Was ist Risikokategorisierung?

Risikokategorisierung ist die Praxis, Risiken und die Daten, die sie tragen, nach Art und Schweregrad in festgelegte Gruppen zu sortieren, sodass jede Gruppe einheitlich bewertet, verantwortet und kontrolliert werden kann. Sie ist der Schritt der Kennzeichnung, der einer Risikobewertung ihre Struktur gibt: Statt Tausende Risiken als einen ungegliederten Haufen zu behandeln, macht die Kategorisierung daraus eine Handvoll benannter Stufen und Klassen, die alle in der Organisation gleich verstehen.

Risikokategorisierung zählt, weil Einheitlichkeit das ist, was Risikoentscheidungen vertretbar macht. Wenn „hohes Risiko“ für einen Data Steward, eine Sicherheitsbeauftragte und einen Auditor dasselbe bedeutet, lassen sich Kontrollen nach Kategorie anwenden, statt Fall für Fall verhandelt zu werden: Jeder Datensatz mit der Kennzeichnung streng vertraulich erhält dieselben Regeln für Verschlüsselung und Zugriff. Ohne Kategorisierung wird Governance zu einer Folge von Einzelfalldebatten; mit ihr skaliert Governance.

Risikokategorisierung im Überblick

Die Kategorisierung beantwortet zu jedem Risiko zwei Fragen: Welcher Art ist es? und Wie ernst ist es? Die erste gruppiert Risiken nach ihrem Wesen, die zweite ordnet sie nach möglichem Schaden. Zusammen setzen sie jedes Risiko in eine Zelle eines einfachen Schemas, etwa „ein Risiko der Compliance mit hohem Schweregrad“, die unmittelbar auf eine vorher festgelegte Antwort verweist.

Sie sitzt zwischen zwei Nachbarn im Vokabular der Governance. Die Klassifizierung von Daten ist der breitere Akt, Daten nach Sensibilität und Art zu kennzeichnen; die Risikokategorisierung ist dieselbe Klassifizierung, betrachtet durch die Brille dessen, was schiefgehen kann. Und die Risikobewertung ist die Analyse, die Eintrittswahrscheinlichkeit und Auswirkung bewertet; die Kategorisierung liefert die Fächer, in die die Bewertung einordnet. In der Praxis laufen die drei als eine Bewegung: Sie klassifizieren die Daten, kategorisieren ihre Risiken und bewerten das Ergebnis.

Die Regulierung folgt derselben Idee. Die KI-Verordnung (EU AI Act) ordnet KI-Systeme nach Risiko: Sie verbietet Praktiken mit unannehmbarem Risiko (Art. 5), erlegt Hochrisiko-KI-Systemen nach Art. 6 und Anhang III die strengsten Pflichten auf, darunter ein Risikomanagementsystem nach Art. 9, und sieht für bestimmte andere KI-Systeme leichtere Transparenzpflichten vor (Art. 50).

Daten oder Risiken kategorisieren

Es gibt zwei einander ergänzende Dinge zu kategorisieren, und reife Programme tun beides:

• Die Risiken selbst kategorisieren, nach Art: Datenschutz (Preisgabe von PII), Sicherheit (Verletzung, unbefugter Zugriff), Qualität (ungenaue oder veraltete Daten), Compliance (Verstoß gegen DSGVO, EU AI Act, DORA) und Betrieb (Ausfall einer Pipeline, Schema-Drift). Die Art bestimmt, wer das Risiko verantwortet und welche Kontrolle greift.
• Die Daten kategorisieren, die das Risiko tragen, nach Sensibilitätsstufe, sodass Daten ihr Risikoniveau von ihrer Kennzeichnung erben. Ein Feld, das streng vertraulich gekennzeichnet ist, ist automatisch ein Bestand höheren Risikos als eines mit der Kennzeichnung öffentlich, noch bevor irgendein Vorfall eintritt.

Die Wirkung entsteht daraus, beides zu verbinden: Ist ein Datensatz als vertraulich und datenschutzsensibel kategorisiert, lassen sich die passenden Kontrollen, also Maskierung, eingeschränkter Zugriff und Aufbewahrungsgrenzen, nach Regel statt von Hand anwenden.

Schweregradstufen

Organisationen führen meist einen kleinen, geordneten Satz von Schweregradstufen ein. Informationssysteme der US-Bundesverwaltung nutzen zum Beispiel die drei in FIPS 199 definierten Stufen möglicher Auswirkung: niedrig, mittel und hoch; viele Unternehmensschemata nutzen vier, weil das fein genug ist, um zu nützen, und klein genug, um im Kopf zu bleiben. Ein typisches Schema für Sensibilität lautet öffentlich, intern, vertraulich, streng vertraulich; ein typisches Schema für den Schweregrad lautet niedrig, mittel, hoch, kritisch. Die genauen Namen zählen weniger als drei Regeln: Die Stufen müssen geordnet sein, von allen gleich verstanden werden und je an eine festgelegte Antwort gebunden sein.

Warum sie zählt

Kategorisierung macht aus einer Richtlinie Automatisierung. Sobald ein Datensatz eine Kategorie trägt, werden drei Dinge möglich, die mit ungekennzeichneten Daten unmöglich sind:

• Kontrollen nach Regel. „Alle streng vertraulichen Daten werden außerhalb der Produktion maskiert“ ist nur durchsetzbar, wenn Daten als streng vertraulich kategorisiert sind. Die Kennzeichnung ist das, woran die Kontrolle hängt.
• Einheitliche Priorisierung. Eine Risikobewertung kann tausend Bestände weit schneller ordnen, wenn jeder bereits Art und Schweregrad trägt; das Schema übernimmt das Sortieren.
• Bereitschaft für das Audit. Aufsichtsbehörden und Rahmenwerke erwarten Kontrollen, die zum Risiko passen: Die DSGVO verlangt dem Risiko angemessene Sicherheitsmaßnahmen (Art. 32), und ISO 42001 legt einen strukturierten Weg fest, KI-bezogene Risiken zu steuern. Ein Schema der Kategorisierung, das tatsächlich auf die Daten angewandt ist, ist ein großer Teil dieses Nachweises.

Das Scheitern ist ebenso klar umrissen: Ein Schema der Kategorisierung, das in einem Regel-PDF lebt und nie auf die Daten angewandt wird, ist schlechter als keines, weil es ein falsches Gefühl von Kontrolle erzeugt. Das Schema ist erst dann wirklich, wenn jeder Bestand seine Kennzeichnung trägt.

Wie Dawiso das angeht

Eine Risikokategorisierung ist nur so gut wie ihre Abdeckung: Ein Schema, das auf 10 % Ihrer Daten angewandt ist, lässt 90 % ungesteuert und unbewertet. Diese Lücke hilft ein gesteuerter Katalog zu schließen. In Dawiso wird die Klassifizierung als Katalog-Metadaten festgehalten: Jeder Bestand kann eine PII-Stufe und einen Vertraulichkeitswert erhalten, und zwar aus Codelisten, die Ihre Organisation definiert, sodass die Stufen Ihre eigenen Namen tragen. Die Klassifizierung wird von Menschen festgelegt statt automatisch erkannt, und einem Bestand lassen sich eine benannte verantwortliche Person und ein Data Steward zuordnen. Automatisch ist die Verdichtung nach oben: Ein Output-Port zeigt die höchste Klassifizierung unter seinen Beständen und ein Datenprodukt die höchste über alle seine Ports, der sensibelste Wert gewinnt also. Die Lineage zeigt, soweit sie erfasst ist, welche nachgelagerten Berichte und Systeme eine streng vertrauliche Quelle speist, sodass das Risiko auch nachgelagert sichtbar bleibt. Die Kennzeichnungen sind beschreibend: Dawiso sperrt keinen Zugriff und maskiert keine Daten, die Durchsetzung läuft in Ihren Datenplattformen. Was der Katalog Ihnen gibt, ist ein abfragbarer Nachweis: Die Seite jedes Klassifizierungswerts zeigt jedes Objekt, das ihn trägt, und beantwortet damit Fragen wie „Welche Datenprodukte stellen vertrauliche Daten bereit, und wer verantwortet sie?“

Fazit

Risikokategorisierung ist die stille strukturelle Arbeit, die alles andere im Risikomanagement erst möglich macht. Indem sie Risiken und Daten in einen kleinen Satz vereinbarter Arten und Schweregradstufen sortiert, erlaubt sie, Kontrollen nach Regel anzuwenden, Bewertungen in großem Umfang durchzuführen und Auditoren mit Nachweisen statt mit Zusicherungen zu antworten. Ihr einziger Feind ist unvollständige Abdeckung: Ein Schema ist erst dann wirklich, wenn es an den Daten selbst hängt. Legen Sie die Kategorien in einen gesteuerten Katalog, in dem jeder Bestand seine Kennzeichnung und seine Lineage trägt, und aus der Kategorisierung wird statt eines Regeldokuments ein gemeinsamer Nachweis, an dem sich Ihre Kontrollen prüfen lassen.

Quellen

• EUR-Lex, Regulation (EU) 2024/1689 (Artificial Intelligence Act) (Art. 5, 6, 9 und 50, Anhang III).
• NIST, FIPS 199, Standards for Security Categorization of Federal Information and Information Systems.
• DSGVO Article 32, Security of processing.
• ISO, ISO/IEC 42001:2023, Information technology - Artificial intelligence - Management system.
• Dawiso Help, PII Level and Confidentiality.
• Dawiso Help, Sources of data lineage.