6.11.1. Grundsatz

1. Der Begriff IT umfasst Geräte und Verfahren, die auf elektronischer Grundlage zur automatischen Erfassung, Darstellung, Speicherung, Verarbeitung oder Übermittlung von Informationen in Form von Text, Daten, Bildern oder Sprache dienen.
2. Die Nutzung von IT-Systemen birgt besondere Risiken z. B. Abstrahlung, Übertragung, Massenspeicherung, Computerviren oder Vernetzung. Daher sind zum Schutz von VS auf IT-Systemen, ergänzend zum allgemeinen materiellen Geheimschutz besondere Sicherheitsvorkehrungen erforderlich. Neben der Geheimhaltung (Vertraulichkeit) - vgl. Anlage 37 - VSITR/U (pdf, 127KB, Datei ist nicht barrierefrei) - kommen auch der Integrität der VS (z.B. die Unverfälschtheit oder Vollständigkeit) sowie der Verfügbarkeit wesentliche Bedeutung zu.

6.11.2. Verarbeitung

1. Die Verarbeitung von VS auf VS-IT-Systemen bedarf der Einwilligung des BMWE. Dies gilt auch, wenn unmittelbar nach der Bearbeitung eine verschlüsselte Speicherung erfolgt. Dazu sind die Einzelheiten des Betriebsablaufs für jedes VS-IT-System in einer unternehmensinternen informationstechnischen Geheimschutzanweisung (ITGA) festzulegen ( Anlage 69 - Leitfaden für den Aufbau einer ITGA (pdf, 96KB, Datei ist nicht barrierefrei)). Drahtlose Netzverbindungen (z. B. Wireless LAN, Bluetooth) und Funktastaturen sind nicht zulässig.
2. VS-IT-Systeme sind auch außerhalb der üblichen Arbeitszeiten gegen Manipulation sowie das Installieren von nicht genehmigter Software zu schützen. Grundsätzlich sind solche Systeme in Sperr- oder Kontrollzonen aufzustellen und zu betreiben; Ausnahmen sind mit Einwilligung des BMWE möglich, sofern andere geeignete Schutzmaßnahmen ergriffen werden.
3. VS-Datenträger (Disketten, CD, Festplatten, Memory-Sticks usw.) sind vor ihrer ersten Benutzung mit dem höchsten Geheimhaltungsgrad der darauf zu speichernden VS entsprechend der Bestimmungen zu VS-Schriftgut zu kennzeichnen und zu registrieren. Ist eine Kennzeichnung nicht möglich (z.B. Festplatten) ist das entsprechende Gerät (z. B. Notebook) zu kennzeichnen.
4. Sind VS mit einem von BMWE genehmigten Verschlüsselungssystem verschlüsselt, werden die Datenträger registriert und mit dem Text "VS-kryptiert" und der Tagebuchnummer gekennzeichnet. An die Verwahrung der Datenträger werden keine Anforderungen gestellt.

6.11.3. Beförderung, Mitnahme, Übertragung

1. Die Beförderung von VS-Datenträgern erfolgt entsprechend den Bestimmungen für VS-Schriftgut. Dem VS-Datenträger ist ein VS-Empfangsschein und ein Inhaltsverzeichnis ( Anlage 56 - Inhaltsverzeichnis VS-Datenträger (pdf, 62KB, Datei ist nicht barrierefrei)) beizufügen. Aus dem Inhaltsverzeichnis müssen hervorgehen:
   • Die Anzahl der abgespeicherten Dateien und die Dateinamen,
   • die Bezeichnung der abgespeicherten VS (vergleichbar der Eintragung im VS-Tagebuch)
   • der jeweilige Dateityp (z.B. doc, pdf),
   • Datum Erstellungs-/Änderungsstand (z.B. "geändert am.....")
   • die Größe der Dateien (z.B. 285 KB)
   • der Einstufungsgrad der einzelnen Dateien (z.B. "GEHEIM")
2. Der Empfänger hat den erhaltenen Datenträger im VS-Tagebuch nachzuweisen. Das Inhaltsverzeichnis ist zusammen mit dem Datenträger aufzubewahren. Der Datenträger darf nachträglich beim Empfänger nicht mehr verändert werden. Technische Möglichkeiten des Dokumentenschutzes sind dabei zu nutzen.
3. Ist der Datenträger kryptiert, erfolgt die Beförderung mit einfacher Post; ein Empfangsschein mit Inhaltsverzeichnis - wie unter Absatz 1 beschrieben - ist beizufügen.
4. Die Mitnahme von VS-IT-Systemen mit eingebautem Datenträger ist nur zulässig, wenn dieser mit einem von BMWE genehmigten Verschlüsselungsverfahren verschlüsselt ist.
5. Die Übertragung von VS auf elektronischem Wege ist grundsätzlich mit einem von BMWE für den betreffenden Geheimhaltungsgrad genehmigten Verfahren (Software) oder durch andere genehmigten Maßnahmen (Hardware) zu sichern.

6.11.4. Weiterführende Richtlinien

Weitere Einzelheiten für die Verarbeitung und Übertragung von VS unter Nutzung von IT-Systemen ergeben sich aus den "Richtlinien zum Geheimschutz von Verschlusssachen beim Einsatz von Informationstechnik in Unternehmen" (VSITR/U, Anlage 37 - VSITR/U (pdf, 127KB, Datei ist nicht barrierefrei)) sowie aus den "Richtlinien zur Nutzung von Telekommunikations- oder anderen technischen Kommunikationseinrichtungen für die Übermittlung von Verschlusssachen (VS) in Unternehmen" (Krypto-Richtlinien, Anlage 70 - Krypto-Richtlinien (pdf, 38KB, Datei ist nicht barrierefrei)).