IT-Sicherheit für Rüstung und Verteidigung

Wer für die Bundeswehr oder deren Auftragnehmer arbeitet, arbeitet unter Beobachtung – von Auftraggebern, die Nachweise verlangen, und von Angreifern, die es auf Konstruktionsdaten und Lieferbeziehungen abgesehen haben. Nachrichtendienstlich motivierte Angriffe zielen dabei selten auf den Hauptauftragnehmer, sondern auf den Mittelständler in der zweiten oder dritten Reihe.

VS-NfD – die niedrigste Einstufung – und die, mit der Zulieferer am häufigsten zu tun haben
SÜG – das Sicherheitsüberprüfungsgesetz regelt, wer Zugang zu Verschlusssachen erhält
100 % – Durchführung in Deutschland, ohne Unterauftrag ins Ausland

Was in dieser Branche bereits passiert ist

Öffentlich dokumentierte Fälle sind in dieser Branche selten – nicht, weil weniger passiert, sondern weil weniger berichtet wird. Umso aufschlussreicher ist der Fall, der bekannt wurde.

April 2023: Rheinmetall (Ransomware mit Datenabfluss)

Die Gruppe Black Basta drang in das Netz des Konzerns ein. Betroffen war nach Unternehmensangaben der zivile Unternehmensteil, nicht der militärische. Auf der Leak-Seite tauchten unter anderem Geheimhaltungsvereinbarungen und technische Zeichnungen auf. Der Konzern bezifferte die Kosten später auf rund 10 Millionen US-Dollar. Der Fall zeigt, dass die Trennung ziviler und militärischer Bereiche den Vertrauensschaden gegenüber Auftraggebern nicht auffängt. Quelle: The Record.

Vorgaben, an denen Sie gemessen werden

Geheimschutz

Wer eingestufte Aufträge bearbeitet, wird in die Geheimschutzbetreuung des Bundes aufgenommen. Die personelle Seite regelt das Sicherheitsüberprüfungsgesetz, die materielle das Geheimschutzhandbuch – von Zutritt und Verwahrung bis zur Frage, welche IT überhaupt eingesetzt werden darf.

VS-NfD

Für die Verarbeitung von Verschlusssachen des Grades VS-NfD sind nur vom BSI zugelassene beziehungsweise freigegebene Lösungen zulässig. Das betrifft Verschlüsselung, Datenträger und in vielen Fällen die gesamte Arbeitsumgebung.

NIS2

Je nach Produktspektrum greifen zusätzlich die Pflichten des NIS2-Umsetzungsgesetzes; für Tätigkeiten im Bereich der nationalen Sicherheit und Verteidigung sieht das Gesetz Ausnahmen vor. Was davon auf Sie zutrifft, klärt die Betroffenheitsanalyse.

ISO 27001 und TISAX

Viele Auftraggeber verlangen zusätzlich einen anerkannten Nachweis über das Informationssicherheits-Managementsystem – meist ISO 27001, im automobilnahen Bereich TISAX.

Der Angriff gilt der Lieferkette

Der Hauptauftragnehmer hat ein Sicherheitsteam, der Zulieferer mit achtzig Beschäftigten in der Regel nicht. Genau dort setzen staatlich gelenkte Angreifer an: über Bewerbungen, Fachkontakte auf Karriereplattformen, übernommene Postfächer von Geschäftspartnern. Ziel sind Konstruktionsdaten, Zeitpläne und die Frage, wer wem was liefert.

Externe Angriffsfläche und Fernzugänge – der Weg von außen ins Haus
Postfächer und Identitäten: Mehr-Faktor-Anmeldung, Rechteausweitung, stille Weiterleitungen
Datenabfluss: wohin Konstruktions- und Angebotsdaten das Haus verlassen dürfen
Partner- und Dienstleisterzugänge, befristet und nachvollziehbar
Erkennung gezielter, langsamer Angriffe statt nur automatisierter Massenangriffe

Sicherheit, die der Auftraggeber prüfen kann

Im Verteidigungsgeschäft genügt es nicht, sicher zu sein – es muss belegbar sein. Was wir liefern, ist deshalb auf Prüfbarkeit ausgelegt: nachvollziehbare Berichte, dokumentierte Behebung, Retest mit Beleg.

Prüfberichte mit CVSS-Bewertung und nachvollziehbarem Vorgehen
Dokumentierte Behebung und Retest als Nachweis gegenüber dem Auftraggeber
ISO 27001 als anerkannte Grundlage für das Managementsystem
Nachweise, die in Lieferantenaudits Bestand haben

So kommt jemand in dieser Branche herein

Gezielte Ansprache über Karriereplattformen

Angebliche Recruiter oder Fachkontakte bauen über Wochen Vertrauen auf, bevor die erste Datei kommt. Das ist kein Massen-Phishing und wird von Filtern nicht erkannt.

Langer, leiser Aufenthalt im Netz

Staatlich gelenkte Gruppen verschlüsseln nichts – sie bleiben. Ohne kontinuierliche Überwachung fällt ein monatelanger Zugriff schlicht nicht auf.

Der Umweg über den Partner

Die Mail kommt aus einem echten Postfach eines echten Geschäftspartners, mit Bezug auf ein laufendes Projekt. Genau deshalb wird sie geöffnet.

Passende Leistungen

Penetration Testing

Manuelle Pentests für Web-Apps, Netzwerke, Active Directory & Cloud – inkl. CVSS-Bewertung.

ISO 27001 Beratung

Von der Gap-Analyse bis zur erfolgreichen Zertifizierung – transparent in Kosten, Dauer und Ablauf.

Managed XDR / MDR

Extended Detection & Response über Endpoint, Netzwerk, E-Mail und Cloud – 24/7 durch CERT-Analysten.

Managed Threat Intelligence

Dark Web Monitoring, Credential Leaks, Brand Protection & Attack Surface Intelligence.

Incident Response

24/7 Reaktion auf Cyberangriffe: Triage, digitale Forensik, Bereinigung und Wiederaufbau.

Häufige Fragen

Arbeiten Sie im eingestuften Bereich?

Für Arbeiten mit Verschlusssachen gelten besondere Anforderungen an Personal, Räume und Technik. Ob und in welchem Rahmen wir einen konkreten Auftrag übernehmen können, klären wir vorab verbindlich mit Ihnen und, wo nötig, mit der zuständigen Stelle. Der überwiegende Teil unserer Arbeit für Zulieferer betrifft ohnehin die nicht eingestufte Unternehmens-IT: Perimeter, Identitäten, Endgeräte, Erkennung – und dort liegt auch der übliche Einstiegsweg der Angreifer.

Was bedeutet VS-NfD für unsere IT?

Verschlusssachen dieses Grades dürfen nur mit vom BSI zugelassenen beziehungsweise freigegebenen Lösungen verarbeitet, gespeichert und übertragen werden. In der Praxis heißt das: eine klar abgegrenzte Umgebung, geregelte Datenträger und Verschlüsselung, dokumentierte Zutritts- und Zugriffsregelungen – und eine saubere Trennung von der übrigen Unternehmens-IT.

Wir sind Zulieferer, nicht Hersteller von Rüstungsgütern. Betrifft uns das?

In aller Regel ja, und zwar über den Vertrag. Auftraggeber geben Sicherheitsanforderungen an die Lieferkette weiter – als Fragebogen, Klausel oder Auditrecht. Hinzu kommt die Bedrohungslage: Für einen Angreifer ist der kleinere Zulieferer der bequemere Weg zum größeren Ziel.

Verlassen unsere Daten bei Ihnen Deutschland?

Nein. Wir erbringen sämtliche Analyse- und Betriebsleistungen in Deutschland mit eigenen Mitarbeitenden, ohne Unterauftrag ins Ausland. Prüfdaten, Auswertungen und Berichte bleiben im Haus; Übergabe und Aufbewahrung regeln wir vertraglich, auf Wunsch mit fester Löschfrist.

Wie weisen wir unserem Auftraggeber nach, dass wir sicher arbeiten?

Mit zwei Bausteinen: einem anerkannten Managementsystem – meist ISO 27001 – und technischen Prüfnachweisen. Der Penetrationstest liefert den Bericht, der Retest den Beleg über die Behebung. Diese Kombination hält Lieferantenaudits in der Regel stand, weil sie nicht nur eine Absicht dokumentiert, sondern ein Ergebnis.

Quellen und weiterführende Informationen

Zuletzt aktualisiert am 1. September 2026 · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.