--- title: "Datenklassifizierung: Schutzbedarf feststellen und regeln" description: "Ohne Datenklassifizierung wird alles gleich behandelt – meist zu lasch. Wie Sie Stufen festlegen, Umgangsregeln daran knüpfen und es im Alltag durchhalten." canonical: "https://www.dsb-datenschutz.de/informationssicherheit/wissen-daten-klassifizierung/" --- # Datenklassifizierung Die **Datenklassifizierung** ist der unscheinbarste Schritt der Informationssicherheit und der, ohne den die anderen ins Leere laufen. Solange nicht festgelegt ist, welche Informationen wie schutzbedürftig sind, gilt für alle dasselbe Niveau – und das ist in der Praxis immer das niedrigste, das gerade nicht stört. ## Was klassifiziert wird Nicht Dateien, sondern **Informationen**. Dieselbe Information kann in einem Dokument stehen, in einer Datenbank, in einer E-Mail und auf einem Ausdruck. Die Einstufung folgt dem Inhalt, nicht dem Träger. Grundlage ist das Verzeichnis der Informationswerte, das beim [Aufbau eines ISMS](https://www.dsb-datenschutz.de/informationssicherheit/aufbau-isms/) ohnehin entsteht. Wer ein [Verarbeitungsverzeichnis](https://www.dsb-datenschutz.de/datenschutz/beratung-verarbeitungsverzeichnis/) führt, hat für den personenbezogenen Teil bereits eine Vorarbeit geleistet. Bewertet wird nach drei Schutzzielen: **Vertraulichkeit** (wer darf es wissen), **Integrität** (was passiert, wenn es unbemerkt verändert wird), **Verfügbarkeit** (was passiert, wenn niemand darankommt). Die drei fallen häufig auseinander: Eine veröffentlichte Preisliste ist nicht vertraulich, aber ihre unbemerkte Veränderung wäre teuer. ## Drei Stufen genügen fast immer Vier oder fünf Stufen wirken gründlicher und werden nicht angewendet, weil niemand die Abgrenzung im Kopf behält. | Stufe | Inhalt | Wirkung bei Offenlegung | |---|---|---| | **Öffentlich** | Was ohnehin veröffentlicht ist oder werden soll | keine | | **Intern** | Der Regelfall: Arbeitsstände, Abläufe, interne Kommunikation | störend, nicht schädigend | | **Vertraulich** | Personenbezogene Daten, Angebote, Kalkulationen, Verträge, Zugangsdaten | erheblicher Schaden für Personen oder Unternehmen | Wo besondere Kategorien nach [Art. 9 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-9/), Geschäftsgeheimnisse oder Berufsgeheimnisse verarbeitet werden, kann eine vierte, strengere Stufe sinnvoll sein. Sie sollte dann aber wenige, klar benannte Fälle betreffen. Die wichtigste Festlegung ist die **Voreinstellung**: Was nicht eingestuft ist, gilt als „intern". Ohne diese Regel entsteht eine vierte, unbeabsichtigte Kategorie – das Nichtklassifizierte, für das niemand zuständig ist. ## Regeln, nicht Etiketten Eine Klassifizierung, an der keine Handlungsanweisung hängt, ist eine Beschriftungsübung. Für jede Stufe gehört festgelegt, was beim Speichern, Versenden, Drucken, Mitnehmen, Weitergeben und Vernichten gilt. Ein tragfähiges Beispiel für die Stufe „vertraulich": Ablage nur in freigegebenen Systemen, kein privater Cloudspeicher; Versand nach außen nur verschlüsselt; keine Weitergabe an Dritte ohne Vertrag; Ausdrucke nicht unbeaufsichtigt am Drucker; Vernichtung im Aktenvernichter, nicht im Papierkorb; Zugriff nur für benannte Rollen. Diese Regeln sind der eigentliche Inhalt der [Richtlinie für Mitarbeitende](https://www.dsb-datenschutz.de/informationssicherheit/wissen-mitarbeiter-richtlinie/). Alles andere darin ist Beiwerk. ## Wozu es im Alltag führt **Zugriffsrechte werden begründbar.** Statt „Wer braucht das?" – eine Frage, auf die jeder mit Ja antwortet – lautet die Frage: „Welche Rolle darf auf welche Stufe zugreifen?" Das ist entscheidbar. **Verschlüsselung wird verhältnismäßig.** Alles zu verschlüsseln scheitert an der Praxis. Die vertrauliche Stufe zu verschlüsseln, ist durchsetzbar. **Aufbewahrung wird planbar.** Löschfristen lassen sich je Stufe und Kategorie festlegen statt je Dokument – die Grundlage jedes [Löschkonzepts](https://www.dsb-datenschutz.de/datenschutz/beratung-loeschkonzept/). **Vorfälle werden bewertbar.** Bei einem Datenabfluss ist die erste Frage: Welche Stufe war betroffen? Davon hängt ab, ob eine [Meldung nach Art. 33 DSGVO](https://www.dsb-datenschutz.de/datenschutz/datenschutzvorfall/) nötig ist. **Maßnahmen werden angemessen.** [Art. 32 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-32/) verlangt ein Schutzniveau, das dem Risiko angemessen ist. Ohne Einstufung lässt sich Angemessenheit nicht behaupten, geschweige denn belegen. ## Warum es meist scheitert An drei Dingen, alle organisatorisch: **Zu viele Stufen.** Siehe oben. **Keine Zuständigkeit.** Für jeden Informationswert braucht es eine Person, die über die Einstufung entscheidet – üblicherweise die Leitung des Bereichs, in dem die Information entsteht. Ohne benannte Eigentümerschaft klassifiziert niemand. **Nachträgliche Massenaktion.** Der Versuch, einen gewachsenen Dateibestand rückwirkend einzustufen, endet regelmäßig im Nichts. Praktikabler ist: ab sofort für Neues, dazu die bekannten kritischen Bestände gezielt – und der Rest bleibt auf der Voreinstellung. Wer das durchhält, hat nach einem Jahr eine belastbare Grundlage. Wer alles auf einmal will, hat nach einem Jahr eine Tabelle, die niemand gepflegt hat. ## Kontakt Sie wollen wissen, wo Sie anfangen? Meist genügt der Blick auf die drei Systeme, in denen das Meiste liegt. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Zur Informationssicherheit](https://www.dsb-datenschutz.de/informationssicherheit/)