Die Markierung reist mit jedem Wert.

Eine Markierung hat einen Namen, eine Bedeutung, einen Verantwortlichen und eine Regel, wer sie tragen darf. Sie hängt an einem Feld, einem Objekt, einer Beziehung oder einem Ereignis. Der Katalog der Markierungen ist Teil der Ontologie, versioniert und mit eigenen Rechten: Wer Markierungen anlegt, ändert oder vergibt, ist eine eigene Rolle.

Typische Markierungen folgen dem Recht, das für die Daten gilt: personenbezogen nach Artikel 4 Nummer 1 DSGVO, besondere Kategorien nach Artikel 9 DSGVO, ein Zweck nach Artikel 5 Absatz 1 Buchstabe b DSGVO, Weitergabe an Dritte gesperrt, ein Geheimhaltungsgrad. Die Geheimhaltungsgrade nach § 4 des Sicherheitsüberprüfungsgesetzes lassen sich als Markierungen abbilden. Eine Zulassung für Verschlusssachen ist damit nicht gegeben, sie setzt die Prüfung der Umgebung durch die zuständige Stelle voraus.

Eine Markierung ist eine Bedingung, keine Eigenschaft des Betrachters. Wer einen Wert lesen will, muss jede seiner Markierungen erfüllen. Rollen dagegen sind Bündel von Handlungen. Beides wird geprüft: die Rolle für die Handlung, die Markierung für den Wert.

Ein abgeleiteter Wert trägt die Markierungen aller Werte, aus denen er entsteht. Eine Gruppe von Ereignissen erbt die Markierungen ihrer Ereignisse, ein Pfad die seiner Kanten, ein Bericht die aller Zahlen darin. Bei Einstufungen gilt die höchste: der Grundsatz hinter dem Zugriffsmodell von Bell und LaPadula, nach dem niemand lesen darf, was höher eingestuft ist als er selbst. Die Markierung geht beim Rechnen nicht verloren, auch nicht durch eine Zusammenfassung oder einen Export.

Das Zusammenführen kann eine höhere Schutzbedürftigkeit erzeugen als jeder einzelne Wert. Viele harmlose Angaben über dieselbe Person ergeben ein Profil. Das System kennt dieses Aggregationsproblem. Wo Regeln es verlangen, trägt ein Aggregat über einer festgelegten Menge zusätzlich eine eigene Markierung.

Herabstufen, also eine Markierung entfernen oder senken, ist nie ein Nebeneffekt. Es ist eine eigene Handlung mit Begründung, Freigabe durch den Verantwortlichen der Markierung und Eintrag im Verlauf.

Geprüft wird dort, wo gelesen wird: im Server, an der Abfrage, auf der Ebene von Zeile, Spalte und Kante, mit der Identität der Person oder des Agenten im Auftrag. Eine Oberfläche, die etwas ausblendet, ersetzt das nicht. Dieselbe Prüfung gilt für den Graphen, die Zeitachse, die Suche, Berichte und Schnittstellen.

Zwischenspeicher und Suchindizes tragen die Markierungen als Felder. Ein Zwischenspeicher wird nach der Menge der Markierungen des Betrachters getrennt, sonst teilt er sich einen Treffer, den der Zweite nicht sehen dürfte. Die Suche filtert vor dem Ranking und vor dem Zählen; die Zahl der Treffer verrät sonst, dass es welche gibt.

Exporte und Berichte tragen die höchste Markierung im Kopf und in der Datei. Was das System verlässt, hat seine Markierung dabei und ist als solches erkennbar.

Fehlt das Recht, fehlt der Wert, die Zeile oder das Objekt. Wo seine Existenz selbst geschützt ist, gibt es keinen Platzhalter. Summen und Zählungen werden über den sichtbaren Teil gebildet und als solche gekennzeichnet: unvollständig im Rahmen Ihrer Rechte, statt einer Zahl, die nach Gesamtheit aussieht.

Wer einen Zugang braucht, den die Markierung nicht gibt, stellt einen Antrag mit Zweck und Dauer. Der Verantwortliche der Markierung entscheidet; der Zugang ist befristet und endet von selbst. Wo die Organisation einen Notzugang vorsieht, verlangt er eine Begründung, meldet sofort an den Verantwortlichen und steht im Verlauf. Beides ist eine Freigabe für genau diesen Zugriff und kein dauerhaft erweitertes Recht.

Jede Vergabe, jeder Entzug und jede Herabstufung steht im Verlauf, mit Handelndem, Begründung, Freigabe und der Version des Katalogs. Dazu kommt ein Zugriffsprotokoll: wer welche Markierung zu welchem Zweck gelesen hat, mit Kennungen und nicht mit den Werten.

Daraus lassen sich Fragen beantworten, die sonst Handarbeit über mehrere Systeme verlangen: Wer hat im letzten Quartal Werte mit dieser Markierung gesehen? Wer hat Zugang beantragt, wer hat ihn bekommen, wann lief er ab? Für die Auskunft an eine betroffene Person nach Artikel 15 DSGVO ist das die Grundlage.