Informationsklassifizierung: Richtlinie mit dem Generator erstellen

Du brauchst eine Klassifizierungsrichtlinie – für ein Audit, einen Kunden oder weil das ISMS ohne sie nicht weiterkommt. Der Generator unten stellt Fragen zu eurer Organisation und erzeugt daraus ein ausformuliertes Dokument mit 14 Abschnitten, als PDF, Word-Datei oder ODT. Kostenlos, ohne Anmeldung. Was du bekommst, ist eine Vorlage auf dem Stand gängiger Praxis, kein fertiges Firmendokument: Anpassen und intern freigeben bleibt bei dir.

Das Wichtigste in Kürze

• Der Generator erzeugt eine vollständige Richtlinie in Fließtext, nicht eine Stichpunktliste – übernehmbar in die Dokumentenlenkung.
• Zwei Vorlagen stehen zur Wahl: eine zurückhaltende Fassung für kleinere Organisationen und den Einstieg, eine strenge für regulierte Umfelder und Zertifizierungsvorhaben.
• Drei bis vier Schutzklassen sind der Bereich, in dem Modelle im Alltag funktionieren. Ab fünf Stufen raten Menschen, statt einzuordnen.
• Normbezug ist Maßnahme 5.12 im Anhang A der ISO/IEC 27001:2022, ergänzt um 5.13 für die Kennzeichnung und 5.10 für den Umgang mit Werten.
• Die Richtlinie allein bewirkt nichts. Wirksam wird sie über die Kennzeichnung und über Umgangsregeln, die je Klasse konkret sagen, was erlaubt ist.
• Eine Klasse ohne eigene Konsequenz ist überflüssig. Wenn sich für zwei Stufen dieselben Regeln ergeben, sind es in Wahrheit nicht zwei Stufen.

So funktioniert der Generator

1. Vorlage wählen. Der Unterschied zwischen beiden Fassungen liegt in der Schärfe der Pflichten und in der Zahl der verlangten Nachweise, nicht im Aufbau.
2. Fragebogen beantworten. Schutzklassen, Kennzeichnung, Verantwortlichkeiten, Weitergabe, Löschung. Jede Antwort verändert den erzeugten Text, nicht nur eine Überschrift.
3. Dokument herunterladen. Der Link kommt per E-Mail; dort wählst du das Format – PDF zum Lesen und Weiterleiten, DOCX oder ODT zum Weiterbearbeiten.

Wer statt eines erzeugten Dokuments erst einmal sehen will, wie so eine Richtlinie aussieht, findet drei vollständig ausgearbeitete Fassungen unter Informationsklassifizierung Beispiele.

Wie viele Schutzklassen sind sinnvoll?

Das ist die Frage, an der die meisten Modelle scheitern – und zwar nicht an der Norm, die keine Zahl vorgibt, sondern an der Praxis. Ein tragfähiger Aufbau mit vier Stufen sieht so aus:

Stufe	Typische Inhalte	Was daraus folgt
Öffentlich	Pressemitteilungen, Produktblätter, Stellenanzeigen	Keine Einschränkung; Freigabe durch die zuständige Stelle vor Veröffentlichung
Intern	Protokolle, Prozessbeschreibungen, Organigramme	Nur innerhalb der Organisation; kein Versand an Dritte ohne Anlass
Vertraulich	Verträge, Personaldaten, Kalkulationen	Zugriff nach Bedarf, Verschlüsselung bei Versand, Wegschließen auf Papier
Streng vertraulich	Zugangsdaten, Unterlagen zu Beteiligungen, besondere Kategorien nach Art. 9 DSGVO	Namentlich benannter Kreis, Protokollierung des Zugriffs, gesonderte Vernichtung

Wer fünf oder sechs Stufen definiert, bekommt in der Realität zwei zurück: „normal“ und „das ist wichtig“. Alles dazwischen wird geraten. Drei Stufen, die jeder im Kopf behält, sind mehr wert als ein feingliedriges Modell, das im Alltag niemand anwendet. Bei Unentschiedenheit gilt: mit drei anfangen. Eine Stufe später hinzuzufügen ist deutlich einfacher, als eine wieder abzuschaffen.

Umgangsregeln je Klasse

Die Stufen wirken erst über die Regeln, die an ihnen hängen. Diese Matrix ist der Teil der Richtlinie, nach dem im Alltag tatsächlich gesucht wird – und der, den ein Auditor stichprobenartig gegen die Realität prüft.

Vorgang	Intern	Vertraulich	Streng vertraulich
Versand per E-Mail	Ohne Auflage innerhalb der Organisation	Verschlüsselt oder über gesicherte Ablage; Empfänger vor dem Senden prüfen	Nur über gesicherte Ablage mit Zugriffsprotokoll, kein Anhang
Ablage in der Cloud	Freigegebene Dienste	Freigegebene Dienste mit Zugriffsbeschränkung je Ordner	Nur benannter Personenkreis, Freigaben ohne Ablaufdatum unzulässig
Druck und Papier	Ohne Auflage	Freigabe am Gerät, wegschließen nach Gebrauch	Freigabe am Gerät, Ausdruck nur bei Bedarf, Vernichtung protokolliert
Weitergabe an Dritte	Mit Anlass	Mit Vertraulichkeitsvereinbarung	Mit Vereinbarung und Freigabe durch [Rolle], dokumentiert
Vernichtung	Papierkorb genügt	Aktenvernichter ab Stufe P-4, digitale Löschung nachweisbar	Aktenvernichter ab Stufe P-5, gesonderte Aufzeichnung
Mitnahme außer Haus	Erlaubt	Verschlüsseltes Gerät, Sichtschutz in der Öffentlichkeit	Nur nach Freigabe, kein Papier in Verkehrsmitteln

Beim Ausfüllen dieser Matrix zeigt sich sehr schnell, ob das Stufenmodell trägt. Ergeben sich für zwei Stufen dieselben Zeilen, sind es in Wahrheit nicht zwei Stufen – dann ist eine zu streichen, bevor die Richtlinie freigegeben wird.

Kennzeichnung im Alltag

Die Einstufung wirkt erst, wenn sie am Dokument sichtbar ist. Dafür genügen wenige Festlegungen, die aber getroffen werden müssen – sonst kennzeichnet jede Abteilung anders.

• Ort und Wortlaut. Eine Stelle je Medium: Fußzeile in Textdokumenten, erste Folie und Fußzeile in Präsentationen, Betreffzeile bei E-Mails. Der Wortlaut ist genau die Bezeichnung der Stufe, ohne Zusätze.
• Papier. Kopf- oder Fußzeile auf jeder Seite, nicht nur auf dem Deckblatt – Seiten werden getrennt kopiert und einzeln liegen gelassen.
• Vorbelegung. Dokumentvorlagen mit der Stufe „intern“ vorbelegen. Das ist die wirksamste Einzelmaßnahme, weil sie den Normalfall ohne Aufwand richtig trifft.
• Nicht gekennzeichnet. Die Richtlinie muss sagen, was dann gilt. Üblich und sinnvoll: alles ohne Kennzeichnung gilt als „intern“.

Ein Punkt, der in Klassifizierungsrichtlinien fast nie steht und regelmäßig zu Rückfragen führt: Kennzeichnungen, die nur farbig oder nur als Wasserzeichen umgesetzt sind, gehen bei der Weiterverarbeitung verloren und werden von Vorlesewerkzeugen nicht wiedergegeben. Wer Dokumente auch außerhalb des eigenen Hauses verwendet, findet die Anforderungen dazu unter barrierefreie Office-Dokumente.

Aus der Praxis: die Stufe, die niemand vergibt

In fast jedem Modell gibt es eine Stufe, die auf dem Papier existiert und im Bestand fast nicht vorkommt – meistens die höchste. Der Grund ist selten, dass es keine entsprechenden Unterlagen gäbe. Er ist, dass die Regeln für diese Stufe so aufwendig sind, dass niemand freiwillig etwas hineinlegt.

Was ich daraus schließe: Das ist kein Schulungsproblem, sondern ein Konstruktionsfehler. Wenn die höchste Stufe eine Protokollpflicht, eine gesonderte Ablage und eine Freigabe je Weitergabe verlangt, wird eben „vertraulich“ angekreuzt. Besser ist eine höchste Stufe mit genau zwei zusätzlichen Auflagen gegenüber der darunter – etwa benannter Personenkreis und Zugriffsprotokollierung – und sonst nichts. Dann wird sie benutzt, und die Unterlagen, um die es wirklich geht, sind erfasst. Ein Modell, das nur auf dem Papier streng ist, schützt nichts.

Häufige Fragen

Werden meine Eingaben gespeichert?

Für die Erzeugung des Dokuments und den Versand des Download-Links werden die Angaben verarbeitet. Es geht dabei um die Struktur eurer Richtlinie – Stufennamen, Rollen, Fristen –, nicht um Inhalte eurer Dokumente. Die Einzelheiten stehen in der Datenschutzerklärung.

Genügt das erzeugte Dokument für ein Audit?

Als Dokument ja, als Nachweis allein nein. Auditoren prüfen die Freigabe, die Bekanntgabe und Stichproben im Bestand: Ist ein beliebiges Dokument gekennzeichnet, und passt die Kennzeichnung zum Inhalt? Die Richtlinie ist die Grundlage dafür, aber die Prüfung findet in den Ablagen statt.

Wie werden Bestandsdokumente nachträglich eingestuft?

Nicht flächendeckend. Der übliche Weg ist eine Stichtagsregel: Ab dem Datum X werden neue Dokumente gekennzeichnet, Bestandsdokumente gelten als „intern“ und werden eingestuft, sobald sie ohnehin bearbeitet werden. Ausgenommen sind Bereiche mit hohem Schutzbedarf – Personal, Recht, Entwicklung –, die einmal vollständig durchgegangen werden.

Wer entscheidet über die Einstufung?

Die Stelle, die das Dokument erstellt, im Zweifel die im Fachbereich benannte verantwortliche Person für den jeweiligen Informationswert. Eine zentrale Instanz, die alles einstuft, wird zum Engpass und kennt den Inhalt nicht. Die Zuordnung dieser Rollen gehört in dieselbe Richtlinie und passt zum Berechtigungskonzept.

Weiterführende Seiten

• Klassifizierungsrichtlinie – Aufbau, Beispiele und Vorlage zum Nachlesen
• Drei ausgearbeitete Richtlinien – zum Vergleich der Detailtiefe
• Risikobewertung – der Generator, der die Schutzbedarfe liefert
• Clean Desk Policy – setzt die Stufen am Arbeitsplatz um
• Richtlinien-Bibliothek – alle Mustertexte im Überblick

Stand: August 2026. Normbezug ist ISO/IEC 27001:2022, Anhang A, Maßnahmen 5.10, 5.12 und 5.13. Das erzeugte Dokument ist eine Vorlage und ersetzt keine Rechtsberatung. Die ausgearbeitete Fassung mit Umgangsmatrix und Kennzeichnungsbeispielen liegt im Paket zur Informationsklassifizierung.