Guide

Classify a system: criticality, protection need and operation by third parties

Step by step to pick a system from the list of all systems, set criticality, protection need and outsourcing kind, give a reason and read the decision in the history.

6 min read · Oktober 2026

Ein Server mit der Gehaltsabrechnung braucht mehr Schutz als ein Testrechner. Damit das nicht im Kopf einzelner Personen bleibt, stufen Sie jedes wichtige System ein: wie kritisch es ist, wie hoch sein Schutzbedarf ausfällt und ob Dritte es betreiben. knooing führt die Entscheidung mit Person, Zeitpunkt und Begründung in einem Verlauf.

Die Begriffe erklärt der Überblick zur Einstufung. Für Leistungen gibt es einen eigenen Weg: Schutzbedarf einer Leistung einstufen.

Das brauchen Sie

Das Recht, die Konfigurationsverwaltung zu bearbeiten. Wer sie nur ansehen darf, sieht die Liste und die Werte eines Systems, aber keine Schaltfläche Bearbeiten.

Schritt 1: Das System in der Liste finden

Öffnen Sie in der Seitenleiste Konfigurationsverwaltung und darin Bestand. Wählen Sie oben den Reiter Einstufung. Sie sehen alle Systeme als Liste mit Name, Klasse, Kritikalität, Auslagerungsart und Geteiltes Asset. Systeme ohne Entscheidung zeigen bei der Kritikalität nicht eingestuft. Tragen Sie im Feld Systeme filtern einen Teil des Namens ein, im Beispiel „lohn“, und klicken Sie beim System auf Einstufen.

Reiter Einstufung mit dem Filter lohn und dem System srv-lohn01, Kritikalität nicht eingestuft, Schaltfläche Einstufen — Die Liste führt zum System, ohne dass Sie den genauen Namen kennen müssen.

Warum eine Liste statt einer Suche? So sehen Sie auf einen Blick, welche Systeme noch nicht eingestuft sind, und arbeiten sie nacheinander ab, statt auf Verdacht zu suchen.

Nach dem Klick steht oben Ausgewählt: mit dem Namen des Systems, rechts Anderes System wählen. Darunter sehen Sie links den Kasten Einstufung mit allen aktuellen Werten und rechts den Verlauf der Entscheidung.

Ausgewähltes System srv-lohn01 mit dem Kasten Einstufung, allen Werten nicht eingestuft, und dem leeren Verlauf der Entscheidung — Noch ohne Entscheidung: Der Verlauf ist leer.

Schritt 2: Bearbeiten und einstufen

Klicken Sie im Kasten Einstufung auf Bearbeiten. Das Formular hat zwei Teile.

Einstufung:

Kritikalität: niedrig, mittel, hoch oder kritisch, oder nicht eingestuft.
Kritische oder wichtige Funktion: ein Schalter. Schalten Sie ihn ein, wenn das System allein eine kritische oder wichtige Funktion trägt.
Schutzbedarf Vertraulichkeit, Schutzbedarf Integrität, Schutzbedarf Verfügbarkeit: je normal, hoch oder sehr hoch, oder nicht gesetzt.

Eigentum und Betrieb durch Dritte:

Auslagerungsart: eigenbetrieben, gemietet, beim Anbieter betrieben oder gemeinsam betrieben.
Verwaltet über Lieferbeziehung: die Lieferantenbeziehung, über die Dritte das System betreiben. Die Auswahl zeigt die Beziehungen Ihres Mandanten.
Geteiltes Asset: ein Schalter für Systeme, die Sie mit Kunden teilen.

Unten steht das Feld Begründung: „Warum wird die Einstufung so gesetzt oder geändert?“

Formular Einstufung für srv-lohn01 mit Kritikalität hoch, Schutzbedarf hoch, Auslagerungsart beim Anbieter betrieben, Lieferbeziehung Betrieb Gehaltsabrechnung und ausgefüllter Begründung — Der Server der Gehaltsabrechnung ist hoch kritisch und wird von einem Dienstleister betrieben.

Warum so viele Felder? Jedes beantwortet eine andere Frage einer Prüfung: Wie wichtig ist das System (Kritikalität), was verlieren Sie bei Ausfall oder Datenabfluss (Schutzbedarf), und wer betreibt es (Auslagerungsart). Bei beim Anbieter betrieben oder gemeinsam betrieben gehört die Lieferbeziehung dazu, damit nachvollziehbar bleibt, wer Verantwortung trägt.

Beispiel: Julia Beispiel stuft den Server srv-lohn01 mit Kritikalität hoch und allen drei Schutzzielen hoch ein. Die Auslagerungsart ist beim Anbieter betrieben, die Lieferbeziehung „Betrieb Gehaltsabrechnung“. Als Begründung schreibt sie: „Der Server verarbeitet Gehaltsdaten, ein Ausfall verzögert die Gehaltsabrechnung.“

Schritt 3: Speichern und den Verlauf lesen

Klicken Sie auf Speichern. Mit Abbrechen verwerfen Sie die Eingaben. Danach zeigt der Kasten die neuen Werte, und im Verlauf der Entscheidung steht ein Eintrag mit Zeitpunkt, der Person und der Begründung. Darunter sehen Sie, was entschieden wurde: Kritikalität, die drei Schutzziele als Schreibweise „hoch/hoch/hoch“ und ob eine kritische oder wichtige Funktion vorliegt.

Gespeicherte Einstufung von srv-lohn01 mit Verlaufseintrag von Julia Beispiel und der Begründung — Die Entscheidung steht mit Person, Zeitpunkt und Begründung im Verlauf.

Warum ein Verlauf? Eine Einstufung ändert sich: Das System wird wichtiger, ein Dienstleister kommt hinzu. Der Verlauf belegt, wer wann auf welcher Grundlage entschieden hat. Jede Änderung eines Einstufungsfeldes schreibt einen Eintrag, ohne dass Sie etwas dafür tun.

Nächster Schritt

Prüfen Sie in der Ausfallbewertung, was bei einem Ausfall betroffen wäre und was noch offen ist: Einstufung in der Ausfallbewertung lesen.

Wenn etwas nicht klappt

Der Reiter zeigt keine Schaltfläche Bearbeiten. Ihnen fehlt das Recht, die Konfigurationsverwaltung zu bearbeiten. Beim Speichern ohne Recht antwortet knooing „Zum Ändern fehlt die Berechtigung.“
In der Liste steht „Keine Systeme gefunden.“ Der Filter passt auf keinen Namen. Löschen Sie ihn oder kürzen Sie den Namensteil.
Die Meldung „Dieses Konfigurationselement gibt es nicht.“ erscheint. Das System wurde inzwischen entfernt. Laden Sie die Liste neu.
Die Meldung „Dieser Schutzbedarf (Vertraulichkeit) ist nicht bekannt.“ erscheint (ebenso für Integrität und Verfügbarkeit). Wählen Sie eine der drei Stufen normal, hoch, sehr hoch oder nicht gesetzt.
Die Meldung „Diese Auslagerungsart ist nicht bekannt.“ erscheint. Wählen Sie eine der vier Arten aus der Liste.
Die Meldung „Die kritische Funktion ist ein Ja/Nein-Feld.“ oder „Geteiltes Asset ist ein Ja/Nein-Feld.“ erscheint. Stellen Sie die Schalter neu ein und speichern Sie erneut.
In der Auswahl Verwaltet über Lieferbeziehung fehlt die gesuchte Beziehung. Sie muss beim Lieferanten angelegt sein, siehe Vertrag mit einer Auslagerung verknüpfen.