Data Classification: Definition, Schemata, Abgrenzung

Data Classification bezeichnet die systematische Einstufung von Datenobjekten (Tabellen, Spalten, Dateien, Datensätze) nach Sensitivität (wie schutzbedürftig die Daten sind) und optional nach fachlicher Kategorie (worum es inhaltlich geht, etwa Kundendaten oder Finanzdaten). Die Einstufung ist die Grundlage, auf der Zugriffsregeln, Maskierung (das Verbergen einzelner Felder), Verschlüsselung, Aufbewahrungsfristen und regulatorische Nachweise (DSGVO, ISO/IEC 27001 als Norm für Informationssicherheit, TISAX als Prüfstandard der Automobilbranche) automatisiert durchgesetzt werden.

Was ist Data Classification?

Data Classification ist eine Governance-Disziplin, also ein Steuerungsverfahren für den Umgang mit Daten. Jedes Datenobjekt bekommt mindestens ein Etikett (englisch Label) auf einer Sensitivitäts-Skala mit Stufen wie Public, Internal, Confidential und Restricted, und häufig ein zweites Etikett für die Kategorie: PII (personenbezogene Daten, aus dem Englischen „Personally Identifiable Information"), Finanzdaten, Gesundheitsdaten, Geschäftsgeheimnis oder Trainingsdaten für Hochrisiko-KI. Die Etiketten sind maschinenlesbare Merkmale (im Data Catalog als Tags hinterlegt, also als Kennzeichen am Datenobjekt), an denen alle weiteren Schutzmaßnahmen ansetzen. Ohne diese Einstufung fehlt die Grundlage, um Zugriffe fein zu steuern, Nachweise gegenüber Prüfern zu führen oder Regeln automatisch anzuwenden.

Verbreitet ist ein vierstufiges Sensitivitätsschema mit Public, Internal, Confidential und Restricted. Die Stufenzahl ist jedoch offen: ISO/IEC 27001 (Annex A 5.12) und NIST SP 800-60 fordern ein konsistentes Schema und eine dokumentierte Zuordnung; die genaue Ausprägung liegt beim Unternehmen. Regulatorische Rahmen wie die DSGVO (Art. 5 Datenminimierung, Art. 32 Sicherheit der Verarbeitung), TISAX für die Automobil-Lieferkette und der AI Act für Trainingsdaten setzen zusätzliche Anforderungen an einzelne Kategorien, ohne das Schema selbst zu diktieren.

Die eigentliche Zuweisung erfolgt auf drei Wegen. Manuelle Klassifikation durch Data Stewards ist präzise, skaliert bei tausenden Tabellen jedoch schlecht. Regelbasierte Scanner erkennen sensible Muster über Spaltennamen (email, iban, ssn) und Format-Signaturen (Kreditkarten-Prüfsummen, IBAN-Struktur, IPv4/IPv6). ML-basierte Klassifikations-Scanner (etwa in Microsoft Purview, BigID, Immuta oder Databricks-nativ über AI Functions) trainieren auf annotierten Sample-Daten und schlagen Labels für neue Objekte vor; ein Steward bestätigt oder korrigiert. In der Regel kombinieren Plattformen diese Wege: Scanner produzieren Kandidaten, Stewards entscheiden über strittige Fälle, das Ergebnis persistiert als Tag am Objekt.

Die Klassifikation ist kein einmaliger Akt. Schema-Änderungen im Quellsystem, neue Spalten aus einer geänderten Ingestion-Pipeline, geänderte Nutzung eines bislang harmlosen Feldes und neue Regulatorik zwingen zur Re-Klassifikation. Reife Governance-Betriebe planen deshalb periodische Klassifikations-Reviews (etwa quartalsweise) und ereignisgesteuerte Läufe bei DDL-Änderungen an Katalog-Objekten.

Abgrenzung: Classification (ML), Data Tagging, Katalog-Tags, PII-Discovery

Der Begriff kollidiert mit mehreren gleichnamigen oder eng verwandten Konzepten. Sauber getrennt sind die Wirkungsebene und der Zweck.

Begriff	Ebene	Kernunterschied
Classification (ML-Aufgabe)	Modellierung	Zuordnung eines Datenpunkts zu einer aus mehreren Klassen (Kauf ja/nein, Ticket-Kategorie). Modell-Output je Datenpunkt statt Governance-Label am Objekt.
Data Tagging	Technisches Mittel	Beliebige Key-Value-Attribute an Datenobjekten im Katalog (Owner, Fachbereich, Sprache). Data Classification nutzt Tags, aber nicht jeder Tag ist eine Klassifikation.
Unity Catalog Tags	Produkt-Feature	Speichermechanismus für Attribute in Databricks. Das Schema (welche Stufen, welche Kategorien) bleibt eine Governance-Entscheidung außerhalb des Produkts.
PII-Discovery / Data-Discovery-Scanner	Erkennung	Automatische Identifikation sensibler Muster in Daten; liefert Klassifikations-Vorschläge. Data Classification ist die anschließende Zuweisung und Verwaltung der Labels.
Data Cataloging	Metadaten-Inventar	Vollständige Beschreibung der Datenobjekte (Schema, Owner, Lineage). Klassifikation liefert eine Metadaten-Dimension darin und bleibt selbst kein Katalog.

Am häufigsten kollidiert Data Classification mit Classification als ML-Aufgabe. Beide teilen das Vokabular „Klasse" und „Label", operieren jedoch auf unterschiedlichen Objekten: die ML-Classification (siehe Glossareintrag classification) sagt eine Klasse für einen einzelnen Datenpunkt voraus; Data Classification vergibt ein Sensitivitäts- oder Kategorielabel für ein Datenobjekt im Katalog. Ein ML-Scanner kann für Data Classification eingesetzt werden, was die Verwechslung verstärkt; die Governance-Aufgabe bleibt jedoch definitorisch getrennt.

Ebenfalls verwechselt werden Klassifikations-Labels und beliebige Katalog-Tags. Ein Tag owner=analytics-team beschreibt Ownership; ein Tag sensitivity=confidential ist ein Klassifikations-Label. Die Grenze verläuft am Zweck des Attributs und nicht an der technischen Repräsentation.

Beispiel: Sensitivitäts- und Kategorie-Tags im Unity Catalog

Ein Datenteam führt in Unity Catalog ein zweiachsiges Klassifikationsschema ein. Auf der Sensitivitäts-Achse gibt es die Werte public, internal, confidential und restricted; auf der Kategorie-Achse die Werte pii, financial, health, internal_only und public. Alle Tabellen bekommen bei der Registrierung ein Tag-Set über beide Achsen; PII-Spalten werden zusätzlich pro Spalte mit pii=true markiert.

sql

ALTER TABLE analytics.customer SET TAGS (
  'sensitivity' = 'confidential',
  'data_category' = 'pii'
);

ALTER TABLE analytics.customer ALTER COLUMN email
  SET TAGS ('pii' = 'true');

An diesen Labels hängen mehrere Policies. Eine ABAC-Policy bindet an jede Spalte mit pii=true automatisch eine Standard-Maskierungsfunktion; das entkoppelt die Maskierung vom manuellen Grant je Tabelle. Eine Row-Level-Security-Policy schränkt den Zugriff auf sensitivity=restricted-Tabellen auf freigegebene Nutzergruppen ein. Ein Data-Loss-Prevention-Filter im Export-Pfad blockiert Downloads von Objekten mit sensitivity=confidential oder höher außerhalb definierter Netzwerkbereiche. Eine Retention-Regel löscht sensitivity=confidential-Logtabellen nach 90 Tagen.

Der Wirkungsbereich hängt an der Tag-Qualität. Fehlt das Label an einer neu registrierten Tabelle, greift keine der Policies, und der Klartext bleibt über die reinen RBAC-Rechte lesbar. Aus diesem Grund verankern reife Betriebe Klassifikations-Prüfungen als Gate im Onboarding-Prozess (kein Katalog-Objekt geht in Produktion ohne Sensitivitäts- und Kategorie-Tag) und lassen einen periodischen Scanner unklassifizierte Objekte an die Stewards melden.