IT-Sicherheitslücken gehören zu den größten Risiken für Unternehmen. Studien wie der Verizon DBIR zeigen: Rund 80 Prozent aller Datenschutzverletzungen haben ihre Ursache in kompromittierten Zugangsdaten oder Fehlkonfigurationen im Berechtigungsmanagement. Gleichzeitig verschärfen Regularien wie die DSGVO, ISO 27001 und der IT-Grundschutz die Anforderungen an den Schutz personenbezogener Daten. Identity and Access Management (IAM) ist dabei weit mehr als ein technisches Werkzeug – es bildet die zentrale Schutzschicht zwischen sensiblen Unternehmensdaten und potenziellen Sicherheitsrisiken.

Besonders die systematische Klassifizierung von Daten nach ihrem Schutzbedarf ermöglicht es, DSGVO-Anforderungen nicht nur formal zu erfüllen, sondern auch praktisch umzusetzen. In diesem Artikel zeigen wir, wie IAM-Systeme mit Datenschutzklassifizierung zusammenwirken, welche konkreten DSGVO-Artikel dabei adressiert werden und wie Unternehmen durch automatisierte Prozesse ihre Compliance nachhaltig sichern können.

Die Datenschutz-Grundverordnung stellt zwar keine expliziten Anforderungen an IAM-Systeme, fordert aber technische und organisatorische Maßnahmen (TOMs), die faktisch nur durch ein strukturiertes Identitäts- und Zugriffsmanagement umsetzbar sind. Drei zentrale Artikel der DSGVO sind dabei besonders relevant:

Artikel 5 DSGVO definiert fundamentale Prinzipien für den Umgang mit personenbezogenen Daten, die direkten Einfluss auf IAM-Strategien haben:

• Datenminimierung: IAM-Systeme müssen sicherstellen, dass Nutzer:innen ausschließlich auf die Daten zugreifen können, die sie für ihre jeweilige Aufgabe tatsächlich benötigen. Das Prinzip der minimalen Rechte (Least Privilege) ist hier zentral – eine übermäßige Rechtevergabe nach dem „Gießkannenprinzip“ verstößt gegen diesen Grundsatz.
• Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie es für den Verarbeitungszweck erforderlich ist. IAM-Systeme spielen dabei eine doppelte Rolle: Sie müssen nicht nur Zugriffe auf alte Daten regulieren, sondern auch ihre eigenen Protokolldaten (Audit Logs) nach festgelegten Fristen automatisch löschen.
• Integrität und Vertraulichkeit: IAM ist das technische Fundament, um diese Grundsätze zu gewährleisten. Durch Authentifizierungsmechanismen, rollenbasierte Zugriffskontrolle und kontinuierliche Überwachung wird sichergestellt, dass Daten vor unbefugtem Zugriff, Verlust oder Beschädigung geschützt sind.

Artikel 32 DSGVO verlangt explizit „geeignete technische und organisatorische Maßnahmen“ zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus. IAM-Systeme erfüllen diese Anforderung auf mehreren Ebenen:

• Zugriffskontrolle: Die Zugriffskontrolle ist ein Sicherheitsmechanismus, der den Zugriff auf Daten, Anwendungen und physische Ressourcen steuert und überwacht. Sie gewährleistet Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, indem sie nur autorisierten Nutzer:innen den Zugriff ermöglicht. Zentrale Methoden umfassen Identifizierung/Authentifizierung, rollenbasierte Rechtevergabe (RBAC) und technische Kontrollen.
• Nachvollziehbarkeit durch Audit-Trails: IAM-Systeme protokollieren lückenlos, wer wann welche Berechtigungen vergeben hat. Diese Audit-Trails sind nicht nur für die Einhaltung von Compliance-Vorgaben unerlässlich, sondern auch für die Aufklärung von Sicherheitsvorfällen.
• Rezertifizierung von Berechtigungen: Artikel 32 erfordert die regelmäßige Überprüfung und Aktualisierung von Sicherheitsmaßnahmen. IAM-Lösungen automatisieren Rezertifizierungsprozesse, bei denen Datenverantwortliche in festgelegten Intervallen bestätigen müssen, dass Mitarbeitende ihre aktuellen Berechtigungen noch benötigen.
• Automatisiertes Rechte-Management: Ghost Accounts, also verwaiste Benutzerkonten ehemaliger Mitarbeitenden, gehören zu den häufigsten Sicherheitslücken. Zusätzlich können Berechtigungen mit Start- und Ablaufdaten versehen werden, sodass temporäre Zugriffe für Projektmitarbeiter, externe Dienstleister oder befristete Aufgaben automatisch auslaufen – ohne manuelle Nachverfolgung.

Bei Datenschutzverletzungen verlangt Artikel 33 DSGVO eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden. IAM-Systeme unterstützen diese Anforderung durch:

• Forensische Analyse und Compliance-Dokumentation: Die detaillierten Protokolldaten eines IAM-Systems ermöglichen es, im Falle einer Datenpanne schnell zu rekonstruieren, welche Identitäten auf welche Daten zugegriffen haben und ob personenbezogene Informationen betroffen sind. Durch die im System hinterlegte Datenschutzklassifizierung lassen sich auf Knopfdruck alle relevanten Informationen für das Verfahrensverzeichnis gemäß Artikel 30 DSGVO auslesen – eine erhebliche Erleichterung bei der Erfüllung von Dokumentationspflichten.

Die Datenschutzklassifizierung bildet das Bindeglied zwischen den abstrakten DSGVO-Anforderungen und ihrer praktischen Umsetzung im IAM. Sie ermöglicht es, Daten nach ihrem Schutzbedarf zu kategorisieren und darauf aufbauend differenzierte Zugriffskontrollen zu implementieren.

Was ist Datenschutzklassifizierung?

Datenschutzklassifizierung beschreibt den systematischen Prozess, bei dem Daten anhand ihrer Sensibilität, ihres Schutzbedarfs und ihrer Compliance-Relevanz in vordefinierte Kategorien eingeteilt werden. Im Kontext der DSGVO sind folgende Klassifizierungen besonders relevant:

• Nicht personenbezogene Daten: Informationen ohne Personenbezug, die keinen besonderen Schutzanforderungen unterliegen.
• Allgemeine personenbezogene Daten: Informationen wie Namen, E-Mail-Adressen oder Telefonnummern, die gemäß DSGVO geschützt werden müssen, aber keiner besonderen Kategorie angehören.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Hochsensible Daten wie Gesundheitsinformationen, genetische oder biometrische Daten, Angaben zur ethnischen Herkunft, politischen Meinungen, religiösen Überzeugungen oder zur sexuellen Orientierung. Diese Daten genießen den höchsten Schutz und dürfen nur unter strengen Voraussetzungen verarbeitet werden.

Die DSGVO selbst definiert zwar keine konkreten Schutzstufenkonzepte, jedoch haben deutsche Datenschutzbehörden (z.B. Niedersachsen) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) Modelle mit gestaffelten Schutzstufen entwickelt, die Unternehmen als Orientierung dienen können.

Eine effektive Datenschutzklassifizierung entfaltet ihre volle Wirkung erst in Kombination mit einem leistungsfähigen IAM-System. Hier die wichtigsten Zusammenhänge:

Visuelle Kennzeichnung im Dateisystem: Moderne IAM-Lösungen wie der BAYOOSOFT Access Manager kennzeichnen klassifizierte Ordner direkt im Explorer durch spezielle Icons. Datenverantwortliche erkennen so auf den ersten Blick, ob sie Zugriff auf DSGVO-relevante oder besonders schützenswerte Daten vergeben – dies schafft Transparenz und sensibilisiert für den Umgang mit personenbezogenen Daten.

Klassifizierungsbasierte Rezertifizierung: Die Klassifizierung eines Ordners als „personenbezogen“ oder „besondere Kategorie“ löst automatisch strengere Rezertifizierungsintervalle aus. Während normale Geschäftsdaten beispielsweise jährlich überprüft werden, können für hochsensible Gesundheitsdaten vierteljährliche Rezertifizierungen erforderlich sein.

Vorabautorisierung für klassifizierte Daten: Bei Zugriffsberechtigungen auf klassifizierte Daten greift ein Vorabautorisierungsmechanismus. Alle Accounts können grundsätzlich berechtigt werden, jedoch werden nur jene Accounts ins Zielsystem überführt, die Mitglied der entsprechenden AD-Gruppe zur Vorabautorisierung sind. So lassen sich beispielsweise Sicherheitsprüfungen von Mitarbeitenden abbilden, wenn es um besonders sensible Informationen geht.

Automatisierte Löschfristen: IAM-Systeme legen fest, wie lange Audit-Logs und andere Protokolldaten gespeichert werden dürfen. Nach Ablauf der definierten Frist werden diese automatisch gelöscht – ein direkter Beitrag zur Erfüllung des Speicherbegrenzungsgrundsatzes aus Artikel 5 DSGVO.

Verschlüsselung und Anonymisierung: Hochsensible Datenkategorien können automatisch zusätzliche Schutzmaßnahmen wie Verschlüsselung oder Pseudonymisierung auslösen. IAM-Systeme koordinieren dabei die technischen Maßnahmen mit den Zugriffskontrollmechanismen.

Der BAYOOSOFT Access Manager demonstriert die praktische Umsetzung von Datenschutzklassifizierung im IAM-Kontext:

• Klassifizierungsicons: Ordner mit personenbezogenen Daten werden im Explorer visuell hervorgehoben, sodass alle Beteiligten sofort erkennen, dass besondere Vorsicht geboten ist.
• DSGVO-spezifische Funktionen: Eine dedizierte Funktion zum automatisierten Löschen von Auditdaten nach festgelegten Fristen adressiert direkt die Speicherbegrenzungspflichten der DSGVO.
• Klassifizierungsgesteuerte Prozesse: Auf Basis der Ordnerklassifizierung werden Berechtigungsvergaben automatisch dokumentiert, Rezertifizierungen angestoßen und Cleanup-Prozesse für veraltete Rechte initiiert.