Nicht alle Daten brauchen denselben Schutz. Eine Preisliste für Kunden ist anders zu behandeln als Lohndaten oder ein Übernahmeplan. Datenklassifizierung macht diesen Unterschied ausdrücklich und damit handhabbar.
Stufen
Verbreitet sind vier Stufen: öffentlich, intern, vertraulich und streng vertraulich. Mehr Stufen erhöhen die Genauigkeit, aber auch den Aufwand und die Fehlerquote; weniger als drei unterscheiden zu wenig. Jede Stufe wird mit Beispielen beschrieben, damit Mitarbeitende sie im Alltag sicher anwenden.
Regeln pro Stufe
Aus der Stufe folgt, wer Zugriff hat, wo die Daten gespeichert werden dürfen, ob sie extern geteilt werden dürfen, ob sie verschlüsselt werden müssen und wie sie gelöscht werden. Diese Regeln verbinden die Klassifizierung mit dem Berechtigungskonzept, dem Löschkonzept und den technischen und organisatorischen Massnahmen.
Abgrenzung zum Datenschutz
Datenschutzrecht unterscheidet Personendaten und besonders schützenswerte Personendaten. Die Klassifizierung ist breiter: Sie erfasst auch Geschäftsgeheimnisse und interne Informationen ohne Personenbezug. Besonders schützenswerte Personendaten landen in der Regel in einer der höchsten Stufen.
Umsetzung
Eine Klassifizierung, die nur auf Papier existiert, wirkt nicht. Moderne Plattformen erlauben Vertraulichkeitsbezeichnungen an Dokumenten und E-Mails, die Verschlüsselung und Freigaberegeln automatisch durchsetzen, und Regeln zur Verhinderung von Datenverlust. Vor der Einführung von KI-Assistenten wie Microsoft 365 Copilot ist eine Klassifizierung besonders wichtig, weil diese alles finden, worauf ein Benutzer Zugriff hat.