Dienstreisen gehören zum Projektgeschäft. Im Zug eine Präsentation überarbeiten, am Flughafen E-Mails beantworten, im Hotel mit dem Team telefonieren: Bei VS-NUR FÜR DEN DIENSTGEBRAUCH können solche Routinen zum Sicherheitsproblem werden. Wer eingestufte Informationen mitnimmt, muss vor Reisebeginn klären, ob die Mitnahme erforderlich ist und unter welchen Bedingungen Aufbewahrung, Kommunikation und Verarbeitung zulässig sind.
Für Unternehmen ist das im jeweiligen Auftrag vertraglich einbezogene VS-NfD-Merkblatt nach Anlage 4 des Geheimschutzhandbuchs maßgeblich. Eine förmliche Geheimschutzbetreuung ist für VS-NfD allein nicht erforderlich. Hinzu kommen die konkreten Auftraggebervorgaben und verbindlichen internen Anweisungen. Zuständig ist die benannte VS-NfD-verantwortliche Person, die zugleich Sicherheitsbeauftragter sein kann. Unklarheiten sind mit ihr und gegebenenfalls dem Auftraggeber vorab zu klären.
Vor der Reise: Datenumfang und Geräte begrenzen
Die erste praktische Entscheidung betrifft den Umfang der mitgeführten Informationen. Artefaktum empfiehlt, Reisegeräte auf den tatsächlichen Bedarf zu beschränken. Vollständige Projektablagen und umfangreiche lokale Datenbestände „für alle Fälle“ schaffen zusätzliche Risiken. Zur Reisevorbereitung gehört deshalb auch die Frage, welche Aufgaben unterwegs ohne eingestufte Informationen erledigt werden können.
Für die elektronische Verarbeitung ist entsprechend freigegebene IT einzusetzen. Ein Firmennotebook wird durch Verschlüsselung, VPN und Endpoint Security allein noch nicht zur geeigneten VS-NfD-Umgebung. Entscheidend sind die konkrete Systemkonfiguration, der vorgesehene Einsatz und die einzuhaltenden Betriebsbedingungen. Persönliche Verpflichtung und technische Freigabe erfüllen unterschiedliche Zwecke; keine ersetzt die andere.
Öffentliche Arbeitsplätze und vertrauliche Gespräche
An Flughäfen und Bahnhöfen sollte die Bearbeitung eingestufter Inhalte nach unserer Empfehlung grundsätzlich unterbleiben, wenn sich die Umgebung nicht zuverlässig kontrollieren lässt. Lounges sind dabei ebenso kritisch wie Wartebereiche oder Restaurants. Ein Sichtschutzfilter verringert die Einsehbarkeit, schützt aber nicht automatisch gegen Kameras, wechselnde Blickwinkel oder Beobachter hinter dem Arbeitsplatz. Im Zug und Flugzeug kommen enge Sitzabstände und wechselnde Personen im Gang hinzu. Kann unbefugte Kenntnisnahme nicht ausgeschlossen werden, bleiben eingestufte Inhalte geschlossen.
Dasselbe gilt für Gespräche. Der Schutzbedarf einer Information verschwindet nicht, wenn sie mündlich statt schriftlich übermittelt wird. Ein Projekttelefonat in der Warteschlange kann mehr offenlegen als ein Dokument auf dem Bildschirm. Für die Praxis empfiehlt sich eine klare Grenze: Gespräche mit eingestuften Inhalten werden erst geführt, wenn sowohl die Kommunikationsverbindung als auch die Gesprächsumgebung dafür geeignet sind.
Transport, Aufbewahrung und fremde Netze
Aufbewahrung und Transport dürfen ebenfalls nicht improvisiert werden. Ein Hotelzimmer oder Hotelsafe ist nicht automatisch geeignet. Artefaktum empfiehlt, mögliche Unterbrechungen des persönlichen Gewahrsams bereits in der Reiseplanung zu berücksichtigen: Sicherheitskontrollen, Gepäckaufgabe, Abendtermine und Hotelaufenthalte. Welche Schutzmaßnahmen erforderlich sind, muss anhand der Informationen, des Geräts und der geltenden Vorgaben geklärt werden. Als vorsorgliche Reiseempfehlung sollten VS-Unterlagen und VS-relevante Geräte nicht im aufgegebenen Gepäck transportiert werden.
Hotel-, Bahn- und Flughafen-WLAN sind fremde Netze. Die BMWE-FAQ verlangen für die WLAN-Nutzung bei der Bearbeitung von VS-NfD eine VPN-Lösung mit BSI-Zulassungsaussage. Zusätzlich gelten die konkrete Freigabe und die Einsatz- und Betriebsbedingungen. Ein gewöhnliches Unternehmens-VPN genügt dafür nicht automatisch. Nicht benötigte Schnittstellen sollten deaktiviert bleiben; fremde USB-Anschlüsse und unbekannte Präsentationsgeräte sollten ohne vorherige Prüfung nicht verbunden werden.
Auch Benachrichtigungen verdienen Aufmerksamkeit. Betreffzeilen, Kalendertermine und Nachrichtenvorschauen können Informationen offenlegen, obwohl keine Datei geöffnet ist. Artefaktum empfiehlt deshalb eine restriktive Anzeige auf Reisegeräten. Ebenso wenig schafft die alltägliche Nutzung eines Cloud-Dienstes, Übersetzungswerkzeugs oder KI-Assistenten eine Erlaubnis, dort VS-NfD einzugeben. Für externe Dienste sind der konkrete Anwendungsfall und die einschlägigen Anforderungen gesondert zu prüfen.
Auslandsreisen und die Grenzen des Homeoffice
Bei Auslandsreisen müssen Mitnahme, Aufbewahrung und vorgesehene Verarbeitung vorab geklärt werden. Dienstreisen und Besprechungen sind von Homeoffice zu unterscheiden. Die elektronische Verarbeitung in der Privatwohnung setzt nach dem Merkblatt einen Standort innerhalb Deutschlands, freigegebene IT, Zustimmung, spezifische Belehrung und die unterzeichnete Vereinbarung nach Teil 6 voraus. Eine Reisegenehmigung ist deshalb keine Homeoffice-Freigabe. Die BMWE-FAQ lehnen zudem ausländische Unteraufträge ab, die gezielt der Umgehung dieser Homeoffice-Begrenzung dienen. Zulässige internationale Zusammenarbeit ist davon getrennt zu beurteilen.
Vorfälle melden und Abläufe verbindlich regeln
Verlust sowie vermutete oder festgestellte Verstöße sind unverzüglich der VS-NfD-verantwortlichen Person mitzuteilen; diese informiert den Auftraggeber. Bei möglicher Manipulation eines Geräts empfiehlt Artefaktum, dessen weitere Nutzung bis zur Klärung auszusetzen. Beschäftigte sollten Auffälligkeiten melden und die Bewertung der zuständigen Stelle überlassen.
Für Unternehmen mit regelmäßigem Reisegeschäft empfiehlt sich eine dokumentierte Reiseanweisung, die Arbeitsorte, Geräte, Kommunikation, Aufbewahrung und Meldewege konkret beschreibt. Ein eigenständiges Dokument namens „Travel Security Policy“ ist dabei keine ausdrücklich benannte Merkblattpflicht. Entscheidend ist, dass Beschäftigte wissen, welche Regeln gelten und wer offene Fragen entscheidet. Professioneller Geheimschutz zeigt sich unterwegs darin, diese Entscheidungen vor der Reise zu treffen.
