Die Verschlusssachenanweisung des Bundes behandelt ein Telefonat wie jede andere elektronische Übertragung. § 55 VSA verlangt, Verschlusssachen bei der elektronischen Übertragung grundsätzlich zu verschlüsseln, mit IT-Sicherheitsprodukten nach Vorgaben des BSI. Für das Gespräch über das Diensthandy gilt das ebenso.
Für E-Mail und Dokumente gibt es dafür eingeführte Werkzeuge: Container, Kennzeichnung, verschlüsselten Versand. Das Telefonat braucht einen eigenen Kanal, und der hat Eigenheiten, die eine Mail nicht hat.
Für Behörden des Bundes gilt die Verschlusssachenanweisung vom 13. März 2023. Neben dem Grundsatz in § 55 Abs. 1 lässt Absatz 3 eine Ausnahme zu, wenn der geschützte Weg einen unvertretbaren Zeitverlust bedeuten würde. VS-NfD darf dann auch über eine ungeschützte Verbindung laufen, und zwar über die mit dem geringsten Mithörrisiko. Absatz 5 verlangt für diesen Fall unter anderem, vorher die Identität des Gesprächspartners festzustellen.
Für Unternehmen, die im Auftrag öffentlicher Stellen mit VS-NfD arbeiten, regelt das VS-NfD-Merkblatt mit Stand 1. September 2023 dasselbe konkreter. Ziffer 3.4.3 erlaubt Telefonie „nach Vornahme einer Risikobewertung Ende-zu-Ende verschlüsselt“. Ziffer 1.1 legt fest, womit: mit IT-Sicherheitsprodukten, die eine Zulassungsaussage des BSI tragen, also eine Zulassung oder eine Einsatzerlaubnis, und die im vorgesehenen Einsatzkontext verwendet werden. Welche Produkte das sind, steht in der BSI-Schrift 7164.
Die Ausnahme in § 55 Abs. 3 hängt am unvertretbaren Zeitverlust. Wo eingestufte Inhalte regelmäßig am Telefon besprochen werden, gehört der geschützte Weg deshalb als Normalfall in die Planung.
§ 2 Abs. 1 VSA nennt das gesprochene Wort ausdrücklich unter den Formen, in denen eine Verschlusssache vorliegen kann. Der Unterschied liegt in der Kennzeichnung: Ein Dokument trägt seinen VS-Vermerk, bevor es jemand öffnet. Ein Gespräch trägt keinen. Ob ein Telefonat eingestuft wird, kann sich erst im Gespräch ergeben, und dann läuft es bereits über den Kanal, den man vorher gewählt hat.
Dazu kommt die Gegenstelle. Ende-zu-Ende-Verschlüsselung gilt zwischen zwei Teilnehmern desselben Verfahrens. Ein abgesichertes Telefon hilft wenig, wenn der Krisenstab, die Leitung oder die Partnerbehörde über ein gewöhnliches Mobiltelefon zurückruft. Am Anfang der Planung steht deshalb eine Liste: Wer muss wen erreichen, wenn es darauf ankommt?
Auch außerhalb der Verschlusssachen steht der Sprachkanal inzwischen im Gesetz. Für besonders wichtige und wichtige Einrichtungen nennt § 30 Abs. 2 Satz 2 Nr. 10 BSIG „gesicherte Sprach-, Video- und Textkommunikation“ unter den Mindestmaßnahmen, mit dem Verhältnismäßigkeitsvorbehalt aus Absatz 1. Das ist keine VS-NfD-Vorgabe, zeigt aber, dass Telefonie auch dort als eigener Kanal betrachtet wird. Ob Ihre Einrichtung unter § 30 BSIG fällt, können Sie auf unserer Seite zur NIS2-Richtlinie prüfen.
Für Unternehmen beantwortet das Merkblatt die Frage in Ziffer 3.5. Die ausschließlich elektronische Verarbeitung von VS-NfD ist auch in der Privatwohnung zulässig, wenn fünf Bedingungen erfüllt sind:
Im Unternehmen steht am Anfang des Homeoffice also eine Freigabe durch die verantwortliche Person. Für Bundesbehörden verweist § 28 VSA bei der Mitnahme von VS-NfD auf Ziffer 7 der Anlage V. Die Telefonie selbst regelt das Merkblatt in Ziffer 3.4.3 ohne Unterscheidung nach dem Ort, aus der Wohnung gilt dieselbe Anforderung wie aus dem Büro.
Das Werkzeug, auf das ISEC7 MANAGED SECURE VOICE aufsetzt, ist die App SecuVOICE von Secusmart. Sie arbeitet nach dem SNS-Standard des BSI für sichere netzübergreifende Sprachkommunikation.
Für SecuVOICE für iOS und Android, Version 6.x, führt die BSI-Schrift 7164 eine Einsatzerlaubnis bis VS-NfD, Aktenzeichen BSI-VSA-11057, erteilt am 14. August 2026 und befristet bis 31. August 2027, Stand der Liste am 28. September 2026. Sie gilt für die App in dieser Version. Die Einsatz- und Betriebsbedingungen dazu stellt das BSI berechtigten Anwendern bereit, und das Merkblatt erklärt sie für zwingend.
Nach Angabe von Secusmart kennt die App drei Anrufwege. Zwischen zwei SecuVOICE-Nutzern ist das Gespräch Ende-zu-Ende verschlüsselt. Secure Landing verbindet bis VS-NfD mit Anschlüssen hinter abgesicherten Telefonanlagen in Behörden. Breakout erreicht jeden Anschluss im öffentlichen Telefonnetz, dann mit Abschnittsverschlüsselung bis zur Bundesinfrastruktur. Für eingestufte Inhalte zählen deshalb die ersten beiden Wege.
Die Einsatzerlaubnis regelt die App. Die Einsatz- und Betriebsbedingungen muss im Alltag jemand umsetzen. Genau diese Arbeit verteilt ISEC7 MANAGED SECURE VOICE, unser Service für verschlüsselte mobile Telefonie auf Basis von SecuVOICE: Secusmart ist Hersteller der App, ISEC7 betreibt den Dienst.
ISEC7 übernimmt
Bei Ihnen bleiben
Die App läuft auf iOS und Samsung Knox. Weil Kryptomaterial des Bundes zum Einsatz kommt, liefern wir den Service ausschließlich an deutsche Unternehmen und Behörden.
Varianten und Voraussetzungen stehen auf der Seite ISEC7 MANAGED SECURE VOICE. Soll nicht nur das Telefonat, sondern das ganze iPhone oder iPad mit VS-NfD arbeiten, geht es um indigo, das Rahmenwerk des BSI für Standard-iOS-Geräte. Was ISEC7 dort als Integrator übernimmt, steht auf unserer Seite zu indigo. Konditionen und Unterlagen zur Registerlage erhalten Sie über sales@isec7.com.