Datenklassifizierung: Leitfaden für sensible Daten

Datenklassifizierung ist der Vorgang, Datenbestände nach Sensibilität, Inhaltstyp, regulatorischen Anforderungen oder Geschäftswert in definierte Kategorien einzuordnen. Indem Organisationen Klassifizierungslabels an Datensätze, Tabellen, Spalten und Dateien vergeben, schaffen sie eine systematische Grundlage für Zugriffskontrolle, Datenschutz, Compliance und Risikomanagement. Ohne Klassifizierung ist Data Governance im Kern Raterei: Teams können nicht schützen, was sie nicht erkennen, und keine Vorschrift einhalten, deren Einhaltung sie nicht belegen können.

TL;DR

Datenklassifizierung ordnet Datenbestände in Sensibilitätsstufen (Öffentlich → Intern → Vertraulich → Streng vertraulich) und in Kategorien nach Inhaltstyp (PII, PHI, PCI), damit Zugriffskontrolle, Data Masking und Compliance-Richtlinien angemessen und automatisch greifen können. Sie ist die Voraussetzung für DSGVO-Compliance, Datensicherheit und jede gesteuerte Nutzung sensibler Daten.

Warum Datenklassifizierung zählt

Klassifizierung ist die Voraussetzung für fast jede nachgelagerte Data-Governance-Tätigkeit. Data Masking setzt voraus zu wissen, welche Spalten sensible Daten enthalten. Zugriffskontrolle setzt voraus zu wissen, welche Datensätze unter welche Sensibilitätsstufe fallen. DSGVO- und CCPA-Compliance setzt voraus, genau zu wissen, wo in der Organisation personenbezogene Daten liegen. Aufbewahrungsrichtlinien setzen voraus zu wissen, welche Daten einer gesetzlichen Aufbewahrungspflicht unterliegen. Klassifizierung liefert die Metadatengrundlage, die all diese Richtlinien überhaupt ausführbar macht.

Der Umfang heutiger Datenlandschaften macht rein manuelle Klassifizierung schwer durchzuhalten. Eine große Organisation hat vielleicht Hunderte Datenbanken, Tausende Tabellen und Millionen Spalten, verteilt über Cloud-Data-Warehouses, Data Lakes, SaaS-Anwendungen und Systeme im eigenen Rechenzentrum. Ohne ein Mindestmaß an Automatisierung fällt es dem Data-Governance-Team schwer, systematisch zu erkennen, wo sensible Daten liegen, welche Vorschriften für sie gelten oder ob passende Kontrollen greifen.

Über Compliance hinaus ermöglicht Klassifizierung angemessene Sicherheit. Nicht alle Daten verdienen denselben Schutz. Maximale Sicherheitskontrollen auf jeden Datensatz anzuwenden ist unbezahlbar und im Betrieb nicht praktikabel. Klassifizierung erlaubt es, starke Kontrollen dort zu setzen, wo sie wirklich gebraucht werden, nämlich bei sensiblen personenbezogenen Daten, Finanzdaten und vertraulichem geistigem Eigentum, und gleichzeitig den reibungslosen Zugang zu öffentlichen und internen Daten zu erhalten, deren breite Nutzung kaum Risiko birgt.

Klassifizierungsstufen: ein gängiger Rahmen

Viele Organisationen nutzen ein gestuftes Klassifizierungsmodell, meist mit drei bis fünf Stufen. Ein weit verbreitetes vierstufiges Modell arbeitet mit diesen Stufen:

Öffentlich - Informationen, die für den uneingeschränkten öffentlichen Zugang gedacht sind. Dazu gehören veröffentlichte Marketingmaterialien, Inhalte der Website, Pressemitteilungen und offene Datensätze. Öffentliche Daten lassen sich ohne Einschränkung teilen und brauchen keine besonderen Schutzmaßnahmen.
Intern - Informationen, die für die Nutzung innerhalb der Organisation gedacht sind, aber nicht für die Öffentlichkeit. Dazu gehören interne Richtlinien, Betriebsabläufe, Personalverzeichnisse und interne Kommunikation. Interne Daten sollten die Organisation nicht verlassen, brauchen aber nicht denselben Schutz wie vertrauliche oder streng vertrauliche Daten.
Vertraulich - Sensible Informationen, deren unangemessene Offenlegung erheblichen Schaden anrichten kann. Dazu gehören personenbezogene Kundendaten, Finanzunterlagen, Geschäftsstrategien, Rechtsdokumente und Angaben zur Vergütung von Beschäftigten. Vertrauliche Daten brauchen Zugriffskontrolle, Verschlüsselung bei Übertragung und Speicherung sowie eine Protokollierung der Zugriffe.
Streng vertraulich - Die sensibelste Kategorie, mit Informationen, deren Offenlegung schweren Schaden anrichten würde: Patientenakten, Zahlungskartendaten, Geschäftsgeheimnisse und Informationen, die einem gesetzlichen Schutz unterliegen. Streng vertrauliche Daten brauchen die stärksten verfügbaren Kontrollen, strikten Zugriff nach dem Kenntnisprinzip und eine zusätzliche Aufsicht über jede Bewegung oder Verarbeitung.

Das vierstufige Modell ist ein Ausgangspunkt, keine Vorschrift. Stark regulierte Branchen wie Gesundheitswesen, Finanzdienstleistungen und öffentlicher Sektor brauchen oft feinere Modelle, die branchenspezifische regulatorische Kategorien abbilden. Organisationen sollten der Versuchung widerstehen, übermäßig komplexe Modelle mit vielen feinen Stufen zu bauen. Ein Modell, das sich niemand merken und konsistent anwenden kann, ist schlechter als ein einfacheres, das tatsächlich genutzt wird.

Zum Vergrößern klicken

Klassifizierung nach Datentyp: PII, PHI und Finanzdaten

Neben Sensibilitätsstufen werden Daten häufig nach Inhaltstyp klassifiziert, vor allem für Compliance-Zwecke. Personally Identifiable Information (PII) sind alle Angaben, mit denen sich eine bestimmte Person identifizieren lässt, entweder unmittelbar oder in Verbindung mit anderen Daten. Zu den direkten Kennzeichen gehören Name, E-Mail-Adresse, Telefonnummer, Ausweisnummer, Passnummer und Geburtsdatum. Zu den indirekten gehören IP-Adressen, Gerätekennungen, Standortdaten und Verhaltensdaten, die sich über eine Re-Identifizierung auf Personen zurückführen lassen.

Protected Health Information (PHI) sind nach HIPAA individuell identifizierbare Gesundheitsinformationen in elektronischer oder jeder anderen Form, die sich auf Gesundheit, Behandlung oder deren Bezahlung beziehen. Die Safe-Harbor-Methode von HIPAA zur De-Identifizierung benennt 18 Kennzeichen, die entfernt werden müssen, damit Gesundheitsdaten als de-identifiziert gelten, darunter Namen, geografische Einheiten unterhalb eines Bundesstaats, Daten mit Ausnahme des Jahres mit Bezug zur Person und Fotografien des Gesichts.

PCI-Daten (Payment Card Industry) umfassen Karteninhaberdaten (die Kartennummer oder PAN, den Namen des Karteninhabers, das Ablaufdatum und den Servicecode) sowie sensible Authentifizierungsdaten wie Kartenprüfwerte, vollständige Magnetstreifendaten und PINs. PCI DSS stellt strenge Anforderungen an Speicherung, Übertragung und Verarbeitung dieser Daten: Anforderung 3.3.1 verbietet, sensible Authentifizierungsdaten nach der Autorisierung zu speichern, auch verschlüsselt.

Finanzdaten umfassen ein breites Spektrum sensibler Informationen: Bankverbindungen, Steuernummern, Gehaltsangaben, Abschlüsse und Handelsaktivitäten. Für Finanzdaten gelten je nach Rechtsraum und Branche mehrere sich überlagernde Regelwerke.

Methoden der Klassifizierung: manuell, regelbasiert und ML-gestützt

Manuelle Klassifizierung stützt sich auf Data Stewards und Fachexperten, die Datenbestände prüfen und labeln. Für gut verstandene, stabile Datensätze ist sie die genaueste Methode: Ein erfahrener Data Steward, der die Fachdomäne kennt, erkennt sensible Spalten, die automatische Werkzeuge übersehen. Sie skaliert allerdings nicht in großen, bewegten Datenlandschaften. Und sie ist uneinheitlich: Verschiedene Stewards wenden dieselben Maßstäbe unterschiedlich an, und manuelle Labels veralten schnell, sobald neue Datenquellen hinzukommen.

Regelbasierte Klassifizierung erkennt sensible Daten automatisch über Mustererkennung, reguläre Ausdrücke und Stichwortlisten. Beispiele sind das Erkennen von Kreditkartennummern an ihrem Ziffernmuster und der Luhn-Prüfziffer, das Erkennen von E-Mail-Adressen über ein Muster oder das Markieren von Spalten mit Namen wie „ssn“ oder „tax_id“ als nationale Kennnummern. Regelbasierte Klassifizierung ist schnell, skalierbar und nachvollziehbar: Die Regeln lassen sich prüfen, erklären und anpassen. Ihre Grenze ist die Trennschärfe, denn einfache Muster erzeugen sowohl falsch positive als auch falsch negative Treffer.

ML-gestützte Klassifizierung erkennt sensible Daten mit trainierten Modellen anhand von Spaltenstatistiken, Beispielwerten, Spaltennamen und Kontextsignalen aus benachbarten Spalten und Tabellennamen. ML-Modelle finden sensible Daten auch in Spalten mit unüblichen Namen, erkennen Teiltreffer und kommen mit mehrsprachigen Daten zurecht, an denen Regelwerke scheitern. Moderne ML-gestützte Systeme verbinden Modelle zur Erkennung benannter Entitäten (NER) mit Metadatensignalen wie Mustern in Spaltennamen und statistischen Verteilungen der Werte.

Bewährt ist die Kombination aller drei Ansätze: ML-gestützte Klassifizierung für die Masse, regelbasierte Prüfungen für klar definierte Kategorien wie Kreditkartennummern und E-Mail-Adressen und manuelle Prüfschritte für Vorschläge mit niedriger Konfidenz und Datensätze mit hohem Risiko.

Automatisierte Klassifizierung im großen Maßstab

Erst Automatisierung macht Klassifizierung in großen Datenlandschaften praktikabel. Die wesentlichen Fähigkeiten moderner Plattformen dafür sind:

Erkennen - alle Datenquellen automatisch durchsuchen und inventarisieren, von Datenbanken über Data Warehouses und Data Lakes bis zu SaaS-Anwendungen und Dateisystemen, um alle zu klassifizierenden Datenbestände zu finden
Erkennung sensibler Inhalte - regelbasierte Muster und ML-Modelle auf Spaltenstichproben und Metadaten anwenden und Klassifizierungsvorschläge mit Konfidenzwerten erzeugen
Prüfabläufe - Vorschläge mit niedriger Konfidenz an benannte Data Stewards zur Prüfung und Freigabe leiten, mit Protokoll über alle Entscheidungen
Weitergabe - Klassifizierungslabels automatisch entlang der Data Lineage weitergeben, sodass abgeleitete Spalten die Sensibilität ihrer Quellspalten erben
Drift-Erkennung - klassifizierte Bestände auf Änderungen an Inhalt oder Schema überwachen, die bestehende Klassifizierungen ungültig machen könnten

Zu den Cloud-Diensten für Klassifizierung gehören Amazon Macie (das sensible Daten in Amazon S3 mit maschinellem Lernen und Mustererkennung findet), Google Cloud Sensitive Data Protection (das inzwischen Cloud DLP umfasst) und Microsoft Purview Information Protection. Sie sind eng in ihr jeweiliges Cloud-Ökosystem eingebunden und erkennen gängige sensible Datentypen ab Werk.

Anbindung an den Datenkatalog

Ihr volles Potenzial entfaltet Datenklassifizierung erst zusammen mit einem Datenkatalog. Der Katalog liefert den Metadatenkontext, der Klassifizierung handlungsfähig macht: die Liste aller Datenbestände der Organisation, ihre technischen Metadaten (Schema, Datentypen, Zeilenzahlen), ihre fachlichen Metadaten (Verantwortliche, Beschreibungen, Glossarverweise) und ihre betrieblichen Metadaten (Aktualität, Qualitätswerte, Lineage).

Werden Klassifizierungslabels im Datenkatalog geführt, kann ein Data-Governance-Team Fragen beantworten wie: „Zeig mir alle Tabellen mit PII in unserer AWS-Umgebung, auf die in den letzten 30 Tagen Personen außerhalb des Datenteams zugegriffen haben.“ Oder: „Welche Datenprodukte stellen streng vertrauliche Finanzdaten bereit, und sind sie alle von unserer Masking-Richtlinie abgedeckt?“ Solche Fragen verbinden Klassifizierungslabels mit Lineage, Zugriffsprotokollen aus den Datenplattformen und Governance-Richtlinien, also muss der Katalog an die Systeme angebunden sein, in denen diese Angaben jeweils liegen.

Native Klassifizierung in der Datenbank setzt Labels direkt an Tabellen und Spalten. Snowflake kann sensible Spalten automatisch klassifizieren (ab der Enterprise Edition) und das Ergebnis in System-Tags festhalten. Eine Tag Map kann dabei zugleich Ihre eigenen Tags setzen, sodass eine Tag-basierte Masking-Richtlinie auf diesen Tags die klassifizierten Daten maskiert. In Databricks Unity Catalog nutzen Richtlinien der attributbasierten Zugriffskontrolle (ABAC) Governed Tags, um Zeilenfilter und Spaltenmasken anzuwenden. Die Data Discovery & Classification von Microsoft SQL Server versieht Spalten mit Labels für Berichte und Audits. Data Masking auf Basis von Klassifizierungslabels sorgt dafür, dass sensible Spalten automatisch geschützt sind, wenn Personen ohne passende Berechtigung darauf zugreifen.

Die DSGVO schreibt kein bestimmtes Klassifizierungsmodell vor, aber ihre Anforderungen setzen eines faktisch voraus. Art. 30 DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten (VVT), das unter anderem die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, die Kategorien von Empfängern, Übermittlungen in Drittländer und, wenn möglich, die Löschfristen sowie eine Beschreibung der Sicherheitsmaßnahmen dokumentiert. Ohne Datenklassifizierung lässt sich ein VVT in nennenswertem Umfang nur sehr schwer aufbauen und pflegen.

Auch der Grundsatz der Datenminimierung in der DSGVO, nach dem personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein müssen (Art. 5 Abs. 1 lit. c DSGVO), hängt an der Klassifizierung. Sie können die Erhebung von Datentypen nicht begrenzen, die Sie nicht definiert und gefunden haben. Ebenso verlangt das Recht auf Löschung (Recht auf Vergessenwerden) in der Praxis die Fähigkeit, alle Datensätze mit personenbezogenen Daten einer bestimmten Person über alle Systeme hinweg zu finden und zu löschen, und das setzt eine durchgängige Klassifizierung der Fundstellen voraus.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, also rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung, dürfen nur verarbeitet werden, wenn eine der Ausnahmen nach Art. 9 Abs. 2 DSGVO greift. Ihre umfangreiche Verarbeitung verlangt eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 3 lit. b DSGVO. Über die Klassifizierung finden Organisationen diese Kategorien in ihren Daten, bevor sie sie verarbeiten.

Ein tragfähiges Klassifizierungsprogramm für die DSGVO hat vier Phasen: Inventur (alle Datenquellen und Bestände erfassen), Modell festlegen (Stufen und Inhaltstypen gemeinsam mit Recht und Compliance definieren), Erstklassifizierung (automatische Werkzeuge und menschliche Prüfung anwenden) und Verankerung im Betrieb (Labels in Zugriffskontrolle, Maskierung, Überwachung und Governance-Abläufe einbinden).

Klassifizierung mit Dawiso

In Dawiso wird Klassifizierung als Metadaten im Datenkatalog festgehalten. Data Stewards klassifizieren Datenbestände, indem sie jeden mit einer PII-Stufe und einem Vertraulichkeitswert verknüpfen. Beide stammen aus Codelisten, die Ihre Organisation selbst definiert, und weil diese Listen gewöhnliche Katalogobjekte sind, lassen sie sich mit Verantwortlichen versehen, pflegen und ohne Release ändern. Klassifizierung ist eine Entscheidung der Data Stewards: Dawiso durchsucht keine Daten nach PII.

Automatisch ist die Verdichtung nach oben. Ein Output-Port zeigt die höchste Klassifizierung unter den Beständen, die er bereitstellt, und ein Datenprodukt übernimmt den höchsten Wert über alle seine Ports, der sensibelste Wert gewinnt also. Data Stewards können den abgeleiteten Wert von Hand überschreiben und die Überschreibung wieder entfernen, damit er sich erneut ableitet. Auf der Seite eines Klassifizierungswerts sehen Sie jedes Objekt, das ihn trägt, und beantworten damit Prüffragen wie die, welche Datenprodukte vertrauliche Daten bereitstellen.

Die Labels sind beschreibend. Dawiso sperrt keinen Zugriff und maskiert keine Daten auf ihrer Grundlage: Zugriff wird über den Vertrag des Datenprodukts und Ihren eigenen Prozess zur Zugriffsvergabe gewährt, und die Maskierung läuft in den oben beschriebenen Datenplattformen. Was Dawiso beiträgt, ist ein gemeinsamer, gesteuerter Nachweis darüber, was sensibel ist, wem es gehört und welche Datenprodukte es bereitstellen.