Informationsklassifizierung

Warum Informationen klassifiziert werden

Nicht jede Information in einem Unternehmen hat den gleichen Schutzbedarf. Ein öffentlicher Blogbeitrag erfordert andere Maßnahmen als ein interner Audit-Bericht oder ein Penetrationstest-Ergebnis. Die Informationsklassifizierung schafft einen verbindlichen Rahmen, um Daten nach ihrem Wert, ihrer Sensibilität und den Auswirkungen einer unbefugten Offenlegung zu bewerten und entsprechende Schutzmaßnahmen abzuleiten.

Regulatorische Anforderungen machen die Klassifizierung zur Pflicht: Die ISO/IEC 27001 fordert in Annex A (Kontrolle 5.12) ein dokumentiertes Klassifizierungsschema. Der BSI IT-Grundschutz definiert Schutzbedarfskategorien als Grundlage für das Risikomanagement. Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten — ohne Klassifizierung lässt sich diese Angemessenheit nicht bestimmen. Und die NIS2-Richtlinie setzt eine risikobasierte Informationssicherheit in kritischen Sektoren voraus, die ohne Klassifizierung nicht umsetzbar ist.

Das Traffic Light Protocol (TLP)

Unser Klassifizierungsschema orientiert sich am Traffic Light Protocol (TLP) — einem international etablierten Standard für den sicheren Austausch sensibler Informationen. Das TLP wurde ursprünglich vom britischen National Infrastructure Security Co-ordination Centre (NISCC) entwickelt und wird heute vom BSI, der Allianz für Cybersicherheit und Organisationen weltweit eingesetzt.

Das Prinzip ist einfach: Vier Farbstufen signalisieren, wie weit eine Information weitergegeben werden darf — von TLP:CLEAR (frei teilbar) über TLP:GREEN (organisationsintern) und TLP:AMBER (nur benannte Empfänger) bis TLP:RED (streng vertraulich, nur direkte Empfänger). So entsteht ein gemeinsames Verständnis zwischen allen Beteiligten — Mitarbeitenden, Kunden und Partnern — ohne umfangreiche Geheimschutzverfahren.