Öffentlich, intern, vertraulich: Was die Klassifizierung übers Schwärzen sagt

Öffentlich, intern, vertraulich, streng vertraulich: Viele Unternehmen versehen ein Dokument mit einem dieser Wörter, bevor es überhaupt jemand liest. Die Kennzeichnung sagt, wer die Datei sehen darf. Sie sagt in wenigen Worten auch, was noch geschwärzt werden muss, bevor das Dokument seinen gewohnten Kreis verlässt.

Was bedeuten Klassifizierungsstufen?

Klassifizierung folgt einer einfachen Idee. Dokumente danach sortieren, welchen Schaden eine falsche Lektüre anrichten würde. Ein Urlaubsplan schadet niemandem, wenn ihn ein Fremder sieht. Ein Übernahmeplan kann echten Schaden anrichten. Die meisten Organisationen wählen drei oder vier Stufen. Sie nennen sie unterschiedlich, aber die Logik wiederholt sich überall. Der deutsche Staat kennzeichnet Verschlusssachen mit eigenen Stufen: VS-NUR FÜR DEN DIENSTGEBRAUCH, VS-VERTRAULICH, GEHEIM und STRENG GEHEIM. Der IT-Grundschutz des BSI ordnet den Schutzbedarf für IT-Systeme dagegen in drei Kategorien ein: normal, hoch und sehr hoch.

• Öffentlich: für die Weitergabe außerhalb des Unternehmens gedacht, etwa auf einer Website oder in einer Pressemitteilung.
• Intern: für die Belegschaft und manchmal Dienstleister. Es würde Außenstehende verwirren, dem Unternehmen aber nicht schaden.
• Vertraulich: für ein benanntes Team oder eine Funktion, etwa Finanzen, Personal oder Recht. Eine Offenlegung könnte dem Unternehmen oder einer Person schaden.
• Streng vertraulich: für eine kurze, namentlich genannte Personenliste. Eine Offenlegung könnte ernsten rechtlichen, finanziellen oder sicherheitsrelevanten Schaden verursachen.

Warum gibt es zwei verschiedene Gründe für die Klassifizierung?

Hinter denselben vier Wörtern stecken zwei getrennte Sorgen. Die erste betrifft personenbezogene Daten: ein Name, eine Adresse, ein Gehalt. Das europäische Datenschutzrecht verlangt, den Zugriff auf solche Angaben auf das zu beschränken, was die jeweilige Aufgabe tatsächlich erfordert.

Die zweite Sorge betrifft Geschäftsgeheimnisse: einen Preis, eine Kundenliste, eine Produktzeichnung. Die Richtlinie (EU) 2016/943 schützt eine Information nur dann als Geschäftsgeheimnis, wenn ihr Inhaber angemessene Maßnahmen ergriffen hat, um sie geheim zu halten. Artikel 2 der Richtlinie legt genau diese Bedingung fest. Ein Dokument, das offen auf einem gemeinsamen Laufwerk liegt, ganz ohne Zugriffsbeschränkung, lässt sich später schwerer als Geheimnis verteidigen.

Wie legt man eine Klassifizierungsstufe fest?

Meist entscheiden drei Fragen. Erstens: Verlangt ein Gesetz eine bestimmte Behandlung, etwa die DSGVO für personenbezogene Daten? Zweitens: Welchen Schaden würde eine Offenlegung verursachen, und für wen? Drittens: Wer muss das Dokument wirklich lesen, um seine Aufgabe zu erledigen? Wer diese drei Fragen beantwortet, hat die Stufe fast von selbst gefunden.

Was ist vor einer größeren Verteilung zu schwärzen?

ONYRI Sanitize kann helfen, sobald ein Dokument über seinen gewohnten Kreis hinausgehen soll. Die Erkennungsprofile bündeln eigene Regeln nach Projekt oder Kunde. Ein wiederkehrender interner Begriff, etwa ein Codename oder eine Kundennummer, wird bei jedem neuen Dokument automatisch geschwärzt. Die Grenze: ONYRI liest keine Klassifizierungskennzeichnung und entscheidet nicht über die Einstufung. Diese Entscheidung bleibt bei Ihnen.

Klassifizierung muss auch sichtbar sein, nicht nur beschlossen. Viele Organisationen schreiben die Stufe in die Kopf- oder Fußzeile eines Dokuments, an eine feste Stelle, die Leser kennenlernen. Dieselbe Stufe kann auch in den Dateieigenschaften stehen, den Metadaten im Eigenschaften-Bereich eines Textprogramms, damit sie auch eine Suche oder ein E-Mail-Filter erkennt.

Wer entscheidet, wenn ein Dokument herabgestuft wird?

Eine vertrauliche Datei durch Schwärzung in eine Version zu verwandeln, die für einen größeren Kreis sicher ist, ist eine Herabstufung. Dafür braucht es einen Verantwortlichen. Gute Praxis legt diese Entscheidung bei der Person oder dem Team, die die ursprüngliche Stufe festgelegt hat. Das ist oft eine Führungskraft, ein Datenschutzbeauftragter oder die Rechtsabteilung. Es ist nie, wer gerade an diesem Tag die E-Mail verschickt. Erika Mustermann, Projektleiterin, kann nicht allein entscheiden, die Daten eines Kunden aus einem vertraulichen Bericht zu entfernen und ihn an einen Lieferanten weiterzuleiten. Diese Entscheidung gehört dem Inhaber der Klassifizierung.

1. 1Prüfen Sie die Kennzeichnung vor der Weitergabe, nicht danach.
2. 2Fragen Sie sich, wer diese Version wirklich lesen muss.
3. 3Schwärzen Sie, was der neue, größere Empfängerkreis nicht sehen soll.
4. 4Lassen Sie die Herabstufung vom Inhaber der Klassifizierung freigeben.
5. 5Prüfen Sie die Kennzeichnung erneut in Kopfzeile, Fußzeile und Dateieigenschaften.