Fragt man in einem mittelständischen Unternehmen, welche Daten vertraulich sind, lautet die Antwort oft: „Eigentlich alles.“ Woran ein neuer Mitarbeiter das erkennen soll, bleibt dagegen offen; genau diese Lücke schließt eine Datenklassifizierung. Sie legt fest, wie schutzbedürftig Informationen sind und was daraus im Alltag folgt. Dieser Beitrag zeigt ein einfaches Modell mit Beispielen, wie Sie es einführen und wie Sie es in Microsoft 365 technisch abbilden.
Warum Datenklassifizierung?
Ohne Klassifizierung werden alle Daten gleich behandelt, und zwar meist zu locker. Die Gehaltsliste liegt neben dem Werbeflyer, beide lassen sich gleich leicht per Mail verschicken oder teilen. Eine Klassifizierung von Daten schafft eine gemeinsame Sprache: Wer ein Dokument als „vertraulich“ kennzeichnet, signalisiert allen, was damit erlaubt ist und was nicht.
Sie ist außerdem die Grundlage für vieles, was ohnehin gefordert wird: das Berechtigungskonzept, die technischen und organisatorischen Maßnahmen nach DSGVO, Anforderungen von Kunden oder Prüfern und zunehmend auch der sichere Einsatz von KI-Assistenten. In Normen und Prüfkatalogen läuft dasselbe Thema oft unter dem Begriff Informationsklassifizierung.
Ein einfaches Modell mit vier Vertraulichkeitsstufen
Für die meisten Unternehmen zwischen 10 und 500 Mitarbeitern reichen vier Stufen. Mehr Stufen werden in der Praxis nicht sauber unterschieden. Die Tabelle zeigt das Modell mit Beispielen für die Datenklassifizierung:
| Stufe | Beschreibung | Beispiele | Was folgt daraus |
|---|---|---|---|
| Öffentlich | Darf ohne Einschränkung nach außen | Website-Texte, Pressemitteilungen, Produktblätter | Keine Einschränkungen |
| Intern | Für alle Mitarbeitenden, nicht für Externe | Organigramm, interne Richtlinien, Telefonliste | Nicht ohne Grund nach außen geben |
| Vertraulich | Nur für einen bestimmten Personenkreis | Angebote, Verträge, Kundendaten, Projektunterlagen | Zugriff nur für Berechtigte, Weitergabe nach außen nur geschützt |
| Streng vertraulich | Kleiner, namentlich bekannter Kreis | Gehälter, Personalakten, Gesundheitsdaten, Übernahmepläne | Verschlüsselung, keine Weiterleitung, Zugriff protokolliert |
Wichtig ist eine Standardstufe: Was nicht gekennzeichnet ist, gilt als „intern“. So muss nicht jedes Dokument einzeln bewertet werden, und die Mitarbeitenden konzentrieren sich auf die Ausnahmen nach oben und unten.
Die Stufen sollten mit konkreten Regeln verbunden sein, sonst bleiben sie Etiketten. Beispiele: Darf ein vertrauliches Dokument per Mail an Externe? Nur verschlüsselt. Darf es auf einen privaten USB-Stick? Nein. Darf es in einen öffentlichen KI-Dienst eingegeben werden? Nein. Diese Regeln passen gut in eine kurze Richtlinie, die auch Ihre KI-Richtlinie ergänzt.
Wer entscheidet?
Die Frage, wer die Stufe festlegt, wird oft unterschätzt. Bewährt hat sich folgende Aufteilung:
- Die Geschäftsführung beschließt das Modell und die zugehörigen Regeln. Ohne diese Rückendeckung wird Klassifizierung als IT-Bürokratie wahrgenommen.
- Die Fachbereiche sind die Eigentümer ihrer Daten. Die Personalabteilung weiß am besten, was an Personaldaten streng vertraulich ist, der Vertrieb kennt seine Angebote. Sie legen fest, welche Dokumentarten und Ablageorte welche Stufe haben.
- Die Erstellerin oder der Ersteller eines Dokuments kennzeichnet im Einzelfall, vor allem wenn ein Dokument von der Standardstufe abweicht.
- Die IT setzt das Modell technisch um, schult und überwacht, ob es funktioniert. Sie entscheidet aber nicht, ob eine Kalkulation vertraulich ist.
- Datenschutzbeauftragte und Informationssicherheit beraten, besonders bei personenbezogenen Daten.
Wie man es Mitarbeitenden beibringt
Eine Klassifizierung scheitert selten an der Technik, sondern daran, dass sie im Alltag nicht verstanden wird. Was hilft:
- Kurze Erklärung mit Beispielen aus dem eigenen Haus. Eine Seite, auf der für jede Stufe drei typische Dokumente aus Ihrem Unternehmen stehen, wirkt mehr als eine abstrakte Definition.
- Eine einfache Faustregel. Zum Beispiel: „Würde es Ärger geben, wenn das Dokument morgen in der Zeitung steht? Dann mindestens vertraulich.“
- Ablageorte vorklassifizieren. Wenn der Ordner „Personal“ automatisch als streng vertraulich gilt, müssen die Mitarbeitenden nicht jedes Dokument bewerten.
- Schulung in bestehende Formate einbauen, etwa in die Einweisung neuer Mitarbeitender oder in die jährliche Sicherheitsschulung.
- Rückmeldung ermöglichen. Wenn eine Stufe im Alltag nicht passt, sollte es einen Weg geben, das zu melden, statt sie stillschweigend zu umgehen.
Technische Umsetzung mit Microsoft Purview Sensitivity Labels
Wer Microsoft 365 nutzt, kann die Stufen mit Vertraulichkeitsbezeichnungen aus Microsoft Purview abbilden, im Englischen „Sensitivity Labels“. Eine Bezeichnung wird an ein Dokument oder eine E-Mail angehängt und reist mit der Datei mit, auch wenn sie den Ablageort wechselt.
Eine Bezeichnung kann mehrere Dinge bewirken:
- Kennzeichnen: Der Name der Stufe wird in Word, Excel, PowerPoint und Outlook angezeigt, auf Wunsch auch als Kopf- oder Fußzeile oder Wasserzeichen im Dokument.
- Verschlüsseln: Für die Stufe „streng vertraulich“ kann festgelegt werden, dass nur bestimmte Personen oder Gruppen die Datei öffnen dürfen, auch wenn sie versehentlich weitergeleitet wird.
- Weitere Regeln auslösen: Richtlinien zur Verhinderung von Datenverlust (DLP) können an eine Bezeichnung anknüpfen, etwa um den Versand an externe Empfänger zu warnen oder zu blockieren. Wie Sie solche Richtlinien aufbauen, zeigt der Beitrag zu DLP in Microsoft 365.
- Container schützen: Bezeichnungen lassen sich auch auf Teams, Microsoft-365-Gruppen und SharePoint-Websites anwenden, etwa um Gastzugriffe zu steuern.
Zur Lizenzierung: Nach der aktuellen Leistungsbeschreibung von Microsoft ist die manuelle Kennzeichnung unter anderem in Microsoft 365 Business Premium sowie in Microsoft 365 E3 und Office 365 E3 enthalten. Die automatische Kennzeichnung anhand von Inhalten, etwa wenn ein Dokument Kontonummern oder Gesundheitsdaten enthält, erfordert höhere Lizenzen wie Microsoft 365 E5 oder das Zusatzpaket „Microsoft 365 E5 Information Protection and Governance“. Lizenzbedingungen ändern sich, deshalb sollte der Stand vor einer Entscheidung geprüft werden.
Ein pragmatischer Einstieg für den Mittelstand: vier Bezeichnungen anlegen, „Intern“ als Standard setzen, nur „streng vertraulich“ verschlüsseln und einige Wochen mit einer Pilotgruppe testen. Verschlüsselung sollte man vorsichtig einführen, weil sie Zusammenarbeit mit Externen, mobile Geräte und manche Fachanwendungen beeinflussen kann. Planen Sie außerdem, wer bei Problemen mit verschlüsselten Dateien hilft, etwa wenn ein Externer ein Dokument nicht öffnen kann.
Der Zusammenhang mit Copilot
Spätestens mit Microsoft 365 Copilot wird Klassifizierung praktisch relevant. Copilot sieht nur, worauf der angemeldete Nutzer ohnehin Zugriff hat. Das klingt beruhigend, ist es aber nur, wenn die Berechtigungen stimmen. Wie schnell ein KI-Assistent zu weit offene Freigaben sichtbar macht, beschreibt unser Beitrag Copilot findet den Gehaltsordner.
Vertraulichkeitsbezeichnungen setzen hier eine zusätzliche Grenze. Laut Microsoft gilt:
- Ist ein Dokument durch eine Bezeichnung verschlüsselt, braucht der Nutzer neben dem Leserecht auch das Nutzungsrecht zum Kopieren von Inhalten (EXTRACT), damit Copilot Inhalte daraus wiedergibt.
- Erstellt Copilot aus gekennzeichneten Dokumenten neue Inhalte, kann die Bezeichnung auf das neue Dokument übertragen werden.
- Mit einer DLP-Richtlinie lässt sich verhindern, dass Copilot bestimmte gekennzeichnete Dateien und E-Mails zusammenfasst; Copilot verweist dann nur per Link auf das Dokument.
Klassifizierung ersetzt aber kein sauberes Berechtigungskonzept. Beides gehört zusammen: Berechtigungen regeln, wer an ein Dokument herankommt, Bezeichnungen regeln, was mit dem Inhalt geschehen darf.
Checkliste: Erste Schritte
- Modell mit vier Stufen und einer Standardstufe festlegen und von der Geschäftsführung beschließen lassen.
- Für jede Stufe drei bis fünf konkrete Regeln formulieren, etwa zu E-Mail, Speichermedien und KI-Diensten.
- Fachbereiche als Dateneigentümer benennen und ihre Ablageorte einer Stufe zuordnen.
- Berechtigungen auf Ablageorten mit hoher Stufe prüfen und bereinigen.
- Lizenzstand in Microsoft 365 prüfen und Vertraulichkeitsbezeichnungen mit einer Pilotgruppe einführen.
- Verschlüsselung zunächst nur für „streng vertraulich“ aktivieren und Auswirkungen testen.
- Mitarbeitende mit Beispielen aus dem eigenen Haus schulen.
- Vor einer Copilot-Einführung Klassifizierung und Berechtigungen gemeinsam prüfen.
Wie DAVINCI unterstützt
Wir helfen beim Entwurf eines passenden Stufenmodells, bei der Bereinigung von Berechtigungen und bei der Einrichtung von Vertraulichkeitsbezeichnungen in Microsoft 365. Wenn Sie Copilot einführen möchten, verbinden wir das mit der Vorbereitung unter Microsoft 365 Copilot. Sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Was ist Datenklassifizierung?
Datenklassifizierung ist die Einteilung von Informationen nach ihrem Schutzbedarf in wenige, klar benannte Stufen, verbunden mit Regeln, was mit Daten jeder Stufe erlaubt ist. Sie beantwortet für jedes Dokument die Frage, wer es sehen darf und wie es gespeichert, geteilt und versendet werden darf. Technik wie Vertraulichkeitsbezeichnungen setzt diese Entscheidung um, trifft sie aber nicht.
Welche Stufen der Datenklassifizierung gibt es?
Eine verbindliche Anzahl gibt es nicht; gängig sind drei bis fünf Stufen, etwa öffentlich, intern, vertraulich und streng vertraulich. Entscheidend ist, dass sich die Stufen im Alltag klar unterscheiden lassen und jeder Stufe konkrete Regeln zugeordnet sind. Vier Stufen sind für den Mittelstand ein guter Kompromiss zwischen Genauigkeit und Verständlichkeit.
Müssen wir alle bestehenden Dateien nachträglich kennzeichnen?
Nein. Sinnvoll ist, mit neuen Dokumenten und den wichtigsten Ablageorten zu beginnen. Bestandsdaten mit hohem Schutzbedarf, etwa Personal- und Finanzordner, sollten Sie gezielt nachziehen, den Rest über die Standardstufe abdecken.
Worin unterscheiden sich Klassifizierung und Kategorisierung?
Die Kategorisierung ordnet Daten nach ihrer Art oder Herkunft, etwa Personaldaten, Finanzdaten oder Konstruktionsdaten. Die Klassifizierung bewertet, wie schutzbedürftig sie sind. Beides ergänzt sich: Eine Kategorie wie „Personaldaten“ lässt sich pauschal einer hohen Stufe zuordnen, was die Einstufung im Alltag vereinfacht.
Ist Datenklassifizierung nach DSGVO vorgeschrieben?
Eine ausdrückliche Pflicht zur Klassifizierung in dieser Form gibt es für die meisten Unternehmen nicht. Sie hilft aber, Pflichten wie angemessene technische und organisatorische Maßnahmen nach DSGVO nachvollziehbar umzusetzen, weil sie den Schutzbedarf personenbezogener Daten sichtbar macht. Im Einzelfall sollten Sie Ihren Datenschutzbeauftragten einbeziehen.
Verwandte Themen: Wer hier weiterdenkt, liest bei Microsoft 365 Copilot, TISAX-Vorbereitung und Data Loss Prevention weiter.
Im Text erwähnt
Quellen
- Microsoft Purview service description (Sensitivity labeling) · Microsoft Learn
- Microsoft Purview data security and compliance protections for AI apps · Microsoft Learn
- Microsoft 365 Copilot considerations for Purview · Microsoft Learn
