Eine Gehaltsliste liegt in einem Ordner, den die ganze Firma öffnen kann. Ein Angebot mit Kalkulation geht als Anhang an einen privaten E-Mail-Account. Ein Projektordner wird mit einem Link für jeden freigegeben. Solche Situationen entstehen selten aus böser Absicht. Meist fehlt eine klare Regel, welche Daten wie zu behandeln sind. Genau diese Regel liefert eine Datenklassifizierung. Dieser Beitrag erklärt, was Datenklassifizierung ist, welche Stufen sich bewährt haben, wie Sie Schritt für Schritt vorgehen und welche Werkzeuge Microsoft 365 dafür bietet.
Was ist Datenklassifizierung?
Bei der Datenklassifizierung teilen Sie Informationen nach ihrem Wert für das Unternehmen in wenige, klar beschriebene Stufen ein. Aus jeder Stufe folgt ein festgelegter Umgang: wer die Daten sehen darf, wo sie gespeichert werden und wie sie weitergegeben werden dürfen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das im BSI-Standard 200-2 so: Um Informationen angemessen schützen zu können, muss ihre Bedeutung für die Institution klar sein. Dafür braucht es ein Klassifikationsschema. Es soll so einfach sein, dass alle Mitarbeitenden daraus die richtige Einstufung ableiten können. Als Ausgangspunkt empfiehlt das BSI die drei Grundwerte der Informationssicherheit:
- Vertraulichkeit: Nur Befugte dürfen die Information kennen.
- Integrität: Die Information ist korrekt und wurde nicht unbemerkt verändert.
- Verfügbarkeit: Die Information ist da, wenn sie gebraucht wird.
Wichtig ist die Abgrenzung: Eine Klassifizierung schützt noch nichts. Sie ist die Grundlage, auf der Sie Zugriffsrechte, Verschlüsselung, Datensicherung und Löschfristen sinnvoll festlegen.
Welche Stufen sind sinnvoll?
Für die Vertraulichkeit nennt der BSI-Standard 200-2 eine häufig genutzte Abstufung in vier Stufen: offen, intern, vertraulich und streng vertraulich. Die Verfügbarkeit lässt sich zum Beispiel danach einteilen, wie lange ein Ausfall bis zur Wiederherstellung dauern darf, etwa eine Stunde, ein Tag, eine Woche oder ein Monat. Die Integrität ist schwerer einzuordnen; das BSI nennt als Beispiel die Stufen essenziell, wichtig und normal.
Für den Einstieg kann laut BSI auch ein zweistufiges Schema genügen, das nur zwischen internen und öffentlichen Informationen unterscheidet. Dann werden ausschließlich die Informationen als „offen“ gekennzeichnet, die zur Veröffentlichung bestimmt sind.
Ein Beispiel, wie ein vierstufiges Schema für die Vertraulichkeit aussehen kann (Empfehlung, an Ihr Unternehmen anzupassen):
| Stufe | Beispiele | Möglicher Umgang |
|---|---|---|
| Offen | Produktbroschüre, Stellenanzeige, Website-Texte | darf frei weitergegeben werden |
| Intern | Telefonliste, Prozessbeschreibungen, Protokolle | nur für Beschäftigte, keine Weitergabe nach außen ohne Grund |
| Vertraulich | Angebote, Verträge, Kundendaten, Konstruktionspläne | Zugriff nur für zuständige Teams, Weitergabe nach außen nur verschlüsselt |
| Streng vertraulich | Personalakten, Gesundheitsdaten, Unterlagen der Geschäftsleitung | namentlich festgelegter Personenkreis, Verschlüsselung, Weitergabe nur nach Freigabe |
Mehr Stufen sind nicht automatisch besser. Der BSI-Standard 200-2 weist darauf hin, dass sich bei fünf oder mehr Kategorien die Stufen schwer unterscheiden lassen und der Aufwand für Zuordnung und Prüfung steigt. Microsoft gibt für Vertraulichkeitsbezeichnungen einen ähnlichen Hinweis: Nach Erfahrungen aus realen Einführungen sinkt die Wirksamkeit deutlich, wenn Benutzer mehr als fünf Hauptbezeichnungen zur Auswahl haben.
Klassifizierung und Schutzbedarf nach BSI
Eng verwandt mit der Klassifizierung ist die Schutzbedarfsfeststellung. Sie beschreibt der BSI-Standard 200-2 in Kapitel 8.2. Dabei bewerten Sie für Geschäftsprozesse und Anwendungen getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit, wie schwer ein Schaden wiegen würde. Das BSI arbeitet mit drei Kategorien:
- normal: Die Schadensauswirkungen sind begrenzt und überschaubar.
- hoch: Die Schadensauswirkungen können beträchtlich sein.
- sehr hoch: Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen.
Um einen Schaden einzuordnen, nennt das BSI typische Schadensszenarien: Verstoß gegen Gesetze, Vorschriften oder Verträge, Beeinträchtigung des informationellen Selbstbestimmungsrechts, Beeinträchtigung der persönlichen Unversehrtheit, Beeinträchtigung der Aufgabenerfüllung, negative Innen- oder Außenwirkung sowie finanzielle Auswirkungen. Die Grenzen zwischen den Kategorien legt jedes Unternehmen für sich fest.
Die Vertraulichkeitsstufe eines Dokuments und der Schutzbedarf eines Systems sind zwei verschiedene Werkzeuge. Die Stufe sagt den Mitarbeitenden, wie sie mit einer Information umgehen. Der Schutzbedarf hilft der IT, die passenden Sicherheitsmaßnahmen für Anwendungen, Server und Verbindungen auszuwählen. Beide sollten zueinander passen.
Datenklassifizierung in fünf Schritten
Der folgende Ablauf hat sich als Arbeitsweise bewährt (Empfehlung). Er beginnt bewusst nicht mit einem Werkzeug, sondern mit einer Übersicht.
- Datenbestände erfassen: Starten Sie mit den Systemen, die Ihre Geschäftsprozesse tragen: Dateiablagen, Fachanwendungen wie ERP oder Personalverwaltung, E-Mail und Teams, Datensicherungen und Cloud-Dienste. Notieren Sie je Bestand, wem er fachlich gehört, wozu er dient, wo er liegt und wer ihn nutzt oder erhält.
- Schema festlegen: Legen Sie die Stufen fest und beschreiben Sie jede Stufe mit Kriterien und Beispielen aus Ihrem Alltag.
- Bewerten: Die Fachabteilung stuft ein, nicht die IT allein. Die Personalabteilung kennt die Bedeutung von Beschäftigtendaten, die Konstruktion die ihrer Zeichnungen. Hilfreiche Fragen: Was passiert bei unbefugtem Zugriff? Was, wenn die Daten verfälscht werden? Wie lange kann das Unternehmen ohne sie arbeiten? Welche gesetzlichen oder vertraglichen Vorgaben gelten?
- Regeln je Stufe ableiten: Halten Sie für jede Stufe fest, wer zugreifen darf, wo die Daten gespeichert werden dürfen, ob eine verschlüsselte Übertragung nötig ist, wie schnell sie nach einem Ausfall wieder verfügbar sein müssen und wann sie gelöscht werden.
- Regelmäßig überprüfen: Neue Anwendungen, Cloud-Dienste oder geänderte Zuständigkeiten verändern Datenflüsse. Planen Sie feste Termine, an denen die Fachverantwortlichen Einstufungen und Zugriffsrechte prüfen. Wie eine solche Prüfung der Rechte abläuft, beschreibt unser Ratgeber zur Rezertifizierung von Zugriffsrechten.
Werkzeuge: Datenklassifizierung in Microsoft 365
Viele kleine und mittlere Unternehmen arbeiten mit Microsoft 365. Dort heißt das Werkzeug für die Klassifizierung Vertraulichkeitsbezeichnungen aus Microsoft Purview Information Protection. Die folgenden Angaben stammen aus der Dokumentation von Microsoft und gelten nur für dieses Produkt.
- Kennzeichnen: Eine Bezeichnung wie „Öffentlich“, „Allgemein“, „Vertraulich“ oder „Streng vertraulich“ wird an Dateien und E-Mails gespeichert, und zwar in deren Metadaten. Sie bleibt deshalb beim Inhalt, auch wenn die Datei an einen anderen Ort kopiert wird.
- Schützen: Eine Bezeichnung kann den Inhalt verschlüsseln und festlegen, wer ihn öffnen oder bearbeiten darf. Sie kann außerdem Kopfzeilen, Fußzeilen oder Wasserzeichen einfügen.
- Bereiche absichern: Bezeichnungen lassen sich auch auf Teams, Microsoft-365-Gruppen und SharePoint-Websites anwenden. Dann steuern sie zum Beispiel, ob externe Personen eingeladen werden können.
- Automatisch vorschlagen: Erkennt das System vertrauliche Inhalte, kann es eine Bezeichnung automatisch setzen oder den Benutzern empfehlen.
- Herabstufen begründen: Wer eine Bezeichnung entfernt oder durch eine niedrigere ersetzt, muss standardmäßig eine Begründung angeben.
Microsoft rät davon ab, eine verschlüsselnde Bezeichnung als Standard für alle Dokumente zu setzen. Ein Grund: Externe Empfänger haben möglicherweise keine App oder kein Konto, mit dem sie verschlüsselte Dokumente öffnen können. Laut Microsoft erkennen auch Microsoft 365 Copilot und Copilot-Agents die Vertraulichkeitsbezeichnungen und berücksichtigen sie. Welche Funktionen Ihre Lizenz enthält, steht in der Microsoft-Purview-Dienstbeschreibung.
Die Bezeichnung kennzeichnet einen Inhalt. Was bei einer Weitergabe passiert, regelt eine eigene Funktion: Data Loss Prevention (DLP). Eine DLP-Richtlinie kann eine Vertraulichkeitsbezeichnung als Bedingung nutzen und dann zum Beispiel warnen oder blockieren. Wie das funktioniert und wo die Grenzen liegen, erklärt unser Ratgeber Data Loss Prevention.
Eine Software ist für den Anfang nicht zwingend. Der BSI-Standard 200-2 betont, dass Mitarbeitende die Einstufung aus dem Schema ableiten können sollen, ohne dass jede Information einzeln gekennzeichnet ist. Eine klare Ordnerstruktur mit passenden Zugriffsrechten ist oft ein guter erster Schritt.
Datenklassifizierung, DSGVO und NIS2
Die Datenschutz-Grundverordnung (DSGVO) verlangt in Art. 32 geeignete technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Als Beispiele nennt sie unter anderem Pseudonymisierung und Verschlüsselung sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen. Eine Datenklassifizierung nennt Art. 32 nicht ausdrücklich. Sie hilft aber zu erkennen, wo personenbezogene Daten liegen und welcher Schutz angemessen ist. Ob Ihre Maßnahmen ausreichen, klären Sie am besten mit Ihrer Datenschutzberatung.
Mit dem NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 das neue BSI-Gesetz. Nach Angaben des BSI fallen rund 29.500 Einrichtungen unter die Aufsicht; Unternehmen müssen selbst prüfen, ob sie betroffen sind. Betroffene Einrichtungen müssen nach § 30 BSIG Risikomanagementmaßnahmen treffen. Dazu gehören unter anderem Konzepte zur Risikoanalyse, zum Einsatz von Kryptografie, zur Zugriffskontrolle und zum Management von Anlagen. Wer seine Daten klassifiziert hat, kann diese Konzepte auf eine nachvollziehbare Grundlage stellen. Was NIS2 für Ihr Unternehmen bedeutet, lesen Sie auf unserer Seite zu NIS2 und Risikomanagement.
Häufige Stolpersteine
- Zu viele Stufen: Je feiner das Schema, desto unsicherer wird die Einstufung im Alltag.
- Alles ist vertraulich: Wenn fast jede Datei in der höchsten Stufe landet, verliert die Einstufung ihre Aussagekraft.
- Keine Verantwortlichen: Ohne fachlich zuständige Person bleibt die Einstufung an der IT hängen.
- Keine Folgen: Eine Klassifizierung, aus der keine Regel für Zugriff, Speicherort oder Weitergabe folgt, bleibt Papier.
Wie GSL Sie unterstützen kann
Ob ein Klassifizierungsschema genügt oder Vertraulichkeitsbezeichnungen in Microsoft 365 sinnvoll sind, hängt von Ihren Daten, Ihren Lizenzen und Ihren Abläufen ab. Wir betreuen Unternehmen bei der IT-Sicherheit und bei Microsoft 365 und weiteren Cloud-Lösungen. Wie Sie vertrauliche Daten zusätzlich verschlüsseln, beschreibt unser Ratgeber zur Datenverschlüsselung.
Sprechen Sie mit uns
Sie möchten wissen, wo Ihre vertraulichen Daten liegen und wie Sie sie sinnvoll einstufen? Die GSL Groß GmbH ist von Idar-Oberstein aus für Sie da; im Raum Darmstadt arbeitet sie mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Ausgangslage.