Datenklassifizierung: Öffentlich, intern, vertraulich, eingeschränkt

Datenklassifizierung ist der Prozess, Daten anhand ihrer Sensibilität und der Auswirkungen einer unbefugten Offenlegung, Änderung oder eines Verlusts in Kategorien zu ordnen. Die Klassifizierung bestimmt alle nachfolgenden Sicherheitsentscheidungen: welche Verschlüsselung erforderlich ist, wer auf die Daten zugreifen darf, wie sie gespeichert und übertragen werden müssen und wie lange sie aufbewahrt werden müssen. Ohne Klassifizierung setzen Unternehmen entweder zu viele Kontrollen ein (und verschwenden Ressourcen) oder zu wenige (und lassen sensible Daten ungeschützt).

Die meisten kommerziellen Unternehmen verwenden vier Klassifizierungsstufen. Public-Daten können uneingeschränkt mit allen Personen geteilt werden — etwa Marketingmaterialien und Pressemitteilungen. Internal- (oder Private-)Daten sind nicht geheim, sollten aber nicht außerhalb des Unternehmens geteilt werden — etwa Mitarbeiterverzeichnisse und interne Richtlinien. Confidential-Daten müssen geschützt werden, weil eine unbefugte Offenlegung dem Unternehmen schadet — etwa Finanzberichte und Verträge. Restricted- (oder Highly-Confidential-)Daten unterliegen den strengsten Kontrollen — etwa Geschäftsgeheimnisse, PII, geschützte Gesundheitsinformationen und Zugangsdaten.

Staatliche Klassifizierungssysteme unterscheiden sich von kommerziellen. Daten der US-Regierung werden als Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret und Top Secret klassifiziert. Top Secret/SCI (Sensitive Compartmented Information) ist die höchste Stufe und erfordert spezielle Einrichtungen (SCIFs) sowie Sicherheitsüberprüfungen. Die Security+-Prüfung behandelt sowohl kommerzielle als auch staatliche Klassifizierungsschemata und die mit staatlichen Klassifizierungen verbundenen Freigabeprozesse.

Der Datenverantwortliche (eine leitende Rolle im Geschäftsbereich, nicht das IT-Team) ist für die Klassifizierung der Daten und dafür verantwortlich, dass geeignete Kontrollen angewendet werden. Der Datenverwalter ist die IT-Fachkraft, die im Auftrag des Verantwortlichen Kontrollen umsetzt und aufrechterhält. Diese Unterscheidung ist wichtig: Der Verantwortliche trifft die Klassifizierungsentscheidung, der Verwalter setzt sie durch. Wenn Datenverantwortliche nicht eingebunden sind, bleiben Daten häufig unklassifiziert oder werden standardmäßig der niedrigsten Stufe zugeordnet, wodurch ein verborgenes Risiko in besonders wertvollen Datenbeständen entsteht.

Sobald Daten klassifiziert sind, müssen Kennzeichnungen angebracht werden, damit die mit ihrer Handhabung betrauten Personen die Anforderungen kennen. Die digitale Kennzeichnung umfasst Metadaten-Tags, Dateieigenschaften, Kopf- und Fußzeilen von Dokumenten sowie Wasserzeichen. Die physische Kennzeichnung gilt für gedruckte Dokumente, Speichermedien und Geräte. Jede Klassifizierungsstufe bringt bestimmte Handhabungsregeln mit sich: Für Restricted-Daten können Verschlüsselung bei der Übertragung und im Ruhezustand, der Zugriff durch zwei Personen auf Backups, Schreddern statt Recycling sowie ein Verbot nicht vom Sicherheitsteam genehmigter Cloud-Speicherdienste erforderlich sein.

Die Klassifizierung bestimmt unmittelbar die Anforderungen an die Verschlüsselung. Public-Daten benötigen normalerweise keine Verschlüsselung. Internal-Daten sollten bei der Übertragung (TLS) verschlüsselt werden. Confidential-Daten müssen sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt werden; außerdem sind Zugriffsprotokolle erforderlich. Für Restricted-Daten sind typischerweise starke Verschlüsselung (AES-256), Hardware-Sicherheitsmodule (HSMs) für die Schlüsselverwaltung, eine Verschlüsselung auf Feldebene in Datenbanken und ein regelmäßiger Schlüsselaustausch erforderlich. Data-Loss-Prevention- (DLP-)Tools verwenden Klassifizierungskennzeichnungen, um Warnungen auszulösen oder die Übertragung sensibler Daten zu blockieren.

Die Klassifizierung beeinflusst Entscheidungen zur Zugriffskontrolle auf jeder Ebene. Auf eingeschränkte Daten sollten nur Personen mit nachgewiesenem berechtigtem Bedarf zugreifen können. Dies wird durch rollenbasierte oder attributbasierte Zugriffskontrolle umgesetzt. Die Klassifizierung wirkt sich auch auf die Verwaltung privilegierter Zugriffe aus: Ein Datenbankadministrator, der technisch auf alle Tabellen zugreifen könnte, sollte vom Zugriff auf Tabellen der Klasse „Eingeschränkt“ ausgeschlossen werden, sofern seine Rolle diesen Zugriff nicht ausdrücklich erfordert. Bei Zugriffsüberprüfungen sollte erneut bestätigt werden, dass kein Benutzer weiterhin über Zugriffsrechte verfügt, die über seinen Bedarf hinausgehen.

PII umfasst alle Daten, mit denen eine bestimmte Person identifiziert werden kann – beispielsweise Name, Adresse, Sozialversicherungsnummer, E-Mail-Adresse, Telefonnummer, biometrische Daten oder Gerätekennungen. PII fällt typischerweise in die Klassifizierungsstufe „Vertraulich“ oder „Eingeschränkt“. Unternehmen müssen ermitteln, wo PII gespeichert ist (Datenermittlung), die Daten angemessen klassifizieren, gesetzlich vorgeschriebene Kontrollen anwenden (DSGVO, CCPA, HIPAA) sowie Regeln für Aufbewahrung und Löschung festlegen. Für besonders schützenswerte PII – etwa Finanz-, Gesundheits- und biometrische Daten – gelten strengere Schutzmaßnahmen als für allgemeine PII.

PHI umfasst alle personenbezogenen Gesundheitsinformationen, die durch HIPAA geschützt sind. Dazu gehören Diagnosen, Behandlungsunterlagen, Abrechnungscodes und alle Daten, die einem Patienten zugeordnet werden können. PHI wird stets der Stufe „Eingeschränkt“ zugeordnet und erfordert Verschlüsselung, Prüfprotokolle, Zugriff nach dem Prinzip der geringsten erforderlichen Berechtigung, Vereinbarungen mit Geschäftspartnern (BAAs) sowie eine Benachrichtigung über Datenschutzverletzungen innerhalb von 60 Tagen nach deren Entdeckung. Eine Datenschutzverletzung bei PHI löst gesetzliche Pflichten aus, die bei einer Verletzung von Daten der Klasse „Intern“ nicht gelten würden.

Die Klassifizierung gilt während des gesamten Datenlebenszyklus. Wenn Daten das Ende ihrer Aufbewahrungsfrist erreichen, müssen sie entsprechend ihrer Klassifizierungsstufe vernichtet werden. Für Daten der Stufe „Eingeschränkt“ sind kryptografisches Löschen (Vernichtung der Verschlüsselungsschlüssel), Entmagnetisierung (magnetische Zerstörung), physisches Schreddern oder eine dem Standard NIST 800-88 entsprechende Bereinigung erforderlich. Das bloße Löschen von Dateien oder Neuformatieren von Laufwerken reicht bei vertraulichen oder eingeschränkten Daten nicht aus, da Tools zur Dateiwiederherstellung die Daten rekonstruieren können.

Tools zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) setzen Klassifizierungsrichtlinien automatisch durch. DLP zur Inhaltsprüfung durchsucht Dateien und Netzwerkverkehr nach Mustern, die Klassifizierungskriterien entsprechen (Sozialversicherungsnummern, Kreditkartennummern, gesundheitsbezogene Begriffe). Endpoint-DLP verhindert, dass klassifizierte Daten auf USB-Laufwerke kopiert oder in nicht genehmigte Cloud-Dienste hochgeladen werden. Network-DLP überprüft ausgehenden Datenverkehr. Tools zur auf maschinellem Lernen basierenden Klassifizierung können unstrukturierte Daten wie Dokumente und E-Mails anhand einer Inhaltsanalyse automatisch mit Tags versehen.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Die Datenklassifizierung ordnet Daten anhand ihrer Sensibilität und Auswirkung den Stufen „Öffentlich“, „Intern“, „Vertraulich“ und „Eingeschränkt“ zu. Datenverantwortliche treffen die Klassifizierungsentscheidungen, während Datenverwalter die Kontrollen umsetzen, und die Klassifizierung bestimmt die Anforderungen an Verschlüsselung, Zugriffskontrolle und Vernichtung für jede Stufe. Als Nächstes betrachten wir die Grundsätze der DSGVO und die Rechte betroffener Personen.