Zuverlässigkeitsüberprüfung (ZÜP): Ablauf, Dauer, Kosten 2026

Die Zuverlässigkeitsüberprüfung (ZÜP) ist eine gesetzlich vorgeschriebene behördliche Personenprüfung für sicherheitsempfindliche Tätigkeiten in Deutschland — vor allem an Flughäfen (§ 7 LuftSiG), in kerntechnischen Anlagen (§ 12b AtG) und beim Zugang zu Verschlusssachen (SÜG). Durchgeführt wird sie von der zuständigen Behörde, nicht vom Arbeitgeber: Sie dauert in der Regel rund vier Wochen, gilt fünf Jahre und kostet je nach Bundesland unterschiedlich viel — etwa 45 Euro in Hamburg oder 77 Euro in Nordrhein-Westfalen. Was sie nicht leistet: die unternehmenseigene Prüfung von Lebenslauf, Qualifikationen, Sanktionslisten und Reputation. Dafür bleibst Du als Arbeitgeber selbst verantwortlich.

Was ist eine Zuverlässigkeitsüberprüfung — und was ist sie nicht?

Die ZÜP ist ein Instrument der staatlichen Gefahrenabwehr: Eine Behörde prüft, ob eine Person das Vertrauen verdient, in einem besonders schutzbedürftigen Bereich zu arbeiten — etwa im Sicherheitsbereich eines Flughafens, in einem Kernkraftwerk oder mit Zugang zu Verschlusssachen. Zuständig sind je nach Rechtsgrundlage unterschiedliche Stellen: für die Luftsicherheits-ZÜP die Luftsicherheitsbehörden der Länder, in Südbayern beispielsweise das Luftamt Südbayern bei der Regierung von Oberbayern (2026), in Nordrhein-Westfalen die Bezirksregierungen.

Das Ergebnis ist binär: Die Behörde stellt die Zuverlässigkeit fest — oder sie verneint sie. Bleiben Zweifel, geht das zulasten der überprüften Person (§ 5 Abs. 1 LuftSiZÜV). Eine inhaltliche Begründungstiefe, mit der HR oder Compliance weiterarbeiten könnten, liefert der Bescheid nicht. Drei Abgrenzungen sind wichtig, weil sie in der Praxis regelmäßig verwechselt werden:

• Die ZÜP ist keine Eignungsprüfung. Sie sagt nichts über Qualifikation, Berufserfahrung oder fachliche Eignung aus — nur darüber, ob sicherheitsrelevante Erkenntnisse gegen die Person sprechen.

• Die ZÜP ist kein Background Check. Lebenslauf-Verifikation, Abschluss-Checks, Sanktionslisten-, PEP- und Adverse-Media-Screening sind nicht Gegenstand des behördlichen Verfahrens. Was ein unternehmensinterner Background Check in Deutschland abdeckt, verantwortest Du selbst.

• Die ZÜP ist keine Fit-and-Proper-Prüfung. Die aufsichtsrechtliche Zuverlässigkeit von Geschäftsleitern in Banken folgt eigenen Regeln — die Unterschiede erklärt unser Beitrag zu Fit-and-Proper vs. Zuverlässigkeitsprüfung nach KWG § 25c.

Wer braucht eine ZÜP? Die drei zentralen Rechtsgrundlagen

Antwort zuerst: Eine behördliche ZÜP brauchst Du nur dort, wo ein Gesetz sie ausdrücklich anordnet. Die drei wichtigsten Rechtsgrundlagen sind das Luftsicherheitsgesetz, das Atomgesetz und das Sicherheitsüberprüfungsgesetz:

1. Luftsicherheit — § 7 LuftSiG: Überprüft werden nach § 7 Abs. 1 LuftSiG unter anderem Personen, denen regelmäßig Zugang zu nicht allgemein zugänglichen Bereichen eines Flugplatzes gewährt werden soll, Beschäftigte von Flugplatz- und Luftfahrtunternehmen mit unmittelbarem Einfluss auf die Sicherheit des Luftverkehrs, nach dem LuftSiG Beliehene samt deren Ausbildern und Prüfern sowie Luftfahrer und Flugschüler. Praktisch ist das der mit Abstand häufigste ZÜP-Fall: Ohne positive Feststellung kein Flughafenausweis — und damit kein Arbeitsbeginn.

2. Atomrecht — § 12b AtG: Zum Schutz gegen Entwendung oder Freisetzung radioaktiver Stoffe werden Antragsteller und Genehmigungsinhaber samt benannter Verantwortlicher, das Personal bei Errichtung und Betrieb kerntechnischer Anlagen, Personen beim Umgang mit und bei der Beförderung radioaktiver Stoffe sowie Sachverständige nach § 20 AtG überprüft. Besonderheit: Die Überprüfung setzt die vorherige schriftliche Zustimmung der betroffenen Person voraus.

3. Geheimschutz — § 1 SÜG: Wer Zugang zu Verschlusssachen ab dem Geheimhaltungsgrad VS-VERTRAULICH erhält oder im Rahmen des vorbeugenden personellen Sabotageschutzes an sicherheitsempfindlicher Stelle einer lebens- oder verteidigungswichtigen Einrichtung tätig wird, durchläuft eine Sicherheitsüberprüfung. § 7 Abs. 1 SÜG unterscheidet drei Stufen: die einfache Sicherheitsüberprüfung (Ü1), die erweiterte Sicherheitsüberprüfung (Ü2) und die erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen (Ü3).

Daneben kennt das deutsche Recht weitere sektorale Zuverlässigkeitsprüfungen, etwa im Waffen-, Sprengstoff- und Bewachungsrecht. Und wichtig für Betreiber kritischer Infrastrukturen: NIS2 verlangt Personalsicherheit von Dir als Unternehmen — aber ohne behördliches ZÜP-Verfahren. Wie Du das umsetzt, zeigen unsere Beiträge zur Zuverlässigkeitsüberprüfung des Personals nach NIS2 und zu Background Checks in der KRITIS.

Wie läuft die Zuverlässigkeitsüberprüfung ab?

Am Beispiel der Luftsicherheits-ZÜP läuft das Verfahren in fünf Schritten ab:

1. Antrag: Die zu überprüfende Person stellt den Antrag bei der zuständigen Luftsicherheitsbehörde ihres Landes — in Nordrhein-Westfalen etwa online über den Formularserver der Bezirksregierung. Bei beruflich veranlassten Überprüfungen bestätigt der Arbeitgeber die Erforderlichkeit.

2. Identitätsprüfung und Datenabfragen: Die Behörde prüft die Identität und fragt nach § 7 Abs. 3 und 4 LuftSiG unter anderem bei den Polizeivollzugs- und Verfassungsschutzbehörden der Länder an, holt Auskünfte aus dem Bundeszentralregister und dem Erziehungsregister ein, bei ausländischen Staatsangehörigen zusätzlich aus dem Ausländerzentralregister, und kann Arbeitgeber der letzten fünf Jahre einbeziehen.

3. Anhörung: Ergeben sich Zweifel an der Zuverlässigkeit, erhält die betroffene Person Gelegenheit zur Stellungnahme, bevor entschieden wird.

4. Bescheid: Die Behörde stellt die Zuverlässigkeit fest oder lehnt die Feststellung ab. Verbleibende Zweifel gehen zulasten der überprüften Person — auch dann, wenn Mitwirkungspflichten nicht erfüllt wurden (§ 5 Abs. 1 LuftSiZÜV).

5. Wiederholungsüberprüfung: Vor Ablauf der Geltungsdauer muss die Überprüfung wiederholt werden — die Fristen dazu im nächsten Abschnitt.

Wie lange dauert die ZÜP — und wie lange gilt sie?

Die Bearbeitung dauert laut HamburgService (2026) circa vier Wochen; in Einzelfällen kann es zu Verzögerungen kommen, insbesondere wenn Erkenntnisse über die Person vorliegen oder Unterlagen nachgereicht werden müssen. Für Deine Recruiting-Planung heißt das: Den ZÜP-Antrag direkt nach Vertragsunterschrift anstoßen, nicht erst zum geplanten Startdatum — sonst steht die neue Fachkraft am ersten Arbeitstag ohne Zugangsberechtigung da.

Die Feststellung der Zuverlässigkeit gilt fünf Jahre ab Bekanntgabe (§ 5 Abs. 2 LuftSiZÜV). Stellst Du den Wiederholungsantrag spätestens drei Monate vor Ablauf, gilt die Person bis zum Abschluss des neuen Verfahrens weiter als zuverlässig. Die Bezirksregierung Münster (2026) empfiehlt, Wiederholungsanträge frühestens sechs und spätestens drei Monate vor Ablauf der vorigen Feststellung zu stellen.

Was kostet die Zuverlässigkeitsüberprüfung 2026?

Die Gebühren sind Ländersache und unterscheiden sich deutlich. Zwei verifizierte Beispiele: In Hamburg beträgt die Gebühr derzeit 45 Euro pro Person (HamburgService (2026)), in Nordrhein-Westfalen einheitlich 77 Euro pro Antrag (Bezirksregierung Münster (2026)). Die Kosten einer beruflich veranlassten Überprüfung trägt der Arbeitgeber (Regierung von Oberbayern (2026)); Privatpersonen — etwa Flugschüler — zahlen selbst.

Die Behördengebühr ist dabei der kleinste Posten. Teurer sind die indirekten Kosten: rund vier Wochen Wartezeit pro Einstellung in sicherheitsempfindlichen Bereichen, Wiederholungsüberprüfungen alle fünf Jahre für den gesamten betroffenen Personalbestand sowie Fristenkontrolle und Dokumentation. Wer hier ohne sauberen Prozess arbeitet, riskiert Lücken in der Zugangsberechtigung — und verliert im Zweifel Kandidaten an Arbeitgeber mit schnellerem Onboarding.

Was passiert bei einem negativen ZÜP-Bescheid?

Verneint die Behörde die Zuverlässigkeit, ist das ein belastender Verwaltungsakt: Die betroffene Person erhält vor der Entscheidung Gelegenheit zur Stellungnahme und kann gegen den Bescheid die allgemeinen verwaltungsrechtlichen Rechtsbehelfe nutzen — je nach Bundesland Widerspruch und verwaltungsgerichtliche Klage. Für Dich als Arbeitgeber bedeutet ein negativer Bescheid praktisch: kein Zugang zum Sicherheitsbereich und keine Beschäftigung in der überprüfungspflichtigen Position. Da der Bescheid keine Begründungstiefe für Dritte liefert, erfährst Du regelmäßig nur das Ergebnis, nicht die Gründe — die Erkenntnisse bleiben bei der Behörde.

Auch datenschutzrechtlich ist das Verfahren eng eingehegt: Die im Luftsicherheitsverfahren verarbeiteten Daten sind nach § 7 Abs. 11 LuftSiG innerhalb von drei Jahren nach Ablauf der Gültigkeit zu löschen. Im Atomrecht ist die Verarbeitung zweckgebunden, die Löschung der Daten nach fünfeinhalb Jahren vorgesehen (§ 12b AtG). Für Deine eigenen, unternehmensinternen Prüfungen gilt derselbe Maßstab: klare Rechtsgrundlage, Zweckbindung, definierte Löschfristen.

Wo endet die ZÜP — und wo beginnt Dein eigener Background Check?

Die ZÜP beantwortet genau eine Frage: Liegen den Sicherheitsbehörden Erkenntnisse vor, die gegen den Einsatz dieser Person im gesetzlich definierten Schutzbereich sprechen? Alles andere bleibt offen — und damit in Deiner Verantwortung. Konkret prüft die ZÜP nicht:

• Lebenslauf und Qualifikationen: Ob Abschlüsse, Stationen und Zeugnisse stimmen, ist nicht Gegenstand des behördlichen Verfahrens.

• Sanktionslisten und PEP-Status: EU-, UN- oder OFAC-Listen sowie politische Exponiertheit werden in der ZÜP nicht systematisch gescreent — für Finanzinstitute und geldwäschepflichtige Unternehmen bleibt das eine eigene Pflicht.

• Adverse Media und Reputation: Negative Presse, laufende Verfahren im Ausland oder Reputationsrisiken tauchen im ZÜP-Bescheid nicht auf.

• Aufsichtsrechtliche Anforderungen: Fit-and-Proper-Nachweise gegenüber BaFin oder FINMA folgen eigenen Maßstäben und ersetzen die ZÜP ebenso wenig, wie sie von ihr ersetzt werden.

• Alle Positionen ohne gesetzliche ZÜP-Pflicht: Für die große Mehrheit der Einstellungen — vom CFO bis zur IT-Administratorin — existiert gar kein behördliches Verfahren. Personalsicherheit musst Du dort vollständig selbst organisieren.

Der direkte Vergleich:

• Wer prüft: ZÜP — die zuständige Behörde. Background Check — Dein Unternehmen oder ein spezialisierter Dienstleister.

• Rechtsgrundlage: ZÜP — Spezialgesetz (LuftSiG, AtG, SÜG). Background Check — Datenschutzrecht, insbesondere DSGVO und Beschäftigtendatenschutz.

• Umfang: ZÜP — sicherheitsbehördliche Erkenntnisse und Registerauskünfte für einen eng definierten Zweck. Background Check — Identität, Lebenslauf, Qualifikationen, Sanktionen, PEP, Adverse Media, je nach Position skalierbar.

• Ergebnis: ZÜP — binärer Bescheid ohne Begründungstiefe. Background Check — dokumentierter Report mit nachvollziehbaren Quellen.

• Dauer und Geltung: ZÜP — circa vier Wochen, fünf Jahre gültig. Background Check — je nach Tiefe Stunden bis Tage, Re-Screening nach eigenem Turnus oder anlassbezogen.

Beide Instrumente ergänzen sich: Die ZÜP deckt den gesetzlichen Pflichtteil ab, der unternehmensinterne Check schließt die Lücken davor, daneben und danach. Wie Du den internen Teil DSGVO-konform aufsetzt — Rechtsgrundlagen, Einwilligung, Dokumentation — führt unser Leitfaden zu DSGVO und Background Checks aus.

Was bedeutet das für HR und Compliance?

Vier Schritte, mit denen Du ZÜP und internen Background Check sauber verzahnst:

1. Positionslandkarte erstellen: Welche Rollen brauchen eine behördliche ZÜP (LuftSiG, AtG, SÜG), welche eine Sicherheitsüberprüfung, welche „nur" einen internen Check? Diese Zuordnung gehört dokumentiert — auch für Audits.

2. Fristen ins System: Fünf-Jahres-Turnus und die Drei-Monats-Frist für Wiederholungsanträge gehören als Wiedervorlage ins HR-System, nicht in Einzel-Erinnerungen.

3. Parallelisieren: ZÜP-Antrag und interner Background Check starten gleichzeitig nach Vertragsunterschrift. So kostet die Behördenfrist keine zusätzliche Time-to-Hire.

4. Audit-fest dokumentieren: Bescheide, Einwilligungen und Screening-Reports zentral und revisionssicher ablegen — getrennt nach Rechtsgrundlage und Aufbewahrungsfrist.

Die hier beschriebenen Prüfungen automatisiert Indicium: DSGVO-konform, EU/Schweizer Hosting, audit-fester Trail, Reports in 8–30 Minuten. Kostenlose 30-Minuten-Demo buchen — oder direkt die transparenten Preise ansehen.