Mobile Kommunikation für Behörden
und öffentliche Verwaltung
Welche Smartphone-Lösungen dürfen Behörden für VS-NfD einsetzen?
Solche, die das BSI in seiner Liste der zugelassenen IT-Sicherheitsprodukte (BSI-Schrift 7164) mit einer Zulassung oder einer Einsatzerlaubnis bis VS-NfD führt. Für die Bundesverwaltung schreibt die Verschlusssachenanweisung (VSA) vom 1. April 2023 vor, dass Produkte, die zum Schutz von Verschlusssachen IT-Sicherheitsfunktionen übernehmen, zuzulassen sind; die Länder regeln das in eigenen Vorschriften. VS-NfD selbst ist der niedrigste Geheimhaltungsgrad nach § 4 SÜG und gilt, wenn die Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein kann.
Für mobile Geräte und Telefonie sind das im Register derzeit unter anderem diese Einträge:
- Zulassungen des BSI für indigo von Apple: bis VS-NfD (BSI-VSA-10900) und NATO RESTRICTED (BSI-VSA-11003), dazu eine Einsatzerlaubnis bis VS-NfD (BSI-VSA-10901), alle befristet bis 31.10.2027. Zulassungsinhaber ist Apple Inc., ISEC7 ist Integrator.
- Samsung-Geräte mit der Knox Native Solution 3.13, für die Samsung eine Einsatzerlaubnis des BSI bis VS-NfD hält (BSI-VSA-11044, befristet bis 31.08.2027). ISEC7 integriert sie in das UEM und betreibt die Umgebung.
- Die App SecuVOICE für iOS und Android, Version 6.x, verfügt über eine Einsatzerlaubnis des BSI bis VS-NfD, BSI-VSA-11057, befristet bis 31.08.2027. Secusmart ist Hersteller der App, ISEC7 betreibt den Service darauf.
Bei einer Einsatzerlaubnis wägt die einsetzende Behörde die Restrisiken selbst ab und dokumentiert sie, und die Einsatz- und Betriebsbedingungen des BSI gelten für sie mit. Alle Bausteine mit Registerstand stehen gesammelt auf unserer Seite VS-NfD mobil.
Wie telefoniert eine Behörde verschlüsselt mit dem Smartphone?
Mit ISEC7 MANAGED SECURE VOICE, einem Managed Service für verschlüsselte mobile Telefonie auf Apple- und Samsung-Geräten. Der Service setzt auf SecuVOICE von Secusmart auf, für das das BSI eine Einsatzerlaubnis bis VS-NfD erteilt hat (BSI-VSA-11057, befristet bis 31.08.2027). ISEC7 übernimmt das Onboarding, die Beantragung des Schlüsselmaterials beim BSI und den laufenden Betrieb. Weil Kryptomaterial des Bundes zum Einsatz kommt, liefern wir den Service ausschließlich an deutsche Unternehmen und Behörden.
Welche Anrufe bis VS-NfD reichen
Gespräche zwischen zwei SecuVOICE-Nutzern sind Ende zu Ende verschlüsselt. Anrufe zu Anschlüssen hinter abgesicherten Telefonanlagen in Behörden laufen als Secure Landing bis VS-NfD. Über Breakout erreichen Sie jeden anderen Anschluss, verschlüsselt aber nur bis zur Bundesinfrastruktur. Eingestufte Inhalte gehören deshalb nicht in Breakout-Gespräche.
App im eigenen UEM
Sie verteilen die App über Ihr UEM auf vorhandene iOS- und Samsung-Geräte, sofern dessen Konfiguration den Vorgaben für den Einsatz mit VS-NfD-Kryptomaterial entspricht. Laufzeit 24 Monate mit Verlängerungsoption.
Fertig eingerichtetes Smartphone
Ohne eigenes UEM bekommen Sie ein fertig eingerichtetes Gerät. Verwaltung und Support kommen aus der Regulated Sovereign Cloud, betrieben von Personal der ISEC7 GmbH in Deutschland. Laufzeit 24 oder 36 Monate.
Gebaut ist der Service für Landesbehörden, öffentliche Verwaltung, Städte und Kommunen. In der Vergabeunterlage steht damit ein Betreiber mit benannter Verantwortung statt einer Liste von Voraussetzungen, die Sie selbst erfüllen müssen.
Wie kennzeichnen Behörden Mails und Dokumente nach VS-Schema?
Mit einer Kennzeichnung, die beim Verfassen gesetzt wird, sichtbar an Mail und Dokument bleibt und vor dem Versand geprüft wird. ISEC7 CLASSIFY arbeitet dafür als Add-in in Outlook, Outlook im Web, Word, Excel, PowerPoint und SharePoint Pages und bringt Standardschemata für BUND, NATO und Traffic Light mit. Eine E-Mail ohne Einstufung lässt sich nicht versenden, nicht vertraute Empfängerdomänen lassen sich sperren. Die Schemata bilden Kennzeichnungsregeln ab; eine Zulassung durch BSI oder NATO ist damit nicht verbunden.
Mail auf dem Diensthandy
Auf iOS und Android läuft die Kennzeichnung in ISEC7 MAIL, dem mobilen Client für Exchange und Microsoft 365. Er bindet Stellvertreter-, Funktions- und geteilte Postfächer ein, ohne dass jemand ein Passwort teilen muss, und signiert und verschlüsselt mit S/MIME, auf Wunsch mit dem Zertifikat auf YubiKey oder Smartcard. Für diesen Client ist kein Instrument des BSI für VS-NfD ausgewiesen. Wer VS-NfD-Mail auf dem iPhone braucht, nutzt die Mail-Funktion der indigo-Plattform, deren Einsatzerlaubnis E-Mail einschließlich S/MIME umfasst.
Wo läuft der Betrieb, und was verlangt NIS2 von Bundesbehörden?
Den Betrieb verorten wir in Deutschland: In der Sovereign Cloud für BlackBerry UEM hostet und betreibt ISEC7 das UEM in Deutschland, die Datenhaltung liegt in Deutschland, und weder Hersteller noch Drittanbieter haben Zugriff auf Systeme oder Daten. Das Paket Regulated ist für Behörden und für Umgebungen mit indigo-Geräten und Samsung Knox Native ausgelegt. Die Plattform BlackBerry UEM trägt das Common-Criteria-Zertifikat BSI-DSZ-CC-1235-2025 vom 8. September 2025 (BlackBerry UEM Server 12.21.1, EAL4+, gültig bis 7. September 2030). Zertifikatsinhaber ist BlackBerry Ltd., ISEC7 ist Betreiber.
Welche Geräte auf welchem Stand sind, zeigt ISEC7 SPHERE herstellerübergreifend über mehrere UEM hinweg, mit eigenem Dashboard für indigo. Die ISEC7 Group AG, ISEC7 GmbH, ISEC7 Software GmbH und ISEC7 Inc. sind nach DIN EN ISO 27001:2022 und ISO 9001:2015 zertifiziert, gültig bis 02.09.2027.
NIS2 in der Bundesverwaltung
Einrichtungen der Bundesverwaltung behandelt das BSIG seit dem 6. Dezember 2025 wie besonders wichtige Einrichtungen, ausgenommen die §§ 38, 40 Abs. 3, 61 und 65 (§ 29 BSIG). Zu den Mindestmaßnahmen gehören nach § 30 Abs. 2 Satz 2 Nr. 10 BSIG gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme. Landes- und Kommunalbehörden erfasst § 29 BSIG nicht. Die Pflichten bleiben bei der Behörde; ISEC7 liefert Betrieb und Berichte, die Sie für Ihre Nachweise verwenden. Mehr dazu auf unserer Seite zur NIS2-Richtlinie.
Häufige Fragen zur mobilen Kommunikation in Behörden
Was bedeutet VS-NfD?
VS-NfD steht für VS-NUR FÜR DEN DIENSTGEBRAUCH, den niedrigsten der vier Geheimhaltungsgrade nach § 4 SÜG. Eingestuft wird so, wenn die Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein kann. Die praktische Folge: Wer solche Informationen mobil verarbeitet, braucht Produkte, die das BSI dafür zugelassen oder mit einer Einsatzerlaubnis versehen hat.
Welche iPhones und Samsung-Geräte können Behörden für VS-NfD nutzen?
Standard-iPhones und -iPads mit indigo von Apple: Zulassung BSI-VSA-10900 bis VS-NfD und Einsatzerlaubnis BSI-VSA-10901, beide befristet bis 31.10.2027, Inhaber Apple Inc. Für Samsung-Geräte gibt es die Knox Native Solution 3.13 mit der Einsatzerlaubnis BSI-VSA-11044 bis VS-NfD, befristet bis 31.08.2027, Inhaber Samsung. ISEC7 hält selbst keine Zulassung, sondern integriert und betreibt diese Plattformen.
Was ist der Unterschied zwischen einer Zulassung und einer Einsatzerlaubnis des BSI?
Eine Zulassung ist eine verbindliche Aussage des BSI zum Sicherheitswert eines Produkts; Verschlusssachen dürfen damit bis zum zugelassenen Geheimhaltungsgrad verarbeitet werden. Eine Einsatzerlaubnis erteilt das BSI, wenn kein zugelassenes Produkt verfügbar ist oder nicht rechtzeitig bereitsteht, befristet und mit Auflagen. Die einsetzende Stelle wägt dann die Restrisiken ab und dokumentiert sie. Ein Common-Criteria-Zertifikat ist ein drittes, eigenes Instrument und keine Zulassung für Verschlusssachen.
Gilt NIS2 für Bundesbehörden?
Ja. Nach § 29 BSIG in der Fassung seit 6. Dezember 2025 gelten Einrichtungen der Bundesverwaltung als besonders wichtige Einrichtungen, ausgenommen die §§ 38, 40 Abs. 3, 61 und 65 BSIG. Damit gelten unter anderem die Risikomanagementmaßnahmen nach § 30 BSIG, zu denen gesicherte Sprach-, Video- und Textkommunikation gehört. Für den Geschäftsbereich des Bundesministeriums der Verteidigung sieht § 29 Abs. 3 BSIG weitere Ausnahmen vor.
Gibt es eine Mail-App für VS-NfD auf dem iPhone?
Ja, als Teil der indigo-Plattform: Die Einsatzerlaubnis BSI-VSA-10901 umfasst E-Mail einschließlich S/MIME. Für ISEC7 MAIL ist kein Instrument des BSI für VS-NfD ausgewiesen. Der Client bringt Stellvertretung, Funktionspostfächer, S/MIME mit YubiKey oder Smartcard und Kennzeichnung mit ISEC7 CLASSIFY auf das Diensthandy, für Informationen unterhalb von VS-NfD.
Wer beantragt das Schlüsselmaterial für verschlüsselte Telefonie bis VS-NfD?
Bei ISEC7 MANAGED SECURE VOICE beantragt ISEC7 das Schlüsselmaterial beim BSI. Das Onboarding läuft über einen Workshop, die Beantragung und Zuweisung des Schlüsselmaterials und den Rollout der App über MDM oder UEM. Weil Kryptomaterial des Bundes zum Einsatz kommt, liefert ISEC7 den Service ausschließlich an deutsche Unternehmen und Behörden.
Können Behörden BlackBerry UEM aus einer Cloud in Deutschland betreiben?
Ja, mit der Sovereign Cloud für BlackBerry UEM im Paket Regulated. ISEC7 hostet und betreibt das UEM in Deutschland, die Datenhaltung liegt in Deutschland, und Hersteller oder Drittanbieter haben keinen Zugriff auf Systeme oder Daten. Das Paket ist für Behörden und für Umgebungen mit indigo-Geräten und Samsung Knox Native ausgelegt; das Common-Criteria-Zertifikat der Plattform hält BlackBerry Ltd.
Stand der Angaben: 08.10.2026 · Registerangaben nach BSI-Schrift 7164, geprüft am 08.10.2026 · Gesetzesangaben nach gesetze-im-internet.de · Für Polizei und BOS siehe Mobile Kommunikation für Polizei und BOS
Sprechen Sie mit uns über Ihre Behördenumgebung
Sagen Sie uns, welche Geräte, welches UEM und welche Einstufungen Sie heute haben. Wir zeigen Ihnen, welche Bausteine dazu passen, wo eine Einsatzerlaubnis ihre Grenzen hat und was ISEC7 im Betrieb übernimmt.
Direkt erreichen Sie uns unter sales@isec7.com oder +49 40 325076 0.