Datenklassifizierung bezeichnet den Prozess, Daten nach ihrer Sensitivität, ihrem Schutzbedarf und ihrer Kritikalität in definierte Kategorien einzuteilen – mit dem Ziel, jedem Datensatz die angemessenen Schutzmaßnahmen, Zugriffsrechte, Aufbewahrungsfristen und Handhabungsregeln zuordnen zu können. Datenklassifizierung ist der erste Schritt jeder Datenschutz- und Informationssicherheitsstrategie: Man kann Daten nicht schützen, wenn man nicht weiß, welche Daten überhaupt schützenswert sind und in welchem Maß.
Für Automatisierungsprojekte ist Datenklassifizierung essenziell: Jeder Workflow, der Daten verarbeitet, sollte wissen, mit welcher Klasse von Daten er umgeht – das bestimmt, welche Sicherheitsmaßnahmen erforderlich sind, wer Zugriff haben darf und wie die Daten nach Verarbeitung behandelt werden müssen.
Klassifizierungsstufen in der Unternehmenspraxis
Öffentlich Keine Vertraulichkeit: Daten, die für die Öffentlichkeit bestimmt sind oder deren Bekanntwerden keinen Schaden verursacht. Marketingmaterialien, veröffentlichte Berichte, allgemeine Produktinformationen.
Intern Nur für Mitarbeiter: Normale Geschäftsdaten, die nicht öffentlich sein sollen, aber deren Verlust keinen erheblichen Schaden verursacht. Interne Prozessdokumente, allgemeine Geschäftskommunikation.
Vertraulich Streng geschützt: Daten, deren Bekanntwerden dem Unternehmen oder Personen erheblich schaden könnte. Kundendaten, Finanzdaten, Vertragsdetails, Personaldaten, Geschäftsgeheimnisse.
Streng vertraulich Höchste Schutzstufe: Daten, deren Offenlegung kritischen Schaden verursachen würde. Strategische Planungen, M&A-Vorhaben, Quellcode kritischer Systeme, besondere Kategorien personenbezogener Daten (DSGVO Art. 9).
Datenklassifizierung in der Automatisierung umsetzen
- Klassifizierungs-Metadaten: Datensätze und Datenfelder werden mit ihrer Klassifizierungsstufe getaggt – in Datenbanken, Dokumenten und API-Schnittstellen
- Automatische Klassifizierung: ML-Modelle können Dokumente und Datensätze automatisch klassifizieren – besonders wertvoll bei großen Datenmengen oder unstrukturierten Daten
- Workflow-Anpassung je Klasse: Automatisierungsworkflows verhalten sich abhängig von der Datenklasse – vertrauliche Daten werden nicht in externe Systeme übertragen, streng vertrauliche Daten werden zusätzlich verschlüsselt
- Zugriffssteuerung durch Klassifizierung: Zugriffsrechte werden aus der Datenklasse abgeleitet – nur Workflows und Nutzer mit entsprechender Freigabe dürfen auf höhere Klassifizierungsstufen zugreifen
Praxisbeispiel
Ein Automationsdienstleister führt Datenklassifizierung für alle verarbeiteten Datenfelder ein. Ergebnis für den Rechnungsverarbeitungs-Workflow: IBAN des Lieferanten (Vertraulich) → darf nicht in Logs geschrieben werden, verschlüsselte Übertragung erforderlich. Rechnungsbetrag (Intern) → in Logs erlaubt, Standard-Übertragung. Lieferantenname (Intern) → Standard. Banklaufzeit (Öffentlich) → keinerlei Einschränkungen. Konsequenz für den Workflow: IBAN-Felder werden vor dem Logging automatisch maskiert (nur letzte 4 Stellen sichtbar). Übertragung an externe Systeme nur über verschlüsselte API-Verbindungen. Separater Audit-Log nur für IBAN-Zugriffe mit vollem Wert. Klassifizierung macht implizite Sicherheitsentscheidungen explizit und nachvollziehbar.
