BSI-zugelassene Verschlüsselung: welches Produkt für welchen Fall
Wer aus einer Ausschreibung kommt, steht meist vor derselben Lage: Gefordert ist „eine für VS-NfD zugelassene Verschlüsselung", und die amtliche Liste des BSI ist eine Tabelle mit Einträgen wie „Verschlüsselung Layer 2" und einer Nummer. Was man tatsächlich braucht, steht dort nicht.
Diese Anleitung führt von der Schutzanforderung zur Produktklasse, erklärt die Spalten der Liste und nennt die Punkte, an denen Projekte auflaufen. Der Schwerpunkt liegt auf der Netzverschlüsselung — Strecken, Standortkopplung, Fernzugriff und Netzübergänge. Konkrete Produkte, Versionen und Fristen bleiben bewusst draußen; die stehen in der BSI-Schrift 7164 und ändern sich laufend.
Die Vorfrage: Zulassung oder Empfehlung
Bevor es um Produkte geht, muss eine Verwechslung ausgeräumt werden, die sonst den ganzen Beschaffungsvorgang in die falsche Richtung schickt.
Empfehlung. Die BSI TR-02102 nennt Verfahren, Schlüssellängen und Verwendungszeiträume. Sie bewertet keine Produkte. Eine Konfiguration, die ihr entspricht, ist gut konfiguriert — nicht zugelassen.
Zulassung. Eine Entscheidung des BSI über ein bestimmtes Produkt in einer bestimmten Version, verbunden mit Bedingungen für Einsatz und Betrieb. Nur sie erlaubt die Verarbeitung eingestufter Informationen. Die Begriffe und Geheimhaltungsgrade stehen unter VS-NfD.
Daraus folgt der Satz, auf den sich die ganze Anleitung zurückführen lässt: Für eingestufte Daten lässt sich keine Lösung bauen, sondern nur eine beschaffen. Auch nicht aus einwandfreien Bausteinen, auch nicht mit TR-konformen Verfahren.
Schritt 1: Den Geheimhaltungsgrad klären
Der Grad steht in der Einstufung der Information und ist keine technische Entscheidung. Er bestimmt aber alles Weitere.
Im Bestand der Zulassungsliste verteilen sich die Einträge deutlich ungleich: Rund drei von fünf gehen bis VS-NfD, etwa ein Viertel bis GEHEIM, der Rest bis VS-VERTRAULICH oder STRENG GEHEIM. Das Angebot folgt der Nachfrage — und die liegt bei VS-NfD, weil erst darüber die personelle Sicherheitsüberprüfung und die Geheimschutzbetreuung des Unternehmens hinzukommen.
Für die Beschaffung heißt das: Bei VS-NfD ist die Auswahl breit und der organisatorische Aufwand überschaubar. Ab VS-VERTRAULICH wird beides eng, und die Frage ist dann nicht mehr nur, welches Produkt — sondern ob das eigene Haus die Voraussetzungen überhaupt erfüllt.
Schritt 2: Die Produktklasse bestimmen
Die Leitfrage ist nicht „welches Gerät", sondern wo die Daten unterwegs sind.
| Schutzbedarf | Produktklasse |
|---|---|
| Zwei Standorte über eine fremde Leitung verbinden, ohne Routing dazwischen | Verschlüsselung Layer 2 |
| Dasselbe über geroutete Netze hinweg | Verschlüsselung Layer 3, VPN-Gateway |
| Eine ganze Übertragungsstrecke auf der optischen Ebene | Verschlüsselung Layer 1 |
| Einzelner Arbeitsplatz im Zugriff auf ein eingestuftes Netz | VPN-Client |
| Netzübergang kontrollieren | Firewall |
| Übergang zwischen Netzen verschiedener Einstufung | Rot-Schwarz-Gateway, Labelling Service |
| Daten nur in eine Richtung abgeben | Datendiode |
Außerhalb des Netzbetriebs enthält die Liste weitere Klassen, die hier nur der Vollständigkeit wegen genannt seien: Festplatten- und Dateiverschlüsselung, verschlüsselbare Massenspeicher, Hardware-Sicherheitsmodule, Hypervisor und Separation Kernel, mobile Plattformen für Smartphones und Tablets sowie Messenger und Kryptoendgeräte für Sprache.
Layer 2 oder Layer 3 — die häufigste Fehlentscheidung
Diese beiden werden am leichtesten verwechselt, und die Liste zeigt, wo das Gewicht tatsächlich liegt: Verschlüsselung auf Ethernet-Ebene ist mit deutlichem Abstand die größte Klasse der Netzverschlüsseler, Layer 3 kommt nur eine Handvoll Mal vor.
Der Grund ist nicht Mode, sondern Technik. Ein Layer-2-Verschlüsseler sitzt auf einer Punkt-zu-Punkt-Strecke, arbeitet im Netzbaustein der Schnittstelle und schafft deshalb volle Leitungsgeschwindigkeit bis in den 100-Gigabit-Bereich. Er kommt aber über keine Netzgrenze — siehe MACsec.
Ein Layer-3-Verschlüsseler überwindet geroutete Netze und ist damit flexibler, kostet aber Durchsatz und ist aufwendiger im Zusammenspiel mit Adressumsetzung und Paketgrößen — siehe IPsec und IKEv2.
Die Entscheidungsregel ist einfach: Gibt es eine durchgehende Strecke ohne Router, ist Layer 2 die bessere Wahl. Sobald geroutet wird, bleibt nur Layer 3.
Layer 1 als Sonderfall
Verschlüsselung auf der optischen Ebene sichert die Übertragungsstrecke selbst, nicht einzelne Rahmen. Sie kommt dort zum Einsatz, wo hohe Datenraten über gemietete Fasern oder DWDM-Strecken laufen und die Zuordnung zu Kanälen beim Betreiber liegt. Die Zahl der Einträge in dieser Klasse ist beachtlich — sie liegt in derselben Größenordnung wie Layer 2 und deutlich über Layer 3.
Schritt 3: Einen Eintrag richtig lesen
Die Liste hat vier Spalten. Entscheidend ist die letzte, und sie enthält mehr, als ein flüchtiger Blick erkennt:
Der Grad. Ausgewiesen als „bis:" — zusätzlich stehen dort die EU- und NATO-Entsprechungen. Eine deutsche Zulassung deckt die internationalen Grade nicht automatisch mit ab; wer in einem NATO-Kontext arbeitet, prüft diese Angabe gesondert.
Die Version. Zugelassen ist nicht das Produkt, sondern ein Versionsstand. Steht in der Liste eine andere Version als die beschaffte, ist die Zulassung für die beschaffte nicht belegt.
Die Befristung. Viele Einträge tragen ein Enddatum, typischerweise drei Jahre nach der Erteilung. Ein Produkt mit einer Frist in zwölf Monaten ist für ein Vorhaben mit fünfjähriger Laufzeit eine offene Flanke, über die früh gesprochen werden sollte.
Die Art der Entscheidung. Nicht jeder Eintrag ist eine vollwertige Zulassung. Es gibt die Zulassung mit Risikoliste — benannte Restrisiken, die der Betreiber kennen und tragen muss — und die engere Einsatzerlaubnis. Für die Projektdokumentation ist das ein Unterschied, der nicht übersehen werden darf.
Die Kennung. Das Aktenzeichen in der Form BSI-VSA-… ist die Angabe, mit der sich ein Eintrag eindeutig referenzieren lässt. In Unterlagen gehört sie dazu, nicht der Produktname allein.
Schritt 4: Die Einsatzbedingungen besorgen
Hier liegt der Punkt, den die meisten Vorhaben unterschätzen: Die Zulassungsurkunde mit den Einsatz- und Betriebsbedingungen ist nicht öffentlich. Sie steht nur berechtigten Anwendern zur Verfügung.
Die Liste sagt also, dass ein Produkt zugelassen ist — nicht, unter welchen Bedingungen der Betrieb die Zulassung tatsächlich in Anspruch nehmen kann. Diese Bedingungen regeln typischerweise, wie Schlüssel erzeugt und verteilt werden, welche Konfigurationen zulässig sind, wie zu protokollieren ist und wie mit Updates umzugehen ist.
Praktischer Rat: Die Urkunde vor der Beschaffungsentscheidung besorgen, nicht danach. Es kommt vor, dass die Bedingungen organisatorische Anforderungen stellen, die im eigenen Betrieb nicht ohne Weiteres erfüllbar sind — und das ist eine Information, die man vor der Bestellung haben will.
Wer zugelassene Netzprodukte anbietet
Der Markt ist überschaubar und von deutschen Spezialisten geprägt. Auf die Netzklassen bezogen verteilt sich das Angebot so:
| Produktklasse | Anbieter mit Einträgen |
|---|---|
| Verschlüsselung Layer 1 und 2 | Adva Network Security, atmedia, Rohde & Schwarz, secunet |
| Verschlüsselung Layer 3, VPN-Gateways und -Clients | secunet, genua, NCP engineering, Rohde & Schwarz Cybersecurity, ECOS Technology |
| Firewalls und Netzübergänge | genua, INFODAS, Airbus Defence and Space |
| Datendioden und Rot-Schwarz-Übergänge | INFODAS, genua, byteprotect |
Die größte Zahl an Einträgen hat secunet, dessen SINA eine ganze Architektur umfasst — Workstation, Terminal, Gateways und Verwaltungskomponenten, in vielen Behörden die Grundlage des eingestuften Netzbetriebs. Das ist auch der Grund, warum SINA oft synonym für zugelassene Verschlüsselung verwendet wird, obwohl es nur ein Anbieter unter mehreren ist.
Diese Zuordnung ist auf Anbieterebene über Jahre stabil. Welches konkrete Produkt in welcher Version aktuell zugelassen ist, gehört dagegen in jede Prüfung neu hinein.
Die typischen Projektfehler
Der Updatekonflikt. Zugelassen ist ein Versionsstand. Ein Firmware- oder Softwareupdate kann aus einem zugelassenen Gerät ein nicht zugelassenes machen. Das steht im direkten Widerspruch zum zeitnahen Schließen von Schwachstellen, und dieser Konflikt löst sich nicht technisch, sondern nur durch eine bewusste und dokumentierte Entscheidung samt Herstellerfahrplan.
Die Kette gegen die Kiste. Ein zugelassenes Gateway schützt die Strecke. Endgeräte, Schlüsselverwaltung, Protokollierung, Fernzugriff auf die Geräte und die Entsorgung von Datenträgern gehören ebenso zu den Anforderungen — und sind häufiger die Schwachstelle als die Kryptografie.
Die Verwechslung mit der Zertifizierung. „Common-Criteria-zertifiziert" ist eine Aussage über die Prüftiefe gegenüber den Zusicherungen des Herstellers, keine Verwendungserlaubnis. Zertifiziert und nicht zugelassen ist ein möglicher und nicht seltener Zustand.
Die Grade über Grenzen. Eine Zulassung bis VS-NfD belegt nicht automatisch NATO RESTRICTED oder RESTREINT UE/EU RESTRICTED, auch wenn die Grade einander entsprechen. Die Liste weist das einzeln aus.
Was keine Aussage hat
„Nach BSI-Standard verschlüsselt." Kein definierter Begriff. Gemeint ist meist die Einhaltung der TR-02102, und die ist keine Zulassung.
„BSI-geprüft" oder „BSI-konform" in Produktwerbung. Ohne Aktenzeichen und Grad ist das keine überprüfbare Angabe.
„AES-256" als Qualitätsaussage. Das Verfahren ist nicht die Frage. Zugelassen wird das Produkt — siehe AES.
Ein Eintrag in der Liste ohne Blick auf Version, Frist und Art der Entscheidung. Drei der vier Angaben stehen in derselben Spalte und werden regelmäßig überlesen.
Stand: Oktober 2026. Die Anbieterzuordnung und das Verfahren sind stabil; Produktversionen, Befristungen und die Zahl der Einträge ändern sich laufend. Verbindlich ist allein die BSI-Schrift 7164.