Datenklassifizierungsebenen: 4 Ebenen mit Beispielen

Laut Angaben der britischen Regierung meldeten vier von zehn britischen Unternehmen (43 %) und drei von zehn Wohltätigkeitsorganisationen (30 %) in den letzten zwölf Monaten einen Cybersicherheitsvorfall oder -angriff. Umfrage zu Cybersicherheitsverstößen 2025Das ist zwar eine britische Studie, aber die Aussage trifft auch anderswo zu. Die meisten Mitarbeiter können Informationen, die sie nicht benennen dürfen, nicht schützen, und die Frage „Ist diese Tabelle intern oder vertraulich?“ stellt sich lange bevor jemand angegriffen wird.

Dieser Beitrag stellt Ihnen die vier Datenklassifizierungsstufen vor, die die meisten Organisationen verwenden: Öffentlich, Intern, Vertraulich und Eingeschränkt. Jede Stufe wird anhand von fünf Beispielen und einer entsprechenden Handhabungsregel erläutert. Anschließend wird der Bezug zu zwei formalen Systemen aufgezeigt, sodass Sie Konventionen und Standards unterscheiden können.

Was ist Datenklassifizierung?

Die Datenklassifizierung ist eine Kennzeichnung, die festlegt, wie mit einer Information umzugehen ist. Diese Kennzeichnung wird einem Dokument, einer Datei oder einem Datensatz hinzugefügt und verweist auf eine Regel: Wer darf die Information einsehen, wie darf sie versendet und wie wird sie gespeichert?

Es gibt keine einheitliche Liste von Stufen, die für jede Organisation vorgeschrieben ist. Die vier unten aufgeführten Stufen stellen eine gängige Methode zur Festlegung einer Richtlinie dar und sind kein vom NIST oder einer Regierung definierter Standard. Ihre eigene Richtlinie kann drei, fünf oder andere Stufen verwenden; der Datenverantwortliche entscheidet, welche Bezeichnung am besten passt. Die Beispiele sind allgemein gehalten; verwenden Sie daher Ihre eigenen Dokumente, wenn Sie sie schulen.

Runde 1: Öffentlich (5 Beispiele)

Öffentliche Informationen sind dazu bestimmt, von jedem eingesehen zu werden. Ihre Weitergabe außerhalb der Organisation schadet nicht.

Behandlungsregel: Es gibt keine Einschränkungen beim Weiterverbreiten, aber nur der Eigentümer veröffentlicht es, und es bleibt korrekt.

1. Eine veröffentlichte Pressemitteilung.
2. Eine Stellenanzeige.
3. Eine Produktbroschüre.
4. Ein öffentlicher blog Post.
5. Die veröffentlichten Preise finden Sie auf der Website.

Unsere Wahl: die Stellenanzeige. Viele behandeln es als heikel, weil es von der Personalabteilung stammt. Es wurde aber für ein fremdes Publikum verfasst und ist daher öffentlich.

Runde 2: Intern (5 Beispiele)

Interne Informationen sind für Mitarbeiter der Organisation bestimmt. Sie sind nicht geheim, aber nicht für Außenstehende.

Behandlungsregel: Nur für Mitarbeiter, innerhalb der firmeninternen Systeme gespeichert und ohne Zustimmung des Eigentümers nicht nach außen weitergegeben.

1. Das Mitarbeiterverzeichnis.
2. Ein interner Newsletter.
3. Besprechungsnotizen.
4. Ein Grundsatzdokument.
5. Ein Projektplan.

Unsere Wahl: Besprechungsnotizen. Sie sehen harmlos aus, enthalten aber oft Kundennamen, Preise oder Personennamen. Prüfen Sie den Inhalt, bevor Sie sie an einen Lieferanten weiterleiten.

Runde 3: Vertraulich (5 Beispiele)

Vertrauliche Informationen könnten echten Schaden anrichten, wenn sie in die falschen Hände gerieten, wie zum Beispiel Kundenverluste, rechtliche Konsequenzen oder eine schwächere Verhandlungsposition.

Behandlungsregel: Nur an Personen, die es unbedingt benötigen, die Daten werden verschlüsselt versendet und über zugelassene Tools weitergegeben, nicht über private E-Mails.

1. Eine Kundenliste.
2. Ein unterzeichneter Vertrag.
3. Eine Finanzprognose.
4. Eine Leistungsbeurteilung.
5. Preise des Lieferanten.

Unsere Wahl: die Kundenliste. Es lässt sich leicht exportieren und in eine E-Mail einfügen. Ein einziger Beleg liefert Ihrem Konkurrenten Ihren gesamten Kundenstamm.

Runde 4: Beschränkt (5 Beispiele)

Die Zugriffsstufe „Eingeschränkt“ ist die strengste. Ein Datenleck könnte der Organisation oder Einzelpersonen ernsthaften Schaden zufügen, daher ist der Zugriff auf namentlich genannte Personen beschränkt.

Behandlungsregel: Nur namentlich genannte Personen, strengste Kontrollen und protokollierter Zugriff.

1. Passwörter und Schlüssel.
2. Zahlungskartendaten.
3. Gesundheitsakten.
4. Noch nicht veröffentlichte Finanzergebnisse.
5. Details zum Sicherheitsvorfall.

Unsere Empfehlung: Zugangsdaten in einem gemeinsam genutzten Dokument. Die meisten kennen diesen Fehler aus ihrem eigenen Team. Ein Passwort für ein freigegebenes Tabellenblatt wird als vertrauliche Information behandelt und so gespeichert, als wäre es intern.

Wie die Ebenen formalen Systemen zugeordnet werden

Die vier Ebenen sind eine Konvention, daher entspricht keines der formalen Schemata ihnen eins zu eins. Die Tabelle zeigt die beste Übereinstimmung. Betrachten Sie die Zuordnung als Näherungswert.

FIPS199 definiert nicht vier Stufen. Es definiert drei Stufen potenzieller Auswirkungen (niedrig, mittel und hoch) auf föderale Informationen und Informationssysteme, basierend darauf, wie viel Schaden ein Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit verursachen würde (NIST FIPS 199Eine geringfügige Nebenwirkung ist gering, eine schwerwiegende mäßig und eine schwere oder katastrophale hoch.

Die Sicherheitsklassifizierungspolitik der britischen Regierung Es werden drei Stufen verwendet: OFFIZIELL, GEHEIM und STRENG GEHEIM. Die GOV.UK-Seite wurde zuletzt am 5. August 2024 aktualisiert. OFFIZIELL umfasst die meisten Regierungsinformationen, und „-SENSITIVE“ ist eine zusätzliche Kennzeichnung für OFFIZIELLE Informationen, deren Offenlegung größeren Schaden anrichten könnte. Die Richtlinie besagt, dass es sich nicht um ein gesetzliches System handelt (GOV.UK: Sicherheitsklassifizierungen der Regierung).

Das US-Nationalarchiv führt außerdem ein Register der kontrollierten, nicht klassifizierten Informationen (Controlled Unclassified Information, CUI). Es handelt sich dabei um eine Liste von Kategorien, die nach Themen wie kritischer Infrastruktur, Verteidigung und Finanzen gruppiert sind, und nicht um eine Hierarchie von Stufen (NARA CUI-RegisterWenn Ihre Organisation Informationen der US-Regierung verarbeitet, lesen Sie bitte in Ihrem Vertrag nach, welche Kategorien gelten.

Kennzeichnung und Handhabung

Eine Bezeichnung ist nur dann hilfreich, wenn sie von allen gleich angewendet wird. Vier Gewohnheiten sorgen für Einheitlichkeit.

1. Bei der Erstellung kennzeichnen. Der Autor weiß am besten, was sich in der Datei befindet. Bitten Sie ihn daher, dies beim Speichern zu kennzeichnen.
2. Im Zweifelsfall die höhere Stufe wählen. Die Einstufung einer Datei als vertraulich kostet etwas Zeit. Die Einstufung vertraulicher Daten als intern kann einem Kunden Kosten verursachen.
3. Niemals ohne Zustimmung des Eigentümers herabstufen. Nur der Dateninhaber kann, sofern er die Richtlinien befolgt, ein Label herabstufen.
4. Bei Änderung der Sensitivität neu klassifizieren. Eine Prognose ist vertraulich, solange die Ergebnisse nicht veröffentlicht werden, und kann anschließend öffentlich zugänglich gemacht werden.

Diese Gewohnheiten sind wichtig, da Sicherheitslücken häufig vorkommen. Laut der oben genannten Umfrage meldeten 43 % der britischen Unternehmen im vergangenen Jahr einen solchen Vorfall. Eine Datei ohne Beschriftung ist eine Datei, deren Schutzbedarf niemand erkannt hat. Mehr zum menschlichen Aspekt von Angriffen finden Sie in unserem Beitrag zu diesem Thema. Beispiele für Social Engineering.

Möglichkeiten zur Durchführung eines Klassifizierungsquiz mit AhaSlides

Die vier Stufen lassen sich in einer 20-minütigen Sitzung vermitteln. Da die Teilnehmer aktiv mitwirken, prägen sich die Regeln besser ein als anhand eines schriftlichen Richtlinien-PDFs. Erstellen Sie jede Folie anhand der obigen Beispiele.

1. Antwort auswählen: „Welcher Schwierigkeitsstufe entspricht dieses Dokument?“ Zeigen Sie ein Beispiel aus jeder Runde, fügen Sie eine Rangliste hinzu und vergeben Sie die Punkte für die richtige Schwierigkeitsstufe.
2. Wortwolke: „Was ist das sensibelste, womit Sie arbeiten?“ Die Antworten zeigen, welche Ihrer Teams täglich mit vertraulichen oder eingeschränkten Daten arbeiten.
3. Bewertungsskala: „Wie sicher fühlen Sie sich beim Beschriften einer Datei?“ Bewerten Sie von 1 bis 5 und kontaktieren Sie anschließend die Personen mit den niedrigsten Punktzahlen.
4. Offen, anonym: „Welche Frage möchten Sie dem Sicherheitsteam stellen?“ Die Leute stellen Fragen, die sie nicht laut aussprechen würden.

Sie suchen nach weiteren Möglichkeiten, es auszuführen? Siehe Sensibilisierung für Cybersicherheit, IT-Sicherheits- und Phishing-Pulschecks in Slack und KI-Dokumentation und DatenschutzschulungDie Kursvorlage für Datenklassifizierung und -verarbeitung bietet Ihnen fertige Folien zur individuellen Anpassung.

Häufig gestellte Fragen

Welche vier Ebenen der Datenklassifizierung gibt es?

Die gängigste Kategorisierung lautet: öffentlich, intern, vertraulich und eingeschränkt. Jede Organisation legt jedoch ihre eigene Kategorisierung fest. Informationen, die öffentlich zugänglich sind, können mit jedem geteilt werden, Informationen, die intern bleiben, sind nur für bestimmte Personen bestimmt, vertrauliche Informationen sind nur für diejenigen bestimmt, die sie benötigen, und eingeschränkte Informationen sind nur für namentlich genannte Personen bestimmt.

Gibt es einen Standardsatz von Datenklassifizierungsebenen?

Nein, es gibt keinen einheitlichen Standard. FIPS 199 definiert drei Gefährdungsstufen (niedrig, mittel und hoch) für US-amerikanische Bundesbehörden, und die britische Regierung verwendet ihre eigenen drei Klassifizierungen: OFFIZIELL, GEHEIM und STRENG GEHEIM. Private Organisationen wählen ihre eigenen Stufen, wobei vier Stufen ein gängiges Muster sind.

Was sind Beispiele für vertrauliche Daten?

Kundenlisten, Verträge, Finanzprognosen und Leistungsbeurteilungen. Auch Lieferantenpreise gehören hierher. Alle diese Informationen könnten erheblichen Schaden anrichten, wenn sie in die falschen Hände gerieten. Daher werden sie nur an Personen weitergegeben, die sie unbedingt benötigen.

Worin besteht der Unterschied zwischen vertraulichen und eingeschränkten Daten?

Die Zugriffsstufe „Eingeschränkt“ ist die strengste und auf namentlich genannte Personen beschränkte Stufe mit den umfassendsten Kontrollmechanismen. Vertrauliche Daten werden nur mit denjenigen geteilt, die sie für ihre Arbeit benötigen. Eingeschränkte Daten, wie Passwörter oder Zahlungskartendaten, sind nur einem deutlich kleineren Personenkreis zugänglich, und der Zugriff darauf wird protokolliert.

Wer entscheidet über die Klassifizierung von Daten?

Der Dateninhaber richtet sich nach den Richtlinien der Organisation. In der Regel vergibt der Autor zuerst das Label, das dann vom Inhaber bestätigt oder geändert wird. Mitarbeiter sollten Labels nicht eigenständig herabstufen.

Wo soll ich anfangen

Wählen Sie ein Team aus, ordnen Sie dessen 10 häufigsten Dateien den 4 Stufen zu und führen Sie das Quiz durch, um die unterschiedlichen Antworten zu ermitteln. Diese Unterschiede zeigen Ihnen, welche Beispiele Ihre Richtlinie benötigt.