für Landkreise und Gemeinden anwendbar (VSA Niedersachsen). Die bayerische VSA erfasst neben den Behörden des Freistaates auch die der staatlichen Aufsicht unterstehenden juristischen Personen des öffentlichen Rechts, also auch Kommunen (BayVSA). Das SÜG Sachsen-Anhalt gilt für Landkreise, Gemeinden und Verwaltungsgemeinschaften (SÜG-LSA). Wer Verschlusssachen des Bundes erhält, ist zusätzlich gebunden: Der Bund gibt sie nur an Länder weiter, in denen Regelungen entsprechend der Bundes-VSA gelten oder die sich dazu verpflichtet haben. Diese Verpflichtung reichen die Länder an ihre Kommunen weiter.

Für die Praxis heißt das: Die eigene Landes-VSA ist der Rechtsrahmen. Wo sie technisch veraltet ist, ist die Bundes-VSA 2023 mit den BSI-Vorgaben der fachliche Maßstab. Die geprüften Landesregeln verlangen für die Verschlüsselung durchweg Produkte mit BSI-Zulassung, auch die alten.

Was die Anforderungen konkret bedeuten

Die Bundes-VSA und der IT-Grundschutz-Baustein CON.11.1 beschreiben die Anforderungen im Detail (BSI CON.11.1). Auf die Kommune übersetzt ergibt sich folgendes Bild.

• Verantwortung. Die Verwaltungsleitung ist für die Umsetzung verantwortlich und schafft die Voraussetzungen. Sie kann eine Geheimschutzbeauftragte oder einen Geheimschutzbeauftragten bestellen. Bei reinem VS-NfD ist das nach der Bundes-VSA eine Kann-Regelung. Bestellt sie niemanden, trägt sie die Aufgabe selbst. Ohne eine benannte Person mit Fachkunde passiert in der Praxis nichts. Die Bestellung ist deshalb der erste Schritt. Die Informationssicherheitsbeauftragten unterstützen beim Einsatz der IT, ersetzen die Funktion aber nicht.
• Risikomanagement. Sicherheitsmaßnahmen sind angemessen, wenn Aufwand und Restrisiko in einem ausgewogenen Verhältnis stehen. Das ist die Pflicht zur Risikoanalyse. Wer eine Maßnahme nicht umsetzt, dokumentiert das Restrisiko und legt es der Leitung vor.
• Dokumentation. Wer nicht nur gelegentlich mit Verschlusssachen arbeitet, führt eine Geheimschutzdokumentation. Sie enthält die geltenden Vorschriften, die Liste der verpflichteten Personen, die Sicherungs- und die VS-IT-Dokumentation, Kontrollnachweise und Berichte über Vorkommnisse. Sie wird bei jeder relevanten Änderung aktualisiert und mindestens alle drei Jahre geprüft. Sie sollte selbst wie VS-NfD behandelt werden, weil sie Angreifern den Weg zeigt.
• Verpflichtung. Jede Person mit Zugang wird vorher auf das Merkblatt verpflichtet. Dazu gehören auch Administratoren, Poststelle, Sitzungsdienst und Mitglieder des Krisenstabs. Ehrenamtliche Ratsmitglieder, die eingestufte Gremienunterlagen erhalten, sind Personen mit Zugang und werden ebenso verpflichtet. Externe Dienstleister werden vertraglich gebunden. Wer keinen Zugang braucht, bekommt keinen; dann entfällt auch die Verpflichtung. Bayern verlangt eine Wiederholung der Belehrung spätestens alle fünf Jahre, das ist ein guter Rhythmus.
• Kennzeichnung. „VS-NUR FÜR DEN DIENSTGEBRAUCH" steht am oberen Rand jeder beschriebenen Seite, in schwarz oder blau, als Stempel oder Druck. Das Geschäftszeichen erhält am Schluss den Zusatz „VS-NfD". Bei Büchern und Broschüren reicht Einband oder Titelblatt. Der Betreff wird so formuliert, dass er für sich genommen nicht geheimhaltungsbedürftig ist. Bei Dateien gehört die Kennzeichnung in Dateiname, Kopfzeile und Metadaten. Eingestufte Anlagen werden auf dem Anschreiben vermerkt. Ein Deckblatt allein reicht nicht.
• Einstufung mit Maß. Von einer Einstufung ist nur Gebrauch zu machen, soweit sie notwendig ist. Wer alles stempelt, entwertet den Grad und überlastet die VS-IT. Kandidaten sind Schutzkonzepte für Wasserwerk, Rechenzentrum und Rathaus, Notfall- und Evakuierungspläne, Alarmkalender, Kreisbeschreibung und Krisenstabsunterlagen. Für wiederkehrende Fälle kann die Kommune Einstufungsrichtlinien festlegen. Das nimmt der Sachbearbeitung die Unsicherheit.
• Aufbewahrung. VS-NfD darf in der offenen Registratur geführt werden, aber bei Nichtgebrauch nur in verschlossenen Behältnissen oder abgeschlossenen Räumen. Keine offene Ablage im Großraumbüro. Unterwegs kein Hotelsafe, kein unbesetztes Auto. Im Stabsraum gilt Clean Desk am Ende jeder Sitzung. Ein VS-Verwahrgelass ist erst ab VS-VERTRAULICH nötig.
• Weitergabe. Vor jeder Weitergabe wird geprüft, ob der Empfänger berechtigt ist. Innerhalb Deutschlands genügt ein einfacher verschlossener Umschlag ohne äußere VS-Kennzeichnung; Bote, Kurier oder Post sind zulässig. An nichtöffentliche Stellen nur, wenn es im staatlichen Interesse erforderlich ist und der Empfänger die Schutzpflichten kennt. Kein cc an Externe, kein Verteiler ohne Prüfung, kein Einstellen in ein Ratsinformationssystem.
• VS-IT. Verschlusssachen dürfen nur auf freigegebener VS-IT verarbeitet werden. Drei Begriffe sind auseinanderzuhalten. Die Zulassung erteilt das BSI für ein IT-Sicherheitsprodukt. Die Einsatzerlaubnis ist eine befristete Lösung des BSI, wenn zugelassene Produkte fehlen. Die Freigabe erteilt die Dienststellenleitung für das konkrete System, nachdem ISB und Geheimschutzbeauftragte die Anforderungen geprüft haben (BSI VS-Produktkatalog). Ein zugelassenes Produkt im Regal ist noch keine VS-IT. Voraussetzung der Freigabe ist die Einhaltung der BSI-Standards zur Informationssicherheit, in der Praxis also ein gelebtes ISMS nach IT-Grundschutz. Die Sicherheit der VS-IT ist über den gesamten Lebenszyklus zu gewährleisten, von der Planung bis zur Aussonderung.
• Verschlüsselung. Bei der Übertragung über Kommunikationsverbindungen werden Verschlusssachen grundsätzlich mit BSI-zugelassenen Produkten verschlüsselt. Es gibt drei eng begrenzte Ausnahmen. Unverschlüsselt darf VS-NfD nur innerhalb einer freigegebenen VS-IT übertragen werden, wenn alle Empfänger ausschließlich über das freigegebene Netz erreicht werden. Bei unvertretbarem Zeitverlust darf eine andere Verbindung genutzt werden, mit möglichst geringem Mithörrisiko. Bei drohendem Schaden, der den Schaden der Preisgabe deutlich überwiegt, ist jeder Einzelfall mit dokumentierter Einwilligung der Leitung zulässig. In beiden Ausnahmefällen werden Identität des Gegenübers geprüft, Kennzeichnungen weggelassen und die Einstufung nachträglich mitgeteilt. Opportunistisches TLS zwischen Mailservern ist keine zugelassene Verschlüsselung. Eine VS-NfD-Anlage in einer normalen E-Mail ist ein Sicherheitsvorkommnis und kein Versehen (GHB FAQ). Zugelassen sind unter anderem GnuPG VS-Desktop und GreenShield für E-Mail, Wire Bund als Messenger, verschlüsselnde USB-Sticks wie Kobra und Festplattenverschlüsselungen wie Trusted Disk oder DiskEncrypt (BSI Zulassungsliste). Zulassungen sind befristet und müssen überwacht werden.
• Mobil und Homeoffice. Mitnahme nur zu Dienstreisen und Besprechungen, soweit dienstlich notwendig, und ständig im persönlichen Gewahrsam. Datenträger und mobile Geräte mit unverschlüsselten Verschlusssachen sind wie die Verschlusssache selbst zu schützen; praktisch heißt das zugelassene Festplattenverschlüsselung. Notebooks werden unterwegs ausgeschaltet, nicht in den Ruhezustand versetzt. Papier-VS gehören nicht in die Privatwohnung. Homeoffice mit VS-NfD regelt die Bundes-VSA nicht ausdrücklich. Das Geheimschutzhandbuch für die Wirtschaft lässt es elektronisch zu, wenn das Gerät freigegeben ist, die Wohnung in Deutschland liegt, die Leitung zugestimmt hat und die Person gesondert belehrt wurde. Diese Bedingungen sind ein brauchbarer Maßstab für eine kommunale Regelung, die mit der Landesstelle abgestimmt wird. Private Geräte und private Konten sind ausgeschlossen.
• Cloud und KI. Public Cloud kommt nur infrage, wenn der Anbieter zu keinem Zeitpunkt Klartext sieht. Das BSI hat im Januar 2026 einen Leitfaden dazu veröffentlicht (BSI Cloud-Leitfaden). Die Eingabe eingestufter Inhalte in öffentliche KI-Dienste ist eine Weitergabe an Unbefugte. Der Bund plant mit KIPITZ eine VS-NfD-fähige KI-Plattform auch für Kommunen, sie ist aber noch nicht verfügbar (BT-Drs. 21/6731).
• Vernichtung und Archiv. VS-NfD wird wie nicht eingestuftes Schriftgut nach dem Archivrecht ausgesondert. Erst wenn das Archiv nicht übernimmt, wird vernichtet, und zwar so, dass nichts rekonstruiert werden kann. Der Büroshredder mit Streifenschnitt und der offene Papiercontainer sind die häufigsten Fehler (cybervize). Die Kommune legt eine Sicherheitsstufe nach ISO/IEC 21964 fest und dokumentiert die Vernichtung. Datenträger werden mit zugelassenen Verfahren gelöscht oder physisch zerstört.
• Meldung. Verlust, unbefugte Kenntnisnahme, ein Verstoß gegen Geheimschutzvorschriften oder der Verdacht darauf werden unverzüglich der Geheimschutzbeauftragten gemeldet. Sie stellt den Sachverhalt fest, begrenzt den Schaden und verhindert Wiederholung. Ist ein nachrichtendienstlicher Hintergrund nicht auszuschließen, wird nach Landesrecht der Verfassungsschutz beteiligt. Sind personenbezogene Daten betroffen, läuft parallel die 72-Stunden-Frist der DSGVO.

Wie eine Kommune anfängt

Das klingt nach viel. In einer mittleren Kommune ist es in etwa einem Jahr machbar, wenn man in dieser Reihenfolge vorgeht.

1. Landesregeln klären und Landesstelle anrufen. Welche VSA gilt, wer berät, wer nimmt Meldungen an. Muster für Merkblatt und Dokumentation gibt es dort.
2. Leitungsentscheidung und Bestellung. Die Verwaltungsleitung entscheidet schriftlich, bestellt Geheimschutzbeauftragte und Vertretung und gibt ihnen Zeit. Die Funktion gehört nicht in die IT, weil sie die IT mit prüft. ISB und Datenschutzbeauftragte sitzen mit am Tisch.
3. Bestandsaufnahme. Jede Organisationseinheit meldet, welche eingestuften Unterlagen sie empfängt und welche eigenen Informationen einstufungsbedürftig sind. Daraus entsteht das VS-Verzeichnis mit Herausgeber, Grad, Ort, Technik und Frist.
4. Verpflichten. Merkblatt des Landes anpassen, alle Zugangsberechtigten vor dem Zugang verpflichten, Empfangsbestätigungen bei der GSB sammeln. Neue Beschäftigte im Onboarding, Ausscheidende bei der Rückgabe. Für Alarmkalenderbeauftragte und Stabsmitglieder, die höher eingestufte Unterlagen erhalten können, prüfen, ob eine Sicherheitsüberprüfung nach Landes-SÜG einzuleiten ist.
5. Papier ordnen. Stempel beschaffen, verschließbare Behältnisse an jeden Bearbeitungsplatz, Poststelle schulen, Vernichtungsverfahren festlegen. Das kostet wenig und wirkt sofort.
6. VS-IT aufbauen. Ein kleiner, vom Büronetz getrennter Verbund reicht für den Einstieg: wenige Arbeitsplätze mit zugelassener Festplattenverschlüsselung, zugelassener E-Mail-Verschlüsselung, zugelassenem VPN und zugelassenen Datenträgern. Ausschließlich aus der BSI-Zulassungsliste beschaffen und die Zulassungsnummer in die Vergabeunterlagen schreiben. Wo der kommunale IT-Dienstleister oder das Landesnetz bereits eine freigegebene VS-NfD-Umgebung anbietet, ist der Anschluss der günstigere Weg. Dann Freigabe durch die Leitung, vorher keine VS auf dem System.
7. Kommunikationswege festlegen. Ein Funktionspostfach mit zugelassener Verschlüsselung für die Zivile Alarmplanung, wie es Schleswig-Holstein mit „ZAP@" und Gpg4win vorgegeben hat. Ein zugelassener Messenger für den Stab. Videokonferenzen nur in freigegebener Konfiguration und ohne Telefoneinwahl.
8. Melden üben. Der Meldeweg wird in das IT-Notfallmanagement eingebaut und einmal im Jahr getestet, etwa mit einem simulierten verlorenen Stick. Der Geheimschutz gehört in jede Stabsrahmenübung.
9. Jährlich kontrollieren. Verpflichtungsstand, Kennzeichnung, Aufbewahrung, Zulassungsfristen, Dokumentation. Bericht an die Leitung.

Was passiert, wenn es schiefgeht

Wer als Amtsträger oder als für den öffentlichen Dienst besonders Verpflichteter ein Geheimnis unbefugt offenbart und dadurch wichtige öffentliche Interessen gefährdet, riskiert nach § 353b StGB bis zu fünf Jahre Freiheitsstrafe. Wer die Gefährdung nur fahrlässig verursacht, bis zu ein Jahr. Die Offenbarung selbst muss vorsätzlich sein; der versehentliche Klick ist kein Fall des § 353b. Verfolgt wird die Tat nur mit Ermächtigung, bei Kommunen durch die oberste Landesbehörde (§ 353b StGB). § 203 Abs. 2 StGB erfasst die Offenbarung fremder Geheimnisse durch Amtsträger, auch von Einzelangaben, die für Verwaltungsaufgaben erfasst wurden (§ 203 StGB). Tarifbeschäftigte fallen unter beide Normen, wenn sie nach dem Verpflichtungsgesetz förmlich verpflichtet wurden. Dazu kommen Disziplinarrecht bei Beamten und Abmahnung oder Kündigung bei Tarifbeschäftigten.

Eine eigene Bußgeldnorm für den falschen Umgang mit VS-NfD gibt es nicht. Die SÜG-Novelle des Bundes vom Januar 2026 hat zwar Bußgelder bis 50.000 Euro eingeführt. Sie treffen aber Betreiber lebens- oder verteidigungswichtiger Einrichtungen, die sicherheitsempfindliche Stellen nicht melden oder nicht überprüfte Personen dort einsetzen (SÜGMoG). Das kann auch kommunale Versorger betreffen.

Das Strafrecht ist aber nicht der Kern. Der Kern ist der Schaden, den niemand zurückholt. Im Rhein-Pfalz-Kreis veröffentlichte Vice Society 2022 Zugangsdaten zum Warnsystem Katwarn, eine Liste von 138 Zensus-Verweigerern und Daten von 1.209 Geflüchteten (ZEIT ONLINE). Beim Taurus-Abhörfall 2024 wählte sich ein Offizier aus einem Hotel in Singapur über eine unsichere Verbindung in eine Webex-Konferenz ein, 38 Minuten landeten in Russland (Wikipedia). Die Software war eine für den Dienstgebrauch zertifizierte Variante. In Berlin lagen Zugangsdaten im Klartext in Office-Dateien. Drei Fälle, drei Ursachen, dieselbe Wirkung: Der Standort eines Umspannwerks lässt sich nicht rotieren wie ein Passwort.

VS-NfD verlangt keine Sicherheitsüberprüfungen, keine Panzerschränke und keine VS-Registratur. Es verlangt eine benannte Person, ein Verzeichnis, eine Empfangsbestätigung unter das Merkblatt, einen Stempel, einen abschließbaren Schrank, zugelassene Verschlüsselung und einen Meldeweg. Das meiste davon kostet wenig. Die VS-IT kostet Geld. Wer den Kommunen eingestufte Aufgaben überträgt, muss sie auch finanzieren; der Städtetag hat das zu Recht eingefordert. Der Bund arbeitet an einem VS-NfD-Austauschdienst, an den auch Kommunen angeschlossen werden sollen, ohne Termin (BT-Drs. 21/7120). Darauf zu warten wäre jedoch falsch.