VS-NfD – VS-Nur für den Dienstgebrauch
Abkürzung: VS-NfD
Der Begriff trägt zwei Bedeutungen, die in der Praxis ständig durcheinandergeraten. Zum einen bezeichnet er eine Einstufung — die Kennzeichnung einer Information, aus der sich Pflichten für deren Behandlung ergeben. Zum anderen steht „VS-NfD-zugelassen" als Produkteigenschaft in Ausschreibungen, und damit ist etwas völlig anderes gemeint: eine förmliche Entscheidung des BSI über ein bestimmtes Gerät oder Programm.
Die Kennzeichnung selbst wird in Großbuchstaben geschrieben, also VS-NUR FÜR DEN DIENSTGEBRAUCH. Die Abkürzung VS steht für Verschlusssache.
Die vier Geheimhaltungsgrade
| Deutsch | EU | NATO |
|---|---|---|
| VS-NUR FÜR DEN DIENSTGEBRAUCH | RESTREINT UE/EU RESTRICTED | NATO RESTRICTED |
| VS-VERTRAULICH | CONFIDENTIEL UE/EU CONFIDENTIAL | NATO CONFIDENTIAL |
| GEHEIM | SECRET UE/EU SECRET | NATO SECRET |
| STRENG GEHEIM | TRÈS SECRET UE/EU TOP SECRET | COSMIC TOP SECRET |
Die Zuordnung quer über die drei Spalten ist die üblicherweise angesetzte Entsprechung; ein zugelassenes Produkt trägt in der BSI-Liste jeweils die Grade einzeln ausgewiesen, weil eine Zulassung für den deutschen Grad nicht automatisch die internationalen abdeckt.
Warum gerade VS-NfD die relevante Stufe ist
Die weit überwiegende Zahl der eingestuften Vorgänge, mit denen Unternehmen überhaupt in Berührung kommen, liegt auf dieser Stufe — und zwar wegen eines Unterschieds, der nichts mit Technik zu tun hat.
Ab VS-VERTRAULICH müssen die beteiligten Personen eine Sicherheitsüberprüfung durchlaufen, und das beauftragte Unternehmen braucht eine Betreuung im Geheimschutz. Bei VS-NfD entfällt beides. Es genügt, dass die Beschäftigten über ihre Pflichten unterrichtet und verpflichtet werden, dass die Information nur an Personen gelangt, die sie für ihre Aufgabe benötigen, und dass die technischen Vorgaben eingehalten werden.
Damit ist VS-NfD die Schwelle, an der ein Auftrag für einen gewöhnlichen Dienstleister erreichbar bleibt — und entsprechend die Stufe, auf die sich Ausschreibungen und Produktanforderungen konzentrieren.
Zulassung ist keine Zertifizierung
Hier liegt das größte Missverständnis, und es lohnt die Mühe, die beiden Begriffe sauber zu trennen.
Eine Zertifizierung nach Common Criteria beantwortet: Tut das Produkt, was der Hersteller zusichert, und wie gründlich wurde das geprüft? Gegenstand ist eine Sicherheitsvorgabe des Herstellers, das Ergebnis ist ein Prüfurteil.
Eine Zulassung beantwortet: Darf mit diesem Produkt in Deutschland eine Verschlusssache dieses Grades verarbeitet werden? Gegenstand ist der Einsatzzweck, das Ergebnis ist eine Erlaubnis.
Die Zulassung baut in der Regel auf einer Prüfung auf, geht aber darüber hinaus: Sie bewertet die verwendeten kryptografischen Verfahren nach nationalen Vorgaben, betrachtet das Produkt im vorgesehenen Einsatzumfeld und verbindet die Erlaubnis mit Bedingungen für Einsatz und Betrieb. Ein Produkt kann also zertifiziert und trotzdem nicht zugelassen sein.
Drei Formen der Erlaubnis
Die BSI-Liste unterscheidet nicht nur Grade, sondern auch die Art der Entscheidung:
Zulassung. Die vollständige Form, ohne weitere Einschränkung über die Einsatzbedingungen hinaus.
Zulassung mit Risikoliste. Es bestehen bekannte Restrisiken, die ausdrücklich benannt sind. Wer das Produkt einsetzt, muss diese Risiken kennen und tragen — eine Entscheidung, die beim Betreiber liegt und nicht beim BSI.
Einsatzerlaubnis. Die engere Form, die den Einsatz in einem bestimmten Rahmen erlaubt, ohne eine allgemeine Zulassung auszusprechen.
Dazu kommt, dass Entscheidungen befristet sein können. Eine Angabe wie „zugelassen bis VS-NfD" ohne Blick auf Befristung und Produktversion ist deshalb unvollständig.
Die Liste 7164
Das maßgebliche Verzeichnis ist die BSI-Schrift 7164, „Liste der zugelassenen IT-Sicherheitsprodukte und -systeme". Sie führt je Eintrag das Produkt mit Versionsstand, den höchsten zugelassenen Geheimhaltungsgrad, eine Kurzinformation zum Produkttyp, die Art der Entscheidung, eine Kennung und gegebenenfalls eine Befristung.
Ein Punkt daran ist für die Praxis entscheidend: Die Zulassungsurkunde mit den Einsatz- und Betriebsbedingungen ist nicht öffentlich. Sie steht nur berechtigten Anwendern zur Verfügung. Die Liste sagt also, dass ein Produkt zugelassen ist — nicht, unter welchen Bedingungen es betrieben werden muss, um die Zulassung auch tatsächlich in Anspruch zu nehmen.
Daraus folgt der häufigste Fehler in Projekten: Ein zugelassenes Produkt zu beschaffen ist der kleinere Teil der Arbeit. Es anschließend so zu betreiben, wie die Urkunde es verlangt, ist der größere.
Was zugelassen wird
Die Liste ordnet nicht nach formalen Produktklassen, die Kurzinformationen lassen aber eine überschaubare Gruppierung erkennen:
| Typ | Aufgabe | Zusammenhang |
|---|---|---|
| Verschlüsselung Layer 3 | IP-Verkehr zwischen Standorten und für Einzelplätze | IPsec, IKEv2 |
| Verschlüsselung Layer 2 | ganze Netzabschnitte auf Ethernet-Ebene | MACsec |
| Verschlüsselung Layer 1 | Übertragungsstrecken auf der optischen Ebene | Lichtwellenleiterstrecken |
| VPN-Gateway und VPN-Client | Zugang und Standortkopplung | VPN |
| Festplattenverschlüsselung | Daten im Ruhezustand | AES |
| Mobile Plattformen | Smartphones und Tablets für eingestufte Nutzung | — |
| Hypervisor und Thin Clients | Trennung von Sicherheitsbereichen auf einem Gerät | — |
| Datendioden | Übertragung nur in eine Richtung | — |
| Hardware-Sicherheitsmodule | Schlüsselerzeugung und -aufbewahrung | Public Key |
| Firewalls | Kontrolle des Übergangs zwischen Bereichen | — |
Die bekannteste Produktfamilie in diesem Umfeld ist SINA — eine Architektur aus Clients, Gateways und Verwaltungskomponenten, die in vielen Behörden den eingestuften Netzbetrieb trägt. Daneben gibt es eine kleine Zahl weiterer deutscher Hersteller mit zugelassenen Produkten, vor allem bei Netzverschlüsselern, VPN-Software und Sicherheitsmodulen.
Weil sich Versionen, Grade und Befristungen fortlaufend ändern, führen wir die konkreten Produkte und Hersteller nicht hier, sondern in einer gesondert gepflegten Übersicht.
Was im Betrieb daraus folgt
Vier Punkte, an denen Projekte regelmäßig auflaufen:
Konform konfiguriert ist nicht zugelassen. Eine Verschlüsselung, die den Empfehlungen der BSI TR-02102 entspricht, erfüllt damit keine Zulassungsanforderung. Die Richtlinie empfiehlt Verfahren, die Zulassung erlaubt Produkte — zwei getrennte Regime.
Die Version zählt. Zugelassen ist ein bestimmter Stand. Ein Firmware- oder Softwareupdate kann aus einem zugelassenen Gerät ein nicht zugelassenes machen, weshalb Aktualisierungen in diesem Umfeld nicht frei einspielbar sind. Das erzeugt den bekannten Konflikt zwischen Zulassungstreue und zeitnahem Schließen von Schwachstellen.
Die Kette entscheidet, nicht die Kiste. Ein zugelassenes Gateway schützt die Strecke. Was auf den Endgeräten, in der Verwaltung, bei der Protokollierung und in der Entsorgung von Datenträgern geschieht, gehört ebenso zu den Anforderungen.
Eigenbau ist kein Weg. Für eingestufte Verarbeitung lässt sich eine Lösung nicht selbst zusammenstellen, auch nicht aus einwandfreien Bausteinen. Zugelassen wird das Produkt, nicht das Verfahren.
Abgrenzung
BSI TR-02102 ist der offene Bereich: Empfehlungen für Verfahren und Schlüssellängen, ohne Produktbezug.
Common Criteria prüft Produkte gegen die Zusicherungen ihres Herstellers und ist international. Die Zulassung ist national und entscheidet über die Verwendung.
Geheimschutz bezeichnet den organisatorischen und personellen Rahmen — Sicherheitsüberprüfung, Verpflichtung, Betreuung von Unternehmen. Die Zulassung deckt nur die technische Seite ab.
Der Übergang zu quantensicheren Verfahren betrifft dieses Feld besonders unmittelbar, weil eingestufte Informationen lange schutzbedürftig bleiben und aufgezeichneter Verkehr später entschlüsselt werden könnte. Siehe Post-Quantum-Kryptografie.
Stand: Oktober 2026. Die Geheimhaltungsgrade und das Zulassungsverfahren sind stabil; Produktlisten, Versionsstände und Befristungen ändern sich laufend und sind in der BSI-Schrift 7164 nachzusehen.