Datenklassifizierung: Leitfaden für sensible Daten

Datenklassifizierung ist der Vorgang, Datenbestände nach Sensibilität, Inhaltstyp, regulatorischen Anforderungen oder Geschäftswert in definierte Kategorien einzuordnen. Indem Organisationen Klassifizierungslabels an Datensätze, Tabellen, Spalten und Dateien vergeben, schaffen sie eine systematische Grundlage für Zugriffskontrolle, Datenschutz, Compliance und Risikomanagement. Ohne Klassifizierung ist Data Governance im Kern Raterei: Teams können nicht schützen, was sie nicht erkennen, und keine Vorschrift einhalten, deren Einhaltung sie nicht belegen können.

Warum Datenklassifizierung zählt

Klassifizierung ist die Voraussetzung für fast jede nachgelagerte Data-Governance-Tätigkeit. Data Masking setzt voraus zu wissen, welche Spalten sensible Daten enthalten. Zugriffskontrolle setzt voraus zu wissen, welche Datensätze unter welche Sensibilitätsstufe fallen. DSGVO- und CCPA-Compliance setzt voraus, genau zu wissen, wo in der Organisation personenbezogene Daten liegen. Aufbewahrungsrichtlinien setzen voraus zu wissen, welche Daten einer gesetzlichen Aufbewahrungspflicht unterliegen. Klassifizierung liefert die Metadatengrundlage, die all diese Richtlinien überhaupt ausführbar macht.

Der Umfang heutiger Datenlandschaften macht manuelle Verwaltung unmöglich. Eine große Organisation hat vielleicht Hunderte Datenbanken, Tausende Tabellen und Millionen Spalten, verteilt über Cloud-Data-Warehouses, Data Lakes, SaaS-Anwendungen und Systeme im eigenen Rechenzentrum. Ohne automatisierte Klassifizierung hat das Data-Governance-Team keinen systematischen Weg, um zu erkennen, wo sensible Daten liegen, welche Vorschriften für sie gelten oder ob passende Kontrollen greifen.

Über Compliance hinaus ermöglicht Klassifizierung angemessene Sicherheit. Nicht alle Daten verdienen denselben Schutz. Maximale Sicherheitskontrollen auf jeden Datensatz anzuwenden ist unbezahlbar und im Betrieb nicht praktikabel. Klassifizierung erlaubt es, starke Kontrollen dort zu setzen, wo sie wirklich gebraucht werden, nämlich bei sensiblen personenbezogenen Daten, Finanzdaten und vertraulichem geistigem Eigentum, und gleichzeitig den reibungslosen Zugang zu öffentlichen und internen Daten zu erhalten, deren breite Nutzung kaum Risiko birgt.

Klassifizierungsstufen: ein gängiger Rahmen

Die meisten Organisationen nutzen ein gestuftes Klassifizierungsmodell mit drei bis fünf Stufen. Das verbreitetste vierstufige Modell arbeitet mit diesen Stufen:

• Öffentlich - Informationen, die für den uneingeschränkten öffentlichen Zugang gedacht sind. Dazu gehören veröffentlichte Marketingmaterialien, Inhalte der Website, Pressemitteilungen und offene Datensätze. Öffentliche Daten lassen sich ohne Einschränkung teilen und brauchen keine besonderen Schutzmaßnahmen.
• Intern - Informationen, die für die Nutzung innerhalb der Organisation gedacht sind, aber nicht für die Öffentlichkeit. Dazu gehören interne Richtlinien, Betriebsabläufe, Personalverzeichnisse und interne Kommunikation. Interne Daten sollten die Organisation nicht verlassen, brauchen aber nicht denselben Schutz wie vertrauliche oder streng vertrauliche Daten.
• Vertraulich - Sensible Informationen, deren unangemessene Offenlegung erheblichen Schaden anrichten kann. Dazu gehören personenbezogene Kundendaten, Finanzunterlagen, Geschäftsstrategien, Rechtsdokumente und Angaben zur Vergütung von Beschäftigten. Vertrauliche Daten brauchen Zugriffskontrolle, Verschlüsselung bei Übertragung und Speicherung sowie eine Protokollierung der Zugriffe.
• Streng vertraulich - Die sensibelste Kategorie, mit Informationen, deren Offenlegung schweren Schaden anrichten würde: Patientenakten, Zahlungskartendaten, Geschäftsgeheimnisse und Informationen, die einem gesetzlichen Schutz unterliegen. Streng vertrauliche Daten brauchen die stärksten verfügbaren Kontrollen, strikten Zugriff nach dem Kenntnisprinzip und eine zusätzliche Aufsicht über jede Bewegung oder Verarbeitung.

Das vierstufige Modell ist ein Ausgangspunkt, keine Vorschrift. Stark regulierte Branchen wie Gesundheitswesen, Finanzdienstleistungen und öffentlicher Sektor brauchen oft feinere Modelle, die branchenspezifische regulatorische Kategorien abbilden. Organisationen sollten der Versuchung widerstehen, übermäßig komplexe Modelle mit vielen feinen Stufen zu bauen. Ein Modell, das sich niemand merken und konsistent anwenden kann, ist schlechter als ein einfacheres, das tatsächlich genutzt wird.

Klassifizierung nach Datentyp: PII, PHI und Finanzdaten

Neben Sensibilitätsstufen werden Daten häufig nach Inhaltstyp klassifiziert, vor allem für Compliance-Zwecke. Personally Identifiable Information (PII) sind alle Angaben, mit denen sich eine bestimmte Person identifizieren lässt, entweder unmittelbar oder in Verbindung mit anderen Daten. Zu den direkten Kennzeichen gehören Name, E-Mail-Adresse, Telefonnummer, Ausweisnummer, Passnummer und Geburtsdatum. Zu den indirekten gehören IP-Adressen, Gerätekennungen, Standortdaten und Verhaltensdaten, die sich über eine Re-Identifizierung auf Personen zurückführen lassen.

Protected Health Information (PHI) umfasst nach HIPAA alle Gesundheitsdaten, die sich einer bestimmten Person zuordnen lassen. Der Safe-Harbor-Standard von HIPAA benennt 18 Kennzeichen, die entfernt werden müssen, damit Gesundheitsdaten als anonymisiert gelten, darunter Namen, geografische Einheiten unterhalb eines Bundesstaats, Daten mit Ausnahme des Jahres mit Bezug zur Person und Fotografien des Gesichts.

Payment Card Industry (PCI) Daten umfassen Kartennummern (PAN), Namen der Karteninhaber, Ablaufdaten und Kartenprüfwerte. PCI DSS stellt strenge Anforderungen an Speicherung, Übertragung und Verarbeitung dieser Daten, darunter das Verbot, CVV- oder CVC-Werte nach der Autorisierung einer Transaktion zu speichern.

Finanzdaten umfassen ein breites Spektrum sensibler Informationen: Bankverbindungen, Steuernummern, Gehaltsangaben, Abschlüsse und Handelsaktivitäten. Für Finanzdaten gelten je nach Rechtsraum und Branche mehrere sich überlagernde Regelwerke.

Methoden der Klassifizierung: manuell, regelbasiert und ML-gestützt

Manuelle Klassifizierung stützt sich auf Data Stewards und Fachexperten, die Datenbestände prüfen und labeln. Für gut verstandene, stabile Datensätze ist sie die genaueste Methode: Ein erfahrener Data Steward, der die Fachdomäne kennt, erkennt sensible Spalten, die automatische Werkzeuge übersehen. Sie skaliert allerdings nicht in großen, bewegten Datenlandschaften. Und sie ist uneinheitlich: Verschiedene Stewards wenden dieselben Maßstäbe unterschiedlich an, und manuelle Labels veralten schnell, sobald neue Datenquellen hinzukommen.

Regelbasierte Klassifizierung erkennt sensible Daten automatisch über Mustererkennung, reguläre Ausdrücke und Stichwortlisten. Beispiele sind das Erkennen von Kreditkartennummern an ihrem 16-stelligen Format und der Luhn-Prüfziffer, das Erkennen von E-Mail-Adressen über ein Muster oder das Markieren von Spalten mit Namen wie „ssn“ oder „tax_id“ als nationale Kennnummern. Regelbasierte Klassifizierung ist schnell, skalierbar und nachvollziehbar: Die Regeln lassen sich prüfen, erklären und anpassen. Ihre Grenze ist die Trennschärfe, denn einfache Muster erzeugen sowohl falsch positive als auch falsch negative Treffer.

ML-gestützte Klassifizierung erkennt sensible Daten mit trainierten Modellen anhand von Spaltenstatistiken, Beispielwerten, Spaltennamen und Kontextsignalen aus benachbarten Spalten und Tabellennamen. ML-Modelle finden sensible Daten auch in Spalten mit unüblichen Namen, erkennen Teiltreffer und kommen mit mehrsprachigen Daten zurecht, an denen Regelwerke scheitern. Moderne ML-gestützte Systeme verbinden Modelle zur Erkennung benannter Entitäten (NER) mit Metadatensignalen wie Mustern in Spaltennamen und statistischen Verteilungen der Werte.

Bewährt ist die Kombination aller drei Ansätze: ML-gestützte Klassifizierung für die Masse, regelbasierte Prüfungen für klar definierte Kategorien wie Kreditkartennummern und E-Mail-Adressen und manuelle Prüfschritte für Vorschläge mit niedriger Konfidenz und Datensätze mit hohem Risiko.

Automatisierte Klassifizierung im großen Maßstab

Für große Datenlandschaften ist automatisierte Klassifizierung der einzige gangbare Weg. Die wesentlichen Fähigkeiten moderner Plattformen dafür sind:

• Erkennen - alle Datenquellen automatisch durchsuchen und inventarisieren, von Datenbanken über Data Warehouses und Data Lakes bis zu SaaS-Anwendungen und Dateisystemen, um alle zu klassifizierenden Datenbestände zu finden
• Erkennung sensibler Inhalte - regelbasierte Muster und ML-Modelle auf Spaltenstichproben und Metadaten anwenden und Klassifizierungsvorschläge mit Konfidenzwerten erzeugen
• Prüfabläufe - Vorschläge mit niedriger Konfidenz an benannte Data Stewards zur Prüfung und Freigabe leiten, mit Protokoll über alle Entscheidungen
• Weitergabe - Klassifizierungslabels automatisch entlang der Data Lineage weitergeben, sodass abgeleitete Spalten die Sensibilität ihrer Quellspalten erben
• Drift-Erkennung - klassifizierte Bestände auf Änderungen an Inhalt oder Schema überwachen, die bestehende Klassifizierungen ungültig machen könnten

Zu den Cloud-Diensten für Klassifizierung gehören AWS Macie (das sensible Daten in S3 mit ML erkennt und klassifiziert), Google Cloud DLP und Microsoft Purview Information Protection. Sie sind eng in ihr jeweiliges Cloud-Ökosystem eingebunden und erkennen gängige sensible Datentypen ab Werk.

Anbindung an den Datenkatalog

Ihr volles Potenzial entfaltet Datenklassifizierung erst zusammen mit einem Datenkatalog. Der Katalog liefert den Metadatenkontext, der Klassifizierung handlungsfähig macht: die Liste aller Datenbestände der Organisation, ihre technischen Metadaten (Schema, Datentypen, Zeilenzahlen), ihre fachlichen Metadaten (Verantwortliche, Beschreibungen, Glossarverweise) und ihre betrieblichen Metadaten (Aktualität, Qualitätswerte, Lineage).

Werden Klassifizierungslabels im Datenkatalog geführt, kann ein Data-Governance-Team Fragen beantworten wie: „Zeig mir alle Tabellen mit PII in unserer AWS-Umgebung, auf die in den letzten 30 Tagen Personen außerhalb des Datenteams zugegriffen haben.“ Oder: „Welche Data Products geben streng vertrauliche Finanzdaten heraus, und sind sie alle von unserer Masking-Richtlinie abgedeckt?“ Solche Fragen brauchen die Verbindung von Klassifizierungslabels mit Lineage, Zugriffsprotokollen und Governance-Richtlinien, die nur ein gut eingebundener Katalog herstellt.

Native Klassifizierungsfunktionen in Plattformen wie Snowflake, Databricks Unity Catalog und Microsoft SQL Server erlauben es, Klassifizierungs-Tags direkt an Tabellen und Spalten in der Datenbank zu vergeben, wo sie Zugriffsrichtlinien und Maskierungsregeln für Spalten automatisch durchsetzen können. Data Masking auf Basis von Klassifizierungslabels sorgt dafür, dass sensible Spalten automatisch geschützt sind, wenn Personen ohne passende Berechtigung darauf zugreifen.

DSGVO und Datenklassifizierung

Die DSGVO schreibt kein bestimmtes Klassifizierungsmodell vor, aber ihre Anforderungen setzen eines faktisch voraus. Die Verordnung verlangt ein Verzeichnis von Verarbeitungstätigkeiten (VVT), das für jede Verarbeitung dokumentiert, welche personenbezogenen Daten betroffen sind, zu welchem Zweck, auf welcher Rechtsgrundlage, mit welcher Aufbewahrungsfrist und mit welchen Dritten sie geteilt werden. Ohne Datenklassifizierung lässt sich ein VVT in nennenswertem Umfang schlicht nicht aufbauen und pflegen.

Auch der Grundsatz der Datenminimierung in der DSGVO, nur die für den angegebenen Zweck wirklich nötigen Daten zu erheben, hängt an der Klassifizierung. Sie können die Erhebung von Datentypen nicht begrenzen, die Sie nicht definiert und gefunden haben. Ebenso verlangt das Recht auf Löschung (Recht auf Vergessenwerden) die Fähigkeit, alle Datensätze mit personenbezogenen Daten einer bestimmten Person über alle Systeme hinweg zu finden und zu löschen, und das setzt eine durchgängige Klassifizierung der Fundstellen voraus.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, darunter Gesundheitsdaten, genetische Daten, rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen und sexuelle Orientierung, unterliegen erhöhten Schutzanforderungen und müssen über die Klassifizierung ausdrücklich erkannt werden. Organisationen, die solche Kategorien verarbeiten, müssen technische und organisatorische Maßnahmen umsetzen, die über den Schutz gewöhnlicher personenbezogener Daten hinausgehen.

Ein tragfähiges Klassifizierungsprogramm für die DSGVO hat vier Phasen: Inventur (alle Datenquellen und Bestände erfassen), Modell festlegen (Stufen und Inhaltstypen gemeinsam mit Recht und Compliance definieren), Erstklassifizierung (automatische Werkzeuge und menschliche Prüfung anwenden) und Verankerung im Betrieb (Labels in Zugriffskontrolle, Maskierung, Überwachung und Governance-Abläufe einbinden).

Klassifizierung mit Dawiso

Dawiso bietet automatisierte Datenklassifizierung, direkt in die Plattform für Metadatenmanagement eingebaut. An Datenquellen angebunden, prüft Dawiso Spaltenstichproben und Metadaten, erkennt sensible Datentypen wie personenbezogene Daten, Finanzdaten und Gesundheitsdaten und schlägt Klassifizierungslabels vor, die Data Stewards prüfen und freigeben.

Freigegebene Labels laufen durch den Lineage-Graphen von Dawiso: Wird eine Spalte mit personenbezogenen Daten aus einer Tabelle der Silver-Schicht in eine abgeleitete Spalte einer Gold-Reporting-Tabelle überführt, wandert die Klassifizierung automatisch mit, sodass die Sensibilität nicht in der Transformationskette verloren geht. Diese automatische Weitergabe senkt den manuellen Aufwand erheblich, mit dem Klassifizierungen in schnell bewegten Datenlandschaften sonst aktuell gehalten werden müssten.

Weil Dawiso Klassifizierung mit dem Datenkatalog verbindet, können Governance-Teams die gesamte Datenlandschaft nach Klassifizierungsstufe durchsuchen und filtern. Damit lassen sich Prüffragen direkt beantworten, etwa „alle Spalten mit Zahlungskartendaten anzeigen“ oder „alle Datensätze mit streng vertraulicher Klassifizierung auflisten, auf die im letzten Quartal zugegriffen wurde“. So wird Klassifizierung nicht nur ein Metadatenlabel, sondern eine wirksame Governance-Kontrolle, die im Datenbestand der Organisation echten Schutz bewirkt.