Datenklassifizierung

Die Datenklassifizierung ist der unscheinbarste Schritt der Informationssicherheit und der, ohne den die anderen ins Leere laufen. Solange nicht festgelegt ist, welche Informationen wie schutzbedürftig sind, gilt für alle dasselbe Niveau – und das ist in der Praxis immer das niedrigste, das gerade nicht stört.

Was klassifiziert wird

Nicht Dateien, sondern Informationen. Dieselbe Information kann in einem Dokument stehen, in einer Datenbank, in einer E-Mail und auf einem Ausdruck. Die Einstufung folgt dem Inhalt, nicht dem Träger.

Grundlage ist das Verzeichnis der Informationswerte, das beim Aufbau eines ISMS ohnehin entsteht. Wer ein Verarbeitungsverzeichnis führt, hat für den personenbezogenen Teil bereits eine Vorarbeit geleistet.

Bewertet wird nach drei Schutzzielen: Vertraulichkeit (wer darf es wissen), Integrität (was passiert, wenn es unbemerkt verändert wird), Verfügbarkeit (was passiert, wenn niemand darankommt). Die drei fallen häufig auseinander: Eine veröffentlichte Preisliste ist nicht vertraulich, aber ihre unbemerkte Veränderung wäre teuer.

Drei Stufen genügen fast immer

Vier oder fünf Stufen wirken gründlicher und werden nicht angewendet, weil niemand die Abgrenzung im Kopf behält.

Drei Stufen genügen fast immer
StufeInhaltWirkung bei Offenlegung
ÖffentlichWas ohnehin veröffentlicht ist oder werden sollkeine
InternDer Regelfall: Arbeitsstände, Abläufe, interne Kommunikationstörend, nicht schädigend
VertraulichPersonenbezogene Daten, Angebote, Kalkulationen, Verträge, Zugangsdatenerheblicher Schaden für Personen oder Unternehmen

Wo besondere Kategorien nach Art. 9 DSGVO, Geschäftsgeheimnisse oder Berufsgeheimnisse verarbeitet werden, kann eine vierte, strengere Stufe sinnvoll sein. Sie sollte dann aber wenige, klar benannte Fälle betreffen.

Die wichtigste Festlegung ist die Voreinstellung: Was nicht eingestuft ist, gilt als „intern”. Ohne diese Regel entsteht eine vierte, unbeabsichtigte Kategorie – das Nichtklassifizierte, für das niemand zuständig ist.

Regeln, nicht Etiketten

Eine Klassifizierung, an der keine Handlungsanweisung hängt, ist eine Beschriftungsübung. Für jede Stufe gehört festgelegt, was beim Speichern, Versenden, Drucken, Mitnehmen, Weitergeben und Vernichten gilt.

Ein tragfähiges Beispiel für die Stufe „vertraulich”: Ablage nur in freigegebenen Systemen, kein privater Cloudspeicher; Versand nach außen nur verschlüsselt; keine Weitergabe an Dritte ohne Vertrag; Ausdrucke nicht unbeaufsichtigt am Drucker; Vernichtung im Aktenvernichter, nicht im Papierkorb; Zugriff nur für benannte Rollen.

Diese Regeln sind der eigentliche Inhalt der Richtlinie für Mitarbeitende. Alles andere darin ist Beiwerk.

Wozu es im Alltag führt

Zugriffsrechte werden begründbar. Statt „Wer braucht das?” – eine Frage, auf die jeder mit Ja antwortet – lautet die Frage: „Welche Rolle darf auf welche Stufe zugreifen?” Das ist entscheidbar.

Verschlüsselung wird verhältnismäßig. Alles zu verschlüsseln scheitert an der Praxis. Die vertrauliche Stufe zu verschlüsseln, ist durchsetzbar.

Aufbewahrung wird planbar. Löschfristen lassen sich je Stufe und Kategorie festlegen statt je Dokument – die Grundlage jedes Löschkonzepts.

Vorfälle werden bewertbar. Bei einem Datenabfluss ist die erste Frage: Welche Stufe war betroffen? Davon hängt ab, ob eine Meldung nach Art. 33 DSGVO nötig ist.

Maßnahmen werden angemessen. Art. 32 DSGVO verlangt ein Schutzniveau, das dem Risiko angemessen ist. Ohne Einstufung lässt sich Angemessenheit nicht behaupten, geschweige denn belegen.

Warum es meist scheitert

An drei Dingen, alle organisatorisch:

Zu viele Stufen. Siehe oben.

Keine Zuständigkeit. Für jeden Informationswert braucht es eine Person, die über die Einstufung entscheidet – üblicherweise die Leitung des Bereichs, in dem die Information entsteht. Ohne benannte Eigentümerschaft klassifiziert niemand.

Nachträgliche Massenaktion. Der Versuch, einen gewachsenen Dateibestand rückwirkend einzustufen, endet regelmäßig im Nichts. Praktikabler ist: ab sofort für Neues, dazu die bekannten kritischen Bestände gezielt – und der Rest bleibt auf der Voreinstellung.

Wer das durchhält, hat nach einem Jahr eine belastbare Grundlage. Wer alles auf einmal will, hat nach einem Jahr eine Tabelle, die niemand gepflegt hat.

Kontakt

Sie wollen wissen, wo Sie anfangen? Meist genügt der Blick auf die drei Systeme, in denen das Meiste liegt.