Die vergessenen VS-NfD-Informationen

ARTEFAKTUM / EXPERTISE / GEHEIMSCHUTZ & VS-IT

Warum Backups, Druckerspeicher und technische Nebenbestände für Sicherheitsbevollmächtigte und IT-Leitungen zum Geheimschutzrisiko werden können.

Ein VS-NfD-Projekt ist abgeschlossen. Die Zugriffsberechtigungen wurden entzogen, die Projektverzeichnisse gelöscht, die Unterlagen zurückgegeben. Organisatorisch scheint alles erledigt. Doch was geschieht mit den Kopien, die während der Bearbeitung automatisch entstanden sind?

In Backup-Systemen können ältere Dateiversionen liegen, auf Druckservern verbliebene Aufträge, in virtuellen Umgebungen längst vergessene Snapshots. Selbst Diagnoseprotokolle oder Speicherabbilder können Inhalte enthalten, deren Existenz den zuständigen Sicherheitsverantwortlichen nicht bewusst ist.

Wenn die IT Informationen vervielfältigt

Moderne IT-Systeme erzeugen zusätzliche Datenbestände, um Verfügbarkeit, Leistungsfähigkeit und Fehleranalyse zu gewährleisten. Technisch ist das sinnvoll. Für die Verarbeitung von VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) müssen diese Mechanismen jedoch in die Sicherheitsbetrachtung einbezogen werden.

Das VS-NfD-Merkblatt, Anlage 4 zum Geheimschutzhandbuch, verlangt in Teil 2, Ziffer 5 ausdrücklich, auch VS-NfD-Zwischenmaterial wie Vorentwürfe entsprechend dem Bezugsdokument zu schützen. Die Anforderungen an die elektronische Verarbeitung werden in Teil 3 konkretisiert.

Dabei ist eine fachliche Unterscheidung wichtig: Nicht jeder Dateiname, jede Protokollzeile oder jeder technische Metadatensatz ist automatisch selbst VS-NfD. Entscheidend ist, ob tatsächlich eingestufte Inhalte gespeichert werden oder Rückschlüsse entstehen, die für den Schutz dieser Informationen relevant sind.

Backups: Gelöscht bedeutet nicht verschwunden

Datensicherungen schützen vor Datenverlust. Gleichzeitig konservieren sie unter Umständen Informationen, die im Produktivsystem längst nicht mehr vorhanden sind.

Ein Beispiel: Ein Unternehmen löscht nach Abschluss eines VS-NfD-Auftrags sämtliche Projektdaten. Mehrere Sicherungsgenerationen enthalten jedoch weiterhin vollständige Kopien. Werden diese Monate später in einer allgemeinen Testumgebung wiederhergestellt, können eingestufte Informationen außerhalb des vorgesehenen Sicherheitsbereichs erneut verfügbar werden.

Für die IT-Leitung stellen sich deshalb zwei Fragen: Wo befinden sich die Sicherungen tatsächlich, und wer kann sie wiederherstellen?

Ein tragfähiges Backup-Konzept muss die vorgesehenen Sicherheitsgrenzen auch bei Administration, Speicherung und Wiederherstellung berücksichtigen. Das gilt ebenso für Replikate und Snapshots virtueller Systeme.

Drucker, Logs und Support: Die weniger sichtbaren Speicherorte

Multifunktionsgeräte können Druckaufträge zwischenspeichern oder auf internen Datenträgern ablegen. Beim Austausch eines Geräts besteht deshalb das Risiko, dass Datenbestände zusammen mit der Hardware an einen Dienstleister gelangen.

Ähnliches gilt für technische Diagnoseprozesse. Ein Programmabsturz kann ein Speicherabbild erzeugen, das Teile zuvor bearbeiteter Dokumente enthält. Ein Supportticket mit Screenshots, Dateipfaden oder einem vollständigen Diagnosepaket kann dadurch mehr preisgeben als ursprünglich beabsichtigt.

Besonders kritisch wird es, wenn solche Informationen automatisiert an externe Hersteller oder Supportplattformen übertragen werden.

Der Schutzbedarf hängt dabei stets vom tatsächlichen Inhalt ab. Die Konsequenz für Sicherheitsbevollmächtigte und IT-Verantwortliche ist dennoch eindeutig: Auch technisch erzeugte Nebenbestände müssen in die Betrachtung der VS-NfD-Verarbeitungsumgebung einbezogen werden.

Wartung und Entsorgung: Wenn Speichermedien den Sicherheitsbereich verlassen

Eine weitere Schwachstelle entsteht häufig erst am Ende des Lebenszyklus eines IT-Systems.

Das VS-NfD-Merkblatt enthält hierzu konkrete Vorgaben. Nach Teil 3, Ziffer 3.3 sind VS-NfD auf unverschlüsselt speichernden Datenträgern vor bestimmten Wartungs- oder Reparaturvorgängen vollständig gemäß Ziffer 3.6 zu löschen, bevor diese den persönlichen Gewahrsam zugriffsberechtigter Personen verlassen. Ist das nicht möglich, müssen die Datenträger ausgebaut und zurückbehalten werden. Für weitere Fälle gelten die Regelungen zur Weitergabe an Dritte.

Beim dauerhaften Verlassen des VS-NfD-Arbeitsbereichs verlangt Ziffer 3.6 die Löschung mittels BSI-zugelassener beziehungsweise freigegebener IT-Sicherheitsprodukte. Ist eine solche Löschung nicht möglich, müssen die Speichermedien nach den geltenden BSI-Vorgaben physisch vernichtet werden.

Eine gewöhnliche Dateilöschung oder Schnellformatierung ist damit nicht gleichzusetzen.

Was SiBe und IT-Leitung gemeinsam prüfen sollten

Wirksamer Geheimschutz benötigt eine nachvollziehbare Sicht auf die gesamte technische Verarbeitungskette. Die verantwortlichen Personen müssen nicht jede temporäre Speicherstruktur einzeln registrieren. Sie sollten jedoch die relevanten Kopiermechanismen, Speicherorte, Zugriffsmöglichkeiten und Löschverfahren kennen.

Besonders wichtig sind fünf Kontrollbereiche:

Ein sinnvoller Praxistest besteht darin, den Lebenszyklus einer eindeutig gekennzeichneten, nicht eingestuften Testdatei nachzuvollziehen: von der Bearbeitung über die Sicherung und Wiederherstellung bis zur Löschung. Dabei lassen sich zusätzliche Speicherorte identifizieren und technische Annahmen überprüfen.

Dieser Test ersetzt keine formale Sicherheitsbewertung, kann aber entscheidende Lücken in der tatsächlichen Verarbeitungskette sichtbar machen.

Fazit: Geheimschutz muss den gesamten Informationslebenszyklus erfassen

Eine sichere VS-NfD-Umgebung zeichnet sich nicht allein durch Verschlüsselung, Netztrennung und geregelte Zugriffsrechte aus. Sie muss auch beherrschen, welche zusätzlichen Kopien während des Betriebs entstehen, wie lange diese existieren und unter welchen Bedingungen sie wiederhergestellt oder gelöscht werden.

Gerade an den Schnittstellen zwischen IT-Betrieb, Sicherheitsorganisation und externen Dienstleistern entstehen sonst Risiken, die in der ursprünglichen Projektbetrachtung leicht übersehen werden.