Datenklassifizierung: Datenklassifizierung ist die systematische Einteilung von Informationen in Schutzklassen wie öffentlich, intern, vertraulich und streng vertraulich, um darauf abgestimmte Schutzmaßnahmen festzulegen; ISO 27001 Anhang A verlangt sie unter Control 5.12.
Grundlage der Datenklassifizierung ist meist ein vierstufiges Modell, das sich an den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit orientiert. Jede Klasse erhält festgelegte Regeln für Speicherung, Übertragung, Zugriff und Vernichtung.
| Klasse | Beispiel | Typische Regel |
|---|---|---|
| Öffentlich | Broschüren, Website-Inhalte | Keine Einschränkung |
| Intern | Organigramme, interne Anweisungen | Nur Mitarbeitende |
| Vertraulich | Kundendaten, Verträge | Rollenbasierter Zugriff, Verschlüsselung |
| Streng vertraulich | Passwörter, Gehaltsdaten | Minimalprinzip, Protokollierung |
Die Klassifizierung ist Voraussetzung für ein wirksames Berechtigungskonzept: Erst wenn feststeht, welche Daten wie schützenswert sind, lassen sich Zugriffsrechte sinnvoll vergeben statt pauschal offen oder pauschal gesperrt. Die Einführung beginnt meist mit einer Bestandsaufnahme der wichtigsten Informationswerte, gefolgt von einer Zuordnung zu den Schutzklassen durch die jeweiligen Fachbereiche, nicht allein durch die IT.
Ein häufiger Fehler ist eine zu granulare Klassifizierung mit sechs oder mehr Stufen, die im Arbeitsalltag kaum noch angewendet wird – vier bis maximal fünf Klassen haben sich in der Praxis bewährt.
In der Praxis hilft eine einheitliche Kennzeichnung, etwa als Kopfzeile in Dokumentvorlagen oder als Metadatenfeld im Dokumentenmanagementsystem, damit Mitarbeitende die Schutzklasse einer Information auf den ersten Blick erkennen. Wichtig ist zudem eine regelmäßige Überprüfung: Informationen können im Laufe der Zeit an Kritikalität gewinnen oder verlieren, etwa wenn ein zunächst internes Konzept später vertraglich als vertraulich eingestuft wird.
Relevanz für die Zertifizierung
ISO 27001 Anhang A fordert unter Control 5.12 explizit ein Verfahren zur Klassifizierung von Informationen entsprechend gesetzlicher Anforderungen, Wert, Kritikalität und Sensibilität für die Organisation. Im Audit muss ein Unternehmen ein dokumentiertes Klassifizierungsschema sowie erkennbar konsequent umgesetzte Kennzeichnung vorlegen können, etwa durch Vermerke in Dokumentvorlagen oder Metadaten in IT-Systemen. KCERT prüft im Audit, ob das Schema tatsächlich gelebt wird und nicht nur auf dem Papier existiert – die Umsetzung selbst obliegt dem Unternehmen, da Beratung und Zertifizierung bei KCERT konsequent getrennt bleiben.
Häufige Fragen zu Datenklassifizierung
Ja. Anhang A Control 5.12 der ISO 27001:2022 verlangt ein Verfahren zur Klassifizierung von Informationen nach rechtlichen Anforderungen, Wert, Kritikalität und Sensibilität. Ein Unternehmen kann die Anforderung im Statement of Applicability theoretisch als nicht anwendbar ausschließen, das lässt sich in der Praxis aber kaum begründen, da nahezu jede Organisation unterschiedlich schützenswerte Informationen verarbeitet.
In der Praxis haben sich vier Stufen bewährt: öffentlich, intern, vertraulich und streng vertraulich. Mehr Stufen wirken auf dem Papier präziser, werden im Arbeitsalltag aber selten konsequent angewendet. Wichtiger als die Anzahl der Stufen ist, dass jede Klasse klare, praxistaugliche Regeln für Speicherung, Zugriff und Vernichtung besitzt und diese Regeln nachweislich eingehalten werden.
Die Datenklassifizierung legt fest, wie schützenswert eine Information ist. Das Berechtigungskonzept regelt darauf aufbauend, wer konkret Zugriff auf welche Systeme und Daten erhält. Ohne Klassifizierung fehlt dem Berechtigungskonzept die fachliche Grundlage – Zugriffsrechte würden sonst nach Bauchgefühl statt nach dokumentiertem Schutzbedarf vergeben.