März 5, 2026

Anhang A 8.11 Datenmaskierung

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Datenmaskierung ist eine wirksame Maßnahme zum Schutz sensibler Informationen vor unbefugter Offenlegung, insbesondere in Umgebungen, in denen vollständige Daten nicht erforderlich sind. Ohne geeignete Maskierungsmaßnahmen besteht das Risiko, dass vertrauliche oder personenbezogene Daten unberechtigt eingesehen oder missbraucht werden. Dieses Control stellt sicher, dass Datenmaskierung gezielt eingesetzt wird, um Informationssicherheitsrisiken zu reduzieren.

Zweck des Controls

A 8.11 soll gewährleisten, dass sensible Informationen durch geeignete Maskierungsverfahren geschützt werden, wenn ein vollständiger Zugriff nicht erforderlich ist. Ziel ist es, die Vertraulichkeit von Informationen zu wahren und Risiken durch unnötige Offenlegung sensibler Daten zu minimieren.

Anforderungen und Maßnahmen

1. Identifikation von zu maskierenden Informationen

Organisationen müssen festlegen, welche Informationen für eine Datenmaskierung geeignet sind, insbesondere:

  • personenbezogene Daten
  • vertrauliche Geschäfts- oder Kundendaten
  • Finanz- oder Gesundheitsinformationen
  • sonstige schützenswerte Daten

Die Identifikation muss sich an der Informationsklassifizierung orientieren.

2. Festlegung von Maskierungsanforderungen

Maskierungsanforderungen müssen definiert werden:

  • Art und Umfang der Maskierung
  • betroffene Systeme und Anwendungen
  • Rollen mit Zugriff auf maskierte oder unmaskierte Daten
  • Anforderungen an Nachvollziehbarkeit und Reversibilität

Die Anforderungen müssen dokumentiert sein.

3. Auswahl geeigneter Maskierungsverfahren

Geeignete Maskierungsverfahren müssen eingesetzt werden, zum Beispiel:

  • partielle Maskierung
  • Anonymisierung oder Pseudonymisierung
  • Ersetzung durch Platzhalter
  • Format-erhaltende Maskierung

Die Verfahren müssen dem Schutzbedarf entsprechen.

4. Umsetzung in Systemen und Prozessen

Datenmaskierung muss technisch und organisatorisch umgesetzt werden:

  • Integration in Anwendungen und Datenbanken
  • Berücksichtigung von Test- und Entwicklungsumgebungen
  • Schutz von Schnittstellen und Ausgaben
  • Kontrolle der Umsetzung

So wird eine konsistente Anwendung sichergestellt.

5. Schutz vor Umgehung der Maskierung

Maskierungsmaßnahmen müssen vor Umgehung geschützt werden:

  • Zugriffsbeschränkungen auf unmaskierte Daten
  • Trennung von Rollen und Aufgaben
  • Protokollierung von Zugriffen
  • regelmäßige Überprüfung der Wirksamkeit

Dies verhindert unbefugte Einsicht.

6. Berücksichtigung rechtlicher und regulatorischer Anforderungen

Datenmaskierung muss rechtliche Vorgaben unterstützen:

  • Datenschutzanforderungen
  • Zweckbindung und Datenminimierung
  • Nachweisbarkeit der Schutzmaßnahmen
  • Abstimmung mit Compliance-Anforderungen

So wird Rechtskonformität unterstützt.

7. Dokumentation und Schulung

Datenmaskierungsmaßnahmen müssen dokumentiert sein:

  • Beschreibung der Verfahren
  • betroffene Systeme und Daten
  • Verantwortlichkeiten
  • Schulung der beteiligten Personen

Dies unterstützt eine korrekte Anwendung.

8. Überprüfung und kontinuierliche Verbesserung

Datenmaskierungsprozesse müssen überprüft werden:

  • Bewertung der Wirksamkeit
  • Anpassung an neue Anforderungen
  • Integration von Erkenntnissen aus Vorfällen
  • regelmäßige Aktualisierung der Maßnahmen

So bleibt die Datenmaskierung wirksam.

Zusammenfassung

A 8.11 fordert, dass Organisationen Datenmaskierung gezielt einsetzen, um sensible Informationen vor unbefugter Offenlegung zu schützen. Durch Identifikation geeigneter Daten, klare Maskierungsanforderungen, Auswahl geeigneter Verfahren, Schutz vor Umgehung sowie regelmäßige Überprüfung wird sichergestellt, dass Daten nur in dem Umfang sichtbar sind, der für den jeweiligen Zweck erforderlich ist. Das Control ist ein wichtiger Bestandteil der technischen und organisatorischen Informationssicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.11 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.11 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wo setzen Sie Maskierung oder Pseudonymisierung ein?“
Das Control ist 2022 neu und zielt vor allem auf Test-, Analyse- und Schulungsumgebungen.
„Welche Daten dürfen unmaskiert verarbeitet werden?“
Ohne Festlegung landen Produktivdaten im Test – der häufigste Anwendungsfall dieses Controls.
„Welches Verfahren verwenden Sie?“
Maskierung, Pseudonymisierung, Anonymisierung sind nicht dasselbe. Das gewählte Verfahren muss zum Zweck passen.
„Wie stellen Sie sicher, dass die Maskierung nicht umkehrbar ist?“
Eine schwache Maskierung lässt sich zurückrechnen – dann ist der Schutz nur scheinbar.
Das Dokument dazu

A 8.11-1 Richtlinie zur Datenmaskierung

Einsatzbereiche für Maskierung und Pseudonymisierung · Festlegung, welche Daten unmaskiert zulässig sind · Verfahren und Prüfung der Nicht-Umkehrbarkeit. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick