Annex A, Control A.5.12 der ISO 27001:2022 fordert: "Informationen müssen gemäß den Informationssicherheitsanforderungen der Organisation klassifiziert werden." Was auf dem Papier einfach klingt, ist in der Praxis eine der anspruchsvollsten Anforderungen der Norm — weil Klassifizierung nur funktioniert, wenn sie im Arbeitsalltag gelebt wird.
Microsoft Purview bietet die Werkzeuge, um diese Anforderung nicht nur richtlinienbasiert, sondern technisch durchzusetzen. In diesem Artikel zeigen wir, wie Sie ein ISO-27001-konformes Klassifizierungsschema mit Purview Sensitivity Labels umsetzen und welche Nachweise Sie für den Auditor liefern können.
Was die ISO 27001 zur Informationsklassifizierung fordert
Die ISO 27001:2022 enthält drei Controls, die direkt mit Informationsklassifizierung zusammenhängen.
A.5.12 — Klassifizierung von Informationen: Informationen müssen auf Basis ihrer Vertraulichkeit, Integrität und Verfügbarkeit klassifiziert werden. Das Klassifizierungsschema muss dokumentiert und im Unternehmen kommuniziert sein.
A.5.13 — Kennzeichnung von Informationen: Klassifizierte Informationen müssen gemäß dem Klassifizierungsschema gekennzeichnet werden. Die Kennzeichnung muss sowohl für Menschen als auch für Systeme erkennbar sein.
A.5.10 — Akzeptable Nutzung von Informationen: Es müssen Regeln für den Umgang mit Informationen jeder Klassifizierungsstufe definiert sein — wer darf zugreifen, wie darf geteilt werden, welche Schutzmaßnahmen gelten.
Die meisten Unternehmen erfüllen A.5.12 mit einer Richtlinie, die ein Klassifizierungsschema definiert, und einer Schulung, die Mitarbeitenden erklärt, wie sie Dokumente klassifizieren sollen. Das Problem: Zwischen Richtlinie und Realität klafft oft eine Lücke. Ohne technische Durchsetzung bleibt es dem einzelnen Mitarbeiter überlassen, ob und wie er klassifiziert. Der Auditor kann das überprüfen — und tut es zunehmend.
Von der Richtlinie zur technischen Umsetzung
Der Brückenschlag zwischen ISO-27001-Richtlinie und Microsoft Purview funktioniert über ein Mapping: Jede Klassifizierungsstufe aus Ihrer Richtlinie wird einem Sensitivity Label in Purview zugeordnet, inklusive der zugehörigen Schutzmaßnahmen.
Typisches Mapping
Nachfolgend ein Mapping, das sich in der Praxis bewährt hat und die Anforderungen der ISO 27001 erfüllt.
Stufe "Öffentlich" wird zum Sensitivity Label "Öffentlich/Public" mit folgenden Schutzmaßnahmen: visuelle Kennzeichnung (Fußzeile "Öffentlich"), keine Verschlüsselung, keine Zugriffsbeschränkung.
Stufe "Intern" wird zum Sensitivity Label "Intern/Internal" mit folgenden Schutzmaßnahmen: visuelle Kennzeichnung (Fußzeile "Nur für den internen Gebrauch"), DLP-Warnung bei externem Versand, Standard-Label für alle neuen Dokumente.
Stufe "Vertraulich" wird zum Sensitivity Label "Vertraulich/Confidential" mit folgenden Schutzmaßnahmen: Verschlüsselung mit Azure Rights Management, Wasserzeichen, DLP-Blockierung bei externem Versand (mit Override-Möglichkeit), Zugriff nur für authentifizierte Benutzer der Organisation.
Stufe "Streng vertraulich" wird zum Sensitivity Label "Streng vertraulich/Highly Confidential" mit folgenden Schutzmaßnahmen: starke Verschlüsselung, kein Drucken und kein Weiterleiten, DLP-Blockierung bei externem Versand (ohne Override), Zugriff nur für namentlich benannte Benutzer, optionales Ablaufdatum für Zugriffsberechtigung.
Unterlabels für Compliance
Die ISO 27001 fordert, dass die Klassifizierung die Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit berücksichtigt. In der Praxis wird die Klassifizierung meist primär auf Vertraulichkeit ausgerichtet, weil Purview Sensitivity Labels primär für den Schutz der Vertraulichkeit konzipiert sind.
Für Szenarien, in denen Integrität oder Verfügbarkeit eine besondere Rolle spielen — etwa bei Konstruktionszeichnungen (Integrität) oder Notfallplänen (Verfügbarkeit) — können Unterlabels definiert werden, die zusätzliche Schutzmaßnahmen aktivieren, zum Beispiel "Vertraulich — Nur Lesen" für integritätskritische Dokumente.
Nachweise für den Auditor
Ein gut konfiguriertes Purview-Setup liefert genau die Nachweise, die ein ISO-27001-Auditor sehen will. Die wichtigsten Nachweisquellen sind:
Content Explorer
Der Content Explorer zeigt, welche Dokumente welches Label tragen. Das ist der wichtigste Nachweis dafür, dass die Klassifizierung tatsächlich stattfindet und nicht nur auf dem Papier existiert. Sie können dem Auditor zeigen, wie viele Dokumente pro Klassifizierungsstufe existieren, wie sich die Verteilung über die Zeit entwickelt und welche Bereiche (SharePoint-Sites, Postfächer) die höchste Abdeckung haben.
Activity Explorer
Der Activity Explorer zeigt Aktivitäten rund um Sensitivity Labels: wie oft Labels vergeben werden (manuell vs. automatisch), wie oft Labels geändert oder entfernt werden, wie oft DLP-Richtlinien greifen (Warnungen, Blockierungen, Overrides) und welche sensiblen Informationstypen am häufigsten erkannt werden.
Audit-Logs
Microsoft Purview protokolliert alle relevanten Aktivitäten in einem Audit-Log, das bis zu 10 Jahre aufbewahrt werden kann (E5). Für den Auditor relevant: wann Richtlinien erstellt oder geändert wurden, welche Labels durch Auto-Labeling zugewiesen wurden und wer wann auf verschlüsselte Dokumente zugegriffen hat.
DLP-Incident-Berichte
Jeder DLP-Vorfall — ob Warnung oder Blockierung — wird als Incident protokolliert. Diese Berichte zeigen dem Auditor, dass die Organisation nicht nur klassifiziert, sondern auch aktiv verhindert, dass sensible Daten unkontrolliert das Unternehmen verlassen.
Aus der Praxis: In einem stark regulierten Pharma-Umfeld haben wir die Klassifizierung konsequent an den regulatorischen Anforderungen ausgerichtet und für besonders schützenswerte Bereiche dedizierte Labels mit eigenen Schutz- und Zugriffsregeln definiert. Genau diese saubere Abbildung von Schutzbedarf auf konkrete technische Maßnahmen überzeugt im Audit — weil sie unmittelbar nachvollziehbar macht, dass die Klassifizierung nicht nur auf dem Papier existiert, sondern technisch durchgesetzt wird. Das ist ein deutlicher Unterschied zu Audits, in denen die Klassifizierung nur über eine Richtlinie und Schulungsnachweise belegt wird.
Integration in das ISMS
Die Informationsklassifizierung mit Purview steht nicht isoliert, sondern ist Teil des Informationssicherheits-Managementsystems. Folgende Berührungspunkte sollten Sie bewusst gestalten.
Risikobewertung
Das Klassifizierungsschema sollte sich aus der Risikobewertung ableiten. Welche Informationsarten haben das höchste Schadenpotenzial bei Verlust der Vertraulichkeit? Diese Frage beantwortet die Risikobewertung, und die Antwort bestimmt, welche Klassifizierungsstufen benötigt werden und welche Schutzmaßnahmen angemessen sind.
Richtlinienhierarchie
Die Klassifizierungsrichtlinie sollte auf die Informationssicherheitsrichtlinie (A.5.1) verweisen und klar definieren, dass Purview Sensitivity Labels die technische Umsetzung der Richtlinie darstellen. Unterlabels und Schutzmaßnahmen werden in einem separaten Verfahrensdokument beschrieben, das bei Änderungen aktualisiert wird, ohne die übergeordnete Richtlinie zu berühren.
Schulung und Awareness
Die ISO 27001 fordert in A.6.3, dass Mitarbeitende über die Informationssicherheitsrichtlinien geschult werden. Die Klassifizierungsschulung sollte praktisch sein — nicht "was steht in der Richtlinie", sondern "wie sieht das Label in Word aus und wann wähle ich welches". Purview selbst unterstützt hier mit kontextuellen Hinweisen: Wenn ein Nutzer ein Label auswählt, kann eine kurze Erklärung eingeblendet werden, die beschreibt, was das Label bedeutet und welche Schutzmaßnahmen greifen.
Management-Review
Der Management-Review (Kapitel 9.3) sollte Klassifizierungsmetriken enthalten: Wie viel Prozent der Dokumente sind klassifiziert? Wie hat sich die Abdeckung seit dem letzten Review entwickelt? Wie viele DLP-Vorfälle gab es? Diese Daten liefert Purview automatisch über Content Explorer und Activity Explorer.
Häufige Fehler bei der ISO-27001-Klassifizierung mit Purview
Zu viele Stufen. Die ISO 27001 schreibt nicht vor, wie viele Klassifizierungsstufen es geben muss. Drei bis fünf Stufen sind in der Praxis das Maximum, das Mitarbeitende zuverlässig anwenden können. Jede zusätzliche Stufe erhöht die Fehlerquote.
Klassifizierungsschema ohne Business-Input. Das IT-Team konfiguriert Labels und Schutzmaßnahmen, ohne die Fachabteilungen einzubinden. Ergebnis: Labels, die im Arbeitsalltag nicht passen, und Schutzmaßnahmen, die Prozesse blockieren. Die Fachabteilungen wissen, welche Daten wie sensibel sind — die IT setzt es technisch um.
Keine regelmäßige Überprüfung. Ein Klassifizierungsschema, das vor zwei Jahren definiert wurde, passt möglicherweise nicht mehr. Neue Regulierungen (NIS2), neue Geschäftsbereiche oder organisatorische Veränderungen erfordern eine Anpassung. Die ISO 27001 fordert in Kapitel 10 die kontinuierliche Verbesserung — das gilt auch für die Klassifizierung.
Purview als Alibi. Labels konfigurieren, Richtlinie schreiben und den Auditor damit abspeisen — ohne zu prüfen, ob die Klassifizierung im Alltag tatsächlich funktioniert. Der Content Explorer verrät die Wahrheit: Wenn 80 Prozent aller Dokumente als "Intern" gelabelt sind und nur 2 Prozent als "Vertraulich", stimmt etwas nicht.
Schritt-für-Schritt: ISO-27001-konforme Klassifizierung mit Purview einführen
Schritt 1 — Risikobewertung durchführen oder aktualisieren. Identifizieren Sie die Informationsarten mit dem höchsten Schutzbedarf. Das Ergebnis ist eine priorisierte Liste, die das Klassifizierungsschema bestimmt.
Schritt 2 — Klassifizierungsschema definieren. Workshops mit Vertretern aus IT, Recht, HR, Finanzen und dem Betriebsrat. Ergebnis: vier bis fünf Stufen mit klaren Definitionen und Beispielen.
Schritt 3 — Richtlinie verabschieden. Die Klassifizierungsrichtlinie wird von der Geschäftsleitung verabschiedet und im Unternehmen kommuniziert.
Schritt 4 — Purview Labels konfigurieren. Mapping des Klassifizierungsschemas auf Sensitivity Labels, inklusive Schutzmaßnahmen für jede Stufe.
Schritt 5 — Pilotphase. 20 bis 50 Nutzer testen die Labels im Arbeitsalltag. Feedback sammeln, Labels kalibrieren.
Schritt 6 — Rollout mit Schulung. Unternehmensweite Einführung mit abteilungsspezifischen Kurzschulungen. Pflicht-Labeling aktivieren.
Schritt 7 — Auto-Labeling aktivieren. Bestehende Dokumente automatisch klassifizieren. Simulation, Kalibrierung, Aktivierung.
Schritt 8 — DLP-Richtlinien konfigurieren. Aufbauend auf den Labels, um den unkontrollierten Abfluss sensibler Daten zu verhindern.
Schritt 9 — Monitoring und Review einrichten. Regelmäßige Auswertung der Klassifizierungsmetriken, Integration in den Management-Review.
Fazit
Die Informationsklassifizierung nach ISO 27001 ist eine Anforderung, die mit Microsoft Purview nicht nur erfüllt, sondern messbar gemacht werden kann. Der Unterschied zwischen "wir haben eine Richtlinie" und "wir können dem Auditor zeigen, dass 94 Prozent unserer Dokumente klassifiziert sind" ist erheblich — sowohl für das Auditergebnis als auch für den tatsächlichen Schutz der Unternehmensdaten.
Der Schlüssel liegt in der Verbindung von organisatorischer Richtlinie und technischer Umsetzung. Die Richtlinie definiert das Was und Warum, Purview implementiert das Wie. Beides zusammen ergibt ein Klassifizierungssystem, das nicht nur im Regal steht, sondern im Alltag funktioniert.
Sie streben eine ISO-27001-Zertifizierung an oder stehen vor einem Überwachungsaudit? Wir unterstützen Sie dabei, die Informationsklassifizierung mit Microsoft Purview so umzusetzen, dass sie den Auditor überzeugt und im Alltag funktioniert.