Informationsklassifizierung

Die Informationsklassifizierung ist ein zentraler Baustein eines Informationssicherheits-Managementsystems (ISMS) und beschreibt das systematische Einstufen von Informationen in zuvor definierte Schutzstufen. Grundlage ist der Schutzbedarf, der sich aus den klassischen Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit ableitet. Typische Stufenschemata reichen etwa von "öffentlich" über "intern" und "vertraulich" bis "streng vertraulich"; entscheidend ist nicht die Anzahl der Stufen, sondern dass jede Stufe eindeutig definiert ist und sich an den möglichen Schäden bei einer Verletzung der Schutzziele orientiert.

Zur Klassifizierung gehören untrennbar Kennzeichnungsregeln und Handhabungsvorgaben. Die Kennzeichnung macht die Einstufung für alle Beteiligten sichtbar, etwa durch Fuß- oder Kopfzeilen in Dokumenten, Metadaten in Dateien oder Vermerke in E-Mails. Die Handhabungsvorgaben legen je Schutzstufe fest, wie Informationen gespeichert, übermittelt, kopiert, aufbewahrt und vernichtet werden dürfen, einschließlich Anforderungen an Verschlüsselung, Zugriffskontrolle und Transportwege. So wird sichergestellt, dass der einmal festgestellte Schutzbedarf über den gesamten Lebenszyklus der Information konsistent durchgesetzt wird.

Normativ ist die Informationsklassifizierung fest verankert: ISO/IEC 27001 fordert in Anhang A entsprechende Maßnahmen zur Klassifizierung und Kennzeichnung von Informationen, der BSI IT-Grundschutz adressiert sie im Baustein zum Schutzbedarf, und mittelbar verlangen auch Regelwerke wie die NIS2-Richtlinie und TISAX angemessene Maßnahmen zum Schutz von Informationen nach ihrem Wert. Eine gepflegte Klassifizierung ist zudem Voraussetzung für wirksames Asset-Management, risikobasierte Maßnahmenauswahl und den Nachweis der Wirksamkeit gegenüber Auditoren und Aufsichtsbehörden.