Dezember 22, 2025

Anhang A 5.12 Klassifizierung von Information

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Informationen besitzen je nach Art, Herkunft, Verwendungszweck und Sensibilität einen unterschiedlichen Schutzbedarf. Eine einheitliche und nachvollziehbare Klassifizierung von Informationen ist daher eine zentrale Voraussetzung, um angemessene Schutzmaßnahmen festzulegen und umzusetzen. Dieses Control stellt sicher, dass Informationen systematisch klassifiziert werden, sodass Vertraulichkeit, Integrität und Verfügbarkeit risikoorientiert geschützt werden können.

Zweck des Controls

A 5.12 soll gewährleisten, dass Informationen entsprechend ihrem Schutzbedarf klassifiziert werden. Ziel ist es, Transparenz über die Bedeutung und Sensibilität von Informationen zu schaffen und sicherzustellen, dass Schutzmaßnahmen konsistent, angemessen und nachvollziehbar angewendet werden. Die Klassifizierung bildet die Grundlage für viele weitere Sicherheitsmaßnahmen, wie Zugriffskontrolle, Verschlüsselung, Speicherung und Weitergabe von Informationen.

Anforderungen und Maßnahmen

1. Festlegung eines Klassifizierungsschemas

Organisationen müssen ein einheitliches Klassifizierungsschema definieren, das für alle relevanten Informationen gilt, zum Beispiel:

  • öffentlich
  • intern
  • vertraulich
  • streng vertraulich

Das Klassifizierungsschema muss klar definiert, verständlich und organisationsweit einheitlich angewendet werden.

2. Kriterien für die Klassifizierung

Die Klassifizierung von Informationen muss auf klaren Kriterien basieren, insbesondere:

  • Auswirkungen bei Verlust der Vertraulichkeit
  • Auswirkungen bei Verlust der Integrität
  • Auswirkungen bei eingeschränkter Verfügbarkeit
  • rechtliche, regulatorische oder vertragliche Anforderungen
  • geschäftliche, finanzielle oder reputationsbezogene Auswirkungen

Diese Kriterien müssen dokumentiert und konsistent angewendet werden.

3. Verantwortung für die Klassifizierung

Für die Klassifizierung von Informationen müssen klare Verantwortlichkeiten festgelegt werden:

  • Benennung verantwortlicher Rollen (z. B. Information Owner oder Asset Owner)
  • Verantwortung für Erstklassifizierung und regelmäßige Überprüfung
  • Verantwortung für Anpassung der Klassifizierung bei Änderungen
  • Abstimmung mit Datenschutz, Compliance oder Fachbereichen bei Bedarf

Klare Verantwortlichkeiten sind entscheidend für die Wirksamkeit der Klassifizierung.

4. Klassifizierung während des gesamten Lebenszyklus

Informationen müssen über ihren gesamten Lebenszyklus hinweg klassifiziert werden:

  • Erstellung oder Erfassung von Informationen
  • Nutzung und Verarbeitung
  • Speicherung und Archivierung
  • Weitergabe oder Veröffentlichung
  • Löschung oder Vernichtung

Die Klassifizierung ist bei Änderungen des Kontexts regelmäßig zu überprüfen.

5. Ableitung von Schutzmaßnahmen

Aus der Klassifizierung müssen geeignete Schutzmaßnahmen abgeleitet werden, z. B.:

  • Zugriffsbeschränkungen und Berechtigungskonzepte
  • Vorgaben zur Speicherung und Übertragung
  • Einsatz von Verschlüsselung oder besonderen Schutzmechanismen
  • Einschränkungen bei Weitergabe oder Nutzung
  • Anforderungen an Archivierung und Entsorgung

So wird sichergestellt, dass Informationen ihrem Schutzbedarf entsprechend behandelt werden.

6. Einbindung externer Parteien

Auch beim Umgang mit externen Parteien muss die Klassifizierung berücksichtigt werden:

  • Weitergabe von Klassifizierungsinformationen an Dienstleister oder Partner
  • vertragliche Regelungen zur Behandlung klassifizierter Informationen
  • Kontrolle der Einhaltung vereinbarter Schutzmaßnahmen
  • Einschränkung des Zugriffs auf das notwendige Maß

Die Verantwortung für den Schutz verbleibt bei der Organisation.

7. Dokumentation und Nachvollziehbarkeit

Die Klassifizierung von Informationen muss nachvollziehbar dokumentiert werden:

  • Dokumentation des Klassifizierungsschemas
  • Nachweise zur Klassifizierung relevanter Informationen
  • Dokumentation von Änderungen der Klassifizierung
  • Verknüpfung mit Inventar- und Risikomanagement

Diese Dokumentation unterstützt Transparenz und Auditierbarkeit.

8. Schulung und Sensibilisierung

Alle relevanten Personen müssen die Klassifizierung verstehen und anwenden können:

  • Schulungen zur Bedeutung und Anwendung der Klassifizierung
  • Sensibilisierung für den Umgang mit klassifizierten Informationen
  • klare Anleitungen für typische Anwendungsfälle
  • regelmäßige Awareness-Maßnahmen

Dies stellt sicher, dass die Klassifizierung im Arbeitsalltag wirksam umgesetzt wird.

Zusammenfassung

A 5.12 fordert, dass Organisationen Informationen systematisch und einheitlich klassifizieren, um ihren Schutzbedarf angemessen zu berücksichtigen. Durch ein definiertes Klassifizierungsschema, klare Kriterien und Verantwortlichkeiten, Ableitung geeigneter Schutzmaßnahmen sowie regelmäßige Überprüfung wird sichergestellt, dass Informationen entsprechend ihrer Bedeutung geschützt werden. Das Control bildet eine zentrale Grundlage für ein risikoorientiertes und wirksames Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 5.12 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 5.12 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Welche Schutzstufen haben Sie – und wie viele?“
Drei bis vier Stufen sind praktikabel. Mehr wird nicht angewendet, weniger differenziert nicht.
„Nach welchen Kriterien wird eingestuft?“
Vertraulichkeit, Integrität, Verfügbarkeit und rechtliche Anforderungen – die Kriterien müssen benannt sein.
„Wer stuft ein?“
Die Einstufung liegt beim Eigentümer des Werts, nicht bei der IT. Das ist der häufigste Zuständigkeitsfehler.
„Zeigen Sie mir ein Dokument der höchsten Stufe.“
Der Praxistest: Existiert die Stufe wirklich, oder ist alles intern eingestuft?
Das Dokument dazu

A 5.12-1 Verfahren zur Klassifizierung von Informationen

Klassifizierungsschema mit Stufen und Kriterien · Zuständigkeit für die Einstufung · Verbindung zu Kennzeichnung und Handhabung. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick