Datenklassifizierung im Unternehmen: Schutzstufen, Zuständigkeiten und Kennzeichnung in der Praxis

Datenklassifizierung im Unternehmen bezeichnet das systematische Einordnen von Informationen nach ihrem Schutzbedarf, damit Zugriff, Speicherung, Weitergabe und Löschung in einem angemessenen Verhältnis zum möglichen Schaden stehen. In vielen mittelständischen Betrieben werden Konstruktionsunterlagen, Personalakten, Angebotskalkulationen und öffentliche Produktbroschüren auf denselben Laufwerken abgelegt und mit denselben Zugriffsrechten versehen. Das führt entweder zu einem überzogenen Schutz für unkritische Daten oder, häufiger, zu einem unzureichenden Schutz für besonders sensible Informationen.

Eine Klassifizierung schafft hier eine gemeinsame Sprache. Sie beantwortet für jede Informationsart die Fragen, wie vertraulich sie ist, wie lange sie verfügbar sein muss und wie zuverlässig ihre Richtigkeit gewährleistet werden muss. Auf dieser Grundlage lassen sich Berechtigungen, Verschlüsselung, Datensicherung und Weitergabewege begründet festlegen, statt sie nach Gefühl zu entscheiden.

Dieser Beitrag beschreibt, wie Betriebe ohne große Sicherheitsabteilung ein Klassifizierungsschema entwickeln, einführen und im Alltag pflegen. Er behandelt Normbezüge, geeignete Schutzstufen, Rollen, die Kennzeichnung von Dokumenten und Systemen, technische Maßnahmen sowie typische Stolperfallen und enthält eine Checkliste für den Start.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Sasun Bughdaryan auf Unsplash.

Warum eine Klassifizierung nötig ist

Ohne Klassifizierung fehlt ein Maßstab für Sicherheitsentscheidungen. Jede Frage, ob ein Dokument per E-Mail verschickt, in einer Cloud-Ablage geteilt oder auf einem privaten Gerät geöffnet werden darf, muss im Einzelfall neu diskutiert werden. Das kostet Zeit und führt zu uneinheitlichen Ergebnissen, weil Beschäftigte dieselbe Situation unterschiedlich bewerten.

Hinzu kommen externe Anforderungen. Kunden aus der Automobil- oder Maschinenbaubranche fragen in Lieferantenaudits nach dem Umgang mit vertraulichen Konstruktionsdaten. Versicherer erkundigen sich bei Cyberpolicen nach Schutzkonzepten. Und die Datenschutz-Grundverordnung verlangt in Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, die sich am Risiko für die betroffenen Personen ausrichten. Ein Schutzniveau, das nicht am tatsächlichen Schutzbedarf gemessen wird, lässt sich gegenüber Aufsichtsbehörden und Auditoren schwer begründen.

Schließlich begrenzt eine Klassifizierung den Aufwand. Strenge Maßnahmen wie Verschlüsselung mit Schlüsselverwaltung, Vier-Augen-Freigaben oder getrennte Netzbereiche sind aufwendig und belasten die Arbeitsabläufe. Sie sollten nur dort eingesetzt werden, wo der Schutzbedarf sie rechtfertigt.

Normative Grundlagen und Orientierungsrahmen

Mehrere Regelwerke fordern oder empfehlen die Klassifizierung von Informationen. Sie unterscheiden sich im Detail, verfolgen aber dasselbe Ziel.

ISO/IEC 27001 und 27002

Die Norm ISO/IEC 27001 verlangt von einem Informationssicherheits-Managementsystem, Informationswerte zu erfassen und Verantwortliche zu benennen. Die zugehörigen Maßnahmenempfehlungen der ISO/IEC 27002 enthalten Kontrollen zur Klassifizierung von Informationen, zur Kennzeichnung und zum Umgang mit Werten. Wer eine Zertifizierung anstrebt, benötigt daher ein dokumentiertes Schema.

BSI IT-Grundschutz

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik arbeitet mit Schutzbedarfskategorien, die sich an den drei Grundwerten Vertraulichkeit, Integrität und Verfügbarkeit orientieren. Die Stufen „normal“, „hoch“ und „sehr hoch“ sind für viele Betriebe ein praktikabler Ausgangspunkt. Informationen finden sich auf den Seiten des Bundesamts für Sicherheit in der Informationstechnik.

DSGVO

Die DSGVO kennt keine Klassifizierungsstufen im technischen Sinn. Sie unterscheidet jedoch zwischen personenbezogenen Daten und besonderen Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten. Zusätzlich verlangt Art. 5 Abs. 1 lit. f DSGVO angemessene Sicherheit der Verarbeitung. Ein Klassifizierungsschema sollte diese Unterscheidung abbilden, damit Personaldaten und Gesundheitsangaben automatisch einer höheren Stufe zugeordnet werden.

Ein Schema mit vier Schutzstufen

Für den Mittelstand hat sich ein Modell mit drei bis vier Stufen bewährt. Mehr Stufen werden im Alltag nicht sauber unterschieden und führen zu Fehlzuordnungen. Die folgende Tabelle zeigt ein mögliches Schema, das an die Gegebenheiten des eigenen Betriebs angepasst werden sollte.

Stufe	Beschreibung	Beispiele	Typische Maßnahmen
Öffentlich	Für die Veröffentlichung vorgesehen, kein Schaden bei Bekanntwerden	Produktbroschüren, Stellenanzeigen, Pressemitteilungen	Freigabeprozess vor Veröffentlichung, Versionskontrolle
Intern	Für Beschäftigte bestimmt, geringer Schaden bei Abfluss	Organigramm, interne Rundschreiben, Arbeitsanweisungen	Zugriff über Anmeldung, keine Weitergabe an Dritte ohne Freigabe
Vertraulich	Begrenzter Personenkreis, spürbarer Schaden bei Abfluss	Angebotskalkulationen, Kundenlisten, Personaldaten	Rollenbasierte Berechtigungen, verschlüsselte Übertragung, Protokollierung
Streng vertraulich	Kleinster Kreis, erheblicher oder existenzbedrohender Schaden bei Abfluss	Konstruktionsgeheimnisse, Übernahmepläne, Gesundheitsdaten	Verschlüsselung im Ruhezustand, Vier-Augen-Prinzip, getrennte Ablage

Die Stufen sollten so benannt werden, dass Beschäftigte sie ohne Erklärung einordnen können. Zu jeder Stufe gehört eine knappe Beschreibung der Schadenslage, nicht nur eine Liste von Beispielen. Beispiele veralten, während die Schadenslogik stabil bleibt.

Verfügbarkeit und Integrität mitdenken

Viele Schemata betrachten ausschließlich die Vertraulichkeit. Dabei kann ein Datenbestand mit geringer Vertraulichkeit hohe Anforderungen an die Verfügbarkeit stellen, etwa der Auftragsbestand einer Produktionssteuerung. Ebenso kann die Integrität im Vordergrund stehen, wenn Rezepturen oder Prüfprotokolle nicht unbemerkt verändert werden dürfen. Eine knappe Ergänzung des Schemas um diese beiden Dimensionen verhindert, dass wichtige Anforderungen unberücksichtigt bleiben.

Klassifizierung ist keine Beschriftungsaktion, sondern die Grundlage für alle weiteren Schutzentscheidungen. Ein Schema, das niemand anwendet, schützt nichts.

Rollen und Zuständigkeiten festlegen

Die Einordnung sollte nicht bei der IT-Abteilung liegen, denn diese kennt den fachlichen Wert der Informationen häufig nicht. Bewährt hat sich ein Rollenmodell mit klaren Aufgaben.

• Informationseigentümer: Führungskraft des Fachbereichs, die Daten erzeugt und nutzt. Sie entscheidet über die Einstufung und über Zugriffsrechte.
• Informationssicherheitsbeauftragte: legen das Schema fest, beraten bei Zweifelsfällen und überwachen die Einhaltung.
• IT-Betrieb: setzt technische Maßnahmen um, die sich aus der Einstufung ergeben, und richtet Berechtigungen ein.
• Datenschutzbeauftragte: prüfen, ob die Einstufung personenbezogene Daten und besondere Kategorien angemessen berücksichtigt.
• Beschäftigte: wenden das Schema im Alltag an, kennzeichnen neue Dokumente und melden Unsicherheiten.
• Geschäftsführung: beschließt das Schema, stellt Ressourcen bereit und trägt die Gesamtverantwortung.

Wichtig ist die Trennung zwischen der fachlichen Entscheidung und der technischen Umsetzung. Der Informationseigentümer sagt, wie schützenswert eine Information ist. Die IT setzt die Konsequenzen daraus um. Diese Aufteilung vermeidet, dass die IT ohne fachliche Grundlage über Schutzstufen entscheidet oder dass Fachbereiche technische Vorgaben unterlaufen.

Vorgehen bei der Einführung in sechs Schritten

Die Einführung gelingt am besten schrittweise. Ein Gesamtprojekt, das sämtliche Datenbestände auf einmal erfassen will, scheitert in der Regel am Umfang. Stattdessen empfiehlt sich der folgende Ablauf:

1. Zielbild und Geltungsbereich klären: Welche Standorte, Systeme und Datenarten sind einbezogen, und welche Anforderungen aus Kundenverträgen oder Normen sind zu erfüllen?
2. Schema entwerfen: Stufen, Kriterien und Beispiele festlegen, mit Fachbereichen abstimmen und von der Geschäftsführung freigeben lassen.
3. Informationsarten inventarisieren: Die wichtigsten Datenkategorien je Fachbereich sammeln, etwa Kundendaten, Konstruktionsdaten, Personaldaten und Finanzdaten.
4. Einstufung vornehmen: Informationseigentümer ordnen jede Kategorie einer Stufe zu und dokumentieren die Begründung.
5. Maßnahmen ableiten: Für jede Stufe werden Mindestanforderungen an Zugriff, Verschlüsselung, Sicherung, Weitergabe und Löschung beschrieben.
6. Schulen und anwenden: Beschäftigte werden eingewiesen, Vorlagen und Systeme werden angepasst, und die Anwendung wird stichprobenartig geprüft.

Beim dritten Schritt hilft die Orientierung an Geschäftsprozessen. Statt einzelne Dateien zu bewerten, werden Informationsarten betrachtet, die im Prozess entstehen. Eine Kundenanfrage, ein Angebot, eine Konstruktionszeichnung und eine Lohnabrechnung sind Kategorien, die sich jeweils einheitlich einstufen lassen.

Kennzeichnung von Dokumenten und Systemen

Eine Einstufung entfaltet nur Wirkung, wenn sie für Beteiligte erkennbar ist. Dokumente sollten daher sichtbar gekennzeichnet werden, etwa in der Kopf- oder Fußzeile, im Dateinamen oder über Metadaten. Moderne Office- und Dokumentenmanagementsysteme bieten Vertraulichkeitsetiketten, die sich automatisch mit Schutzmaßnahmen wie Verschlüsselung oder Weitergabebeschränkung verknüpfen lassen.

Für den Anfang genügt häufig eine einfache Lösung: Dokumentvorlagen mit vorbelegter Stufe und eine Namenskonvention für Ordnerstrukturen. Ordner für streng vertrauliche Unterlagen erhalten dann nicht nur eigene Berechtigungen, sondern auch einen erkennbaren Namen, sodass niemand versehentlich Unterlagen falsch ablegt.

Mischdokumente und Vererbung

Ein häufiger Zweifelsfall sind Dokumente mit Inhalten unterschiedlicher Stufen, etwa ein Angebot mit öffentlichen Produktdaten und vertraulicher Kalkulation. Hier gilt der Grundsatz, dass die höchste enthaltene Stufe für das Gesamtdokument maßgeblich ist. Ebenso sollten Ablageorte ihre Stufe an die enthaltenen Dokumente vererben. Ein Ordner, der eine streng vertrauliche Datei enthält, ist selbst als streng vertraulich zu behandeln.

Technische und organisatorische Maßnahmen je Stufe

Aus der Einstufung leiten sich konkrete Anforderungen ab. Diese sollten in einer kurzen Richtlinie festgehalten werden, die für jede Stufe angibt, was erlaubt, was verboten und was erforderlich ist.

• Zugriff: Bei vertraulichen Daten wird der Zugang auf benannte Rollen beschränkt, bei streng vertraulichen Daten zusätzlich auf Einzelpersonen mit nachvollziehbarer Begründung.
• Übertragung: Vertrauliche Inhalte werden nur verschlüsselt versendet, streng vertrauliche nur über freigegebene, gesicherte Kanäle.
• Speicherung: Streng vertrauliche Daten liegen verschlüsselt vor, auch auf mobilen Geräten und in der Datensicherung.
• Weitergabe: Externe Empfänger erhalten vertrauliche Unterlagen nur mit Geheimhaltungsvereinbarung.
• Löschung und Entsorgung: Datenträger und Papierunterlagen höherer Stufen werden nachweislich vernichtet.
• Protokollierung: Zugriffe auf vertrauliche und streng vertrauliche Bestände werden aufgezeichnet und stichprobenartig geprüft.

Die Maßnahmen müssen zur Betriebsrealität passen. Eine Anforderung, die im Tagesgeschäft nicht umsetzbar ist, wird umgangen. Es ist besser, wenige Regeln konsequent durchzusetzen, als viele Regeln auf dem Papier zu führen.

Cloud-Dienste und externe Dienstleister einbeziehen

Sobald Daten das eigene Netzwerk verlassen, muss die Einstufung auch den Umgang mit Dienstleistern steuern. Cloud-Speicher, Kollaborationsplattformen, Fernwartungszugänge und externe Buchhaltung verarbeiten Informationen verschiedener Stufen. Für jede Stufe sollte festgelegt sein, welche Dienste zulässig sind. Öffentliche und interne Daten dürfen in der Regel in freigegebenen Cloud-Diensten liegen, während streng vertrauliche Informationen zusätzliche Anforderungen an Standort, Verschlüsselung und Schlüsselhoheit erfüllen müssen.

Bei personenbezogenen Daten ist zusätzlich ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Die Einstufung hilft, den Prüfaufwand zu steuern: Dienstleister mit Zugriff auf vertrauliche Bestände werden gründlicher bewertet als solche, die lediglich öffentliche Inhalte hosten. Das Schema liefert damit auch einen Maßstab für die Lieferantenbewertung.

Aufwand realistisch einschätzen

Die Einführung eines Klassifizierungsschemas wird häufig überschätzt. Der größte Aufwand liegt nicht in der Technik, sondern in den Abstimmungen mit den Fachbereichen. Für einen Betrieb mit einhundert Beschäftigten ist es realistisch, das Schema innerhalb weniger Wochen zu entwerfen und die wichtigsten Informationsarten in einigen Workshops einzustufen. Die technische Umsetzung folgt anschließend in Etappen und nutzt vorhandene Funktionen der eingesetzten Systeme.

Als Faustregel sollten zunächst die Bereiche mit dem höchsten Schutzbedarf berücksichtigt werden, in der Regel Personalwesen, Entwicklung und Konstruktion, Geschäftsleitung und Vertrieb. Nach einem ersten Durchlauf lassen sich Erfahrungen auswerten und das Schema auf weitere Bereiche ausdehnen. Dieses Vorgehen verhindert Frust durch ein Großprojekt und liefert früh sichtbare Ergebnisse.

Pflege, Überprüfung und Nachweise

Die Einstufung ist keine einmalige Aufgabe. Informationen verändern ihren Wert, etwa wenn ein Produkt am Markt eingeführt wird und seine Konstruktionsdaten nicht länger geheim sind. Umgekehrt entstehen durch neue Projekte neue Datenarten, die eingeordnet werden müssen. Das Schema sollte deshalb mindestens jährlich überprüft werden, und Einstufungen sind bei wesentlichen Änderungen neu zu bewerten.

Als Nachweis gegenüber Kunden, Auditoren und Aufsichtsbehörden dienen das freigegebene Schema, das Verzeichnis der eingestuften Informationsarten mit Eigentümern, die Maßnahmenrichtlinie sowie Schulungsnachweise. Ergänzend lassen sich Stichprobenprüfungen dokumentieren, bei denen geprüft wurde, ob Kennzeichnung und Ablage dem Schema entsprechen.

Schulung und Akzeptanz

Der beste Rahmen scheitert, wenn Beschäftigte den Sinn nicht verstehen. Kurze Schulungen mit Beispielen aus dem eigenen Arbeitsalltag wirken besser als abstrakte Vorträge. Sinnvoll sind Übungen, in denen Teams reale Dokumente einstufen und ihre Entscheidung begründen. Ergänzend hilft eine Kurzübersicht im Format einer Seite, die an gut sichtbarer Stelle verfügbar ist und die wichtigsten Regeln je Stufe zusammenfasst.

Typische Stolperfallen

• Das Schema ist zu fein gegliedert, sodass Beschäftigte die Stufen nicht unterscheiden können.
• Alles wird als „vertraulich“ eingestuft, wodurch die Unterscheidung wertlos wird und Maßnahmen ihre Wirkung verlieren.
• Die IT stuft Daten ohne Beteiligung der Fachbereiche ein und verfehlt damit den tatsächlichen Wert.
• Es gibt keine technische Unterstützung, und die Kennzeichnung bleibt eine freiwillige Fleißarbeit.
• Altbestände werden nicht berücksichtigt, obwohl dort oft die größten Risiken liegen.
• Private Geräte und Schatten-IT bleiben außerhalb des Geltungsbereichs.

Für Altbestände genügt in der Regel ein pragmatischer Ansatz: Zuerst werden Ablageorte eingestuft, nicht einzelne Dateien. Wertvolle Bestände wie Personal- und Konstruktionsablagen werden bevorzugt behandelt, die übrigen folgen schrittweise.

Checkliste für den Einstieg

• Geltungsbereich und Ziele sind schriftlich festgelegt.
• Ein Schema mit drei bis vier Stufen liegt vor und wurde durch die Geschäftsführung freigegeben.
• Informationseigentümer sind je Fachbereich benannt.
• Die wichtigsten Informationsarten sind erfasst und begründet eingestuft.
• Mindestmaßnahmen je Stufe sind in einer Richtlinie beschrieben.
• Dokumentvorlagen und Ablagestrukturen sind angepasst.
• Beschäftigte sind geschult, und es gibt eine Ansprechperson für Zweifelsfälle.
• Eine jährliche Überprüfung des Schemas ist terminiert.

FAQ

Wie viele Schutzstufen sind für ein mittelständisches Unternehmen sinnvoll?
Drei bis vier Stufen haben sich bewährt. Zusätzliche Stufen werden im Alltag selten sauber unterschieden und führen zu Fehlzuordnungen. Entscheidend ist eine klare Beschreibung der Schadenslage je Stufe.

Muss die Klassifizierung nach ISO 27001 erfolgen?
Wer eine Zertifizierung anstrebt, benötigt ein dokumentiertes Verfahren zur Klassifizierung von Informationen. Unabhängig davon ist ein Schema auch ohne Zertifizierung sinnvoll, um Schutzmaßnahmen begründet auszuwählen.

Wer entscheidet über die Einstufung einer Information?
Die Einstufung gehört in die Verantwortung des Informationseigentümers im jeweiligen Fachbereich. Die IT und die Informationssicherheit beraten und setzen Maßnahmen um, ersetzen die fachliche Entscheidung jedoch nicht.

Wie geht man mit Dokumenten um, die mehrere Stufen enthalten?
Für das Gesamtdokument gilt die höchste enthaltene Stufe. Alternativ lassen sich sensible Teile in Anlagen auslagern, die getrennt eingestuft und abgelegt werden.

Reicht eine manuelle Kennzeichnung aus?
Für den Einstieg ja, etwa über Vorlagen und Ordnerstrukturen. Mittelfristig sollte die Kennzeichnung durch Werkzeuge unterstützt werden, die Schutzmaßnahmen automatisch an die Einstufung knüpfen.