Vertrauliches liegt offen. Verschlüsselung gibt es – nur nicht am richtigen Ort.
Gehaltslisten, Verträge und Vorstandsunterlagen liegen in Teams und SharePoint – das Dokument selbst hat keinen Schutz: Wer den Ordner erreicht, kann öffnen, kopieren, weiterleiten. Nach dem Schutz sensibler Daten fragt erst der Versicherungsfragebogen – oder ein Vorfall beantwortet die Frage. Und wenn verschlüsselt wird, dann meist pauschal: Externe scheitern an Dateien, Abläufe stocken, der Support räumt auf. Wir geben Ihnen ein Schutzklassenmodell, das beides abstellt: wenige Klassen mit Kriterien, die Mitarbeitende anwenden können – und je Klasse Maßnahmen, die automatisch greifen: Kennzeichnung, Verschlüsselung, Regeln für Weitergabe und Zugriff.
Verschlüsselung nach Schutzbedarf: Externe Treiber.
Die Sicherheit der Verarbeitung nennt als Maßnahme wörtlich „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“ – Art. 32 Abs. 1 lit. a, angemessen nach Risiko. Ein Schutzklassenmodell legt fest, wo Verschlüsselung dieses Maß trifft, und macht die Auswahl prüfbar.
„Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“ verlangt § 30 Abs. 2 Nr. 8 BSIG (EU: Art. 21 Abs. 2 lit. h). Schutzklassen mit Verschlüsselungsregeln je Klasse zahlen genau darauf ein.
VDA ISA 6 behandelt die Klassifizierung von Informationswerten und den Einsatz von Kryptografie in eigenen Anforderungsbereichen – Schutzklassen samt Maßnahmenmatrix unterstützen den Nachweis in der Automotive-Lieferkette.
Risikofragebögen fragen nach der Verschlüsselung sensibler Daten – gespeichert wie übertragen – und nach geregeltem Umgang mit Vertraulichem; die Antworten wirken auf Prämie, Selbstbehalt und Deckung. Ein Klassenmodell mit hinterlegten Maßnahmen liefert sie.
Unsere technische Basis.
Angepasst an Ihre Umgebung und Lizenzen.
01 · Zielsysteme
Microsoft 365 – Office-Dokumente, E-Mails, Teams und SharePoint: Dort wird gekennzeichnet und verschlüsselt – die Verschlüsselung steckt in der Datei selbst, Öffnen setzt Anmeldung und Berechtigung voraus. Eine weitergeleitete Kopie bleibt für Unberechtigte unlesbar, auch außerhalb des Unternehmens; berechtigte Empfänger arbeiten nach Anmeldung normal weiter.
02 · Durchführung & Self-Service
Vertraulichkeitsbezeichnungen aus Microsoft Purview setzen Verschlüsselung und Nutzungsrechte je Klasse; Regeln gegen Datenabfluss sowie Zugriffs- und Gerätebedingungen kommen aus Purview, Microsoft Entra ID und Microsoft Intune – AvePoint gleicht Freigaben und Berechtigungen mit der Einstufung ab.
03 · Prozess-Dokumentation & Ablauf
Jede Ausnahme ein Antrag, jede Regeländerung ein Change mit Spur – festgehalten in Jira Service Management.
Je sensibler die Information, desto strenger der Schutz.
Der Zuschnitt folgt Ihrer Ausgangslage und Lizenzsituation – der Kern ist in jedem Projekt derselbe. Sie nutzen andere Tools? Wir prüfen, wie sich unser Konzept am besten bei Ihnen abbilden lässt.
Schutzbedarfsanalyse
Welche Informationen bei Offenlegung, Verfälschung oder Verlust welchen Schaden auslösen: Datenarten, Empfängerkreise und Nutzungsszenarien bewertet – samt Befund, wo Vertrauliches heute offen liegt.
Schutzklassen und Maßnahmenmatrix
Wenige Klassen mit Kriterien, Beispielen und zulässigen Handlungen; je Klasse steht fest, was die Technik durchsetzt – bis zur Weitergabe: Ein streng vertraulicher Anhang an die falsche Adresse wird gestoppt oder gemeldet, der Absender erfährt sofort, warum.
Prozess: Freigaben und Ausnahmen
Externe Empfänger, Entschlüsselung im Ausnahmefall (etwa wenn der Ersteller ausgeschieden ist), Wiederherstellung und Notfälle bekommen geregelte Wege mit benannten Entscheidern – jeder Fall ein Vorgang in Jira Service Management.
Pilot & Umsetzung
Bezeichnungen, Verschlüsselung und Richtlinien konfiguriert in Purview, Entra und Intune; an Arbeitsabläufen mit internen und externen Empfängern getestet, dann klassenweise ausgerollt.
Fragen vor dem Start.
Muss jetzt jedes vertrauliche Dokument verschlüsselt werden?
Nein. Verschlüsselung ist eine Maßnahme von mehreren – ob sie passt, hängt von Empfängern, Prozessen und der Wiederherstellbarkeit ab. Für manche Klasse reichen Kennzeichnung und Zugriffsregeln; die Maßnahmenmatrix legt das je Klasse fest, abgestimmt darauf, dass Zusammenarbeit weiter funktioniert.
Welche Lizenzen setzt das voraus?
Manuelle Kennzeichnung und Verschlüsselung über Vertraulichkeitsbezeichnungen sind in vielen Microsoft-365-Plänen enthalten. Automatische Kennzeichnung, erweiterte Regeln gegen Datenabfluss (Data Loss Prevention) und einzelne Purview-Funktionen brauchen höhere Stufen. Die Lizenzprüfung steht deshalb am Anfang des Projekts – das Klassenmodell wird so zugeschnitten, dass es mit Ihrer Stufe funktioniert.
Was passiert mit den Dokumenten, die schon da sind?
Der Bestand bleibt erst einmal unangetastet. Die Schutzbedarfsanalyse zeigt, wo offene Fundstellen den größten Schaden anrichten könnten – dort wird zuerst gekennzeichnet und geschützt. Der Rest folgt schrittweise; wo automatische Zuordnung zuverlässig arbeitet, übernimmt sie, und für sehr große Bestände gibt es die KI-gestützte Klassifizierung als eigenes Vorgehen.
Könnten Sie die Verschlüsselungsfrage im Versicherungsfragebogen mit Ja beantworten?
30 Minuten Ausgangslage besprechen: Sie schildern Stand und Schmerzpunkte – etwa ob Bezeichnungen im Einsatz sind und wo externe Freigaben liegen –, Loptr ordnet ein.
Der passende Einstieg ist manchmal ein anderer.
Manchmal liegt das Problem vor der Verschlüsselung – vier typische Fälle:
Oder der Überblick: alle Lösungen im Bereich Data Governance →