Klassifizierungsschema erstellen: Welche Stufen?

Wer ein Klassifizierungsschema erstellen will, steht früh vor einer scheinbar simplen Frage, die über Erfolg oder Scheitern des gesamten Projekts entscheidet: Wie viele Stufen brauchen wir, und wie nennen wir sie? Die Antwort wirkt banal, ist es aber nicht. Ein zu feines Schema lähmt die Anwender, ein zu grobes schützt nicht differenziert genug. Das richtige Schema ist die Grundlage jeder funktionierenden Informationsklassifizierung — und der Punkt, an dem die meisten Projekte ihre Weichen falsch oder richtig stellen.

Ein Klassifizierungsschema ist mehr als eine Liste von Begriffen. Es definiert die Stufen, die Kriterien für ihre Zuordnung, die Kennzeichnung und vor allem die Handhabungsregeln, die festlegen, was mit Informationen jeder Stufe geschehen darf. Diese How-To führt Sie durch den Aufbau eines praxistauglichen Schemas — von der Stufenzahl über die Kriterien bis zu den Regeln je Stufe — und zeigt, welche Fehler Sie sich besser ersparen.

Wofür ein Klassifizierungsschema da ist

Ein Klassifizierungsschema beantwortet eine einzige, zentrale Frage: Wie schützenswert ist eine Information — und welche Konsequenzen folgen daraus? Es übersetzt den abstrakten Schutzbedarf einer Information in eine handhabbare Kategorie, an der konkrete Regeln und technische Maßnahmen ansetzen können.

Damit ist das Schema das Bindeglied zwischen zwei Welten: der inhaltlichen Bewertung („Wie kritisch ist dieses Dokument?") und der operativen Umsetzung („Darf ich es extern versenden? Muss es verschlüsselt werden? Wie lange bewahre ich es auf?"). Ohne ein klares Schema bleibt jede Schutzmaßnahme willkürlich. Mit einem guten Schema lassen sich Verschlüsselung, Zugriffssteuerung, DLP und Aufbewahrung sauber an die Stufe knüpfen.

Wichtig: Das Klassifizierungsschema ist nicht dasselbe wie die Schutzbedarfsanalyse, auch wenn beide eng verzahnt sind. Die Schutzbedarfsanalyse ermittelt systematisch, wie schützenswert Daten, Anwendungen und Systeme tatsächlich sind. Das Schema liefert die Skala, auf der dieses Ergebnis ausgedrückt wird. In der Praxis erstellen Sie beides parallel: Die Schutzbedarfskategorien speisen die Stufen, und die Stufen geben der Analyse einen Rahmen.

Drei oder vier Stufen? Die zentrale Entscheidung

Die wichtigste Designentscheidung ist die Anzahl der Stufen. Hier gilt fast ein Naturgesetz: Weniger ist mehr. Jede zusätzliche Stufe multipliziert die Entscheidungslast für jeden Mitarbeitenden und erhöht die Fehlerquote. Schemata mit fünf oder mehr Stufen scheitern in der Praxis regelmäßig daran, dass niemand zuverlässig zwischen „vertraulich" und „besonders vertraulich" und „streng vertraulich" unterscheiden kann.

Das Drei-Stufen-Modell

Das schlankste sinnvolle Modell kennt drei Stufen:

• Öffentlich — darf ohne Schaden veröffentlicht werden.
• Intern — nicht für die Öffentlichkeit, aber im internen Umlauf unkritisch.
• Vertraulich — unbefugte Offenlegung würde Schaden anrichten.

Das Drei-Stufen-Modell ist ideal für kleinere Unternehmen oder solche, die mit Klassifizierung erst beginnen. Es ist leicht vermittelbar, schwer falsch zu machen und deckt für viele Häuser den realen Bedarf vollständig ab. Sein Nachteil: Es differenziert am oberen Ende nicht. Ob ein Angebot oder ein M&A-Vertrag „vertraulich" ist — das Modell behandelt beide gleich, obwohl der zweite ungleich strenger geschützt werden müsste.

Das Vier-Stufen-Modell

Das Vier-Stufen-Modell ergänzt eine Spitzenstufe:

• Öffentlich — freigegeben für jeden.
• Intern — der Standard für den Großteil aller Dokumente.
• Vertraulich — spürbarer Schaden bei Offenlegung (Verträge, Personaldaten, Finanzplanung).
• Streng vertraulich — gravierender, existenzieller oder strafrechtlich relevanter Schaden (Geschäftsgeheimnisse, M&A, kritische Konstruktionsdaten, Vorstandsthemen).

Dieses Modell ist der De-facto-Standard für den gehobenen Mittelstand. Es erlaubt, die strengsten Maßnahmen — harte Verschlüsselung, kein externer Versand, enge Zugriffskreise — auf den kleinen, wirklich kritischen Kreis zu beschränken, ohne den Rest des Unternehmens damit zu belasten. Die vierte Stufe ist erfahrungsgemäß die wertvollste, weil sie die teuren Schutzmaßnahmen dorthin lenkt, wo sie zählen.

Praxis-Tipp
Faustregel für die Stufenzahl: Wenn ein durchschnittlicher Mitarbeiter nicht in unter zehn Sekunden die richtige Stufe wählen kann, haben Sie eine Stufe zu viel. Klassifizierung muss im Arbeitsfluss funktionieren, nicht im Schulungsraum.

Welches Modell für wen?

Als Orientierung:

• Kleinere Unternehmen, erster Anlauf: Drei Stufen. Starten Sie einfach, ergänzen Sie später bei Bedarf.
• Gehobener Mittelstand mit echten Geschäftsgeheimnissen: Vier Stufen. Die Spitzenstufe lohnt sich.
• Stark regulierte Branchen (Pharma, Automotive, Finanzdienstleistung): Vier Stufen, ggf. mit zusätzlichen Sub-Tags (z. B. „personenbezogen") statt weiterer Hauptstufen.

Mehr als vier Hauptstufen sind für den Mittelstand praktisch nie sinnvoll. Brauchen Sie zusätzliche Differenzierung, lösen Sie das über orthogonale Tags (etwa für Datenschutz oder Projektzugehörigkeit), nicht über mehr Vertraulichkeitsstufen.

Kriterien: Woran erkennt man die richtige Stufe?

Stufen ohne klare Zuordnungskriterien sind wertlos. Der entscheidende Maßstab ist der potenzielle Schaden bei unbefugter Offenlegung. Formulieren Sie für jede Stufe ein konkretes Schadens-Szenario:

• Öffentlich: Eine Offenlegung verursacht keinen Schaden — die Information ist ohnehin für die Öffentlichkeit bestimmt.
• Intern: Eine Offenlegung wäre unangenehm, aber folgenlos im Sinne von Wettbewerbs-, Reputations- oder Rechtsschaden.
• Vertraulich: Eine Offenlegung führt zu spürbarem Schaden — Wettbewerbsnachteil, Reputationsverlust, Vertragsstrafen, Datenschutzverstöße.
• Streng vertraulich: Eine Offenlegung führt zu gravierendem, potenziell existenzbedrohendem oder strafrechtlich relevantem Schaden.

Ergänzen Sie die abstrakten Kriterien immer mit Beispiel-Dokumenten aus dem eigenen Haus. Mitarbeitende klassifizieren nach Analogie, nicht nach Definition. Eine Tabelle mit zwei bis drei typischen Dokumenten je Stufe ist im Alltag mehr wert als jede juristisch saubere Definition.

Merksatz
Klassifiziert wird nach Schaden, nicht nach Gefühl. „Das ist wichtig" ist keine Stufe — „Eine Offenlegung würde uns einen Vertrag und eine Vertragsstrafe kosten" schon.

Kennzeichnung: Wie das Schema sichtbar wird

Ein Schema, das nicht sichtbar ist, wird nicht beachtet. Die Kennzeichnung macht die Stufe für Menschen und Systeme erkennbar — und ist in ISO/IEC 27001:2022 mit Control A.5.13 (Kennzeichnung von Informationen) ausdrücklich gefordert.

Sinnvolle Kennzeichnungselemente sind:

• Visuelle Markierung im Dokument: Kopf- oder Fußzeile mit der Stufe, bei höheren Stufen ein Wasserzeichen.
• Metadaten am Dokument: Ein maschinenlesbares Label, das mit der Datei reist — die Grundlage für Automatisierung, DLP und Verschlüsselung.
• Betreff-Tags in E-Mails: Etwa ein vorangestelltes „[Vertraulich]" im Betreff.
• Konsistente Bezeichnungen: Dieselben Stufenbegriffe in Policy, Schema, technischen Labels und Schulung. Heißt es „streng vertraulich", darf es nicht an anderer Stelle „top secret" heißen.

Im Microsoft-365-Umfeld setzen Sie Kennzeichnung und maschinenlesbare Metadaten über Sensitivity Labels um, die genau diese Elemente — visuelle Markierung, Metadatum und Schutzmaßnahmen — in einem Objekt bündeln. Das Schema bleibt dabei die Vorlage: Jede Stufe entspricht genau einem Label.

Handhabungsregeln je Stufe

Der eigentliche Wert eines Schemas liegt in den Handhabungsregeln. Sie übersetzen die Stufe in konkretes erlaubtes und verbotenes Verhalten über den gesamten Lebenszyklus einer Information. Definieren Sie für jede Stufe mindestens, was bei Speicherung, Versand, externer Weitergabe, Druck und Vernichtung gilt.

Ein typisches Regelwerk für ein Vier-Stufen-Modell könnte so aussehen:

Öffentlich

• Speicherung: keine besonderen Anforderungen.
• Versand/Weitergabe: uneingeschränkt erlaubt.
• Vernichtung: keine besonderen Anforderungen.

Intern

• Speicherung: nur auf unternehmenskontrollierten Systemen.
• Versand: intern frei; extern nur an autorisierte Partner.
• Weitergabe: nicht öffentlich teilen, keine privaten Cloud-Dienste.
• Vernichtung: einfache Löschung genügt.

Vertraulich

• Speicherung: nur auf freigegebenen Systemen, Zugriff nach Need-to-know.
• Versand: extern nur verschlüsselt; keine privaten Postfächer.
• Weitergabe: nur an namentlich Berechtigte, möglichst mit Vertraulichkeitsvereinbarung.
• Druck: nur bei Bedarf, kein unbeaufsichtigtes Liegenlassen.
• Vernichtung: sicheres Löschen, Papier über Aktenvernichter.

Streng vertraulich

• Speicherung: nur in besonders geschützten, ggf. verschlüsselten Bereichen, engster Zugriffskreis.
• Versand: nur verschlüsselt, möglichst gar nicht extern; Rechteschutz „nicht weiterleiten".
• Weitergabe: ausschließlich an benannte Personen, lückenlose Nachvollziehbarkeit.
• Druck: nur in Ausnahmen, dokumentiert.
• Vernichtung: nachweisbar sichere Vernichtung.

Diese Regeln sind die eigentliche Substanz des Schemas — und das Bindeglied zur technischen Umsetzung. Eine als „streng vertraulich" klassifizierte Datei wird im Microsoft-365-Umfeld automatisch verschlüsselt und gegen externen Versand geschützt, genau wie es die Handhabungsregel verlangt. Das Schema und die Technik müssen hier deckungsgleich sein.

Praxis-Tipp
Verdichten Sie alle Handhabungsregeln in einer einzigen einseitigen Übersichtstabelle „Was darf ich mit welcher Stufe tun?". Dieses eine Blatt ist das meistgenutzte Artefakt des gesamten Projekts — wichtiger als die vollständige Policy.

Die häufigsten Fehler beim Klassifizierungsschema

Aus der Projektpraxis sind es immer wieder dieselben Fehler, die ein Schema scheitern lassen:

1. Zu viele Stufen. Der mit Abstand häufigste Fehler. Fünf, sechs oder sieben Stufen wirken gründlich, überfordern aber jeden Anwender. Drei bis vier reichen. Wenn Sie unsicher sind: eine Stufe weniger.
2. Unklare Abgrenzung zwischen den Stufen. Wenn niemand sicher sagen kann, wo „vertraulich" endet und „streng vertraulich" beginnt, wird wahllos klassifiziert. Klare Schadens-Szenarien und Beispiele beheben das.
3. Kein Default. Ohne definierte Standardstufe bleibt der Großteil der Dokumente unklassifiziert. „Intern" ist fast immer der richtige Default.
4. Regeln ohne Alltagsbezug. Handhabungsregeln, die niemand kennt oder die im Arbeitsfluss nicht umsetzbar sind, werden ignoriert. Regeln müssen praktikabel sein.
5. Inkonsistente Begriffe. Wenn die Stufe in Policy, Label und Schulung unterschiedlich heißt, verliert das Schema seine Autorität.
6. Das Schema nie wieder anfassen. Ein Schema ist ein lebendes Artefakt. Es braucht einen Eigentümer und eine regelmäßige Überprüfung, ob die Stufen und Regeln noch zur Realität passen.

Wie welabs Sie beim Klassifizierungsschema unterstützt

Ein gutes Schema ist deshalb so wertvoll, weil es schlicht aussieht und doch über den Erfolg des gesamten Klassifizierungsprojekts entscheidet. welabs bringt die Erfahrung aus Projekten vom Mittelstand bis zum DAX-Konzern in Ihr Schema ein:

• Schema-Workshop: Wir entwickeln mit Ihnen die richtige Stufenzahl, klare Zuordnungskriterien und Schadens-Szenarien — angepasst an Ihre Branche und Regulatorik.
• Handhabungsregeln & Übersichtstabelle: Wir formulieren praktikable Regeln je Stufe und das eine Blatt, das Ihre Mitarbeitenden täglich nutzen.
• Verzahnung mit der Technik: Übersetzung des Schemas in Sensitivity Labels und Schutzmaßnahmen über Microsoft Purview.
• ISO-27001-Konformität: Saubere Anbindung an A.5.12 und A.5.13 im Rahmen unserer Compliance- und ISMS-Beratung.

Mehr zu unserem Leistungsangebot finden Sie auf der Seite zur Informationsklassifizierung. Unsicher, welches Modell zu Ihnen passt? Wir klären das in einem unverbindlichen Erstgespräch.

Fazit

Ein Klassifizierungsschema zu erstellen heißt, die richtige Balance zu finden: genug Stufen, um wirklich kritische Informationen besonders zu schützen, und wenig genug, dass jeder Mitarbeitende sie zuverlässig anwenden kann. Drei bis vier Stufen, klare Schadens-Kriterien, eine konsistente Kennzeichnung und praktikable Handhabungsregeln je Stufe — mehr braucht es nicht, aber auch nicht weniger.

Der größte Fehler bleibt der Drang zur Übergenauigkeit. Ein schlankes Schema, das gelebt wird, schützt Ihr Unternehmen besser als ein perfektes Schema, das niemand versteht. Starten Sie einfach, halten Sie es konsistent, und geben Sie dem Schema einen Eigentümer, der es pflegt — dann wird es zum tragfähigen Fundament Ihrer Informationssicherheit.