Informations­klassifizierung

Informationsklassifizierung ist die strukturierte Einteilung von Daten und Dokumenten nach ihrem Schutzbedarf, typischerweise in drei bis vier Stufen (z. B. öffentlich, intern, vertraulich, streng vertraulich). Auf Basis dieser Einstufung greifen Schutzmaßnahmen wie Verschlüsselung, Zugriffsbeschränkungen und Data Loss Prevention. Sie ist die Grundlage für gezielten Datenschutz und Pflichtbestandteil von ISO 27001 (A.5.12), TISAX und NIS2.

Für die meisten Mittelständler drei bis vier. Weniger lässt zu wenig Differenzierung zu, mehr überfordert die Belegschaft im Alltag. Entscheidend ist nicht die Zahl, sondern dass jede Stufe eine klare Definition, konkrete Beispiele und nachvollziehbare Handling-Regeln hat. Andernfalls wird im Zweifel falsch oder gar nicht klassifiziert.

Im Mittelstand rechnen Sie von der Bestandsaufnahme bis zum abgeschlossenen Rollout mit vier bis sechs Monaten: zwei bis vier Wochen für Schema und Policy, vier bis sechs Wochen Pilot, acht bis zwölf Wochen wellenweiser Rollout. Der Aufwand auf Ihrer Seite konzentriert sich auf die Workshops und den Pilotbereich. Konzerne mit mehreren Gesellschaften oder Tenants brauchen entsprechend länger.

Ja. Schema, Policy und Handling-Regeln sind unabhängig vom Werkzeug: Das Konzept ist der Kern, das Werkzeug setzt es nur um. Wenn Sie Microsoft 365 nutzen, ist Purview meist schon lizenziert und die naheliegende Wahl. Ohne Microsoft 365 arbeiten wir mit den Mitteln, die Sie haben: Dokumentvorlagen, Berechtigungskonzepte, Verschlüsselung, andere Labeling-Tools. Das Klassifizierungsregister WeClassify funktioniert ohnehin unabhängig davon.

Niemand klassifiziert Millionen Altdateien von Hand. Wir priorisieren nach Risiko: Neue Dokumente bekommen ein Default-Label, die kritischsten Bestände (Personal, Finanzen, Verträge, F&E) werden gezielt gekennzeichnet, der Rest über Auto-Labeling und Site-Standardlabels abgedeckt. Was nicht mehr gebraucht wird, wandert mit Aufbewahrungsregeln ins Archiv oder wird gelöscht. Das reduziert den Bestand oft deutlicher als jedes Label.

In der Regel ja, und zwar früh. Sobald Labels und DLP-Richtlinien Nutzeraktionen protokollieren, ist die Mitbestimmung berührt. Wir binden den Betriebsrat ab der Konzeptphase ein und liefern die Unterlagen, die er für die Bewertung braucht: welche Daten protokolliert werden, wofür, wie lange und wer sie sieht. Projekte, die den Betriebsrat erst vor dem Rollout informieren, verlieren dort regelmäßig Monate.

Das Klassifizierungs-Schema ist das Konzept, Microsoft Purview das Werkzeug zur technischen Umsetzung: Sensitivity Labels setzen die Stufen in Microsoft 365 um, Auto-Labeling erkennt schützenswerte Inhalte automatisch, und DLP-Policies verhindern den Abfluss. Wichtig ist die Reihenfolge: erst Schema und Prozess, dann das Tool. Mehr dazu auf unserer Microsoft-Purview-Seite.

Ja. Sowohl ISO 27001 (Control A.5.12 „Klassifizierung von Informationen") als auch TISAX und NIS2 setzen eine funktionierende Klassifizierung voraus. Auditoren prüfen dabei nicht nur, ob eine Richtlinie existiert, sondern ob sie im Alltag gelebt wird. Deshalb liefern wir Schema, Rollout und Betrieb aus einer Hand.