Cloud-Plattformen, hybride Zusammenarbeitsformen und generative KI verändern, wie Unternehmen Informationen nutzen und weitergeben. Das macht Anpassungen notwendig: Datenklassifizierung und Data Loss Prevention (DLP) schaffen Transparenz über sensible Informationen und ermöglichen Schutzmaßnahmen, die sich am tatsächlichen Risiko orientieren. Bei der Weiterentwicklung des Informationsschutzes sind wiederum unterschiedliche Aspekte zu beachten.
Warum Unternehmen ihren Informationsschutz neu ausrichten sollten
Kundeninformationen, Vertragsunterlagen, Finanzdaten und geistiges Eigentum werden über Standorte, Geräte und Cloud-Dienste hinweg verarbeitet. Mitarbeitende arbeiten mit externen Partnern zusammen und nutzen Anwendungen außerhalb klassischer Sicherheitsgrenzen.
In vielen Organisationen verteilen sich geschäftskritische Informationen zudem auf gewachsene Ablagen, Cloud-Dienste, E-Mails und Endgeräte. Schutzbedarf, Verantwortlichkeiten und Zugriffsrechte sind nicht durchgängig dokumentiert
Unternehmen sollten daher nachvollziehen können, welche Informationen besonders schützenswert sind, wer darauf zugreifen darf und welche Nutzung ein Sicherheits- oder Compliance-Risiko darstellt. Dafür benötigen sie Transparenz über sensible Inhalte, klar zugeordnete Verantwortlichkeiten und angemessene Zugriffsrechte. Diese Entscheidungen betreffen Informationssicherheit, Datenschutz und Compliance ebenso wie IT und Fachbereiche.
Datenklassifizierung und DLP gezielt verbinden
Datenklassifizierung ordnet Informationen nach Sensitivität und geschäftlichem Wert. Ein praxistaugliches Modell verbindet wenige verständliche Schutzstufen mit eindeutigen Kriterien und Beispielen aus relevanten Geschäftsprozessen. Die Fachbereiche bewerten den Informationswert. Informationssicherheit, Datenschutz und IT leiten daraus Kennzeichnungen, Zugriffsregeln oder Verschlüsselungsvorgaben ab.
Data Loss Prevention steuert auf dieser Grundlage die Nutzung sensibler Informationen beispielsweise in E-Mails, Kollaborationsdiensten, Cloud-Speichern und auf Endgeräten.
Entscheidend ist der Kontext: Welche Information wird von wem, über welchen Kanal und an welchen Empfänger übermittelt? Abhängig vom Risiko können Aktivitäten protokolliert, Mitarbeitende gewarnt, Begründungen verlangt oder Vorgänge blockiert werden.
Im Zusammenspiel ermöglichen Klassifizierung und DLP gezielte Kontrollen für sensible Informationen und reduzieren unnötige Eingriffe in Arbeitsabläufe.
Informationsschutz schafft die Grundlage für eine sichere KI-Nutzung
Bei der Einführung von Microsoft 365 Copilot können veraltete Freigaben sowie unzureichend geschützte oder uneinheitlich klassifizierte Dokumente schneller in den Nutzungskontext gelangen. Copilot erzeugt das Zugriffsproblem nicht, macht bestehende Schwächen aber sichtbarer. Generative KI kann Informationen in kurzer Zeit finden, zusammenführen und auswerten. Umso wichtiger sind nachvollziehbare Berechtigungen, Kennzeichnungen und Verantwortlichkeiten.
Auch externe KI-Dienste schaffen neue Datenflüsse. Unternehmen sollten festlegen, welche Inhalte verarbeitet werden dürfen und wie riskante Eingaben erkannt werden. Klassifizierung und DLP bilden dafür technische Leitplanken und unterstützen eine nachvollziehbare KI-Governance.
Fünf Herausforderungen bei der Umsetzung
Ein Schutzmodell, das im Arbeitsalltag funktioniert
Zu viele Klassifizierungsstufen führen zu Unsicherheit, ein zu grobes Modell bildet wichtige Unterschiede nicht ab. Unsere Expertinnen und Experten entwickeln die Schutzklassen deshalb gemeinsam mit Ihren Fachbereichen anhand realer Dokumente und Nutzungssituationen. Klare Kriterien und Tests mit ausgewählten Nutzergruppen stellen sicher, dass das Klassifizierungsmodell in unterschiedlichen Anwendungsszenarien verständlich und eindeutig anwendbar ist.
Klare Verantwortung für Regeln und Ausnahmen
Nach einer technisch erfolgreichen Einführung bleibt offen, wer neue Vertraulichkeitsbezeichnungen beschließt, Ausnahmen genehmigt, Fehlklassifizierungen bewertet oder das verbleibende Risiko trägt. Ein Governance- und Betriebsmodell ordnet Entscheidungen, Freigaben und Eskalationen eindeutig zu. Regelmäßige Reviews halten die Richtlinien aktuell.
Sicherheit und Geschäftsbetrieb ausbalancieren
HR versendet personenbezogene Daten, der Vertrieb arbeitet mit Kunden und Partnern, Rechtsabteilungen tauschen vertrauliche Dokumente extern aus. Zu restriktive Kontrollen führen zu Umgehungslösungen, zu lockere Regeln erhöhen Sicherheits- und Compliance-Risiken. Wir betrachten daher konkrete Datenflüsse statt abstrakter Verbote. Abhängig vom Risiko werden Hinweise, Begründungen, Freigaben oder Blockierungen kombiniert. Notwendige Ausnahmen werden fachlich begründet, risikoseitig bewertet und nachvollziehbar dokumentiert.
Schutzmaßnahmen verständlich gestalten
Unklare Vertraulichkeitsbezeichnungen und unerwartete Blockierungen erschweren die Anwendung. Verständliche Beschreibungen und kontextbezogene Hinweise geben Orientierung. Rückmeldungen aus der Praxis fließen in Richtlinien, Supportprozesse und die weitere Ausgestaltung der Lösung ein. So lassen sich wiederkehrende Ursachen gezielt beseitigen.
DLP-Regeln schrittweise präzisieren
Zu breite Erkennungsmuster erzeugen Fehlalarme, zu enge Regeln übersehen relevante Vorfälle. Neue oder geänderte Richtlinien werden in der Regel zunächst ohne Durchsetzung getestet. Erst nach der Bewertung von Treffern, Fehlalarmen und Auswirkungen folgen Hinweise oder Blockierungen.
Ein Schutzmodell, das im Arbeitsalltag funktioniert
Zu viele Klassifizierungsstufen führen zu Unsicherheit, ein zu grobes Modell bildet wichtige Unterschiede nicht ab. Unsere Expertinnen und Experten entwickeln die Schutzklassen deshalb gemeinsam mit Ihren Fachbereichen anhand realer Dokumente und Nutzungssituationen. Klare Kriterien und Tests mit ausgewählten Nutzergruppen stellen sicher, dass das Klassifizierungsmodell in unterschiedlichen Anwendungsszenarien verständlich und eindeutig anwendbar ist.
Klare Verantwortung für Regeln und Ausnahmen
Nach einer technisch erfolgreichen Einführung bleibt offen, wer neue Vertraulichkeitsbezeichnungen beschließt, Ausnahmen genehmigt, Fehlklassifizierungen bewertet oder das verbleibende Risiko trägt. Ein Governance- und Betriebsmodell ordnet Entscheidungen, Freigaben und Eskalationen eindeutig zu. Regelmäßige Reviews halten die Richtlinien aktuell.
Sicherheit und Geschäftsbetrieb ausbalancieren
HR versendet personenbezogene Daten, der Vertrieb arbeitet mit Kunden und Partnern, Rechtsabteilungen tauschen vertrauliche Dokumente extern aus. Zu restriktive Kontrollen führen zu Umgehungslösungen, zu lockere Regeln erhöhen Sicherheits- und Compliance-Risiken. Wir betrachten daher konkrete Datenflüsse statt abstrakter Verbote. Abhängig vom Risiko werden Hinweise, Begründungen, Freigaben oder Blockierungen kombiniert. Notwendige Ausnahmen werden fachlich begründet, risikoseitig bewertet und nachvollziehbar dokumentiert.
Schutzmaßnahmen verständlich gestalten
Unklare Vertraulichkeitsbezeichnungen und unerwartete Blockierungen erschweren die Anwendung. Verständliche Beschreibungen und kontextbezogene Hinweise geben Orientierung. Rückmeldungen aus der Praxis fließen in Richtlinien, Supportprozesse und die weitere Ausgestaltung der Lösung ein. So lassen sich wiederkehrende Ursachen gezielt beseitigen.
DLP-Regeln schrittweise präzisieren
Zu breite Erkennungsmuster erzeugen Fehlalarme, zu enge Regeln übersehen relevante Vorfälle. Neue oder geänderte Richtlinien werden in der Regel zunächst ohne Durchsetzung getestet. Erst nach der Bewertung von Treffern, Fehlalarmen und Auswirkungen folgen Hinweise oder Blockierungen.
Informationsschutz als fortlaufender Prozess: So unterstützen wir Ihr Unternehmen
Informationsschutz ist keine einmalige technische Umsetzung. Schutzmodelle, Kontrollen und Verantwortlichkeiten müssen regelmäßig an neue Geschäftsprozesse, Technologien und Risiken angepasst werden. Wir unterstützen Unternehmen dabei, Informationsschutz als dauerhafte organisatorische Fähigkeit zu etablieren und Sicherheits- sowie Compliance-Anforderungen mit der digitalen Weiterentwicklung des Unternehmens in Einklang zu bringen. Dazu verbinden wir fachliche Anforderungen, klare Verantwortlichkeiten und technische Kontrollen zu einem umsetzbaren Vorgehen. Auf Basis priorisierter Geschäftsrisiken und relevanter Datenflüsse entwickeln wir Schutzmodelle, DLP-Kontrollen sowie Governance- und Betriebsprozesse und begleiten deren Umsetzung, beispielsweise mit Microsoft Purview.
Mehr KPMG Insights zum Thema
Ihre Ansprechpersonen
Markus Limbach
Partner, Consulting - Cyber Security & Resilience
KPMG AG Wirtschaftsprüfungsgesellschaft
- Item 1
- Item 2