Ein Stromnetzbetreiber bespricht in einer Videokonferenz die Wartungsplanung für das kommende Quartal: welche Umspannwerke wann vom Netz gehen und wie die Reserve dann aussieht. Ein Teilnehmer schaltet sich von unterwegs über das Bordnetz im Zug zu, weil der vorgeschriebene Zugang zu lange braucht. Wenige Tage später kursieren Details aus dieser Runde. Niemand muss die Plattform angreifen, der Weg hinein steht offen. Die Vorgabe gibt es, nur erzwingt sie niemand.
Das Videomeeting steht im Gesetz
Bis Ende 2025 waren sichere Videomeetings eine Frage der Sorgfalt. Heute sind sie vorgeschrieben. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Paragraf 30 Absatz 2 Nummer 10 des neu gefassten BSI-Gesetzes verlangt wörtlich „gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung“.
Wie weit die Umsetzung fortgeschritten ist, zeigen die Registrierungen. Ende Juni 2026, einen Monat vor Ablauf der BSI-Nachfrist, waren 17.729 Einrichtungen im Portal erfasst. Erwartet worden waren rund 29.500. Das Bundesinnenministerium lässt diese Schätzung inzwischen neu berechnen.
1. Klären Sie zuerst, welches Meeting welchen Schutz braucht
Wer alle Konferenzen gleich behandelt, sichert entweder zu viel oder zu wenig ab. Das Gesetz verlangt keine Maximallösung, sondern eine, die dem jeweiligen Risiko angemessen ist. Maßstab sind unter anderem Risikoexposition, Größe der Einrichtung und Umsetzungskosten – so steht es in Paragraf 30 Absatz 1. Legen Sie deshalb zwei bis drei Klassen fest und ordnen Sie jedem Meetingtyp eine zu. Entscheidend ist, dass die Klasse eine Eigenschaft des Termins ist und keine Erwartung an die Teilnehmenden. Genau hier liegt der Fehler im Beispiel oben.
2. Die Plattform entscheidet, wem Ihre Metadaten gehören
Verschlüsselung schützt die Inhalte. Nicht aber die Information, wer wann wie lange mit wem konferiert hat. Diese Metadaten verbleiben bei einem Cloud-Dienst beim Betreiber. HP Poly PrivateConnect powered by Pexip lässt sich deshalb on premises, in einer privaten Cloud oder air-gapped betreiben. Der Zugang wird zur Laufzeit gegen verschiedene Attribute geprüft: die Freigabestufe im Verzeichnisdienst, den IP-Bereich und die Registrierung des Raumsystems. Wer die Bedingungen nicht erfüllt, kommt nicht in den Raum. Die Bundesagentur für Arbeit betreibt ihre Videokommunikation für Bürgerberatungen auf Basis dieser Technologie im eigenen Rechenzentrum.
3. Verwechseln Sie Interoperabilität nicht mit Sicherheit
Eine Zertifizierung für Microsoft Teams, Google Meet oder Zoom sorgt dafür, dass die Stummschaltung am Raumsystem oder Endgerät nach dem nächsten Update noch dem Status in der App entspricht. Über die Vertraulichkeit sagt sie nichts aus. Eine Pflicht zu zertifizierter Hardware gibt es derzeit ebenfalls nicht. Paragraf 30 Absatz 6 erlaubt sie erst über eine Rechtsverordnung, die bislang fehlt. Was zählt, steht in Paragraf 30 Absatz 2, Nummern 4 und 5: die Lieferkette sowie der Erwerb und die Wartung einschließlich des Umgangs mit Schwachstellen. Sie müssen also wissen, welches Gerät in welchem Raum hängt, auf welchem Firmware-Stand es läuft und wer es dorthin gebracht hat.
HP zeigt am eigenen VS-Arbeitsplatz, wie eng Zulassung und Zusammenstellung zusammenhängen. Bei HP Sure Station tragen die Komponenten von genua, NCP und Rohde & Schwarz Cybersecurity die Grade VS-NfD, EU RESTRICTED und NATO RESTRICTED. Erst ihr Zusammenspiel erfüllt das BSI-Anforderungsprofil „Sicherer VS-Arbeitsplatz“, das Notebook allein nicht.
4. Bauen Sie den Betrieb so, dass er die Dokumentation nebenbei erzeugt
Verbreitet ist die Annahme, man habe drei Jahre Zeit bis zum ersten Audit. Dieser Rhythmus gilt jedoch nur für Betreiber kritischer Anlagen, so steht es in Paragraf 39. Alle anderen müssen sofort dokumentieren, so bestimmt es Paragraf 30 Absatz 1 Satz 3.
Von Hand scheitert das bereits an der ersten Firmware-Welle. Die Plattform aus Schritt 2 liefert Logging und Live-Monitoring der Zugriffe. HP Poly Lens und die Workforce Experience Platform liefern das Inventar und die Versionsstände der Flotte. Beide Quellen bleiben getrennt: Über die eine laufen die Gespräche selbst, über die andere nur Telemetriedaten.
5. Benennen Sie Zuständige, bevor Sie sie brauchen
Die Verantwortung endet nicht in der IT-Abteilung. Sie liegt persönlich bei der Geschäftsleitung, so bestimmt es Paragraf 38. Delegieren lässt sich nur die Arbeit, nicht die Verantwortung. Benennen Sie dafür drei Zuständige: einen für die Klassifizierung der Meetings, einen für den Patch-Stand der Endgeräte, einen für die Meldung eines Vorfalls binnen 24 Stunden. Je mehr Hersteller beteiligt sind, desto länger dauert im Störungsfall die Klärung. Ein Bezug aus einer Hand verkürzt das auf einen Supportweg und einen Erneuerungszyklus. HP deckt diese Kette vollständig ab, von der Plattform über Raumsysteme und Endgeräte bis zum Management. HP Deutschland darf zudem Verschlusssachen des Grades VS-NfD in Ausschreibungen verarbeiten und betreibt dafür ein nach ISO 27001 zertifiziertes Informationssicherheitsmanagement.
Zurück zum Netzbetreiber
Kein Zertifikat hätte die Einwahl aus dem Zug verhindert. Verhindert hätte sie eine Regel, die das System selbst durchsetzt, und ein Protokoll, das den Versuch festhält. Genau danach fragt eine Prüfung: nicht, welches Siegel auf dem Gerät klebt, sondern ob Sie belegen können, wer wann mit welchem Stand im Raum war.
Wie Sie Meetingräume und Endgeräte sicher aufstellen, zeigt HP Poly hier.