Sicherheitsüberprüfung
Abkürzung: SÜ
Eine Sicherheitsüberprüfung klärt, ob einer Person zugetraut werden kann, mit eingestuften Informationen oder in sicherheitsempfindlichen Bereichen zu arbeiten. Rechtsgrundlage für den Bund ist das Sicherheitsüberprüfungsgesetz (SÜG); die Länder haben eigene Landesgesetze nach demselben Muster. Die Überprüfung führt der Staat durch, nicht der Arbeitgeber. Mitwirkende Behörde ist der Verfassungsschutz.
Die Überprüfung findet nur mit Zustimmung der betroffenen Person statt (§ 2 SÜG). Wer nicht zustimmt, wird nicht überprüft, darf die Tätigkeit dann aber auch nicht ausüben.
Ü1, Ü2, Ü3: die drei Stufen
Welche Stufe nötig ist, richtet sich nach dem höchsten Geheimhaltungsgrad, mit dem die Person in Berührung kommt, oder nach der Art der Tätigkeit.
| Stufe | Bezeichnung im SÜG | Auslöser | Paragraf |
|---|---|---|---|
| Ü1 | Einfache Sicherheitsüberprüfung | Zugang zu VS-VERTRAULICH, Tätigkeit in bestimmten VS-Sicherheitsbereichen | § 8 |
| Ü2 | Erweiterte Sicherheitsüberprüfung | Zugang zu GEHEIM oder zu einer hohen Zahl von VS-VERTRAULICH-Sachen; vorbeugender personeller Sabotageschutz | § 9 |
| Ü3 | Erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen | Zugang zu STRENG GEHEIM oder zu einer hohen Zahl von GEHEIM-Sachen; Tätigkeit bei Nachrichtendiensten | § 10 |
Für VS-NUR FÜR DEN DIENSTGEBRAUCH ist keine Sicherheitsüberprüfung vorgesehen. Dort genügt es, die Beschäftigten zu unterrichten und förmlich zu verpflichten (siehe VS-NfD).
Sabotageschutz
Die Ü2 gilt nicht nur für den Umgang mit Verschlusssachen. Auch wer an einer sicherheitsempfindlichen Stelle in einer lebens- oder verteidigungswichtigen Einrichtung arbeitet, wird nach § 9 SÜG überprüft — ohne je ein eingestuftes Dokument zu sehen. In der Praxis heißt das SÜ-Sabotage.
Was geprüft wird
Grundlage ist die Sicherheitserklärung, ein Formular mit Angaben zur Person (§ 13 SÜG). Darin stehen unter anderem frühere Namen, Wohnsitze, Arbeitgeber, Staatsangehörigkeiten, Zahlungsfähigkeit, laufende Strafverfahren, eigene Internetseiten und Profile in sozialen Netzwerken sowie Reisen und Beziehungen in Staaten mit besonderen Sicherheitsrisiken. Welche Staaten das sind, legt das Bundesministerium des Innern fest.
Die Maßnahmen bauen aufeinander auf (§ 12 SÜG):
| Maßnahme | Ü1 | Ü2 | Ü3 |
|---|---|---|---|
| Bewertung der Sicherheitserklärung, Abfrage beim Verfassungsschutz | ja | ja | ja |
| Bundeszentralregister (unbeschränkte Auskunft), Gewerbezentralregister, staatsanwaltschaftliches Verfahrensregister | ja | ja | ja |
| Anfragen an Bundeskriminalamt, Bundespolizei, Nachrichtendienste des Bundes | ja | ja | ja |
| Recherche in öffentlich zugänglichen Internetquellen und sozialen Netzwerken | ja | ja | ja |
| Anfragen an die Polizei der Wohnorte, Prüfung der Identität | — | ja | ja |
| Ehe- oder Lebenspartner wird mit überprüft | — | ja, mit dessen Zustimmung | ja, mit dessen Zustimmung |
| Befragung von Referenzpersonen und weiteren Auskunftspersonen | — | — | ja |
Überprüft werden in der Regel die letzten fünf Jahre. Wer in dieser Zeit länger als sechs Monate am Stück im Ausland gelebt hat, bei dem fragt die Behörde mit gesonderter Zustimmung auch bei ausländischen Sicherheitsbehörden an.
Ablehnungsgründe: das Sicherheitsrisiko
Abgelehnt wird, wenn tatsächliche Anhaltspunkte für ein Sicherheitsrisiko vorliegen. § 5 SÜG kennt drei Fälle:
| Fall | Gemeint ist | Typische Anhaltspunkte |
|---|---|---|
| Zweifel an der Zuverlässigkeit | Die Person könnte mit der Tätigkeit nicht verantwortungsvoll umgehen | Straftaten, falsche oder verschwiegene Angaben in der Sicherheitserklärung |
| Besondere Gefährdung durch Anwerbung | Die Person ist erpressbar oder unter Druck zu setzen | Überschuldung, verheimlichte Lebensumstände, enge Bindungen in Staaten mit besonderen Sicherheitsrisiken |
| Zweifel an der Verfassungstreue | Die Person tritt nicht für die freiheitliche demokratische Grundordnung ein | Mitgliedschaft oder Aktivität in extremistischen Organisationen |
Ein Sicherheitsrisiko kann sich auch aus der Person des Ehe- oder Lebenspartners ergeben. Bevor abgelehnt wird, erhält die betroffene Person Gelegenheit zur Stellungnahme. Häufigster vermeidbarer Grund in der Praxis: unvollständige oder geschönte Angaben. Eine alte Verurteilung, offen angegeben, wiegt meist weniger als eine, die erst die Registerauskunft zutage fördert.
Ablauf und Dauer
- Der Bedarf entsteht bei der Stelle: eine Behörde oder ein Unternehmen im Geheimschutz stellt fest, dass die Tätigkeit eine Überprüfung erfordert.
- Die Person füllt die Sicherheitserklärung aus und stimmt zu.
- Die zuständige Stelle leitet die Unterlagen an den Verfassungsschutz, der die Maßnahmen durchführt und bewertet.
- Die zuständige Stelle entscheidet und teilt das Ergebnis mit.
Je nach Stufe dauert das Wochen bis Monate, die Ü3 am längsten. Unvollständige Formulare sind der häufigste Grund für Verzögerungen.
Gültigkeit
Eine abgeschlossene Überprüfung gilt nicht unbegrenzt (§ 17 SÜG). Nach fünf Jahren wird die Sicherheitserklärung aktualisiert, nach zehn Jahren folgt eine Wiederholungsüberprüfung mit den Maßnahmen der Erstprüfung. Neue sicherheitserhebliche Erkenntnisse können jederzeit eine Wiederholung auslösen. Wer den Arbeitgeber wechselt, nimmt die Überprüfung nicht automatisch mit; eine nicht mehr als fünf Jahre alte gleichwertige Überprüfung kann aber eine neue ersetzen.
Geheimschutz in Unternehmen
Private Unternehmen kommen mit Verschlusssachen in Berührung, wenn sie für Behörden oder die Bundeswehr arbeiten. Ab VS-VERTRAULICH muss das Unternehmen dafür in die Geheimschutzbetreuung des Bundesministeriums für Wirtschaft aufgenommen werden. Grundlage sind ein Geheimschutzvertrag und das Geheimschutzhandbuch, das Organisation, Räume und IT regelt.
Das Unternehmen benennt einen Sicherheitsbevollmächtigten, der die Überprüfungen für die Beschäftigten anstößt und den Geheimschutz im Haus verantwortet. Die Rolle soll nicht in der Personalverwaltung liegen.
Der Aufwand ist der Grund, warum viele Ausschreibungen bei VS-NfD stehen bleiben: Dort genügt die Verpflichtung der Beschäftigten, eine Betreuung ist nicht nötig.
Führungszeugnis für Arbeitgeber
Ein Führungszeugnis ist keine Sicherheitsüberprüfung. Es zeigt nur Eintragungen im Bundeszentralregister, und davon nicht alle: geringe Erstverurteilungen erscheinen nicht. Ein Arbeitgeber kann es verlangen, beantragen muss es die Person selbst (§ 30 BZRG).
| Art | Wofür | Hinweis |
|---|---|---|
| Privatführungszeugnis (Belegart N) | Vorlage beim Arbeitgeber | geht an die Person, die es weitergibt |
| Behördenführungszeugnis (Belegart O) | Vorlage bei einer Behörde | geht direkt an die Behörde |
| Erweitertes Führungszeugnis (§ 30a BZRG) | Tätigkeiten mit Kindern und Jugendlichen | nur mit schriftlicher Bestätigung des Arbeitgebers, dass die Voraussetzungen vorliegen |
Ein IT-Dienstleister oder Rechenzentrumsbetreiber kann also ein einfaches Führungszeugnis verlangen, ein erweitertes nicht — die Tätigkeit hat keinen Bezug zu Minderjährigen.
Im Rechenzentrum
Rechenzentren, die Behörden oder Kritische Infrastrukturen bedienen, verlangen für bestimmte Rollen überprüftes Personal. Typische Fälle:
- Zutritt zu einem Bereich, in dem Systeme mit eingestuften Daten stehen, etwa ein abgetrennter Cage
- Administration solcher Systeme, auch aus der Ferne
- Remote Hands für einen Behördenkunden
In Vergabeverfahren steht die Anforderung oft als Zahl: so und so viele Mitarbeiter mit Ü2 zum Vertragsbeginn. Weil die Überprüfung Monate dauert und nur für eine konkrete Tätigkeit beantragt werden kann, lässt sich überprüftes Personal nicht kurzfristig aufbauen. Wer solche Aufträge anstrebt, braucht den Bestand vor der Ausschreibung.
Für den Sabotageschutz sieht das Gesetz eine Ausnahme vor: Wer nur kurz, höchstens acht Wochen, an einer sicherheitsempfindlichen Stelle arbeitet und dabei ständig von einer überprüften Person begleitet wird, muss nicht überprüft werden (§ 9 Abs. 2 SÜG). Das betrifft etwa Techniker beim Tausch einer Komponente.