Bevor Mitarbeitende im Rahmen eines Auftrags Zugang zu sensiblen Informationen bekommen oder sicherheitsempfindliche Tätigkeiten ausüben, muss ihre Zuverlässigkeit in einem speziellen Verfahren überprüft werden. Unzuverlässig ist beispielsweise, wer vorbestraft ist, sich nicht zur freiheitlich-demokratischen Grundordnung bekennt oder mit fremden Nachrichtendiensten oder kriminellen Organisationen in Verbindung steht.
Das Sicherheitsüberprüfungsgesetz (SÜG) und die entsprechenden Landesgesetze machen für die Überprüfung klare Vorgaben. Das Verfahren ist weniger kompliziert, als viele Unternehmen zunächst annehmen.
Für Unternehmen, die erstmals in einem sicherheitsrelevanten Bereich tätig werden wollen, stellen sich jedoch viele praktische Fragen. Und es gibt einige typische Fehler, die Unternehmen vermeiden sollten.
Was regelt das Sicherheitsüberprüfungsgesetz?
Gegenstand des Sicherheitsüberprüfungsgesetzes ist die Sicherheitsüberprüfung. Bevor ein Beschäftigter in einem sicherheitsempfindlichen Bereich tätig werden darf, wird überprüft, ob aus seiner Person ein Sicherheitsrisiko entstehen könnte.
Grundlage dieses Verfahrens ist eine Sicherheitserklärung, in der die betroffene Person und oftmals auch deren Ehe- oder Lebenspartner umfangreiche Angaben zu ihrer Person machen müssen – etwa zu ihrer beruflichen Laufbahn, zu Auslandsaufenthalten oder zu persönlichen Umständen. Die betroffene Person und ggf. auch die Ehe- oder Lebenspartner müssen der Sicherheitsüberprüfung und der damit verbundenen Verarbeitung ihrer Daten zustimmen.
Das Unternehmen reicht die Unterlagen in der Regel über den Sicherheitsbeauftragten bei der
öffentlichen Stelle ein, für die die Tätigkeit erfolgt, also zum Beispiel eine Bundesbehörde oder ein Ministerium, das den Auftrag vergibt. Diese Stelle führt die Sicherheitsüberprüfung durch.
Im Bereich der Wirtschaft (zum Beispiel bei Unternehmen mit Verteidigungs– oder Infrastrukturbezug) ist die zuständige Stelle häufig das Bundesministerium für Wirtschaft und Energie oder eine von ihm beauftragte Stelle.
An der eigentlichen Prüfung wirkt regelmäßig das Bundesamt für Verfassungsschutz mit. Es führt wesentliche Teile der Prüfung durch, insbesondere die Abfragen und Bewertungen möglicher Sicherheitsrisiken.
Je nach Tätigkeit unterscheidet das Gesetz mehrere Stufen der Sicherheitsüberprüfung (Ü1, Ü2, Ü3), die sich im Umfang und in der Eingriffstiefe unterscheiden. Bei höher eingestuften Tätigkeiten können dabei auch bestimmte Angaben zu nahestehenden Personen, etwa zu Ehe- oder Lebenspartnern, in die Prüfung einbezogen werden.
Welche Personen müssen überprüft werden?
Das Sicherheitsüberprüfungsgesetz müssen alle Unternehmen beachten, wenn sie in sicherheitsrelevanten Bereichen tätig werden. Allerdings müssen und dürfen immer nur diejenigen Beschäftigten überprüft werden, die selbst eine sicherheitsrelevante Tätigkeit ausüben.
Beschäftigte mit Zugang zu Verschlusssachen
Das sind zum einen Mitarbeitende, die Zugang zu Verschlusssachen mit den Stufen VS-VERTRAULICH, GEHEIM oder STRENG GEHEIM haben oder sich auch nur verschaffen können. Ob im konkreten Auftrag Verschlusssachen anfallen oder entsprechend eingestuft sind, ergibt sich aus den Vergabe- und Auftragsunterlagen sowie den Geheimschutzvorgaben des Auftraggebers.
Beschäftigung an einer lebens- oder verteidigungswichtigen Stelle
Außerdem sind Mitarbeitende zu überprüfen, die in Einrichtungen bzw. Unternehmensteilen tätig sind, die lebens- oder verteidigungswichtig sind. Welche das sind, ergibt sich aus der SÜFV. Zu den lebens- oder verteidigungswichtigen Stellen gehören beispielsweise der Betrieb von Informations- und Kommunikationstechnik oberster Bundesbehörden, das gesamte Beschaffungswesen in sicherheitsrelevanten Bereichen und insbesondere der Bau, die Wartung oder Reparatur von wehrtechnischen Fahrzeugen, wehrtechnischem Material oder von Marineschiffen.
Innerhalb dieser Einrichtung werden die konkreten sicherheitsempfindlichen Stellen bestimmt. Seit der SÜG-Novelle 2026 müssen Betreiber lebens- oder verteidigungswichtiger Einrichtungen diese Stellen melden.
Angesichts der zunehmenden hybriden Bedrohungen unter anderem für wichtige Bereiche der Infrastruktur beabsichtigt die Bundesregierung eine Ausweitung des Personenkreises, der nach diesen Kriterien einer Sicherheitsüberprüfung unterzogen werden soll.
Sicherheitsüberprüfung in drei Stufen
Das SÜG unterscheidet drei Stufen der Sicherheitsüberprüfung, die sich im Umfang und in der Tiefe der Prüfung deutlich unterscheiden. Mit jeder Stufe steigen sowohl die Anforderungen als auch der organisatorische Aufwand für Unternehmen.
- Ü1 (einfache Sicherheitsüberprüfung)
Diese Stufe wird typischerweise eingesetzt, wenn Mitarbeitende Zugang zu Informationen der Kategorie VS‑VERTRAULICH erhalten. Im Mittelpunkt steht die betroffene Person selbst. Die Prüfung basiert im Wesentlichen auf den Angaben in der Sicherheitserklärung sowie behördlichen Abfragen, um mögliche Sicherheitsrisiken frühzeitig zu erkennen.
- Ü2 (erweiterte Sicherheitsüberprüfung)
Diese Stufe kommt in der Regel bei Tätigkeiten mit Bezug zu Informationen der Kategorie GEHEIM zum Einsatz. Die Prüfung wird vertieft, indem – zusätzlich zu den Angaben der betroffenen Person – auch bestimmte Informationen aus dem persönlichen Umfeld berücksichtigt werden. Ziel ist es, ein umfassenderes Bild möglicher Sicherheitsrisiken zu erhalten.
- Ü3 (erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen)
Diese Stufe ist für besonders sensible Tätigkeiten vorgesehen, insbesondere im Zusammenhang mit Informationen der Kategorie STRENG GEHEIM. Neben den regulären Prüfungen können hier zusätzliche Sicherheitsermittlungen durchgeführt werden, bei denen über die bloße Auswertung vorhandener Daten hinaus weitere Erkenntnisse zur Zuverlässigkeit der Person unter anderem aus der Befragung anderer Personen gewonnen werden.
Der Sicherheitsbeauftragte koordiniert das Verfahren
Ein betroffenes Unternehmen braucht zwingend einen Sicherheitsbeauftragten und dieser einen Stellvertreter, sobald es in den staatlichen Geheimschutz einbezogen wird, etwa wenn es Zugang zu Verschlusssachen erhält oder sicherheitsrelevante Aufträge für staatliche Stellen übernimmt. In diesen Fällen ist die Bestellung Voraussetzung für die Teilnahme an entsprechenden Projekten. Ohne Sicherheitsbeauftragten ist eine Zusammenarbeit im Bereich sicherheitsempfindlicher Tätigkeiten nicht möglich.
Es kann sinnvoll sein, die Rolle frühzeitig vorzusehen, wenn entsprechende Projekte bereits absehbar sind oder das Thema bereits punktuell im Unternehmen auftritt.
Der Sicherheitsbeauftragte ist die zentrale Schnittstelle für das gesamte Verfahren. Seine Aufgaben sind klar definiert:
- Er prüft, ob eine Sicherheitsüberprüfung erforderlich ist.
- Er beantragt und koordiniert das Verfahren.
- Er kontrolliert die Sicherheitserklärungen auf Vollständigkeit.
- Er ist Ansprechpartner für die zuständige Behörde.
- Er führt die notwendigen Sicherheitsakten.
- Und er stellt sicher, dass laufende Pflichten eingehalten werden (zum Beispiel Meldung von Veränderungen).
Der Sicherheitsbeauftragte darf nicht Teil der Personalverwaltung oder sonst mit Personalangelegenheiten befasst sein. Auch ein Datenschutzbeauftragter kann diese Rolle nicht zusätzlich übernehmen. Er muss die erforderlichen Sicherheitsakten zu den überprüften Mitarbeitenden von anderen Personalunterlagen getrennt führen.
In der Praxis zeigt sich: Je klarer diese Rolle definiert und früh eingebunden ist, desto reibungsloser läuft das Verfahren.
Die häufigsten Fehler bei Sicherheitsüberprüfungen
In der Praxis kommt es häufig zu den folgenden Fehlern:
Es werden unnötige Sicherheitsüberprüfungen angestoßen
In der Praxis kommt es vor, dass Sicherheitsüberprüfungen vorsorglich auch für Beschäftigte eingeleitet werden, die für ihre konkrete Tätigkeit gar keine Sicherheitsüberprüfung benötigen. Denn nicht jede Tätigkeit in einem Unternehmen mit Behörden-, Infrastruktur- oder Verteidigungsbezug ist automatisch sicherheitsempfindlich.
Nicht erforderliche Sicherheitsüberprüfungen verursachen unnötigen Aufwand und sind zudem auch gar nicht zulässig. Denn sie greifen tief in die Rechte der betroffenen Person ein und setzen die Verarbeitung umfangreicher personenbezogener Daten voraus. Sie dürfen deshalb nur durchgeführt werden, wenn die gesetzlichen Voraussetzungen tatsächlich vorliegen.
Unternehmen sollten daher bereits vor Einleitung des Verfahrens sorgfältig prüfen, ob die betreffende Tätigkeit tatsächlich unter das SÜG fällt.
Der Sicherheitsbeauftragte ist nicht ausreichend unabhängig
Immer wieder kommt es vor, dass der Sicherheitsbeauftragte nicht die erforderliche Unabhängigkeit besitzt. Der Sicherheitsbeauftragte ist die zentrale Schnittstelle für das gesamte Verfahren. Seine Stellung im Unternehmen ist daher besonders ausgestaltet. Er darf insbesondere nicht Teil der Personalverwaltung sein. Das SÜG sieht hierfür eigene Geheimschutzbeauftragte vor.
In der Praxis wird diese Trennung nicht immer konsequent umgesetzt. Unternehmen sollten frühzeitig sicherstellen, dass der Sicherheitsbeauftragte organisatorisch unabhängig aufgestellt ist und seine Aufgaben tatsächlich getrennt von Personalentscheidungen wahrnehmen kann.
Sicherheitsakten werden nicht ordnungsgemäß geführt
Fehler passieren auch oft beim Umgang mit den Sicherheitsakten. Diese sind rechtlich keine Personalakten und müssen daher getrennt von den übrigen Beschäftigtendaten geführt werden.
Besondere Vorsicht ist auch bei Arbeitgeberwechseln geboten. Die Sicherheitsakte gehört nicht dem Beschäftigten und darf nicht an einen neuen Arbeitgeber weitergegeben werden. Unternehmen sollten deshalb klare Vorgaben für die Führung, Aufbewahrung und Vernichtung dieser Unterlagen festlegen.
Mitwirkungspflichten der Beschäftigten werden unterschätzt
Viele Unternehmen unterschätzen die Mitwirkungspflichten der Beschäftigten. Sie konzentrieren sich auf die erstmalige Sicherheitsüberprüfung. Weniger bekannt ist, dass die Mitwirkungspflichten damit nicht enden.
Beschäftigte müssen auch nach Abschluss der Sicherheitsüberprüfung bestimmte Veränderungen mitteilen. Dazu gehören je nach Überprüfungsart beispielsweise Änderungen des Wohnsitzes oder der Familienverhältnisse. Bei der erweiterten Sicherheitsüberprüfung (Ü2), der in der Praxis häufigsten Variante, werden auch Ehe- oder Lebenspartner in die Betrachtung einbezogen. Änderungen in diesen persönlichen Verhältnissen müssen daher laufend berücksichtigt werden.
Unternehmen sollten Mitarbeitende frühzeitig über diese Pflichten informieren und entsprechende Meldewege festlegen.
Arbeitsrechtliche Möglichkeiten im Fall eines Sicherheitsrisikos
Ergibt die Sicherheitsüberprüfung ein Risiko und kann ein Beschäftigter oder eine Beschäftigte deswegen nicht mit einer sicherheitsrelevanten Tätigkeit betraut werden, kann der Arbeitgeber grundsätzlich eine personenbedingte Kündigung in Betracht ziehen. Vorher muss der Arbeitgeber aber mildere Maßnahmen wie die Versetzung auf einen Arbeitsplatz ohne sicherheitsempfindlichen Bezug prüfen und ggf. umsetzen.
Bei Neueinstellungen wäre nach Ansicht des LAG Niedersachsen auch die Vereinbarung einer auflösenden Bedingung für den Fall eines Sicherheitsrisikos AGB-rechtlich zulässig. Dies gilt zumindest, wenn es sich bei der betreffenden Stelle um eine sicherheitsempfindliche Tätigkeit handelt und eine anderweitige Beschäftigung des Arbeitnehmers bzw. der Arbeitnehmerin nicht möglich ist.
FAQ
Wann ist eine Tätigkeit sicherheitsempfindlich?
Wenn Mitarbeitende Zugang zu Verschlusssachen haben oder an sicherheitsrelevanten Anlagen oder Projekten tätig sind.
Wie lange dauert eine Sicherheitsüberprüfung?
Das hängt von der Art der Überprüfung (Ü1, Ü2, Ü3) ab und kann mehrere Monate dauern.
Darf ein Mitarbeiter vor Abschluss der Überprüfung arbeiten?
Grundsätzlich nein, jedenfalls nicht in der sicherheitsempfindlichen Tätigkeit.
Muss jedes Unternehmen einen Sicherheitsbeauftragten haben?
Wenn Unternehmen mit sicherheitsrelevanten Projekten befasst sind: ja.
Kann eine Sicherheitsüberprüfung ohne Zustimmung des Mitarbeiters durchgeführt werden?
Nein. Die Mitarbeitenden müssen der Sicherheitsüberprüfung und der damit verbundenen Datenverarbeitung zustimmen. Ohne diese Zustimmung wird das Verfahren nicht durchgeführt bzw. beendet.
Was passiert bei einer negativen Sicherheitsüberprüfung?
Ein Einsatz in der betreffenden Tätigkeit ist nicht möglich; ggf. kommt eine Versetzung oder – als letztes Mittel – eine Kündigung in Betracht.
Was unterscheidet die Sicherheitsüberprüfung der Stufen Ü1, Ü2 und Ü3?
Die drei Stufen unterscheiden sich in erster Linie im Umfang der Prüfung und im damit verbundenen Aufwand.
- Ü1 ist die einfachste Form und konzentriert sich auf die betroffene Person selbst.
- Ü2 erweitert die Prüfung um zusätzliche Informationen, insbesondere aus dem persönlichen Umfeld.
- Ü3 umfasst darüber hinaus sogenannte Sicherheitsermittlungen, also weitergehende Maßnahmen zur Bewertung möglicher Sicherheitsrisiken.
Die Stufen orientieren sich dabei typischerweise an den Geheimhaltungsgraden:
VS‑VERTRAULICH (Ü1), GEHEIM (Ü2) und STRENG GEHEIM (Ü3).
