Informationsklassifizierung einführen: Schema, Policy, Rollout

Die meisten Unternehmen wissen nicht, wo ihre wirklich kritischen Informationen liegen. Verträge, Konstruktionsdaten, Personalakten, Preiskalkulationen, Strategiepapiere — sie liegen verstreut über Dateiserver, SharePoint-Sites, Postfächer und Endgeräte, ohne dass jemand sagen könnte, welches Dokument welchen Schutz braucht. Wer Informationsklassifizierung einführen will, beendet genau diesen Blindflug: Er macht sichtbar, welche Daten geschäftskritisch sind, und schafft die Grundlage dafür, sie gezielt zu schützen — statt alles gleich (und damit nichts richtig) zu sichern.

Klassifizierung ist dabei kein Selbstzweck und kein reines Compliance-Häkchen. Sie ist das Fundament, auf dem nahezu jede wirksame Schutzmaßnahme aufsetzt: Verschlüsselung, Data Loss Prevention, Zugriffssteuerung, Aufbewahrung und Löschung. Auch der sichere Einsatz von KI-Assistenten baut darauf auf — wer Microsoft Copilot sicher einführen will, braucht zuvor klassifizierte und korrekt berechtigte Daten. Ohne klassifizierte Daten arbeiten diese Werkzeuge im Trockendock. Dieser Leitfaden zeigt, wie Sie eine Informationsklassifizierung im Mittelstand einführen — vom Schema über die Policy und die technische Umsetzung mit Microsoft-Sensitivity-Labels bis zum Rollout und dem oft unterschätzten Change-Anteil.

Warum überhaupt klassifizieren?

Der häufigste Einwand im Mittelstand lautet: „Wir wissen doch, was vertraulich ist." In der Theorie ja — in der Praxis nicht. Sobald Informationen geteilt, weitergeleitet, kopiert oder extern verarbeitet werden, geht dieses implizite Wissen verloren. Ein Angebot, das beim Ersteller noch klar als heikel galt, landet drei Weiterleitungen später unkommentiert in einem geteilten Ordner. Klassifizierung übersetzt implizites Wissen in eine maschinen- und prozesslesbare Eigenschaft, die am Dokument haften bleibt.

Konkret bringt eine eingeführte Informationsklassifizierung mehrere Effekte:

• Sichtbarkeit: Sie wissen erstmals belastbar, wo wie viele vertrauliche Dokumente liegen — und können Schutzmaßnahmen priorisieren.
• Steuerbarkeit: Schutzmaßnahmen lassen sich an die Klassifizierung knüpfen. Ein als „streng vertraulich" markiertes Dokument kann automatisch verschlüsselt, vor externem Versand geschützt und mit einem Wasserzeichen versehen werden.
• Sensibilisierung: Wer ein Dokument bewusst klassifizieren muss, denkt über seinen Wert nach. Das Label ist auch ein Awareness-Instrument.
• Compliance: ISO 27001, DSGVO, NIS2 und branchenspezifische Anforderungen setzen ein nachweisbares Verfahren zum Umgang mit Informationen voraus. Klassifizierung liefert die Grundlage.

Merksatz
Ohne Klassifizierung schützen Sie entweder alles oder nichts. Beides ist teuer — das eine in Lizenzen und Reibung, das andere in Schäden.

Der Bezug zu ISO 27001

In der ISO/IEC 27001:2022 ist das Thema in den Controls A.5.12 (Klassifizierung von Informationen) und A.5.13 (Kennzeichnung von Informationen) verankert. A.5.12 fordert, dass Informationen entsprechend ihrem Schutzbedarf hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit klassifiziert werden. A.5.13 verlangt ein angemessenes Verfahren zur Kennzeichnung gemäß dem etablierten Klassifizierungsschema. Eng damit verbunden ist A.5.10 (zulässige Nutzung von Informationen) und A.8.12 (Schutz vor Datenabfluss).

Die Norm schreibt Ihnen bewusst kein konkretes Schema vor — wie viele Stufen Sie nutzen und wie diese heißen, ist Ihre unternehmerische Entscheidung. Was sie fordert, ist Konsistenz: ein dokumentiertes Schema, nachvollziehbare Zuordnungskriterien und ein Verfahren, das tatsächlich gelebt wird. Genau hier scheitern viele Projekte — nicht am Schema, sondern an der Umsetzung im Alltag.

Schritt 1: Das Klassifizierungsschema

Am Anfang steht die Frage: Welche Stufen braucht Ihr Unternehmen? Die Versuchung ist groß, ein fein granuliertes Modell mit sechs oder sieben Stufen zu bauen, das jede denkbare Nuance abbildet. Das ist fast immer ein Fehler. Je mehr Stufen, desto höher die Wahrscheinlichkeit, dass Mitarbeitende falsch oder gar nicht klassifizieren.

Bewährt haben sich drei- bis vierstufige Modelle. Ein typisches Vier-Stufen-Schema sieht so aus:

• Öffentlich — Informationen, die ohne Schaden veröffentlicht werden dürfen (Marketingmaterial, Pressemitteilungen, öffentliche Produktinfos).
• Intern — der Standard für den Großteil aller Dokumente. Nicht für die Öffentlichkeit bestimmt, aber unkritisch im internen Umlauf (Protokolle, Prozessbeschreibungen, interne Mitteilungen).
• Vertraulich — Informationen, deren unbefugte Offenlegung spürbaren Schaden anrichten würde (Verträge, Angebote, Personaldaten, Finanzplanung).
• Streng vertraulich — der kleine Kreis besonders sensibler Daten (M&A-Unterlagen, Geschäftsgeheimnisse, kritische Konstruktionsdaten, Vorstandsthemen).

Wie Sie die Stufen schneiden, welche Kriterien je Stufe gelten und welche Handhabungsregeln daran hängen, ist eine eigene Disziplin. Eine ausführliche Anleitung dazu finden Sie in unserem Beitrag Klassifizierungsschema erstellen. Für die Einführung gilt: Beginnen Sie schlank. Drei oder vier Stufen genügen den allermeisten Mittelständlern. Stufen ergänzen können Sie später immer noch — entfernen ist deutlich schwieriger.

Praxis-Tipp
Definieren Sie für jede Stufe ein bis zwei eindeutige Beispiel-Dokumente aus Ihrem eigenen Haus. Mitarbeitende klassifizieren nicht nach Definitionen, sondern nach Analogie: „Ist das wie der Vertrag oder wie das Protokoll?"

Schritt 2: Die Klassifizierungs-Policy

Das Schema beschreibt die Stufen — die Policy beschreibt die Spielregeln. Sie ist das verbindliche Dokument, das festlegt, wer klassifiziert, nach welchen Kriterien, und was für jede Stufe erlaubt und verboten ist. Ohne Policy bleibt das Schema eine unverbindliche Empfehlung.

Eine gute Klassifizierungs-Policy regelt mindestens:

1. Geltungsbereich — welche Informationen, Systeme und Personengruppen erfasst sind (auch externe Dienstleister und mobile Geräte).
2. Verantwortlichkeiten — wer ein Dokument klassifiziert (in der Regel der Ersteller oder Informationseigentümer) und wer die Korrektheit überprüft.
3. Klassifizierungskriterien — woran man erkennt, welche Stufe zutrifft, idealerweise mit Beispielen und Schadens-Szenarien.
4. Standardklassifizierung (Default) — welche Stufe gilt, wenn niemand aktiv klassifiziert. In den meisten Häusern ist „Intern" der richtige Default.
5. Handhabungsregeln je Stufe — Speicherung, Versand, externe Weitergabe, Druck, Aufbewahrung und Vernichtung.
6. Umgang mit Bestandsdokumenten — wie mit dem riesigen Berg bereits existierender, unklassifizierter Daten verfahren wird.
7. Eskalation und Ausnahmen — was passiert bei Verstößen, wie werden Ausnahmen beantragt und genehmigt.

Halten Sie die Policy kurz und lesbar. Ein zwölfseitiges Juristendokument liest niemand. Zwei bis vier Seiten Klartext plus eine einseitige Übersichtstabelle „Was darf ich mit welcher Stufe tun?" wirken im Alltag deutlich mehr als jedes ausführliche Regelwerk. Die Tabelle ist erfahrungsgemäß das meistgenutzte Artefakt des gesamten Projekts.

Schritt 3: Die technische Umsetzung mit Sensitivity Labels

Eine Policy auf Papier ändert noch kein Verhalten. Damit Klassifizierung im Alltag wirklich stattfindet, muss sie dort verfügbar sein, wo gearbeitet wird — in Word, Excel, Outlook, PowerPoint, SharePoint und Teams. Im Microsoft-365-Umfeld leisten das die Sensitivity Labels aus Microsoft Purview Information Protection.

Sensitivity Labels bilden Ihre Klassifizierungsstufen direkt in der Office-Oberfläche ab: Mitarbeitende wählen das passende Label per Klick, das Label haftet als Metadatum am Dokument oder der E-Mail und reist mit — auch wenn die Datei kopiert oder versendet wird. Entscheidend ist, dass an ein Label nicht nur eine Kennzeichnung hängt, sondern auch tatsächliche Schutzmaßnahmen:

• Visuelle Kennzeichnung: Kopf-/Fußzeilen, Wasserzeichen und Betreff-Tags machen die Stufe sichtbar.
• Verschlüsselung: Höhere Stufen können automatisch verschlüsselt werden, sodass nur berechtigte Personen das Dokument öffnen — selbst wenn es das Unternehmen verlässt.
• Zugriffsrechte: Labels können Rechte erzwingen, etwa „nur lesen", „nicht weiterleiten" oder die Beschränkung auf die eigene Organisation.
• DLP-Anbindung: Data-Loss-Prevention-Regeln können auf Labels reagieren und etwa den externen Versand „streng vertraulicher" Dokumente blockieren.

Die konkrete Einführung der Labels — Reihenfolge, Pilotierung, Verschlüsselung mit Augenmaß, Auto-Labeling — ist ein Projekt für sich. Eine detaillierte Anleitung dazu finden Sie in unserem Beitrag Sensitivity Labels einführen. Wichtig für den Einführungsleitfaden ist das Prinzip: Das technische Label ist die Verkörperung Ihrer Policy. Schema, Policy und Label-Konfiguration müssen exakt zueinander passen — vier Stufen im Schema, vier Labels im Tenant, dieselben Bezeichnungen überall.

Praxis-Tipp
Starten Sie mit Kennzeichnung und Auto-Labeling-Vorschlägen, bevor Sie Verschlüsselung scharf schalten. Verschlüsselung ist die Maßnahme mit dem höchsten Reibungspotenzial — und die, die im Fehlerfall am sichtbarsten weh tut.

Manuell, automatisch oder empfohlen?

Bei der technischen Umsetzung haben Sie drei Modi, die sich kombinieren lassen:

• Manuelle Klassifizierung setzt auf den Menschen: Der Ersteller wählt das Label. Vorteil: Kontextwissen. Nachteil: Disziplin nötig, fehleranfällig bei Masse.
• Automatische Klassifizierung erkennt sensible Inhalte (z. B. Kreditkartennummern, IBANs, Stichwörter) und vergibt Labels regelbasiert. Vorteil: Skaliert, erfasst Bestandsdaten. Nachteil: Regeln müssen gepflegt werden, Fehlklassifikationen möglich.
• Empfohlene Klassifizierung schlägt dem Nutzer ein Label vor, überlässt ihm aber die Entscheidung. Das ist oft der beste Mittelweg: Skalierung plus menschliche Kontrolle plus Awareness-Effekt.

Der erfahrungsgemäß tragfähigste Ansatz im Mittelstand ist eine Kombination: Manuelle Klassifizierung als Standard im Tagesgeschäft, empfohlene Klassifizierung als Hilfestellung und automatische Klassifizierung für klar erkennbare Hochrisiko-Inhalte und für die Bearbeitung des Bestands.

Schritt 4: Rollout und Change Management

Der häufigste Grund, warum Klassifizierungsprojekte scheitern, ist nicht die Technik. Es ist der Mensch, der das fünfte Label übergeht, weil es ihn beim Versenden der E-Mail aufhält. Ein technisch perfekter Tenant mit einer ignorierten Belegschaft ist ein gescheitertes Projekt.

Planen Sie den Rollout daher in Wellen statt als Big Bang:

1. Pilot (Wochen 1–4): Eine überschaubare Gruppe — idealerweise IT-affin und wohlwollend — arbeitet mit den Labels. Sie sammeln Reibungspunkte, justieren Defaults und Regeln, bevor die Masse betroffen ist.
2. Frühe Mehrheit (Wochen 5–10): Ausweitung auf erste Fachabteilungen mit hohem Schutzbedarf (Recht, HR, Finanzen, F&E). Hier zahlt sich Klassifizierung am schnellsten aus.
3. Breitenrollout (ab Woche 10): Schrittweise Ausweitung auf das gesamte Unternehmen, begleitet von Kommunikation und Schulung.
4. Verstetigung: Klassifizierung wird Teil des Onboardings, der regelmäßigen Awareness-Maßnahmen und der internen Audits.

Begleiten Sie jede Welle mit klarer Kommunikation: Warum machen wir das? Was habe ich davon? Was muss ich konkret tun? Eine Klassifizierung, die nur als IT-Pflichtübung kommuniziert wird, erzeugt Widerstand. Eine, die als Schutz der eigenen Arbeit und des Unternehmens erklärt wird, erzeugt Mitwirkung. Wie Sie Akzeptanz schaffen, Reibung minimieren und Erfolg messen, behandeln wir ausführlich in unserem Leitfaden zum Change Management bei der Informationsklassifizierung.

Merksatz
Klassifizierung ist zu 30 Prozent Technik und zu 70 Prozent Verhaltensänderung. Wer das Verhältnis umdreht, baut ein technisch sauberes Projekt, das niemand nutzt.

Häufige Fehler bei der Einführung

Aus der Projektpraxis kristallisieren sich immer wieder dieselben Stolpersteine heraus:

• Zu viele Stufen. Sechs Stufen wirken gründlich, lähmen aber die Anwender. Drei bis vier reichen fast immer.
• Kein Default. Wenn nicht definiert ist, was bei Nicht-Klassifizierung passiert, bleibt der Großteil der Dokumente unklassifiziert. Setzen Sie „Intern" als Standard.
• Verschlüsselung zu früh. Wer am ersten Tag „streng vertraulich" hart verschlüsselt, produziert kaputte Workflows und verbrennt Akzeptanz.
• Den Bestand ignorieren. Neue Dokumente zu klassifizieren ist einfach. Die Millionen Altdokumente sind die eigentliche Herausforderung — planen Sie Auto-Labeling und eine pragmatische Default-Strategie ein.
• Policy ohne Praxisbezug. Eine Klassifizierungs-Policy ohne Beispiel-Dokumente aus dem eigenen Haus bleibt abstrakt und wird nicht angewendet.
• Kein Eigentümer. Klassifizierung braucht eine verantwortliche Rolle, die das Schema pflegt, Fragen beantwortet und die Qualität im Blick behält.

Wie welabs Sie bei der Informationsklassifizierung unterstützt

Wir haben Klassifizierungsprojekte vom mittelständischen Maschinenbauer bis zum DAX-Pharmakonzern begleitet — und wissen, dass die Technik der einfachere Teil ist. welabs übersetzt diese Konzern-Erfahrung in pragmatische Projekte für den Mittelstand:

• Schema- und Policy-Entwicklung: Wir definieren mit Ihnen ein tragfähiges Klassifizierungsschema und eine schlanke, gelebte Policy — inklusive Handhabungsregeln je Stufe.
• Technische Umsetzung in Microsoft 365: Konfiguration und Pilotierung von Sensitivity Labels, Auto-Labeling und DLP-Anbindung über Microsoft Purview — mit Verschlüsselung mit Augenmaß.
• Rollout & Change: Strukturierter Wellen-Rollout mit Kommunikation, Schulung und Erfolgsmessung.
• ISO-27001-Anbindung: Verzahnung der Klassifizierung mit Ihrem ISMS und den Controls A.5.12/A.5.13 im Rahmen unserer Compliance-Beratung.

Unsere Leistung rund um das Thema bündeln wir auf unserer Seite zur Informationsklassifizierung. Sie wollen wissen, wo Sie heute stehen? Vereinbaren Sie einen kostenlosen Erstgespräch-Termin — wir schauen gemeinsam auf Ihre Ausgangslage und skizzieren einen realistischen Weg.

Fazit

Informationsklassifizierung einzuführen ist kein einmaliges Technikprojekt, sondern der Aufbau einer dauerhaften Fähigkeit: zu wissen, welche Daten geschäftskritisch sind, und sie konsequent zu schützen. Der Weg führt über ein schlankes Schema, eine gelebte Policy, eine technische Umsetzung mit Sensitivity Labels, die zur Policy passt, und einen Rollout, der die Belegschaft mitnimmt statt überfährt.

Wer schlank startet, mit Augenmaß verschlüsselt und den Change-Anteil ernst nimmt, baut ein Klassifizierungssystem, das nicht nur Audits besteht, sondern im Alltag tatsächlich Schäden verhindert. Genau darin liegt der Unterschied zwischen einem Papier-Konzept und einem Schutz, der wirkt.