Vier Geheimhaltungsstufen messen den Schaden für das Land

Das Wichtigste in Kürze

• Betroffen ist nach Angaben des Senats nur die niedrigste von vier Geheimhaltungsstufen, VS-NUR FÜR DEN DIENSTGEBRAUCH.
• Alle vier Stufen sind über den Nachteil für die Interessen des Bundes oder eines Landes definiert.
• Privates stuft die Berliner Anweisung nur ein, wenn die Einstufung zumindest auch im öffentlichen Interesse liegt.
• Auf der niedrigsten Stufe stehen laut Beispielkatalog auch Fahndungsunterlagen zu Terrorismus und Unterlagen zu kritischen Infrastrukturen.

Vier Geheimhaltungsstufen kennt der Berliner Geheimschutz, und betroffen sei nur die unterste. So ordnete Digitalstaatssekretär Florian Hauer im Innenausschuss des Abgeordnetenhauses den Datenabfluss aus der Landesverwaltung ein; Hella Kemper referierte die Sitzung mit der dpa für DIE ZEIT am 7. September 2026. Mehr als 1,2 Millionen Dateien sind nach seinen Angaben noch nicht gesichtet, die Einordnung ist ein Zwischenstand. Die Zahl vier stammt aus einer Verwaltungsvorschrift, der Verschlusssachenanweisung des Landes Berlin. Dort steht auch, woran gemessen wird.

Deren § 2 Absatz 2 zählt die Grade auf und knüpft jeden an dieselbe Folge. STRENG GEHEIM greift, wenn die Kenntnisnahme durch Unbefugte „den Bestand oder lebenswichtige Interessen der Bundesrepublik Deutschland oder eines ihrer Länder gefährden kann“; drei Stufen tiefer greift VS-NUR FÜR DEN DIENSTGEBRAUCH, wenn sie für ebendiese Interessen „nachteilig sein kann“ (Verschlusssachenanweisung des Landes Berlin vom 24. April 2024 berlin.de ↗). Der Bund führt dieselbe Konstruktion: Die Verwaltungsvorschrift zum materiellen Geheimschutz vom 13. März 2023 verwaltungsvorschriften-im-internet.de ↗ bemisst ihre vier Grade ebenfalls am Schaden für „die Bundesrepublik Deutschland oder eines ihrer Länder“.

Ohne öffentliches Interesse verweist die Vorschrift ins Datenschutzrecht#

Wann eine Einstufung überhaupt in Betracht kommt, regelt Anlage III derselben Anweisung. Private Geheimnisse und „Umstände des persönlichen Lebensbereichs“ sind danach „nur dann einzustufen, wenn die Einstufung zumindest auch im öffentlichen Interesse liegt“. Dieses Interesse fasst der Text eng: Es kommt „grundsätzlich nur bei Informationen in Betracht, die die innere Sicherheit, die äußere Sicherheit oder die auswärtigen Beziehungen“ des Bundes oder eines Landes betreffen. Wer einstuft, muss zudem schlüssig darlegen können, welche Schäden, Gefährdungen oder Nachteile für Bund oder Land bei Kenntnisnahme durch Unbefugte entstehen können. Für Informationen, die das nicht erfüllen, „kann eine Einstufung nicht erfolgen“; die Anweisung nennt stattdessen andere Regelwerke, darunter ausdrücklich „das Datenschutzrecht oder das Archivgesetz“.

In den veröffentlichten Paketen liegen nach einer Auswertung des rbb Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen, Arbeitszeugnisse und Dokumente aus Bewerbungsverfahren (ComputerBase, 6. September 2026¹). Ob ein solches Dokument je eine Stufe getragen hat, entscheidet nach diesem Wortlaut der Nachteil für das Land, nicht der Schaden für die Beschäftigte, deren Abrechnung darin steht.

Die niedrigste Geheimhaltungsstufe trägt auch Fahndungsunterlagen#

Was auf der untersten Stufe steht, führt dieselbe Anlage als Beispielkatalog: Abschlussberichte über Sicherheitsüberprüfungen von Personen, „Fahndungsunterlagen aus den Bereichen Terrorismus/Extremismus“, besondere Dienstanweisungen und Dienstpläne, Geheimschutzdokumentationen sowie „Unterlagen, die kritische Infrastrukturen betreffen“. Dazu Zusammenstellungen, deren einzelne Teile nicht eingestuft sind und die den Grad erst in der Summe erreichen.

Der Staatssekretär nannte im Ausschuss ein Gegenbeispiel aus derselben Kategorie: Dateien mit Bezug zum Militärischen Abschirmdienst hätten Parkgenehmigungen betroffen. Parkgenehmigung und Fahndungsunterlage tragen denselben Aufdruck. Wo die Dateien einmal draußen sind, entscheidet ohnehin nicht mehr der Aufdruck, sondern die Verbreitung; ein gezahltes Lösegeld kauft den Schlüssel, nicht die Kopie.

Die Verschlusssachenanweisung verlangt für VS-NfD ein freigegebenes System#

„Die Verarbeitung von Verschlusssachen ist nur mit VS-IT zulässig, die hierfür freigegeben ist“, heißt es in § 50 Absatz 1. Voraussetzung sind die Standards des Bundesamts für Sicherheit in der Informationstechnik und neun Geheimschutzanforderungen, vom Grundsatz „Kenntnis nur, wenn nötig“ bis zur Aussonderung. Vor der Freigabe veranlassen die Geheimschutzbeauftragten eine Überprüfung der wirksamen Umsetzung, „beispielsweise durch einrichtungsexterne Prüfer“. Für die unterste Stufe liegen die Voraussetzungen nach Absatz 4 insbesondere dann vor, wenn „eine ISO 27001-Zertifizierung auf Basis des IT-Grundschutzes inklusive der im Geheimschutzbaustein aufgeführten Anforderungen vorliegt“.

Wer sagt, es sei VS-NfD-Material abgeflossen, sagt damit auch, dass eingestuftes Material auf den betroffenen Systemen lag. Ob diese Systeme nach § 50 freigegeben waren, ist öffentlich nicht bekannt.

2025 erfasste Berlins Aufsicht 1.462 Meldungen zu Datenschutzvorfällen#

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit erfasste für 2025 1.462 Meldungen zu Datenschutzvorfällen nach 1.262 im Jahr davor; 197 davon kamen von öffentlichen Stellen, im Vorjahr waren es 191 (Jahresbericht 2025, S. 204 datenschutz-berlin.de ↗). Das sind 13,5 Prozent der Meldungen. Erhoben ist damit, was gemeldet wurde, nicht, was geschehen ist. Wie stark eine Definition darüber entscheidet, was amtlich existiert, zeigte sich in Berlin schon einmal: am Landesnetz endet die Statistik der IT-Sicherheitsvorfälle.

Woran eine nachträgliche Aufklärung scheitert, führt derselbe Bericht an einem anderen Verfahren vor: Für einen Großteil des Zeitraums konnte „wegen nicht mehr vorhandener Protokolldaten gar nicht mehr nachvollzogen werden, ob Zugriffe stattgefunden haben“ (S. 128). Die Senatskanzlei sagte am 4. September zu, identifizierte Betroffene „risikobasiert und entsprechend der gesetzlichen Vorgaben“ zu informieren, und verwies auf die Landesdatenschutzbeauftragte.

Der Geheimhaltungsgrad überlebt den Leak: Nach § 2 Absatz 3 bleibt er bestehen, auch wenn eine Verschlusssache unrechtmäßig bekannt geworden ist. Für die eingescannte Ausweiskopie daneben gilt das Regelwerk, auf das Anlage III verweist, und als Anlaufstelle dafür nennt die Senatskanzlei selbst die Berliner Datenschutzbeauftragte.

Anlass war die Meldung „Hackerangriff auf Berliner Verwaltung: Hacker erbeuteten wohl keine hochsensiblen Daten in Berlin“ von Hella Kemper und der dpa für DIE ZEIT vom 7. September 2026; die Angaben aus dem Innenausschuss sind dort dem Digitalstaatssekretär zugeschrieben. Die Geheimhaltungsgrade, die Hinweise zur Einstufung und die Freigaberegeln stammen aus der Verschlusssachenanweisung des Landes Berlin vom 24. April 2024 berlin.de ↗, die Gegenprobe auf Bundesebene aus der Allgemeinen Verwaltungsvorschrift zum materiellen Geheimschutz vom 13. März 2023 verwaltungsvorschriften-im-internet.de ↗. Meldezahlen und die Passage zu fehlenden Protokolldaten stehen im Jahresbericht 2025 datenschutz-berlin.de ↗ der Berliner Beauftragten für Datenschutz und Informationsfreiheit (S. 204 und S. 128). Die veröffentlichten Datenarten gehen auf eine Auswertung des rbb zurück, die ComputerBase am 6. September 2026 wiedergibt computerbase.de ↗. Die Zusage zur Information Betroffener steht in den Lagemitteilungen der Senatskanzlei vom 3.² und 4. September 2026³.