Datenklassifizierung

Die meisten Organisationen können nicht alles auf höchster Stufe schützen. Das ist zu teuer und lähmt die normale Arbeit. Die Klassifizierung löst dieses Problem, indem sie eine vorgelagerte Frage beantwortet: Welche Daten brauchen tatsächlich welchen Schutz? Sobald ein Dokumentbestand eine Sensibilitätsstufe trägt, kann sich jede nachgelagerte Kontrolle auf diese Stufe beziehen, statt Fall für Fall neu zu entscheiden. Eine Richtlinie wie „sende keine streng vertraulichen Daten an externe Empfänger“ wird so über E-Mail, Web-Uploads, Cloud-Speicher und Wechselmedien durchsetzbar, weil das Label mit den Daten reist.

Dieselbe Logik trägt die Data Loss Prevention (DLP), die wissen muss, was sie schützt, bevor sie etwas blockieren kann. Die meisten Schemata beginnen bei den sensiblen Daten und arbeiten sich von dort nach unten.

Schemata unterscheiden sich je nach Branche, doch die meisten lassen sich auf drei bis fünf Stufen reduzieren:

Behördliche und militärische Schemata ergänzen formale Kennzeichnungen und Handhabungshinweise, doch die Logik bleibt gleich: Weniger Kategorien, konsequent angewendet, schlagen fein gegliederte Kategorien, die uneinheitlich angewendet werden.

Es gibt vier Methoden, eine Stufe zuzuweisen. Bei der manuellen Klassifizierung wählt der Autor die Stufe beim Erstellen oder Speichern eines Dokuments, meist über eine Label-Auswahl in der Anwendung. Das ist genau, wenn Nutzer geschult und motiviert sind, in großen Umgebungen aber uneinheitlich.

Bei der automatisierten Klassifizierung prüfen Werkzeuge den Inhalt und vergeben eine Stufe anhand von Mustern: Treffer bei Schlüsselwörtern und Wörterbüchern, reguläre Ausdrücke für strukturierte Kennungen wie Kartennummern oder Ausweisnummern, Dokument-Fingerabdrücke und -vorlagen sowie statistische oder Machine-Learning-Modelle.

Die kontextbasierte Klassifizierung leitet die Stufe aus dem Speicherort der Daten oder ihrem Urheber ab, etwa aus einem Repository, einer Abteilungsfreigabe oder einer Anwendung, die bekanntermaßen regulierte Datensätze enthält. Die vererbte Klassifizierung übernimmt für abgeleitete Dateien die Stufe ihrer Quelle, sodass Exporte, Kopien und Anhänge unter Kontrolle bleiben.

In der Praxis werden die Methoden kombiniert: Die Automatisierung schlägt vor, Nutzer bestätigen oder überschreiben, und der Kontext liefert einen Mindestwert, sodass nichts ohne Label bleibt. Das Label, das das Ergebnis trägt, wird unter Datenkennzeichnung beschrieben.

Jede Methode tauscht Aufwand gegen Einheitlichkeit. Die Tabelle zeigt, wo welche Methode passt.

Klassifizierung ist eine Kontrollfläche, keine Garantie. Drei Fehlermuster wiederholen sich. Abdeckungslücken lassen alte unstrukturierte Daten ohne Label, sodass Richtlinien sie nie sehen. Labelverlust tritt ein, wenn Kopieren, Screenshots oder Einfügen in einen Chat den Inhalt weitertragen, das Label aber verloren geht. Drift bedeutet, dass Daten einmal klassifiziert und nie wieder geprüft werden: Altes bleibt überschützt, Neues unterschützt.

Deshalb wird inhaltsbewusste Durchsetzung meist mit Labels kombiniert. Eine Kontrolle, die sensible Inhalte direkt erkennt, funktioniert weiter, wenn das Label fehlt oder veraltet ist, was am meisten bei unstrukturierten Daten zählt, die niemand gelabelt hat.

In der Konsole von Anexet DLP kann eine Sperrregel eine Label-Bedingung mit einer Textbedingung kombinieren, und Schlüsselwortsets liefern die Textübereinstimmungen. Beides wird im Regeleditor der inhaltsbasierten Sperrung eingestellt.

1 / 2

• 
• 

Regulatorische Rahmenwerke schreiben selten ein bestimmtes Schema vor, setzen aber eines voraus. Die Pflichten der DSGVO (GDPR) gelten für personenbezogene Daten und besondere Kategorien; Branchenregeln decken Zahlungs-, Gesundheits- und Finanzdaten ab. Die Klassifizierung zeigt, welche Pflichten für welche Daten gelten. Sie ist die praktische Grundlage für Anfragen betroffener Personen, Aufbewahrungsfristen und die Bewertung von Meldungen bei Datenschutzverletzungen.

Beginnen Sie bei den Daten, deren Abfluss den größten Schaden anrichten würde, und kartieren Sie danach die Kanäle, die diese Daten tatsächlich nutzen. Richtlinien, die auf einmal für jede Datei geschrieben werden, blockieren am Ende die Arbeit und werden abgeschaltet. Halten Sie die Zahl der Stufen so klein, dass Menschen ohne Handbuch richtig wählen, und halten Sie jede Entscheidung in einem beschreibenden Label fest.

Weiterlesen: Zugriffsaudit für vertrauliche Daten und Discretionary Access Control.