Datenklassifizierung erklärt: Öffentlich, Intern, Vertraulich und Eingeschränkt

Warum Datenklassifizierung wichtig ist

Nicht jede Information verdient denselben Schutzgrad. Ein öffentlicher Blogbeitrag, eine interne Planungnotiz, ein Kundenvertrag und ein Produktionsgeheimnis sollten nicht gleich behandelt werden. Das ist der Zweck der Datenklassifizierung: Informationen nach Sensibilität und geschäftlicher Auswirkung zu kennzeichnen, damit Personen wissen, wie sie sie speichern, teilen und schützen sollen.

Es gibt kein einheitliches universelles Namensschema. Einige Rahmenwerke verwenden Bezeichnungen wie Public, General, Confidential, und Hochvertraulich. Regierungsmethoden können völlig andere Bezeichnungen nutzen. Die Namen können wechseln, aber der Zweck bleibt derselbe: zu verstehen, welchen Schaden es geben könnte, wenn Informationen offengelegt, verändert, verloren oder an die falsche Zielgruppe gesendet werden.

Das Vierstufenmodell

Für viele Teams im Privatsektor funktioniert ein einfaches vierstufiges Modell gut, weil es leicht zu vermitteln und praktisch anzuwenden ist:

• Public
• Internal
• Confidential
• Restricted

Dieses Modell ist nicht das einzig gültige, aber es schafft eine klare Sensitätsleiter. Menschen müssen nicht Dutzende von Bezeichnungen auswendig lernen. Sie brauchen ein Arbeitsmodell, das sie tatsächlich verwenden können, wenn sie eine Datei senden, eine Notiz teilen oder entscheiden, ob ein Chatbot den Inhalt sehen soll.

1. Öffentlich

Public Informationen können außerhalb der Organisation geteilt werden, ohne nennenswerten Vertraulichkeitsschaden zu verursachen. Beispiele umfassen oft öffentliche Blogbeiträge, Pressemitteilungen, veröffentlichte Dokumentation, genehmigte Marketingtexte und öffentlich zugängliche Produktseiten.

Öffentlich bedeutet nicht unbedeutend. Es benötigt weiterhin Integrität und Überprüfung. Aber aus Sicht der Vertraulichkeit ist dies die Klasse mit dem geringsten Risiko.

2. Intern

Internal Informationen sind für die normale Nutzung innerhalb der Organisation vorgesehen. Wenn sie durchsickern, ist der Schaden normalerweise begrenzt, aber sie sind nicht für die öffentliche Verbreitung bestimmt. Interne Richtlinien, Besprechungsnotizen, Onboarding-Material, interne Screenshots und gewöhnliche Projektdokumentation gehören oft hierher.

Hier werden viele Teams nachlässig. „Nicht sehr sensibel“ bedeutet nicht „überall frei teilbar“. Interne Daten gehören weiterhin in genehmigte Systeme und benötigen nach wie vor Zugriffskontrollen.

3. Vertraulich

Confidential Informationen könnten echten Schaden verursachen, wenn sie den falschen Personen offengelegt werden. Kundenakten, Mitarbeiterdaten, nicht-öffentliche Finanzdaten, Verträge, rechtliche Unterlagen, interne Sicherheitsverfahren, nicht-öffentliche Preisgestaltung und privater Quellcode gehören in der Regel in diese Kategorie.

Diese Stufe erfordert normalerweise stärkere Zugriffsbeschränkungen, bessere Prüfprotokolle und engere Freigaberegeln. Wenn eine Offenlegung Kunden, Mitarbeiter, rechtliche Verpflichtungen, Einnahmen oder Vertrauen schädigen könnte, befinden Sie sich wahrscheinlich im Vertraulichkeitsbereich.

4. Eingeschränkt

Restricted Informationen sind die Kategorie mit der höchsten Sensitivität in einem typischen vierstufigen Modell des Privatsektors. Eine Offenlegung könnte schwere geschäftliche, rechtliche, finanzielle, operative oder sicherheitsrelevante Schäden verursachen.

Beispiele können Produktionsgeheimnisse, Root-Zugangsdaten, Verschlüsselungsschlüssel, hochsensible Sicherheitsarchitektur, Fusionsunterlagen, Geschäftsgeheimnisse und die sensibelsten regulierten Datensätze sein. Dies sind Need-to-Know-Informationen mit den strengsten Kontrollen.

Klassifizierung dreht sich um Auswirkung

Eine der nützlichsten Gewohnheiten bei der Datenklassifizierung ist, aufzuhören zu fragen: „Fühlt sich das sensibel an?“ und stattdessen zu fragen: „Was passiert, wenn dies offengelegt, verändert oder an den falschen Ort gesendet wird?“

Ein Dokument kann langweilig aussehen und trotzdem sensibel sein. Eine Tabelle mit Kunden-E-Mails, ein Screenshot mit internen URLs oder eine Textdatei mit API-Geheimnissen sehen vielleicht unauffällig aus, aber die Auswirkungen einer Offenlegung können hoch sein. Kontext ist wichtiger als Emotionen.

Wenn Ihr Hauptproblem bereits Oversharing in Chat-Oberflächen ist, kombinieren Sie dieses Modell mit What You Should Never Share with AI Chatbots damit das Klassifizierungslabel und die konkreten Beispiele sich gegenseitig verstärken.

Klassifizierung sollte Handhabungsregeln steuern

Ein Klassifizierungssystem funktioniert nur, wenn jedes Label das Verhalten ändert. Labels ohne Handhabungsregeln sind Dekoration.

Mindestens sollte jede Stufe einige praktische Fragen beantworten:

• Wer kann darauf zugreifen?
• Wo kann es gespeichert werden?
• Kann es extern per E-Mail versandt werden?
• Kann es in AI-Tools kopiert werden?
• Erfordert es Verschlüsselung, Genehmigung oder Überwachung?

Ein einfaches Arbeitsmodell könnte so aussehen: Öffentlich kann extern geteilt werden, Intern bleibt in firmeninternen genehmigten Bereichen, Vertraulich benötigt eingeschränkten Zugriff und stärkere Freigabebeschränkungen, und Eingeschränkt wird eng kontrolliert mit ausdrücklichen Genehmigungs- und Überwachungserwartungen.

Wie das bei AI-Tools hilft

Einer der größten praktischen Vorteile der Datenklassifizierung ist, dass sie Personen einen ersten Entscheidungsfilter gibt, bevor sie etwas in einen Chatbot einfügen, es an einen Agenten hochladen oder über einen Connector offenlegen.

• Wenn Daten Public, das Teilen mit einem AI-Tool ist in der Regel geringes Risiko aus Sicht der Vertraulichkeit.
• Wenn Daten Internal, kann es dennoch nur in genehmigten geschäftlichen AI-Umgebungen akzeptabel sein, nicht automatisch in persönlichen oder öffentlich zugänglichen Tools.
• Wenn Daten Confidential, sollten sie normalerweise nicht standardmäßig in Verbraucher-AI-Tools gelangen und können eine Redaktion oder einen genehmigten Enterprise-Workflow erfordern.
• Wenn Daten Restricted, ist die sicherste Annahme, dass sie außerhalb allgemeiner AI-Tools bleiben sollten, es sei denn, es gibt einen eng kontrollierten und ausdrücklich genehmigten Prozess.

Wenn Sie die datenschutzkontrollseitige Entscheidung benötigen, lesen Sie AI-Chat-Datenschutzeinstellungen . Wenn Ihre Sorge externe Aktionen, Tools oder Integrationen betrifft, fügt der Sicherheitsleitfaden zu GPTs, Agenten und MCP-Connectoren die Vertrauensgrenzenperspektive hinzu.

Ein praktischer Weg, Informationen zu klassifizieren

Wenn Sie unsicher sind, wie etwas zu klassifizieren ist, reicht normalerweise ein kurzer auswirkungsbasierter Test:

1. Ist es für die Öffentlichkeit bestimmt? Wenn ja, ist es wahrscheinlich Öffentlich.
2. Würde eine öffentliche Offenlegung wenig oder begrenzten Schaden verursachen? Wenn ja, kann es intern sein.
3. Würde eine Offenlegung Kunden, Mitarbeiter, rechtliche Verpflichtungen, Operationen oder Vertrauen schaden? Wenn ja, ist es wahrscheinlich Vertraulich.
4. Würde eine Offenlegung schweren Schaden verursachen oder den höchsten Schutz erfordern? Wenn ja, ist es wahrscheinlich Eingeschränkt.

Dieser Ablauf ist nicht perfekt, aber er ist weitaus besser als zu raten. Das Hauptziel ist, Menschen dazu zu bringen, innezuhalten, bevor sie Informationen in das falsche System teilen.

Häufige Fehler

Ein häufiger Fehler ist, alle nicht-öffentlichen Informationen als gleich sensibel zu behandeln. Ein weiterer ist die Übernutzung des obersten Labels, bis es an Bedeutung verliert. Beide Probleme schwächen die Klassifizierung.

Ein dritter Fehler ist zu vergessen, dass Kontext die Sensibilität verändert. Ein harmlos aussehender Screenshot, ein Transkript oder eine Tabelle kann identifizierend werden, sobald Namen, Zeitstempel, interne Referenzen oder verknüpfte Metadaten enthalten sind.

Offizielle Referenzen und weiterführende Literatur

• Microsoft Learn: Datenklassifizierung und Taxonomie der Sensitivitätskennzeichnungen
• Microsoft Learn: Lernen Sie etwas über Sensitivitätskennzeichnungen
• Microsoft Learn: Konzepte von Klassifizierungsbezeichnungen
• Cyera: Was sind die vier Stufen der Datenklassifizierung?
• National Archives: Controlled Unclassified Information
• GOV.UK: Government Security Classifications Policy
• OWASP: Top 10 für LLM-Anwendungen

Häufig gestellte Fragen