Data Discovery& Classification.
Data Classification ordnet Informationen nach Inhalt, Geschäftskontext und Schutzbedarf ein und macht diese Einordnung für nachgelagerte Kontrollen nutzbar. Ein Label ist kein Selbstzweck. Es muss Verschlüsselung, Freigabe, DLP, Aufbewahrung oder Zugriff tatsächlich steuern. Diese Seite fasst Data Discovery und Data Classification zusammen, weil beide Aufgaben heute meist in denselben Werkzeugen stecken.
Marktbild: hohe Bedeutung, aber mehrere Marktsegmente. Dreizehn Werkzeuge reichen von nutzergeführtem Microsoft-Labeling über automatische Inhaltsklassifikation bis zu DSPM- und Data-Governance-Systemen.
Manuell, empfohlen oder automatisch.
Nutzer können Labels bewusst setzen. Regelwerke empfehlen oder erzwingen eine Klasse anhand des Inhalts. Machine Learning und Kontextmodelle skalieren grosse Datenbestände. Jede Automatisierung braucht nachvollziehbare Qualität und einen Umgang mit Mehrdeutigkeit.
Prüfe Klassifikationsschema, Metadatenstandard, Dateiformate, Sprachen, strukturierte Daten, visuelle Kennzeichnung, persistente Labels, DLP- und Verschlüsselungsintegration, Überschreibungen, Qualitätssicherung und Rechte zur Umklassifizierung.
Dreizehn Werkzeuge im Vergleich.
Discovery und Klassifizierung werden heute meist als Grundlage breiterer Plattformen angeboten: BigID, Varonis, Cyera und Securiti nutzen ihre Klassifizierung zugleich für DSPM, Zugriffsanalyse und KI-Governance. Der Markt konsolidiert weiter: Securiti gehört nach dem am 11.12.2025 gemeldeten Abschluss zu Veeam (1,725 Mrd. USD), Spirion wurde 2025 vom australischen Anbieter archTIS übernommen. Benutzergeführte Labels sind vor allem bei Microsoft Purview Information Protection und bei Fortra (frühere Produkte Titus und Boldon James) zu finden; die Hyperscaler bieten mit Amazon Macie und Google Sensitive Data Protection eigene, auf ihre Cloud ausgerichtete Dienste. Als Open Source gibt es vor allem Bausteine, etwa die Auto-Klassifizierung im Datenkatalog OpenMetadata.
Strukturiert: Datenbanken und strukturierte Daten · Unstrukturiert: Fileserver, Microsoft 365, Kollaboration · Cloud/SaaS: Cloud-Speicher und SaaS · ML: ML- oder kontextbasierte Klassifikation · Benutzerlabel: manuelle Labels durch Anwender · Weitergabe: Labels an DLP, Verschlüsselung oder MIP · On-Prem: Betrieb On-Premises möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Microsoft Purview Information Protection (mit Purview Data Map)
Microsoft Corporation
Sensitivity Labels in Office-Apps, E-Mail, Teams und Windows-Explorer; der Scanner erfasst lokale Datenspeicher, Defender for Cloud Apps Cloud-Speicher.
Erkennung über Sensitive Information Types (Muster, Schlüsselwörter, Nähe) und trainierbare Klassifikatoren auf Basis von Beispielen.
Labels steuern DLP und Verschlüsselung (u. a. Double Key Encryption); das MIP SDK bringt Labels in Drittanwendungen.
Die Data Map labelt auch Dateien in Azure Data Lake/Azure Files und Spalten in Azure SQL; Labeling in der Data Map ist laut Doku in Preview.
Ein durchgängiges Label-Schema von der Erstellung im Office-Client bis zu DLP und Verschlüsselung.
Lizenzabhängiger Funktionsumfang; Labeling strukturierter Daten in der Data Map noch in Preview und auf registrierte Quellen beschränkt.
Fortra Data Classification Suite und Classifier Suite
Fortra, LLC
Data Classification Suite scannt Fileshares, SharePoint, SharePoint Online, OneDrive, Box und Dropbox; Classifier Suite labelt in Office, Lotus Notes und CAD (AutoCAD, DraftSight).
Labels beim Erstellen mit Hinweisdialogen für Benutzer; Intelligent Protection nutzt Machine Learning für firmenspezifische Dokumentkategorien.
Labels bleiben mit Metadaten am Dokument; Anbindung an Fortra DLP per SDK, Classifier Suite erweiterbar über ein Classifier SDK.
Laut Fortra-Seite werden On-Premises- und Cloud-Daten abgedeckt; Datenbanken sind nicht genannt.
Benutzergeführte, sichtbare Klassifizierung bis in CAD-Formate.
Keine Datenbanken belegt; zwei Produktlinien mit unterschiedlichem Funktionsumfang, MIP-Kopplung auf der Produktseite nicht beschrieben.
BigID Discovery & Classification
BigID, Inc.
Strukturierte, unstrukturierte und halbstrukturierte Quellen in Cloud, SaaS und On-Premises, inkl. Data Lakes, Dateien und Messaging.
Klassifizierung über ML, NLP, Muster, Metadaten und eigene Klassifikatoren, mit Validierungs- und Tuning-Abläufen.
Wendet Microsoft-Sensitivity-Labels quellenübergreifend an und übergibt Klassifizierung an Microsoft Purview.
Befunde lösen Labeling, Löschung, Schwärzung oder Quarantäne aus; Kontext zu Identität, Zugriff, Lineage und Residenz.
Breite Quellenabdeckung mit Klassifizierungskontext zu Identität, Zugriff und Lineage.
Betriebsmodell (SaaS oder kundenseitig) auf den geprüften Seiten nicht beschrieben; Einführungs- und Tuning-Aufwand einplanen.
Varonis Data Classification (Varonis Data Security Platform)
Varonis Systems, Inc.
Datenbanken, Fileshares, Microsoft 365, Cloud und SaaS-Anwendungen, inklusive lokaler Quellen.
Automatische Discovery und Klassifizierung (laut Hersteller KI-gestützt), verknüpft mit Berechtigungen und Nutzungsaktivität.
Teil derselben Plattform wie DSPM, DAM, UEBA und Data Access Governance.
Klassifizierung ist Grundlage für automatische Behebung wie das Entfernen übermässiger Berechtigungen.
Klassifizierung im Zusammenhang mit Berechtigungen und tatsächlicher Nutzung.
Betrieb On-Premises als eigene Installation auf der geprüften Seite nicht belegt; Lizenzierung als Plattform.
Netwrix Data Classification
Netwrix Corporation
Dateisysteme, Datenbanken, E-Mail und Cloud-Repositories, darunter Fileserver und SharePoint; zusätzlich Analyse von ROT-Daten.
Compound Term Processing und statistische Analyse statt nur Schlüsselwörter und reguläre Ausdrücke, sprachübergreifend.
Schreibt Klassifizierung in die Datei und setzt Microsoft-Information-Protection-Labels; verbessert laut Netwrix DLP und IRM.
Agentenlose Architektur; Index- und Klassifizierungsdaten liegen auf einem separaten Server, On-Premise-Deployment als Anwendungsfall genannt.
Kundenseitiger Betrieb mit direkter Label-Weitergabe an Microsoft-Schutzfunktionen.
Keine ML-Klassifizierung ausdrücklich genannt; Microsoft 365 als Quelle auf der Produktseite nicht explizit aufgeführt.
Securiti Data Command Center (Sensitive Data Discovery und Classification)
Securiti, Inc.
Strukturierte und unstrukturierte Systeme in On-Premises- und Multi-Cloud-Umgebungen.
Discovery und Klassifizierung laut Securiti mit KI und Machine Learning; Katalogisierung, Tagging, Labeling und Risikobewertung.
Verknüpft Befunde mit dem People Data Graph für Datenschutzprozesse; nach der Übernahme Teil der Veeam-Datenplattform.
Weiterführung unter Veeam; Veeam nennt als Baustein den Veeam Data Command Graph.
Verbindet Klassifizierung mit Datenschutz- und KI-Governance-Abläufen.
MIP-Labels und kundenseitiger Betrieb auf der geprüften Seite nicht belegt; Produktausrichtung nach dem Eigentümerwechsel beobachten.
Spirion Sensitive Data Platform / Sensitive Data Manager
Spirion, LLC
Strukturierte und unstrukturierte Daten in Datenbanken, Data Lakes, Dateiformaten und Cloud-Repositories wie Amazon S3.
Playbooks werten Inhalt und Kontext aus; Data Asset Inventory mit Eigentümern, Standorten und Datenflüssen.
Kombiniert Spirion-Klassifizierung mit dem Labeling von Microsoft Purview Information Protection und dessen Rights Management.
Scans laufen nahe an den Quellen mit differenziellem Rescan; Bezug über Spirion- und Azure-Marketplace.
Scans laufen nahe an den Datenquellen; Klassifizierung koppelbar mit Purview-Labels.
ML-Verfahren nicht ausdrücklich belegt; Produktausrichtung nach Übernahme durch archTIS offen.
Cyera Enriched Classification (Cyera Data Security Platform)
Cyera Ltd.
AWS, Azure, GCP, Snowflake, Databricks sowie SaaS-Anwendungen, Datenbanken und lokale Dateisysteme.
KI-native, selbstlernende Klassifizierung auch für geistiges Eigentum, Quellcode und Verträge; neue Klassen per natürlicher Sprache ohne Rescan.
Klassifizierung ist Grundlage für DSPM und Behebung; Omni DLP wird als eigenes Produkt geführt.
Lokale Datenbanken und Fileshares über Connector; mit dem Outpost-Modell bleiben Daten im eigenen Netz.
Kontextbezogene Klassifizierung über Cloud, SaaS und lokale Quellen ohne Regelpflege.
Übergabe von Labels an MIP oder fremde DLP auf der geprüften Seite nicht beschrieben.
IBM Guardium Discover and Classify
IBM Corporation
Strukturierte und unstrukturierte Daten in Ruhe und in Bewegung, einschliesslich VSAM-Datasets auf dem Mainframe.
KI und Machine Learning lernen, welche Dateien sensible Daten enthalten; kontinuierliches Scannen von Repositories und Metadaten.
Anbindung an Microsoft Purview (Sensitivity Labeling), OneTrust und Collibra; reichert DLP, SIEM und SOAR mit Datenkontext an.
Preis nach Managed Virtual Servers (strukturiert) bzw. Terabyte (unstrukturiert).
Discovery auch für Mainframe-Daten mit Anschluss an das Guardium-Portfolio.
Konkrete Cloud- und SaaS-Quellen sowie das Betriebsmodell auf der Produktseite nicht beschrieben.
OpenText Core Data Discovery and Risk Insights (Voltage)
OpenText Corporation
NT-Fileshares, SharePoint, Exchange, Amazon S3, Azure Files, Google Drive, Microsoft 365 sowie SQL, Oracle, SAP und JDBC-Quellen.
KI-gestützte Regelwerke, probabilistische Modelle und NLP zur Reduktion von Fehlalarmen.
Schutzaktionen wie De-Identifikation, Maskierung und File Level Protection (MIP) im Voltage Data Security Platform.
Als SaaS und für Private-Cloud-Betrieb verfügbar.
Breite strukturierte und unstrukturierte Abdeckung mit direktem Übergang zu Maskierung und Verschlüsselung.
Klassischer On-Premises-Betrieb nicht ausdrücklich genannt; Produktnamen im Portfolio mehrfach geändert.
Google Cloud Sensitive Data Protection (früher Cloud DLP)
Google LLC
Discovery-Profile für BigQuery, Cloud SQL, Cloud Storage, Vertex AI, Amazon S3 und Azure Blob Storage.
Eingebaute und eigene InfoTypes (Wörterbuch, Regex, Metadaten), einstellbare Trefferwahrscheinlichkeit.
Befunde an Security Command Center, Pub/Sub und Knowledge Catalog; De-Identifikation über Maskierung und Pseudonymisierung.
Risikoanalyse für BigQuery-Daten; Re-Identifikationsmetriken wie k-Anonymität und k-Map.
Cloud-native Discovery mit integrierter De-Identifikation.
Keine Fileserver oder Kollaborationsplattformen; keine Übergabe an Label-Systeme wie MIP belegt.
Amazon Macie
Amazon Web Services, Inc.
Sensible Daten in Amazon S3 und Überwachung der S3-Buckets.
Erkennung mit Machine Learning und Mustern; eigene Data Identifiers möglich.
Automatisierte Discovery im grossen Massstab und geplante Analysen.
Dienst innerhalb von AWS; Befunde für S3-Buckets.
Ohne Installation für S3-Bestände nutzbar.
Auf der Produktseite nur Amazon S3 als Quelle beschrieben; keine Labels.
OpenMetadata Auto Classification
OpenMetadata (Community-Projekt)
Datenbankdienste, Datenbanken und Schemas im Datenkatalog.
Prüfung der Spaltennamen per Regex und, mit Stichprobendaten, NLP-Erkennung (spaCy) mit einstellbarer Konfidenz.
Setzt Tags PII.Sensitive bzw. PII.NonSensitive; Tag-Mapping kann z. B. Data Classification.Confidential ableiten.
Als Agent in der Oberfläche oder per YAML-Workflow; Repository mit Docker- und Kubernetes-Bausteinen.
Kostenloser Einstieg in die Spaltenklassifizierung strukturierter Daten im Katalog.
Nur strukturierte Quellen; keine Weitergabe an DLP oder Verschlüsselung belegt.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Microsoft Presidio (Open Source, MIT): erkennt und anonymisiert PII in gelieferten Texten, Bildern und Tabellen; kein Inventar von Datenspeichern
- Nightfall: Erkennung in SaaS, Browser und Endpunkt mit Schwerpunkt DLP; keine Labels und keine Datenbanken belegt
- Forcepoint Data Classification: KI-Klassifizierung (AI Mesh) mit DLP-Kopplung; Quellen und Betrieb auf der Produktseite nicht benannt, DSPM-Teil unter dspm aufgeführt
- Rubrik DSPM (früher Laminar): Klassifizierung als Teil von DSPM in Rubrik Security Cloud
- Concentric AI: Klassifizierung mit Schwerpunkt DSPM
- ManageEngine DataSecurity Plus: Discovery auf Fileservern und Endpunkten
- Hawk-Eye (Open Source): Scanner für Secrets und PII über mehrere Plattformen
Wenige Klassen,
klare Folgen.
- Höchstens vier Stufen definieren (z. B. öffentlich, intern, vertraulich, streng vertraulich) und je Stufe festlegen, welche Kontrolle sie auslöst: Verschlüsselung, externe Freigabe, Aufbewahrung, Löschfrist.
- Eine Standardklasse für neue Dokumente setzen, damit kein Bestand ohne Label entsteht; Herabstufen nur mit Begründung erlauben.
- Dateneigentümer je Fachbereich benennen, die über Grenzfälle entscheiden und automatische Regeln fachlich abnehmen.
- Altbestand nach Risiko angehen: zuerst Ablagen mit breitem Zugriff und vermuteten Personendaten, nicht alles auf einmal.
- Anteil Dokumente in Kernablagen mit gültigem Label
- Trefferquote der automatischen Klassifikation in einer Stichprobe je Klasse
- Anzahl Herabstufungen aus den beiden höchsten Klassen und Anteil davon mit Begründung
Dateneigentümer im Fachbereich legen Klasse und Ausnahmen fest. Security definiert Schema und Kontrollmatrix, der IT-Betrieb setzt Labels, DLP und Verschlüsselung technisch um; der Datenschutz prüft die Einstufung von Personendaten.
ISO/IEC 27001:2022 Annex A 5.12 (Klassifizierung) und 5.13 (Kennzeichnung) bilden die Grundlage; DORA Art. 9 Abs. 4 lit. d knüpft die Verschlüsselung an die Ergebnisse einer genehmigten Datenklassifizierung.
Das revDSG kennt besonders schützenswerte Personendaten (Art. 5 lit. c), für die das risikogerechte Schutzniveau nach Art. 8 meist höher ausfällt; die Bundesverwaltung klassifiziert nach ISG Art. 13 in intern, vertraulich und geheim.
Klassifikation ist kein einmaliges Projekt. Wert und Schutzbedarf von Daten ändern sich, etwa nach einer Publikation oder nach Ablauf einer Frist; ohne Umklassifizierung greifen falsche Kontrollen.
- Zu viele Klassen führen zu willkürlicher Benutzerwahl.
- Ein Label bleibt beim Export oder Formatwechsel nicht erhalten.
- Automatische Klassifikation wird nie gegen echte Fachbereichsdaten gemessen.
Teste reale Dokumente und Datensätze in mehreren Sprachen. Prüfe korrekte Klassen, Grenzfälle, Umklassifizierung, Label-Persistenz und ob DLP, Verschlüsselung und Freigabe daraus die erwartete Kontrolle ableiten.
Security Tool Navigator · Gebiet 08
Im Gebiet Data Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Data Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.