VS-NfD mobil
Smartphones, Telefonie und UEM für eingestufte Informationen
Was VS-NfD für mobiles Arbeiten bedeutet
VS-NfD steht für VS-NUR FÜR DEN DIENSTGEBRAUCH, den niedrigsten der vier Geheimhaltungsgrade nach § 4 Sicherheitsüberprüfungsgesetz. Eine amtliche Stelle des Bundes stuft eine Information so ein, wenn ihre Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein kann. Für Smartphones und Tablets heißt das: Die Sicherheitsfunktionen, die solche Inhalte auf dem Gerät und bei der Übertragung schützen, müssen aus Produkten kommen, die das BSI dafür zugelassen hat oder für die es eine Einsatzerlaubnis erteilt hat.
Die Grundlage ist die Verschlusssachenanweisung (VSA) vom 1. April 2023. Sie schreibt vor, dass Produkte, die zum Schutz von Verschlusssachen IT-Sicherheitsfunktionen übernehmen, zuzulassen sind (BSI, Hinweise zur Liste der zugelassenen IT-Sicherheitsprodukte). Welche Produkte das betrifft, legt das BSI nach § 51 Abs. 1 VSA fest. Für sensitive, aber nicht eingestufte Informationen gilt diese Zulassungsregelung nicht.
Das BSI unterscheidet dabei zwei Instrumente. Eine Zulassung ist eine verbindliche Aussage zum Sicherheitswert eines Produkts und gilt für den festgelegten Versionsstand unter den festgelegten Einsatz- und Betriebsbedingungen. Eine Einsatzerlaubnis erteilt das BSI nach § 51 Abs. 5 VSA, wenn kein zugelassenes Produkt verfügbar ist oder nicht rechtzeitig bereitgestellt werden kann. Sie ist befristet und an Auflagen gebunden, und die einsetzende Organisation wägt die Risiken nach § 50 VSA ab und dokumentiert sie in einer Risikoanalyse (BSI, FAQ Evaluierung und Zulassung). Eine Zertifizierung nach Common Criteria kann dagegen jedes IT-Produkt mit Sicherheitsfunktionen erhalten; sie bezieht sich nicht auf Verschlusssachen und ist keine Zulassung nach der VSA.
Fünf Bausteine und was beim BSI für jeden vorliegt
Mobile Arbeit mit VS-NfD setzt sich aus Gerät, Telefonie, Geräteverwaltung und Apps zusammen. Für jeden Baustein steht hier, welches Instrument es gibt, wer es hält und bis wann es gilt. Die Registerangaben stammen aus der BSI-Schrift 7164, Liste der zugelassenen IT-Sicherheitsprodukte und -systeme.
indigo von Apple
indigo ist die Lösung von Apple, mit der Organisationen Standard-iPhones und -iPads für VS-NfD einsetzen; Hardware-Sicherheitsanker ist die Secure Enclave statt einer externen Smartcard. Zulassungen des BSI für indigo von Apple: bis VS-NfD (BSI-VSA-10900) und NATO RESTRICTED (BSI-VSA-11003), dazu eine Einsatzerlaubnis bis VS-NfD (BSI-VSA-10901), alle befristet bis 31.10.2027. Laut Apple gilt BSI-VSA-10900 für iOS und iPadOS 18, BSI-VSA-11003 für iOS und iPadOS 26. Zulassungsinhaber ist Apple Inc., ISEC7 ist Integrator.
ISEC7 plant die Architektur, baut die Umgebung mit UEM auf, legt die Betriebsprozesse fest und betreibt sie. ISEC7 SPHERE zeigt den Compliance-Zustand der indigo-Geräte in einem eigenen Dashboard.
Samsung Knox Native Solution
Für Android-Geräte von Samsung führt das BSI die Knox Native Solution, Hardware-Sicherheitsanker ist ein embedded Secure Element. Gemeint sind Samsung-Geräte mit der Knox Native Solution, für die Samsung eine Einsatzerlaubnis des BSI bis VS-NfD hält (BSI-VSA-11044, befristet bis 31.08.2027). Die Einsatzerlaubnis gilt für die Knox Native Solution Version 3.13, Inhaberin ist die Samsung Electronics GmbH. Weil es eine Einsatzerlaubnis ist, wägt Ihre Organisation die Risiken ab und dokumentiert sie.
ISEC7 bindet die Geräte an das UEM an, richtet das Zero-Touch-Enrollment über Knox Mobile Enrollment ein und übernimmt den Betrieb.
Verschlüsselt telefonieren mit ISEC7 MANAGED SECURE VOICE
ISEC7 MANAGED SECURE VOICE ist ein Managed Service für verschlüsselte mobile Telefonie auf Apple- und Samsung-Geräten. Der Service setzt auf SecuVOICE von Secusmart auf, für das das BSI eine Einsatzerlaubnis bis VS-NfD erteilt hat, Stand August 2026: BSI-VSA-11057, SecuVOICE für iOS und Android Version 6.x, befristet bis 31.08.2027. Die Einsatzerlaubnis gehört zur App, ISEC7 betreibt den Service und ist nicht Inhaber der Einsatzerlaubnis; Inhaberin ist die Secusmart GmbH.
Bis VS-NfD reichen Gespräche Ende zu Ende zwischen SecuVOICE-Nutzern und Secure Landing zu Anschlüssen hinter abgesicherten Behörden-Telefonanlagen. Ein Breakout zu einem beliebigen Anschluss ist nur bis zur Bundesinfrastruktur verschlüsselt. Eingestufte Inhalte gehören deshalb nicht in Breakout-Gespräche. Weil Kryptomaterial des Bundes zum Einsatz kommt, liefern wir den Service ausschließlich an deutsche Unternehmen und Behörden.
Sovereign Cloud für BlackBerry UEM
In der Sovereign Cloud für BlackBerry UEM hostet und betreibt ISEC7 BlackBerry UEM in Deutschland. Die Daten liegen in Deutschland, Hersteller und Drittanbieter haben keinen Zugriff, und den Betrieb übernimmt Personal der ISEC7 GmbH in Deutschland. Das Paket Regulated ist für Behörden und für Umgebungen mit indigo-Geräten und Samsung Knox Native ausgelegt.
Die eingesetzte Plattform BlackBerry UEM trägt das Common-Criteria-Zertifikat BSI-DSZ-CC-1235-2025 vom 8. September 2025 (BlackBerry UEM Server 12.21.1, EAL4+, gültig bis 7. September 2030). Zertifikatsinhaber ist BlackBerry Ltd., ISEC7 ist Betreiber. Das Zertifikat ist keine Zulassung nach der VSA, und ein UEM steht nicht in der BSI-Liste 7164.
ISEC7 MAIL
ISEC7 MAIL ist der mobile Client der ISEC7 für E-Mail, Kalender, Kontakte, Aufgaben und Notizen aus Exchange und Microsoft 365 auf iOS und Android, mit S/MIME, Smartcard über YubiKey und dem Lesen und Setzen von Kennzeichnungen. ISEC7 ist Hersteller der App.
Für ISEC7 MAIL, den Messenger und Secure File ist kein Instrument des BSI für VS-NfD ausgewiesen.
Wer welche Verantwortung trägt
Die Zulassungen liegen bei den eingesetzten Produkten, beim BSI und bei den Herstellern. ISEC7 hat keinen eigenen Eintrag in der BSI-Liste 7164 und ist hier Integrator und Betreiber: ISEC7 plant und baut die Umgebungen, betreibt UEM und Telefonie und ist Ihr Vertragspartner für diese Leistungen. Die Zulassung gehört zur Plattform, nicht zu uns.
| Baustein | Instrument | Kennung | Inhaber | Befristet bis | Rolle von ISEC7 |
|---|---|---|---|---|---|
| indigo | Zulassung bis VS-NfD | BSI-VSA-10900 | Apple Inc. | 31.10.2027 | Integrator |
| indigo | Einsatzerlaubnis bis VS-NfD | BSI-VSA-10901 | Apple Inc. | 31.10.2027 | Integrator |
| indigo | Zulassung NATO RESTRICTED | BSI-VSA-11003 | Apple Inc. | 31.10.2027 | Integrator |
| Knox Native Solution 3.13 | Einsatzerlaubnis bis VS-NfD | BSI-VSA-11044 | Samsung Electronics GmbH | 31.08.2027 | Integrator und Betrieb |
| SecuVOICE für iOS und Android 6.x (Basis von ISEC7 MANAGED SECURE VOICE) | Einsatzerlaubnis bis VS-NfD | BSI-VSA-11057 | Secusmart GmbH | 31.08.2027 | Betreiber des Service |
| BlackBerry UEM Server 12.21.1 | Common-Criteria-Zertifikat EAL4+, keine Zulassung | BSI-DSZ-CC-1235-2025 | BlackBerry Ltd. | 07.09.2030 | Betreiber in der Sovereign Cloud |
| ISEC7 MAIL | kein Instrument des BSI für VS-NfD | keine | keiner | entfällt | Hersteller |
Für die ISEC7 Group AG, die ISEC7 GmbH, die ISEC7 Software GmbH und die ISEC7 Inc. gelten Zertifikate nach DIN EN ISO 27001:2022 und DIN EN ISO 9001:2015, gültig bis 02.09.2027. Sie betreffen die Managementsysteme von ISEC7, nicht die Produkte in der Tabelle.
Zertifikate der ISEC7 Group · Endpoint Management bei ISEC7
Stand: 08.10.2026 · Registerangaben nach BSI-Schrift 7164, geprüft am 08.10.2026. Alle Zulassungen für indigo laufen am 31.10.2027 aus.
Häufige Fragen zu VS-NfD auf mobilen Geräten
Welche Smartphones sind für VS-NfD zugelassen?
Eine Zulassung des BSI bis VS-NfD hält Apple Inc. für indigo, die Lösung für Standard-iPhones und -iPads (BSI-VSA-10900, befristet bis 31.10.2027); dazu kommt eine Einsatzerlaubnis bis VS-NfD (BSI-VSA-10901, ebenfalls befristet bis 31.10.2027). Für Samsung-Geräte mit der Knox Native Solution Version 3.13 hält die Samsung Electronics GmbH eine Einsatzerlaubnis des BSI bis VS-NfD (BSI-VSA-11044, befristet bis 31.08.2027). Weitere Lösungen führt das BSI in seiner Übersicht zur mobilen Kommunikation und in der Liste 7164. ISEC7 integriert indigo und Samsung Knox und betreibt die Umgebungen.
Kann ich ein normales iPhone für VS-NfD nutzen?
Ja, mit indigo von Apple. indigo arbeitet mit Standard-iPhones und -iPads und nutzt die Secure Enclave als Hardware-Sicherheitsanker statt einer externen Smartcard. Laut Apple gilt die Zulassung bis VS-NfD (BSI-VSA-10900) für iOS und iPadOS 18 und die Einsatzerlaubnis bis VS-NfD (BSI-VSA-10901) für iOS und iPadOS 18 und 26; beide sind bis 31.10.2027 befristet, Inhaber ist Apple Inc. Zur Plattform gehören neben dem Gerät ein UEM, VPN-Gateways, eine PKI und feste IT-Richtlinien. ISEC7 baut diese Umgebung als Integrator auf und betreibt sie.
Kann ich mit dem Diensthandy bis VS-NfD telefonieren?
Ja, mit der App SecuVOICE von Secusmart. Die eingesetzte App SecuVOICE verfügt über eine Einsatzerlaubnis des BSI bis VS-NfD, BSI-VSA-11057, befristet bis 31.08.2027; sie gilt für SecuVOICE für iOS und Android Version 6.x, Inhaberin ist die Secusmart GmbH. Bis VS-NfD reichen Gespräche Ende zu Ende zwischen SecuVOICE-Nutzern und Secure Landing zu Anschlüssen hinter abgesicherten Behörden-Telefonanlagen. Ein Breakout zu einem beliebigen Anschluss ist nur bis zur Bundesinfrastruktur verschlüsselt. Eingestufte Inhalte gehören deshalb nicht in Breakout-Gespräche. Mit ISEC7 MANAGED SECURE VOICE betreibt ISEC7 SecuVOICE als Service. Weil Kryptomaterial des Bundes zum Einsatz kommt, liefern wir den Service ausschließlich an deutsche Unternehmen und Behörden.
Was ist der Unterschied zwischen Zulassung, Einsatzerlaubnis und Zertifizierung?
Eine Zulassung ist eine verbindliche Aussage des BSI zum Sicherheitswert eines IT-Sicherheitsprodukts für Verschlusssachen, zum Beispiel für indigo (BSI-VSA-10900, bis VS-NfD, Inhaber Apple Inc., befristet bis 31.10.2027). Eine Einsatzerlaubnis erteilt das BSI nach § 51 Abs. 5 VSA, wenn kein zugelassenes Produkt verfügbar ist oder nicht rechtzeitig bereitgestellt werden kann; sie ist befristet, an Auflagen gebunden und verlangt eine Risikoabwägung der einsetzenden Organisation. Beispiele sind SecuVOICE für iOS und Android 6.x (BSI-VSA-11057, bis VS-NfD, Inhaberin Secusmart GmbH, befristet bis 31.08.2027) und die Knox Native Solution 3.13 (BSI-VSA-11044, bis VS-NfD, Inhaberin Samsung Electronics GmbH, befristet bis 31.08.2027). Eine Zertifizierung nach Common Criteria kann jedes IT-Produkt mit Sicherheitsfunktionen erhalten und bezieht sich nicht auf Verschlusssachen. Das Zertifikat BSI-DSZ-CC-1235-2025 für BlackBerry UEM Server 12.21.1 (EAL4+, Inhaber BlackBerry Ltd., gültig bis 7. September 2030) ist eine solche Zertifizierung und keine Zulassung.
Welches UEM brauche ich für VS-NfD-Smartphones?
Das BSI beschreibt indigo als kompatibel mit gängigen MDM-Lösungen und nennt dabei keine Produktnamen; ein UEM steht nicht in der BSI-Liste 7164. ISEC7 betreibt BlackBerry UEM, auf Wunsch aus der Sovereign Cloud für BlackBerry UEM im Paket Regulated, das für indigo-Geräte und Samsung Knox Native ausgelegt ist. Die Plattform BlackBerry UEM Server 12.21.1 trägt das Common-Criteria-Zertifikat BSI-DSZ-CC-1235-2025 (EAL4+, gültig bis 7. September 2030); Zertifikatsinhaber ist BlackBerry Ltd., ISEC7 ist Betreiber. Für ISEC7 MANAGED SECURE VOICE muss die UEM-Konfiguration den Vorgaben für das Kryptomaterial entsprechen; ist das nicht möglich, liefert ISEC7 das Full Managed Secure Voice Smartphone.
Gibt es eine VS-NfD-taugliche Mail-App für das iPhone?
Laut BSI umfasst die Einsatzerlaubnis für indigo auch E-Mail einschließlich S/MIME (BSI-VSA-10901, bis VS-NfD, Inhaber Apple Inc., befristet bis 31.10.2027). Das betrifft die Mail-Funktion der indigo-Plattform. Für ISEC7 MAIL, den Messenger und Secure File ist kein Instrument des BSI für VS-NfD ausgewiesen.
Wer beantragt eine Zulassung, und können auch Unternehmen VS-NfD-Lösungen einsetzen?
Den Antrag auf Zulassung stellt laut BSI der bundesbehördliche Anwender, nicht ein Unternehmen. Unternehmen in der Geheimschutzbetreuung wenden sich an das Bundeswirtschaftsministerium. Bei Produkten mit Einsatzerlaubnis wägt die einsetzende Organisation die Risiken nach § 50 VSA ab und dokumentiert sie in einer Risikoanalyse; die Restrisiken trägt sie selbst. Für ISEC7 MANAGED SECURE VOICE beantragt ISEC7 das Schlüsselmaterial beim BSI.
Kann ich BlackBerry UEM für indigo und Samsung Knox in einer deutschen Cloud betreiben?
Ja. In der Sovereign Cloud für BlackBerry UEM hostet und betreibt ISEC7 BlackBerry UEM in Deutschland, die Daten liegen in Deutschland, Hersteller und Drittanbieter haben keinen Zugriff. Das Paket Regulated ist für Behörden und für Umgebungen mit indigo-Geräten und Samsung Knox Native ausgelegt. Den Betrieb übernimmt Personal der ISEC7 GmbH in Deutschland. Das Common-Criteria-Zertifikat der Plattform (BSI-DSZ-CC-1235-2025, BlackBerry UEM Server 12.21.1, EAL4+, gültig bis 7. September 2030) gehört BlackBerry Ltd., ISEC7 ist Betreiber.
Mobile Arbeit mit VS-NfD planen
Schildern Sie uns, welche Geräte, Anwendungen und Gesprächswege Ihre Organisation braucht. Wir klären mit Ihnen, welche Bausteine passen, welche Instrumente des BSI dafür vorliegen und welchen Teil ISEC7 übernimmt. Sie erreichen uns auch unter sales@isec7.com oder +49 40 325076 0.