Kurzdefinition: Das IT-Sicherheitskennzeichen ist ein freiwilliges Label, mit dem das Bundesamt Verbrauchern die IT-Sicherheit bestimmter Produkte sichtbar macht. § 55 BSIG regelt es. [N-BSIG-55]
Der Normwortlaut
§ 55 Abs. 1 BSIG bestimmt: „Das Bundesamt führt zur Information von Verbrauchern über die IT-Sicherheit von Produkten bestimmter vom Bundesamt festgelegter Produktkategorien ein einheitliches IT-Sicherheitskennzeichen ein.“ Zugleich stellt die Norm klar: „Das IT-Sicherheitskennzeichen trifft keine Aussage über die den Datenschutz betreffenden Eigenschaften eines Produktes.“ [N-BSIG-55]
Was ist das IT-Sicherheitskennzeichen?
Ein einheitliches Verbraucher-Label für IT-Sicherheit. Es soll Verbrauchern auf einen Blick zeigen, dass ein Produkt bestimmter Kategorien festgelegte Sicherheitsanforderungen zusagt. Das Bundesamt legt die betroffenen Produktkategorien fest; das Kennzeichen schafft Transparenz am Markt. [N-BSIG-55]
Ist das Kennzeichen verpflichtend?
Nein, es ist freiwillig. § 55 BSIG spricht ausdrücklich von einem freiwilligen IT-Sicherheitskennzeichen. Hersteller können es nutzen, um die Sicherheit ihrer Produkte sichtbar zu machen, sind dazu aber nicht verpflichtet. Es unterscheidet sich damit von einer zwingenden Kennzeichnung wie der CE-Kennzeichnung. [N-BSIG-55]
Sagt das Kennzeichen etwas über den Datenschutz aus?
Nein, ausdrücklich nicht. § 55 Abs. 1 BSIG stellt klar, dass das Kennzeichen keine Aussage über die den Datenschutz betreffenden Eigenschaften eines Produkts trifft. IT-Sicherheit und Datenschutz sind zwei verschiedene Dinge: Ein sicherheitsgekennzeichnetes Produkt kann datenschutzrechtlich trotzdem gesondert zu bewerten sein. [N-BSIG-55]
Welchen Nutzen hat es für Unternehmen?
Es hilft bei Auswahl und Außendarstellung. Im Einkauf ist das Kennzeichen ein zusätzlicher Anhaltspunkt für die IT-Sicherheit eines Produkts. Hersteller können es als Vertrauenssignal nutzen. In beiden Fällen bleibt aber die eigenständige Prüfung der Sicherheits- und Datenschutzanforderungen erforderlich. [N-BSIG-55]
Wer legt die betroffenen Produktkategorien fest?
Das Bundesamt. Nach § 55 Abs. 1 BSIG führt das Bundesamt das Kennzeichen für Produkte bestimmter, von ihm festgelegter Produktkategorien ein. Nicht jedes Produkt kann es also tragen — maßgeblich ist die Zuordnung zu einer festgelegten Kategorie. [N-BSIG-55]
Worin unterscheidet es sich von der CE-Kennzeichnung?
In der Verbindlichkeit. Das IT-Sicherheitskennzeichen ist freiwillig und dient der Verbraucherinformation, während die CE-Kennzeichnung ein vorgeschriebener Konformitätsnachweis ist. Beide sind nicht gleichzusetzen. [N-BSIG-55]
Häufige Fehlannahmen
- „Das IT-Sicherheitskennzeichen ist verpflichtend.“ Nein. Es ist ein freiwilliges Kennzeichen. [N-BSIG-55]
- „Das Kennzeichen bestätigt auch den Datenschutz.“ Nein. § 55 BSIG schließt eine Datenschutzaussage ausdrücklich aus. [N-BSIG-55]
- „Das Kennzeichen ersetzt jede eigene Prüfung.“ Nein. Es ergänzt sie nur. [N-BSIG-55]
- „Das Kennzeichen sagt nichts über die Sicherheitseigenschaften.“ Doch. Es dient gerade der Information von Verbrauchern über die IT-Sicherheit von Produkten bestimmter Produktkategorien. [N-BSIG-55]
- „Nach der Vergabe prüft niemand mehr.“ Nein. Produkte mit dem Kennzeichen können vom Bundesamt stichprobenartig oder anlassbezogen auf die Einhaltung der Anforderungen geprüft werden. [N-BSIG-55]
- „Jedes beliebige Produkt kann das Kennzeichen tragen.“ Nein. Es gilt für Produkte bestimmter, vom Bundesamt festgelegter Produktkategorien. [N-BSIG-55]
Was die Geschäftsleitung tun sollte
- Kennzeichen einordnen. Es als freiwilligen Sicherheitshinweis verstehen.
- Datenschutz trennen. Datenschutzeigenschaften gesondert bewerten.
- Einkauf informieren. Das Kennzeichen als einen von mehreren Faktoren nutzen.
- Werbung sauber halten. Aussagen zum Kennzeichen nicht auf den Datenschutz ausdehnen.
Für die Geschäftsleitung
§ 55 BSIG schafft ein freiwilliges IT-Sicherheitskennzeichen zur Verbraucherinformation — ausdrücklich ohne Datenschutzaussage. Für Unternehmen ist es ein hilfreiches, aber begrenztes Signal: Es ersetzt weder die Sicherheits- noch die Datenschutzprüfung.
Quellen
- [N-BSIG-55] § 55 BSIG (Freiwilliges IT-Sicherheitskennzeichen), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__55.html
