Das Gesetz zur Modernisierung des Sicherheitsüberprüfungsgesetzes vom 11.01.2026 ist seit dem 16.01.2026 in Kraft (BGBl. 2026 I Nr. 6/7) und verschärft die staatliche Sicherheitsüberprüfung spürbar. Die wichtigste Änderung für die Praxis: Die Internet-Recherche wird nun auch bei der einfachen Sicherheitsüberprüfung (Ü1) verpflichtend — bisher blieb die Prüftiefe der untersten Stufe deutlich hinter Ü2 und Ü3 zurück. Für geheimschutzbetreute Unternehmen bedeutet das: Die staatliche Prüfung nähert sich in ihrer Methodik dem an, was professionelles privates Screening seit Langem leistet.
Die drei Stufen der Sicherheitsüberprüfung im Überblick
Das SÜG kennt in den §§ 7–10 SÜG drei Überprüfungsarten, abgestuft nach der Sensibilität der Tätigkeit:
- Ü1 — einfache Sicherheitsüberprüfung (§ 8 SÜG): die Basisstufe für Tätigkeiten mit Zugang zu Verschlusssachen niedrigerer Einstufung.
- Ü2 — erweiterte Sicherheitsüberprüfung (§ 9 SÜG): die mittlere Stufe mit größerer Prüftiefe, unter anderem unter Einbeziehung des persönlichen Umfelds.
- Ü3 — erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen (§ 10 SÜG): die intensivste Stufe für besonders sicherheitsempfindliche Tätigkeiten.
Wer welcher Stufe unterliegt, richtet sich nach der sicherheitsempfindlichen Tätigkeit — nicht nach der Hierarchieebene. Eine Einordnung der Begriffe finden Sie auch in unserem Glossar.
Was die Novelle konkret ändert
Kern der Modernisierung ist die Anpassung der Prüfmethodik an die digitale Realität. Öffentlich zugängliche Informationen im Internet — von Suchmaschinentreffern über Medienberichte bis zu öffentlich einsehbaren Profilen — werden nun bereits auf der Stufe Ü1 verpflichtend in die Überprüfung einbezogen. Bislang war diese Recherchetiefe den höheren Stufen vorbehalten; künftig gilt: Wer überhaupt sicherheitsüberprüft wird, wird auch online überprüft.
Damit vollzieht der Gesetzgeber nach, was in der Sicherheitspraxis längst Konsens ist: Die Online-Reputation einer Person ist ein eigenständiger, relevanter Prüfgegenstand. Extremistische Äußerungen, problematische Verbindungen oder Widersprüche zur Selbstdarstellung zeigen sich häufig zuerst im Netz — nicht in Registern.
Was das für laufende und künftige Überprüfungen bedeutet
Für Sicherheitsbevollmächtigte und Compliance-Verantwortliche in geheimschutzbetreuten Unternehmen ergeben sich drei praktische Konsequenzen:
- Neue Anträge werden nach dem verschärften Maßstab geprüft. Kandidatinnen und Kandidaten sollten darauf vorbereitet werden, dass ihre öffentlich sichtbare Online-Präsenz Teil der Überprüfung ist.
- Die Vorauswahl gewinnt an Gewicht: Wer eine Person für eine sicherheitsempfindliche Tätigkeit nominiert, deren Online-Reputation erkennbare Risiken birgt, riskiert Verzögerungen im Verfahren. Eine strukturierte Integritätsprüfung vor dem Antrag reduziert dieses Risiko — mehr dazu im Beitrag zur Geheimschutzbetreuung in der Wirtschaft.
- Die Erwartungshaltung der Aufsicht steigt insgesamt: Wenn der Staat OSINT-Recherche zum Pflichtstandard seiner eigenen Prüfungen macht, wird es schwerer zu begründen, warum das unternehmenseigene Screening für sensible Rollen ohne diese Dimension auskommt.
Der Staat zieht nach — ersetzt aber kein eigenes Screening
Bemerkenswert ist die Richtung der Novelle: Der Gesetzgeber führt mit der verpflichtenden Internet-Recherche genau die Prüftiefe ein, die professionelles privates Screening — OSINT-Recherche, Adverse-Media-Prüfung, Online-Reputationsanalyse — seit Jahren als Standard etabliert hat. Das bestätigt den methodischen Ansatz, ändert aber nichts an der grundsätzlichen Arbeitsteilung: Die staatliche Sicherheitsüberprüfung dient dem Schutz von Verschlusssachen und hoheitlichen Schutzgütern; Fragen wie CV-Integrität, wirtschaftliche Interessenkonflikte oder laufende Veränderungen zwischen den Prüfzyklen bleiben Sache des Arbeitgebers. Die genaue Abgrenzung beider Welten behandelt der Beitrag Staatliche Sicherheitsüberprüfung vs. eigenes Screening.
Handlungsempfehlung
Prüfen Sie zunächst, welche Positionen in Ihrem Unternehmen einer Sicherheitsüberprüfung nach §§ 7–10 SÜG unterliegen und welche Verfahren aktuell laufen. Sensibilisieren Sie nominierte Personen dafür, dass ihre Online-Präsenz nun auf allen Stufen Prüfgegenstand ist. Etablieren Sie eine strukturierte, dokumentierte Vorprüfung, bevor Sie Ü-Anträge stellen — so vermeiden Sie Verzögerungen und behandeln alle Kandidaten nach demselben Maßstab. Indicium unterstützt dabei mit prüffesten Software-Reports, die datierte Quellen und eine menschliche Letztprüfung (Art. 22 DSGVO) umfassen — ab €79 pro Report. Für sicherheitssensible Branchen zeigen wir die Umsetzung gern in einer Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.