Für die Klassifizierung von Daten in Unternehmen und anderen Organisationen gibt es verschiedene etablierte Systematiken. Einige bieten eine mehrdimensionale Kategorisierung, andere beschränken sich auf ganz bestimmte Eigenschaften von Daten – und sind daher oft eher eine Datenkategorisierung.
Sortieren nach Vertraulichkeit
So sieht etwa die DIN EN ISO/IEC 27001:2024-01 (ISO 27001:2022) eine Sortierung von Daten anhand ihrer Vertraulichkeit vor. Daraus leiten sich individuelle Empfehlungen für den Schutz dieser Daten ab. Die Norm kennt vier Ausprägungen der Schutzwürdigkeit/Vertraulichkeit von Informationen. Diese sind:
Öffentlich
Intern
Vertraulich
Streng Vertraulich
Sortieren nach Datenschutz-Kriterien
Die Datenschutz-Grundverordnung (DSGVO) soll hingegen den Schutz von Daten (lebender) Personen regeln. Dabei macht die DSGVO nicht nur Vorgaben zur Speicherung personenbezogener Daten. Sie gibt beispielsweise auch vor, wann persönliche Daten gelöscht werden müssen – beispielsweise bei Beendigung eines Kundenverhältnisses oder nach Ablauf bestimmter Fristen. Die DSGVO kategorisiert Daten hierfür nach einem sehr einfachen Schema, das nur zwei Ausprägungen kennt: Damit ist die Einteilung von Daten nach der DSGVO ihrem Charakter nach eher eine einfache Datenkategorisierung mit nur zwei möglichen Zuständen. Diese Einteilung hat aber erhebliche Rechtsfolgen für Unternehmen, sodass sie gleichwohl ein sehr wichtiges Klassifizierungskriterium ist.
Sortierung nach KRITIS-Relevanz
Im Bereich der Governance finden sich wieder andere Datenklassifizierungen, beispielsweise in Gestalt der sogenannten KRITIS-Relevanz: „KRITIS“ ist das Behördenkürzel für „kritische Infrastrukturen“. Dazu zählen Unternehmen und andere Organisationen von hoher Bedeutung für das Gemeinwesen. Ihr Ausfall könnte zu „Versorgungsengpässen, Störungen der öffentlichen Sicherheit und Ordnung oder anderen schweren Folgen“ führen. Üblicherweise werden hierunter folgende Sektoren verstanden:
Daraus ergibt sich im Umkehrschluss: Grundsätzlich sind alle Daten KRITIS-relevant, die für die Aufrechterhaltung einer störungsfreien Versorgung bzw. aller vitalen Prozesse und deren Administration notwendig sind. Dazu gehören:
Anlagensteuerungsdaten
Kundendaten
Netzpläne
Weitere Kriterien (Beispiele)
Daneben gibt es weitere Kriterien für die Datenklassifizierung, die sich etwa aus der betrieblichen Praxis, dem Steuerrecht oder anderen regulatorischen Auflagen ergeben können. Diese sind beispielsweise:
Steuerrechtlich vorgeschriebene Verwahrfristen (Beispiel: Buchhaltungsdaten)
Von Berufsgenossenschaften oder Aufsichtsbehörden geforderte Verwahrfristen (Beispiel: Arbeitszeiten/Lenkzeiten von Mitarbeiter:innen)
Von anderen Behörden oder Versicherungen geforderte Daten (zum Umgang mit gefährlichen Betriebsstoffen, zu Herstellungsprozessen in der Industrie 4.0, zum Düngemitteleinsatz beim Precision Farming oder zu Rückstellproben in der Nahrungsmittelindustrie)
Diese Beispiele verdeutlichen, wie vielfältig Klassifizierungen sein können, die über den reinen Datenschutz oder die Sortierung nach Cyberschutz-Kriterien hinausgehen. Wichtig ist, dass besonders schützenswerte Daten beispielsweise in einer gut gesicherten Private Cloud verwahrt werden.
