Die staatliche Sicherheitsüberprüfung ersetzt kein eigenes Arbeitgeber-Screening — beide Instrumente haben unterschiedliche Zwecke, Prüftiefen und Zuständigkeiten. Der Staat prüft anlassbezogen und eng begrenzt auf hoheitliche Schutzgüter; das Ergebnis erreicht den Arbeitgeber nur als Freigabe oder Ablehnung. CV-Integrität, wirtschaftliche Interessenkonflikte und laufendes Monitoring deckt keines der staatlichen Verfahren ab — und genau diese Bereiche muss der Arbeitgeber nach KRITIS-DachG und BSIG in vielen Fällen selbst verantworten.
Was der Staat prüft: SÜG, LuftSiG und AtZüV
Drei staatliche Überprüfungsregime prägen die Praxis:
- Sicherheitsüberprüfung nach §§ 7–10 SÜG: für sicherheitsempfindliche Tätigkeiten mit Zugang zu Verschlusssachen, in drei Stufen (Ü1 bis Ü3). Seit der Novelle vom Januar 2026 mit erweiterter Prüftiefe — Details im Beitrag SÜG-Modernisierung 2026.
- Zuverlässigkeitsüberprüfung (ZÜP) nach § 7 LuftSiG: für Personen mit Zugang zu Sicherheitsbereichen von Flughäfen und in der Luftfracht.
- Atomrechtliche Zuverlässigkeitsüberprüfung nach § 12b AtG i. V. m. AtZüV: für Tätigkeiten in kerntechnischen Anlagen, im Rückbau und beim Transport von Kernbrennstoffen.
Allen drei Verfahren ist gemeinsam: Sie schützen hoheitliche Rechtsgüter — den Geheimschutz, die Luftsicherheit, die nukleare Sicherheit. Sie greifen auf Quellen zu, die dem Arbeitgeber rechtlich verschlossen sind, insbesondere Abfragen bei Verfassungsschutzbehörden und dem Bundeszentralregister. Diese hoheitlichen Abfragewege sind dem Staat vorbehalten und können und dürfen durch privates Screening nicht nachgebildet werden.
Was die staatliche Prüfung strukturell nicht leistet
Für den Arbeitgeber hat die staatliche Überprüfung drei systembedingte Grenzen:
- Ergebnisintransparenz: Der Arbeitgeber erfährt im Regelfall nur das Ergebnis — „zuverlässig“ oder „nicht zuverlässig“. Welche Erkenntnisse zugrunde liegen, bleibt bei der Behörde. Eine eigene Risikobewertung ist auf dieser Basis nicht möglich.
- Enger Prüfgegenstand: Geprüft wird die Zuverlässigkeit bezogen auf das jeweilige hoheitliche Schutzgut. Ob der Lebenslauf stimmt, ob Abschlüsse existieren, ob wirtschaftliche Verflechtungen oder Interessenkonflikte bestehen — das ist nicht Gegenstand des Verfahrens.
- Momentaufnahme: Die Überprüfung gilt für einen Zeitraum von mehreren Jahren. Was zwischen den Zyklen geschieht, erfasst kein laufendes Monitoring. Für die Luftsicherheit zeigt der Beitrag Was die ZÜP nach § 7 LuftSiG nicht prüft diese Lücke im Detail.
Was Arbeitgeber selbst dürfen — und zunehmend müssen
Jenseits der hoheitlichen Abfragen darf der Arbeitgeber tätigkeitsbezogen und verhältnismäßig selbst prüfen: Identität und Werdegang, Abschlüsse und Referenzen, öffentlich zugängliche Register, Sanktionslisten, Medienberichte. Rechtlicher Rahmen sind die allgemeinen datenschutzrechtlichen Vorgaben der DSGVO (insbesondere Art. 6 und Art. 88 DSGVO) und § 26 BDSG; maßgeblich ist die Erforderlichkeit im Verhältnis zur Position.
Aus dem „Dürfen“ wird für viele Betreiber ein „Müssen“: § 13 KRITIS-DachG und § 30 BSIG n. F. verpflichten Betreiber kritischer Anlagen und NIS2-Einrichtungen zu Maßnahmen der Personalsicherheit; unionsrechtlich verankern Art. 13 Abs. 1 lit. e und Art. 14 der CER-Richtlinie (EU) 2022/2557 Hintergrundüberprüfungen ausdrücklich im Pflichtenprogramm. Diese Pflichten richten sich an den Betreiber selbst — sie werden durch eine parallel laufende staatliche Überprüfung einzelner Beschäftigter nicht erfüllt. Einen Überblick geben die Beiträge zum KRITIS-Dachgesetz und zur Personalsicherheit nach § 30 BSIG.
Die Wartezeit rechtssicher überbrücken
Ein praktisches Problem verschärft die Abgrenzungsfrage: Staatliche Verfahren dauern. Bis die Freigabe vorliegt, steht der Arbeitgeber vor der Wahl, die Person warten zu lassen oder sie bereits einzusetzen. Ein eigenes, dokumentiertes Screening vor Tätigkeitsbeginn ist hier der rechtssichere Mittelweg: Es ersetzt die staatliche Entscheidung nicht, belegt aber, dass der Arbeitgeber seine eigene Sorgfaltspflicht nicht auf die Behörde delegiert hat — und liefert die Risikoeinschätzung, die das behördliche Verfahren ihm strukturell vorenthält.
Handlungsempfehlung
Kartieren Sie Ihre Rollen entlang von drei Fragen: Welche Positionen unterliegen einer staatlichen Überprüfung (SÜG, LuftSiG, AtZüV)? Welche Positionen sind sicherheitskritisch, ohne von einem staatlichen Verfahren erfasst zu sein? Und wo verpflichten KRITIS-DachG oder BSIG Sie zu eigener Personalsicherheit? Für die zweite und dritte Gruppe brauchen Sie ein eigenes, dokumentiertes Prüfkonzept — einen Umsetzungsleitfaden bietet der Beitrag Hintergrundüberprüfungen als Betreiberpflicht. Indicium liefert dafür prüffeste Software-Reports mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) — ab €79 pro Report; Branchenbeispiele finden Sie unter Industries.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.