Datenklassifizierung hilft Unternehmen dabei, nicht mehr jede Information so zu behandeln, als ob sie das gleiche Risiko birgt. Eine E-Mail eines Lieferanten, eine interne Prozessnotiz, ein Zahlungsbeleg eines Kunden und ein Administrator-Wiederherstellungscode sollten im Unternehmen nicht nach denselben Regeln behandelt werden.
Sensible Daten sind in deinem gesamten Unternehmensnetzwerk gespeichert: Sie bewegen sich durch CRMs, Posteingänge, Cloud-Speicher, Tabellen, HR-Systeme, Support-Plattformen, Finanzsoftware und Tools von Drittanbietern. Ohne ein gemeinsames System zu ihrer Klassifizierung verlassen sich Teams oft auf ihren Instinkt: Wenn etwas sicher zum Teilen aussieht oder wahrscheinlich eine Genehmigung erfordert, wählen sie den schnelleren, einfacheren Weg.
Das mag eine Weile funktionieren, ist aber nicht skalierbar. Eine klare Richtlinie zur Datenklassifizierung gibt deinem Unternehmen eine gemeinsame Sprache, um zu entscheiden, welche Informationen öffentlich sein können, welche intern bleiben sollten, welche strengere Kontrollen erfordern und welche nur für bestimmte Rollen verfügbar sein sollten.
Warum Datenklassifizierung wichtig ist
Ein einfaches Framework zur Datenklassifizierung
Beispiele für die Datenklassifizierung in Unternehmensteams
Wie die Klassifizierung die Zugriffskontrolle steuert
Klassifizierte Daten sicher teilen
Wie du eine Richtlinie zur Datenklassifizierung erstellst
Wie Proton Pass for Business die Datenklassifizierung unterstützt
Mach Klassifizierung zu einem Teil des täglichen Datenschutzes
Was ist Datenklassifizierung?
Datenklassifizierung ist der Prozess des Kategorisierens von Geschäftsdaten danach, wie sensibel sie sind und wie viel Schaden sie verursachen könnten, wenn sie offengelegt, geändert, verloren oder missbraucht werden. In der Praxis bedeutet dies, Informationen in eindeutige Ebenen zu gruppieren, damit man weiß, wie man sie speichert, teilt, schützt und schließlich löscht.
Ein nützliches Klassifizierungssystem fügt sich in die tägliche Arbeit ein. Es bietet Mitarbeitern eine schnelle Möglichkeit zu verstehen, wann Informationen frei fließen können, wann sie eine Genehmigung benötigen und wann der Zugriff auf eine kleine Gruppe beschränkt sein sollte. Das Ziel ist es, die sicherere Entscheidung offensichtlich zu machen, bevor Daten kopiert, geteilt, exportiert oder an einem Ort gespeichert werden, an den sie nicht gehören.
Die Richtlinien des UK National Cyber Security Centre zur Bestandsverwaltung(neues Fenster) behandeln Informationen als einen Vermögenswert, der Transparenz, Eigentum und Schutz erfordert. Dies ist eine nützliche Art, die Klassifizierung zu betrachten: Bevor du entscheidest, wer auf sensible Daten zugreifen kann, musst du wissen, was diese Daten sind und wo sie sich befinden.
Warum Datenklassifizierung wichtig ist
Du kannst nicht schützen, was dein Unternehmen nicht identifiziert hat. Dies gilt insbesondere für KMU, die in der Regel nicht über die Ressourcen verfügen, um jedes System und jede Art von Information mit dem gleichen Maß an Kontrolle zu schützen. Bevor ein Unternehmen entscheiden kann, wer auf sensible Daten zugreifen soll, welche Systeme stärkere Schutzmaßnahmen benötigen oder wo MFA und sicheres Teilen am dringendsten sind, muss es wissen, welche Informationen es besitzt und welche Daten am wichtigsten sind.
Datenklassifizierung ist der erste Schritt in einer praktischen Strategie zum Schutz vor Datenlecks. Sie trennt alltägliche Geschäftsinformationen von Daten, die echten Schaden anrichten könnten, wenn sie offengelegt, geändert, verloren oder mit der falschen Person geteilt werden.
Dies ist besonders nützlich, da sich Informationen über CRMs, Posteingänge, Cloud-Speicher, HR-Systeme, Support-Tools, Finanzsoftware, Exporte und Plattformen von Drittanbietern verteilen. Die Klassifizierung gibt den Mitarbeitern ein klares Signal: Was normal gehandhabt werden kann, was eine Genehmigung erfordert und was nur für bestimmte Rollen verfügbar sein sollte.
Sie unterstützt auch die Compliance. Das Information Commissioner’s Office (ICO) im Vereinigten Königreich, die für die Durchsetzung des Datenschutzes und die UK-GDPR-Richtlinien(neues Fenster) zuständige Behörde, erwartet von Organisationen, dass sie angemessene technische und organisatorische Maßnahmen anwenden. Die Klassifizierung hilft dabei, dies in die Praxis umzusetzen, indem sie den Schutz auf die Sensibilität der Daten abstimmt.
Für die Vermeidung von Datenlecks ist das Prinzip einfach: Auf sensible Daten sollten nicht mehr Personen als nötig zugreifen können. Der Leitfaden von Proton zur Vermeidung von Datenverlusten für Unternehmen erklärt, wie die Reduzierung unnötiger Offenlegung vor einem Vorfall den Schaden im Nachhinein begrenzen kann.
Ein einfaches Framework zur Datenklassifizierung
Ein Klassifizierungs-Framework muss nicht kompliziert sein. Für kleine und mittlere Unternehmen reichen in der Regel vier Ebenen aus:
- Öffentlich
- Intern
- Vertraulich
- Eingeschränkt
Öffentlich
Öffentliche Daten sind Informationen, die für die externe Nutzung freigegeben sind. Eine veröffentlichte Version dieses Artikels, den du gerade liest, wären beispielsweise öffentliche Daten: Sie können gelesen werden, sind sicher offen zu teilen und werden indiziert, ohne ein nennenswertes Sicherheits- oder Privatsphärenrisiko darzustellen.
Weitere Beispiele sind:
- Website-Texte
- Pressemitteilungen
- Öffentliche Stellenbeschreibungen
- Freigegebene Vertriebsmaterialien
- Produktseiten
- Öffentliche Unternehmensbeschreibungen.
Öffentliche Informationen müssen zwar immer noch auf Richtigkeit und Markenkonformität überprüft werden, benötigen aber nach der Freigabe in der Regel keine strenge Zugriffskontrolle.
Intern
Interne Daten sind nur für Mitarbeiter und zugelassene Partner bestimmt, nicht für die öffentliche Verbreitung. Eine Offenlegung verursacht möglicherweise keinen schwerwiegenden Schaden, kann aber zu Verwirrung, Reputationsrisiken oder betrieblichen Problemen führen.
Dazu gehören zum Beispiel:
- Interne Prozessdokumente
- Teamnotizen
- Standardarbeitsanweisungen
- Schulungsmaterialien
- Nicht sensible Projektpläne
- Interne Kalender
- Allgemeine Kontaktlisten von Anbietern.
Interne Daten sollten in zugelassenen Geschäftssystemen verbleiben. Beispielsweise sind ein Entwurf für ein Kampagnen-Briefing, eine Onboarding-Checkliste oder Notizen aus einer Team-Planungssitzung vielleicht nicht hochgradig sensibel, aber sie gehören trotzdem in den freigegebenen Arbeitsbereich des Unternehmens und nicht in einen persönlichen Ordner, einen privaten Posteingang oder einen unkontrollierten Download.
Vertraulich
Vertrauliche Daten sind sensible geschäftliche oder personenbezogene Daten (PII), die dem Unternehmen, Kunden, Mitarbeitern oder Partnern schaden könnten, wenn sie offengelegt werden. Der Zugriff sollte auf zugelassene Rollen mit einem eindeutigen geschäftlichen Bedarf beschränkt sein.
Dazu gehören zum Beispiel:
- Kundendatensätze
- Personalakten
- Verträge
- Geschäftsbedingungen
- Finanzberichte
- Details zur Sales-Pipeline
- Support-Tickets mit personenbezogenen Daten
- Unveröffentlichte Geschäftspläne
- Nicht öffentliche Verträge mit Anbietern
Vertrauliche Daten sollten nur für freigegebene Rollen zugänglich sein. Sie sollten sich nicht auf persönlichen Drives, in offenen freigegebenen Ordnern, unkontrollierten Tabellen oder Posteingängen befinden, bei denen niemand den Zugriff überprüft. Wenn sie extern geteilt werden müssen, sollte das Unternehmen einen Ende-zu-Ende-verschlüsselten (E2EE) Cloud-Speicher für Unternehmen nutzen und das Teilen auf autorisierte Empfänger mit einem eindeutigen geschäftlichen Zweck beschränken.
Eingeschränkt
Eingeschränkte Daten sind die sensibelste Kategorie. Wenn sie offengelegt, missbraucht oder geändert werden, könnte das Unternehmen mit schwerwiegenden finanziellen, rechtlichen, betrieblichen oder sicherheitsrelevanten Folgen konfrontiert werden.
Dazu gehören zum Beispiel:
- Administrator-Anmeldedaten
- Wiederherstellungscodes
- Authentifizierungsgeheimnisse
- Zahlungsdetails von Kunden
- Höchst sensible HR-Unterlagen
- Akten zu Rechtsstreitigkeiten
- Berichte über Sicherheitsvorfälle
- Protokolle über privilegierten Zugriff
- Verschlüsselungsschlüssel
- Details zum Sicherungszugriff
Eingeschränkte Daten erfordern die strengsten Kontrollen: eingeschränkter Zugriff, starke Authentifizierung und Verwaltung von Anmeldedaten, Ende-zu-Ende-verschlüsselter Cloud-Speicher, sicheres Teilen und Überprüfbarkeit.
| Klassifizierungsebene | Sensibilität | Beispiele | Berechtigungsstufe | Regeln für das Teilen |
| Öffentlich | Niedrig | Veröffentlichte Artikel, Website-Texte, Pressemitteilungen, öffentliche Stellenanzeigen, freigegebene Vertriebsmaterialien | Für die externe Nutzung freigegeben | Kann öffentlich geteilt werden, sobald es überprüft und freigegeben wurde |
| Intern | Moderat | Teamnotizen, Entwürfe für Kampagnen-Briefings, Onboarding-Checklisten, interne Prozessdokumente | Mitarbeiter und zugelassene Partner | In zugelassenen Geschäftssystemen aufbewahren |
| Vertraulich | Hoch | Kundendatensätze, Personalakten, Verträge, Finanzberichte, Support-Tickets mit personenbezogenen Daten | Nur freigegebene Rollen | Nur mit autorisierten Empfängern und bei einem eindeutigen geschäftlichen Zweck teilen |
| Eingeschränkt | Höchste | Administrator-Anmeldedaten, Wiederherstellungscodes, Zahlungsdetails, Berichte über Sicherheitsvorfälle, Protokolle über privilegierten Zugriff | Namentlich genannte Benutzer oder streng kontrollierte Gruppen | Nicht über E-Mail, Chat, Screenshots oder unkontrollierte Dokumente teilen |
Beispiele für die Datenklassifizierung in Unternehmensteams
Die Klassifizierung wird einfacher, wenn Teams sie in ihrer eigenen Arbeit wiedererkennen. Finanzteams behandeln eine öffentliche Preisseite möglicherweise als öffentlich, während Rechnungen, Gehaltsabrechnungsdateien, Steuerdokumente und Zahlungsbelege in der Regel vertraulich sind. Bank-Anmeldedaten und der Administrator-Zugriff auf Zahlungsplattformen sollten eingeschränkt werden, da sie Informationen offenlegen, Einstellungen ändern oder Geld bewegen können.
In der Praxis sollte dieser Zugriff durch rollenbasierte Berechtigungen, eine starke Authentifizierung, regelmäßige Zugriffsüberprüfungen und einen Passwort-Manager für Unternehmen kontrolliert werden, der Teams dabei hilft, die Anmeldedaten für sensible Systeme zu verwalten und zu kontrollieren.
HR-Daten folgen einem ähnlichen Muster. Eine Stellenausschreibung kann öffentlich sein, während Arbeitsverträge, Gehaltsinformationen, Krankheitsberichte, Details zu Zusatzleistungen und Bewerberdaten in der Regel vertraulich sind. Sensible Untersuchungen, HR-Administrator-Anmeldedaten und ein umfassender Zugriff auf Mitarbeiterakten sollten eingeschränkt sein.
Dies ist kein historischer Einzelfall: Die Geldbuße des ICO gegen Interserve aus dem Jahr 2022(neues Fenster) in Höhe von insgesamt 4,4 Millionen £ ist eine eindringliche Warnung, dass Mitarbeiterdaten als sensible Geschäftsinformationen klassifiziert und geschützt werden sollten und nicht wie gewöhnliche interne Dokumente behandelt werden dürfen.
Vertriebs-, Customer-Success-, Marketing- und IT-Teams benötigen ebenfalls klare Grenzen. Kundendatensätze und Support-Tickets, die personenbezogene Daten oder Informationen auf Kontoebene enthalten, sind häufig vertraulich. Interne Segmentierungsarbeiten, Kampagnenplanungen und Leistungsberichte können intern oder vertraulich sein, je nachdem, ob sie Kundendaten, geschäftliche Sensibilität oder nicht öffentliche Geschäftsstrategien enthalten.
Dokumente von Anbietern sollten auf der Grundlage ihres Inhalts klassifiziert werden, insbesondere wenn sie Zugriffsdetails, Geschäftsbedingungen oder Sicherheitsinformationen enthalten. Exportierte Kundendatensätze, CRM-Administrator-Zugriff, Administrator-Zugriff auf Werbeplattformen wie Google Ads oder Meta Business Manager, Sicherungs-Anmeldedaten, Wiederherstellungscodes, Protokolle über privilegierten Zugriff und Anmeldedaten für Sicherheitstools sollten eingeschränkt werden, da eine einzige offengelegte Datei oder ein einziges Konto weit mehr als eine Person betreffen kann.
Wie die Klassifizierung die Zugriffskontrolle steuert
Sobald Daten klassifiziert sind, ist der Zugriff keine allgemeine Berechtigungseinstellung mehr, sondern eine geschäftliche Entscheidung. Die Frage ist nicht mehr nur, ob jemand ein System öffnen kann, sondern ob seine Rolle den Zugriff auf die darin enthaltenen Informationen rechtfertigt.
Ein Support-Team benötigt möglicherweise Kundenunterhaltungen, aber nicht jede exportierte Kundendatei. Die Finanzabteilung benötigt möglicherweise Zahlungs- und Buchhaltungsunterlagen, aber keine HR-Untersuchungen. Ein externer Mitarbeiter benötigt möglicherweise Zugriff auf einen Projektarbeitsbereich, nicht auf das gesamte Archiv der Kundendateien des Unternehmens.
Bei vertraulichen und eingeschränkten Daten muss der Zugriff ein Prüfprotokoll hinterlassen. Das Unternehmen sollte wissen, wer auf was zugegriffen hat, warum der Zugriff besteht und ob die Berechtigungen unmittelbar nach einem Rollenwechsel oder einem Offboarding widerrufen werden.
Ein Passwort-Manager für IT-Teams unterstützt die zentrale Verwaltung, sicheres Teilen, Richtlinien, Administrator-Berichte und -Protokolle, SCIM-Bereitstellung und SSO-Integrationen. Dies hilft Teams, den Zugriff auf die Anmeldedaten zu beschränken, die sensible Systeme entsperren, anstatt Passwörter in Browsern, Tabellen oder Chat-Threads zu hinterlassen.
Klassifizierte Daten sicher teilen
Die Regeln für das Teilen sollten sich nach der Sensibilität der Informationen richten. Ein veröffentlichtes Element kann nach der Genehmigung frei verbreitet werden, aber ein Vertrag, eine Kundendatei, ein Zahlungsbeleg oder ein Wiederherstellungscode erfordern mehr Kontrolle. Je sensibler die Daten sind, desto weniger Personen sollten sie erhalten und desto bewusster sollte die Methode für das Teilen gewählt werden.
Dies ist besonders wichtig für E-Mails. Viele Unternehmen senden sensible Informationen stillschweigend über Anhänge, Screenshots oder kopierten Text und verlieren dann den Überblick darüber, wohin diese Informationen gelangen. Der Leitfaden von Proton zum sicheren Senden sensibler Informationen per E-Mail erklärt sicherere Wege für den Umgang mit sensiblen Informationen, wenn E-Mails erforderlich sind.
Anmeldedaten und Geheimnisse erfordern strengere Regeln als gewöhnliche Dokumente. Passwörter, Wiederherstellungscodes, Passkeys und Details zum Administrator-Zugriff sollten nicht per E-Mail, Chat, Screenshots oder über geteilte Dokumente gesendet werden. Sie sollten über einen Passwort-Manager für Unternehmen wie Proton Pass for Business gespeichert und geteilt werden, wo der Zugriff sicherer kontrolliert, überprüft und widerrufen werden kann.
Beginne mit einem Daten-Audit
Bevor du eine Richtlinie zur Datenklassifizierung verfasst, solltest du erfassen, wo sich die Geschäftsdaten bereits befinden. Das erste Audit muss nicht perfekt sein. Es muss nur zeigen, welche Systeme sensible Informationen enthalten, wer auf sie zugreifen kann und wo unkontrollierte Kopien existieren könnten.
Beginne mit alltäglichen Standorten wie CRMs, HR-Plattformen, Finanzsoftware, Cloud-Speicher, E-Mail-Posteingängen, freigegebenen Drives, Support-Tools, Passwort-Managern, Portalen von Drittanbietern, Downloads, Exporten und Sicherungen.
| Feld | Was aufzuzeichnen ist |
| Standort | Wo sich die Daten befinden |
| Datentyp | Kunden-, Mitarbeiter-, Finanz-, Anmelde- oder Betriebsdaten |
| Klassifizierungsebene | Öffentlich, intern, vertraulich oder eingeschränkt |
| Besitzer | Verantwortliche Person oder verantwortliches Team |
| Zugriff | Wer sie ansehen, bearbeiten, exportieren oder teilen kann |
| MFA | Ob die Multi-Faktor-Authentifizierung aktiviert ist |
| Teilen mit Drittanbietern | Ob Dritte darauf zugreifen können |
| Aufbewahrungsstatus | Behalten, überprüfen, löschen oder anonymisieren |
Wie du eine Richtlinie zur Datenklassifizierung erstellst
Eine Richtlinie zur Datenklassifizierung sollte so kurz sein, dass Mitarbeiter sie nutzen können, und so spezifisch, dass sie als Leitfaden für reale Entscheidungen dient. Sie sollte die Klassifizierungsebenen definieren, erklären, wer der Besitzer sensibler Daten ist, und jede Ebene mit Zugriff, Speicher, Teilen, Aufbewahrung und Überprüfung verbinden.
Eine einfache Richtlinie kann Folgendes umfassen:
- Zweck und Geltungsbereich: Was die Richtlinie abdeckt und für wen sie gilt.
- Klassifizierungsebenen: Öffentlich, intern, vertraulich und eingeschränkt, mit Beispielen.
- Eigentumsverhältnisse: Wer den Zugriff genehmigt und die Überprüfung für sensible Datenkategorien übernimmt.
- Zugriffsregeln: Wer auf die einzelnen Ebenen zugreifen kann und wie der Zugriff genehmigt oder entfernt wird.
- Regeln für das Teilen: Welche Kanäle für die jeweilige Klassifizierungsebene freigegeben sind.
- Speicherung und Aufbewahrung: Wo die einzelnen Datentypen gespeichert werden sollen und wie lange sie aufbewahrt werden müssen.
- Überprüfungszyklus: Wie oft die Richtlinie und die Zugriffsregeln überprüft werden.
- Legal-Hold-Verfahren: Wann Lösch- oder Aufbewahrungsregeln während laufender Untersuchungen, Streitigkeiten oder Gerichtsverfahren pausiert werden müssen.
Die Richtlinie sollte auch Raum für Ermessensentscheidungen lassen. Nicht jedes Dokument lässt sich eindeutig in eine Kategorie einordnen. Im Zweifelsfall sollten die Mitarbeiter wissen, wen sie fragen und welchem Standard sie folgen müssen. Bei sensiblen Daten besteht der sicherere Standard in der Regel darin, den Zugriff einzuschränken, bis der rechtmäßige Besitzer etwas anderes bestätigt.
Wie Proton Pass for Business die Datenklassifizierung unterstützt
Die Datenklassifizierung sagt deinem Unternehmen, welche Informationen stärkeren Schutz benötigen. Die Zugriffskontrolle setzt diese Entscheidung in die tägliche Praxis um.
Anmeldedaten sind Teil dieser Zugriffsebene. Wenn ein Passwort Zugriff auf eingeschränkte Daten wie Administrator-Einstellungen, Kundenexporte, Finanzsysteme, Wiederherstellungscodes oder Sicherheitsprotokolle ermöglicht, müssen diese Anmeldedaten strenger gehandhabt werden als eine Anmeldung für einen risikoarmen internen Dienst.
Ein sicherer Passwort-Manager für Unternehmen wie Proton Pass for Business hilft Teams, diese Zugriffsentscheidungen in die Praxis umzusetzen. Anmeldedaten können in verschlüsselten Tresoren gespeichert, nach Teams oder Funktionen organisiert und nur mit den Personen geteilt werden, die sie benötigen.
Administratoren erhalten außerdem durch Berichte und Protokolle einen besseren Einblick in den Zugriff auf Anmeldedaten, während Richtlinien, SSO-Integrationen und die SCIM-Bereitstellung IT-Teams dabei helfen, das Onboarding und Offboarding konsistenter zu verwalten.
Dies erleichtert die Durchsetzung der Klassifizierung in der täglichen Arbeit. Finanz-Anmeldedaten können bei der Finanzabteilung verbleiben. Der HR-Administrator-Zugriff kann bei autorisierten HR-Leitern verbleiben. Sicherungs-Wiederherstellungscodes und privilegierte Administrator-Anmeldungen können auf die für Wiederherstellung und Sicherheit verantwortlichen Personen beschränkt werden.
Mach Klassifizierung zu einem Teil des täglichen Datenschutzes
Datenklassifizierung ist kein Selbstzweck. Sie ist eine Möglichkeit, den Schutz vor Datenlecks in der täglichen Arbeit einfacher zu befolgen.
Sobald dein Unternehmen weiß, welche Daten am sensibelsten sind, besteht der nächste Schritt darin, zu kontrollieren, wer darauf zugreifen kann. Ein Passwort-Manager kann Teams dabei helfen, die Anmeldedaten, die sensible Systeme und eingeschränkte Daten entsperren, zu kontrollieren und zu überwachen.
Kontrolliere den Zugriff auf klassifizierte Daten in deiner gesamten Organisation mit einem Passwort-Manager für Unternehmen.
