Worum geht's?
Mit der DSGVO kamen 2018 zahlreiche Datenschutzregelungen, die Unternehmen schnellstmöglich umsetzen mussten. Denn bei Missachtung drohen hohe Bußgelder. Doch wie sieht es bei E-Mails aus? Sind Sie laut Datenschutzgrundverordnung dazu verpflichtet, geschäftliche E-Mails zu verschlüsseln? Wir klären Sie in unserem Artikel auf.
1. Ist laut DSGVO eine E-Mail-Verschlüsselung Pflicht?
Prinzipiell gilt, dass die Datenschutz-Grundverordnung (kurz: DS-GVO) in Sachen E-Mail-Verkehr nicht viel Neues mit sich gebracht hat. Unternehmen wurde zuvor schon nach dem Bundesdatenschutzgesetz empfohlen, dass sie E-Mails mit personenbezogenen Daten an den E-Mail-Empfänger verschlüsseln. Eine gesetzliche Pflicht zum Verschlüsseln von E-Mails besteht aber nicht.
Tipp: Eine E-Mail-Verschlüsselung ist empfehlenswert, aber nicht verpflichtend.
Personenbezogene Daten liegen vor, wenn Sie in der E-Mail den Namen und die Anschrift des Empfängers nennen. Aber auch das Alter und die Personalausweisnummer zählen dazu. Besondere Kategorien personenbezogener Daten sind:
- sexuelle Orientierung,
- ethnische Herkunft,
- politische Meinung,
- biometrische Daten,
- religiöse Überzeugung,
- Informationen über den Gesundheitszustand
Verschlüsseln Sie eine E-Mail mit personenbezogenen Daten nicht, gehen Sie das Risiko ein, dass andere Personen die E-Mail unbefugt mitlesen. Eine nicht verschlüsselte E-Mail ist ungefähr so öffentlich wie eine Postkarte.
Die DS-GVO fordert geeignete Maßnahmen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Hierdurch wird eine Verschlüsselung quasi Pflicht, da diese als geeignete technische Maßnahme zählt. Als Mindeststandard gilt hier die Transportverschlüsselung, da diese einen Basisschutz bietet und Verarbeitungssituationen mit einem normalen Risiko gerecht wird.
Geht es um besondere Kategorien personenbezogener Daten, wie Gesundheitsdaten oder biometrische Daten, wird eine Verschlüsselung dringend empfohlen. Hier sollte neben einer Transportverschlüsselung auf eine Inhaltsverschlüsselung wie die Ende-zu-Ende-Verschlüsselung gesetzt werden, um durchgreifenden Schutz zu gewährleisten. Denn bei der Abwägung, welche Maßnahmen geeignet sind, ist die Schwere des Risikos zu berücksichtigen, welches bei besonderen Kategorien personenbezogener Daten höher ist. Folgende Unternehmensbereiche sind betroffen:
- Arztpraxis
- Anwaltskanzlei
- Psychologen
- Apotheker
- Steuerberater
2. Wie funktioniert die E-Mail-Verschlüsselung?
Sie möchten personenbezogene Daten per E-Mail verschlüsseln? Dann sollten Sie die grundlegenden Verschlüsselungsmethoden zur IT-Sicherheit und ihre Besonderheiten kennen. Als Orientierungshilfe erklären wir kurz und knapp die verschiedenen Verschlüsselungsmethoden:
Transportverschlüsselung: Sie schicken eine sichere E-Mail durch einen „verschlüsselten Tunnel“. Die E-Mail liegt bei Absender und Empfänger entschlüsselt vor, auf dem Weg, also bei der Übermittlung, ist sie aber unlesbar.
Inhaltsverschlüsselung (Ende-zu-Ende-Verschlüsselung): Die Meta-Informationen der E-Mail, sprich Absender, Empfänger und Betreff, sind weiterhin lesbar. Ihr restlicher Inhalt ist verschlüsselt.
Bei einer Transportverschlüsselung ist die E-Mail nur auf dem Transportweg verschlüsselt. Sie befindet sich vor und nach dem Transport unverschlüsselt auf dem Server. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) weist deshalb darauf hin, dass die TLS-Verschlüsselung ein „notwendiger Baustein“ für die elektronische Kommunikation ist.
Bei der Inhaltsverschlüsselung ist das Standardprotokoll OpenPGP für die PGP Verschlüsselung sowie das Protokoll S/MIME Verschlüsselung gebräuchlich. Weit verbreitet sind auch die RMS (Microsoft Rights Management Services). Sie eignen sich für die Azure Cloud und für den On-Premises-Einsatz. Für die Transportverschlüsselung ist das Standardprotokoll TLS (Transport Layer Security) üblich. Dieses ist vielen noch unter dem früheren Namen SSL (Secure Socket Layer) geläufig (SSL-Verschlüsselung).
3. E-Mail-Verschlüsselung per TLS: Worauf müssen Sie hier achten?
Sie verschlüsseln per TLS? Dann wählen Sie eine (eigentlich) sichere Datenschutz-Verschlüsselung für die E-Mail. Viele Absender denken, dass sie per TLS verschlüsseln: Dies trifft aber oftmals überhaupt nicht zu. Neben anderen wichtigen Schutzmaßnahmen schreibt die Datenschutzgrundverordnung (DS-GVO) vor, dass Sie die Verschlüsselung der personenbezogenen Daten nachweisen müssen, vgl. Art. 5 II DS-GVO:
„Der Verantwortliche ist für die Einhaltung des Absatzes I verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“
Wir empfehlen Ihnen, dass Sie die Zertifikate von einem offiziellen Trustcenter ausstellen lassen. Ansonsten ist die E-Mail-Sicherheit durch „Man-in-the-Middle“-Angriffe gefährdet. Ist ein TLS-Zertifikat erst einmal eingerichtet, läuft es zuverlässig. In den folgenden Situationen ist die Verschlüsselung dann aber wieder unsicher:
- Sie tauschen einen Server aus.
- Sie oder eine Gegenstelle passen die Konfiguration an.
- Ein Zertifikat verliert an Gültigkeit.
- Die Gegenstelle erkennt ein Zertifikat nicht an.
AUFGEPASST
Denken Sie daran, dass Sie eine TLS-Verschlüsselung richtig konfigurieren müssen. Viele Absender setzen den Haken bei „Optional TLS“. Die Verschlüsselungssoftware verschlüsselt die E-Mail dann aber nur, wenn dies möglich ist. Ansonsten übermittelt die Software die E-Mail unverschlüsselt.
Stellen Sie deshalb unbedingt auf „Mandatory TLS“ um. Die Software versendet die E-Mail bei der Verarbeitung dann im Zweifelsfall nicht und informiert Sie darüber. Mit einem Secure E-Mail-Gateway setzen Sie TLS flächendeckend um. Da hier verschiedene Verschlüsselungsverfahren möglich sind, stellt der Gateway eine verschlüsselte Kommunikation sicher.
Das Protokoll TLS eignet sich - aus den oben genannten Gründen - nicht für eine spontane und wechselnde E-Mail-Kommunikation, beispielsweise im B2C-Geschäft. Hier empfehlen sich eher passwortbasierte Verfahren.
PRAXIS-TIPP
Denken Sie daran, Schnittstellen zu Sicherheitssoftware wie Data Loss Prevention Tools und Virenscannern einzurichten. Das System benötigt solche Schnittstellen. Ansonsten ist die Software nicht dazu fähig, den Inhalt der E-Mail-Nachrichten zu scannen. Auch das Archivsystem benötigt Zugriff auf den Klartext, um die E-Mails zu indizieren. Verschlüsseln Sie auch interne und automatisierte Mails.
4. Welche Probleme treten bei der Verschlüsselung von E-Mails in der Praxis auf?
Viele Mitarbeiter versenden E-Mails über ihr Smartphone: Die Verschlüsselung muss auch hier funktionieren. Es nützt nichts, wenn die Technik auf dem Computer funktioniert, beim Versand über das Smartphone aber weiterhin Sicherheitslücken bestehen. Problematisch wird es, wenn Sie ein System nutzen, das nicht kompatibel ist.
Tipp: Wählen Sie eine Verschlüsselungsmethode, die von gängigen Plattformen, Server und E-Mail-Clients unterstützt wird.
Stellen Sie die IT-Infrastruktur um, sind Sie auch später gut gerüstet. Gängige Lösungen wie PGP und S/MIME erfordern Zertifikate und Schlüssel: Dazu benötigen Sie ein wenig technisches Wissen und eine entsprechende Infrastruktur.
Für KMUs bieten sich eventuell Gateway-Lösungen an. Darüber verschlüsseln und signieren sie E-Mails automatisch und zentral auf dem Server. Für KMUs sind Gateway-Lösungen aber nur in Einzelfällen empfehlenswert. Denn sie sind mit einem hohen Konfigurationsaufwand verbunden. Außerdem schützen E-Mail-Gateways nicht unbedingt die unternehmensinterne E-Mail-Kommunikation. Deshalb müssen Sie hier eine weitere Lösung implementieren.
Sonderfälle: Hier lauern DS-GVO-Fallen
Stellen Sie bei besonders sensiblen Daten, etwa bei Betriebs- und Geschäftsgeheimnissen, eine hohe Geheimhaltung sicher. Es ist zwar wünschenswert, wenn Sie über Schnittstellen Spam, Malware & Co. erkennen. Allerdings sollten Sie vorrangig sicherstellen, dass niemand Kenntnis von den E-Mails erlangt. Dazu eignet sich eine Ende-zu-Ende-Verschlüsselung (Inhaltsverschlüsselung).
Wir haben Sie bereits darauf hingewiesen, dass die gewählte Verschlüsselungslösung auch die Cloud und mobile Endgeräte wie Smartphones und Tablets einbeziehen soll. Beachten Sie, dass nicht nur Menschen E-Mails versenden. Es gibt Applikationen, die E-Mails automatisch versenden. In diesen E-Mails befinden sich manchmal personenbezogene Daten, die Sie schützen müssen.
Dabei handelt es sich beispielsweise um automatisierte Rechnungen, Lieferscheine und Lohnabrechnungen. Die meisten Applikationen sind nicht darauf ausgelegt, Emails zu verschlüsseln. Einige E-Mail-Anbieter bieten DSGVO-konforme Updates an, bei der Software anderer Anbieter müssen Sie manuell nachbessern.
Bei der Umsetzung der Anforderungen im Datenschutzrecht und insbesondere beim Mailversand gibt es viel zu beachten. Die Notwendigkeit von Verschlüsselungen und welche Möglichkeiten Ihnen zur Verfügung stehen, haben wir Ihnen in diesem Artikel aufgezeigt.
Bei der Implementierung in Ihrem Unternehmen kann ein Datenschutzbeauftragter helfen. Ein Datenschutzbeauftragter kennt sich mit den Anforderungen der DS-GVO aus und ist im Datenschutzrecht auf dem aktuellsten Stand. In einigen Fällen besteht sogar eine Pflicht für Sie als Verantwortlichen, einen internen oder externen Datenschutzbeauftragten zu bestellen.
Unser Partnerunternehmen Legaltrust unterstützt Sie in datenschutzrechtlichen Belangen wie Verschlüsselungen, der Erstellung von Datenschutzkonzepten und bei der Kommunikation mit Datenschutzbehörden. Auf Wunsch wird Ihnen zudem ein externer Datenschutzbeauftragter zur Verfügung gestellt.
5. Checkliste: So funktioniert die datenschutzkonforme E-Mail-Verschlüsselung
- Übermitteln Sie per E-Mail Nachrichten personenbezogene Daten, sollten Sie diese verschlüsseln.
- Passen Sie die Maßnahmen entsprechend des Risikos für die Betroffenen an. Besondere Kategorien personenbezogener Daten benötigen ein höheres Schutzniveau.
- Eine kombinierte Inhalts- und Transportverschlüsselung bietet eine bestmögliche Verschlüsselung.
- Achtung: Geheimnisträger, die E-Mails unverschlüsselt versenden, gehen besondere Risiken ein.
6. Fazit
Das Thema Datenschutz und E-Mail-Verschlüsselung ist sehr komplex und rechtlich kompliziert. Auch wenn es keine Pflicht zur Verschlüsselung gibt, sollten Sie diese umsetzen. Denn Sie sind verpflichtet, geeignete technische und organisatorische Maßnahmen zu treffen, wenn Sie personenbezogene Daten verarbeiten.
Eine Transportverschlüsselung wird heute als Standardmaßnahme angesehen. Mit unserem Datenschutz-Managementsystem DatenschutzPro können Sie eine Liste der zum Einsatz kommenden technischen und organisatorischen Maßnahmen in Ihrem Unternehmen zusammenstellen. So können Sie Ihrer Rechenschaftspflicht nachkommen und Ihre Bemühungen gegenüber den Aufsichtsbehörden nachweisen.
Benötigen Sie Unterstützung bei den Themen IT-Sicherheit und Datenschutz, bietet Ihnen unser Partnerunternehmen Legaltrust kompetente Lösungen für Ihr Unternehmen.
7. FAQ
- Zurück zur Übersicht: "Datenschutz"
- E-Mail-Signatur und Pflichtangaben laut DSGVO
- Aufbewahrungspflichten für E-Mails laut DSGVO
- Double-Opt-In-Verfahren
Alles, was Sie wissen müssen
