Datenschutz bei E-Mails

• E-Mails gehören zu den wichtigsten Kommunikationskanälen in Unternehmen – und gleichzeitig zu den häufigsten Ursachen für Datenschutzvorfälle.
• Standardmäßig versendete E-Mails sind wie Postkarten: Ohne zusätzliche Schutzmaßnahmen lassen sich Inhalte beim Versand mitlesen, manipulieren oder sogar umleiten.
• Entsprechend der DSGVO müssen für E-Mails bestimmte technische und organisatorische Maßnahmen (TOMs) umgesetzt werden. Wesentliche Schutzmaßnahmen für den geschäftlichen E-Mail-Verkehr sind die Transportverschlüsselung (TLS) und die Ende-zu-Ende-Verschlüsselung (z.B. S/MIME, PGP).
• In der E-Mail-Kommunikation sind insbesondere die personenbezogenen Daten geschützt. Der Schutz bezieht sich auf E-Mail-Adressen, Inhalte und Dateianhänge von Mails.
• Unternehmen müssen die rechtlichen Vorschriften strikt einhalten, wenn sie E-Mails aufbewahren und löschen.
• Regelmäßige Schulungen wie z.B. Awareness-Trainings sind nötig, damit Mitarbeitende in der Lage sind, Phishing-Mails zu erkennen und E-Mail-Daten korrekt zu handhaben.

1. Vertraulichkeit: Inhalte und Anhänge dürfen nicht für Unbefugte zugänglich sein. Technisch ist daher mindestens das Verschlüsselungsprotokoll TLS (Transport Layer Security) für den Transport zwischen Mail-Servern erforderlich. Echte Vertraulichkeit bietet aber nur eine Inhaltsverschlüsselung per Ende-zu-Ende-Verschlüsselung (E2EE).
2. Integrität: Empfänger:innen von E-Mails sollten darauf vertrauen können, dass die Absender-Mail-Adresse korrekt ist und zu der Person gehört, die in der Nachricht als Absender steht. E-Mail-Adressen müssen daher vor Manipulation geschützt sein. Hierfür gibt es bestimmte Authentifizierungsstandards wie Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting & Conformanc (DMARC).
3. Verfügbarkeit: Ansprechpersonen und Datenschutzbeauftragte müssen über die angegebenen E-Mail-Adressen tatsächlich auch verfügbar sein.
4. Zugriffsregelung: E-Mails lassen sich zwar einfach verbreiten und weiterleiten, dennoch ist der Zugriff nicht für alle gedacht. Unternehmen sollten klare Regeln aufzustellen, wer geschäftliche Postfächer lesen darf. Dies gilt besonders für „geteilte“ Postfächer. Zu einem Rollen- und Berechtigungskonzept gehört es auch, Stellvertreterrechte zu dokumentieren.
5. Archivierung & Aufbewahrung: Für E-Mails gelten gesetzliche Aufbewahrungspflichten z.B. aus dem Handels- und Steuerrecht. Unternehmen müssen diese im Einzelfall mit Datenschutzvorgaben (z.B. Zweckbindung, Löschung) in Einklang bringen.
6. Protokollierung & Nachvollziehbarkeit: Zugriffe und Sicherheitsereignisse müssen nachvollziehbar dokumentiert werden.

• Fehlversand: Eine Person hat die „Autovervollständigung“ aktiviert und schickt Gehaltsdaten an die falsche „Anna Meier“. Das ist ein gravierender Datenschutzvorfall. Sofortmaßnahmen sind in diesem Fall: Die Empfänger:in kontaktieren, um Löschung bitten, den Vorfall dokumentieren, das Risiko bewerten, die betroffene Person benachrichtigen und ggf. eine Meldung an die Aufsichtsbehörde machen.
• Phishing/Spear-Phishing: „CFO bittet um dringende Überweisung“ – Fake-E-Mails mit einer Betreff-Zeile wie dieser sehen manchmal täuschend echt aus; die Domain der Absenderadresse kann verblüffend ähnlich sein. Ohne eine Awareness-Schulung, Linkprüfung und technische Schutzmaßnahmen (SPF, DKIM, DMARC, Malware-Filter) kommt es in solchen Fällen oft zu einem Datenabfluss oder finanziellen Schäden.
• Unverschlüsselte Anhänge: Wenn z.B. ein PDF mit Kundendaten im Klartext und unverschlüsselt versendet wird, können Kriminelle diese unterwegs abgreifen. Unverschlüsselte E-Mails funktionieren eher wie Postkarten und nicht wie Briefe in einem Umschlag. Bei sensiblen Inhalten sollte der Versand daher nur verschlüsselt erfolgen.
• Postfach-Hijacking: Kriminelle hacken heute gezielt Postfächer und das ist dank KI und Automatisierung bei einem schwachen Passwort und ohne Multi-Faktor-Authentifizierung nicht schwer. Anschließend können sie E-Mails nicht nur lesen, sondern diese auch im Namen der gehackten Person versenden und so Dritte täuschen. Die Risiken für einen Datenabfluss und die entsprechende Haftung sind erheblich.

• Einwilligung: Die DSGVO schreibt in Art. 6, Abs. 1 lit. b vor, dass eine betroffene Person ihre Einwilligung zur Datenverarbeitung für bestimmte Zwecke gegeben haben muss. Für die Kommunikation per E-Mail heißt das z.B.: Unternehmen dürfen E-Mail-Adressen von Kunden ohne deren Zustimmung nicht einfach für Werbe-E-Mails nutzen.
• Berechtigtes Interesse: Einerseits räumt die DSGVO Unternehmen das Recht ein, bei einem berechtigten Interesse personenbezogene Daten für ihre Zwecke nutzen zu dürfen. Andererseits schränkt sie dieses Recht in Art. 6, Abs. 1 lit. f insoweit ein, als dass die Interessen und Grundrechte Betroffener, insbesondere von Kindern, im Zweifelsfall vorgehen.

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Die betroffene Person muss wissen, wofür die Daten verwendet werden.
• Zweckbindung: Die E-Mail-Kommunikation darf nur für klar definierte, legitime Zwecke erfolgen.
• Datenminimierung: Unternehmen dürfen stets nur die nur notwendigen personenbezogenen Daten für ihre E-Mail-Kommunikation nutzen. Große Verteiler sind zu vermeiden.
• Richtigkeit: Betriebe müssen die Korrektheit von Daten und somit auch ihre Aktualität sicherstellen.
• Speicherbegrenzung: Für die Aufbewahrung von E-Mails gelten gesetzliche Fristen. Darüber hinaus besteht normalerweise nicht das Recht, diese Informationen weiter aufzubewahren. Betroffene Personen wie Geschäftspartner, Kunden, Mitarbeitende und Bewerber:innen können das „Recht auf Vergessenwerden“ im Zweifelsfall einfordern.
• Integrität und Vertraulichkeit: Der Grundsatz der Vertraulichkeit der DSGVO verlangt unter anderem, angemessene technische und organisatorische Maßnahmen (TOMs) umzusetzen, damit diese sichergestellt ist.

Transportverschlüsselung (TLS)

Ende-zu-Ende-Verschlüsselung (Inhaltsverschlüsselung)

• S/MIME: Das Protokoll Secure/Multipurpose Internet Mail Extensions (S/MIME) ist zertifikatsbasiert. Es nutzt für E-Mails beglaubigte Zertifikate für Endnutzer:innen bzw. Adressat:innen, die die Root Certificate Authority (Root CA) ausstellt. Diese Behörde dient dabei als „Vertrauensanker“.
• OpenPGP/PGP: Bei dem Standard Open Pretty Good Privacy (Open PGP, kurz PGP) werden Schlüsselpaare dezentral verwaltet. Diese Technologie ist besonders beliebt bei technisch versierten Teams.

Richtlinien & Checklisten

• Versand sensibler Inhalte: Grundsätzlich sollten Sie nur verschlüsselte Mails versenden. Bei Unsicherheiten ist es besser, die Informationen über ein Portal bereitzustellen, z.B. über einen Download-Link mit Zugriffskontrolle.
• Angaben von Empfängeradressen: Aus Datenschutzgründen ist es meist besser, Empfangsadressen beim Versand von E-Mails in größeren Verteilern als „Blind Copy“ einzusetzen. Denn dann können andere diese Adressen nicht sehen. Auch die Funktion „Autovervollständigen“ ist in dem Zusammenhang möglichst kritisch zu hinterfragen.
• Anhänge: Metadaten wie zum Beispiel die Office-Dokumenteigenschaften können ebenfalls personenbezogene Daten enthalten und benötigen beim Versand möglicherweise eine Schutzklassifizierung (Public/Internal/Confidential/Strictly Confidential) und entsprechende Schutzmechanismen.
• Antworten & Weiterleitungen: Schnell werden E-Mails heute einfach weitergeleitet, ohne die Inhalte vorher auf die Anwendung der Datenschutzregeln zu prüfen. Eine allzu leicht angeklickte „Antwort an alle“ kann riskant sein. Mitarbeitende sollten hier wachsam sein, denn auch intern im Unternehmen unterstehen personenbezogene Informationen dem Datenschutz.

Awareness & Training

• Phishing-Erkennung: Vermitteln Sie im Unternehmen, wie man die Richtigkeit von Domains in E-Mails erkennt; Linkziele mit der Maus prüft, bevor man draufklickt; und trotz Zeitdruck misstrauisch bleibt (Zero-Trust-Prinzip).
• Sichere Sprache: Nutzen Sie personenbezogene Daten im Betreff und in der Mail sparsam und verschlüsseln Sie Anhänge.
• Szenario-Übungen: Simulieren Sie in Teams, wie Sie mit einer Situation nach einem Fehlversand umgehen, trainieren Sie Meldewege und verankern Sie bei wichtigen E-Mails das Vier-Augen-Prinzip.

Prozesse bei Vorfällen (Incident Response)

• Meldeweg: Unternehmen müssen einen klaren internen Meldeweg definieren, zum Beispiel über eine Security- oder Privacy-Mailbox oder ein Ticket-System. Die Hemmschwelle für Mitarbeitende sollte möglichst niedrig sein.
• Erstmaßnahmen: Nach einem Vorfall sollten sofort der Empfänger kontaktiert, die Löschung angefordert, Verteiler bereinigt und Postfach- sowie Versand-Logs gesichert werden.
• Bewertung: Anschließend erfolgt eine Risikoanalyse, die Art, Umfang, Sensibilität der Daten, bestehende Schutzmaßnahmen und mögliche Folgen berücksichtigt. Auf Basis dieser Analyse wird entschieden, ob eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und eine Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) erforderlich ist.
• Dokumentation: Jeder Vorfall muss vollständig dokumentiert werden – inklusive Vorfallakte, Lessons Learned und Anpassungen der Prozesse.

Data Protection by Design & Default

• Standardmäßig sichere Voreinstellungen: Es empfiehlt sich von Beginn an sichere Standards zu implementieren, wie z.B. die erzwungene TLS-Verschlüsselung und verpflichtende Multi-Faktor-Authentifizierung.
• Privacy by Default: Datenschutzfreundliche Voreinstellungen sind heute in Anwendungen Pflicht. Es lohnt sich dennoch zu überprüfen, ob diese auch umgesetzt sind.

Lieferanten & Cloud

• AV-Verträge: Bei der Nutzung externer Dienstleister müssen Unternehmen Auftragsverarbeitungsverträge abschließen und den Datenstandort sowie Vereinbarungen mit Unterauftragsverarbeiter:innen prüfen.
• Exit-Strategie: Wichtig ist es auch, für den Fall des Falles Regeln für die Datenrückgabe/-löschung mit externen Anbietern vertraglich zu regeln.

• Technologien (TLS, S/MIME/PGP)
• Prozessen (Adressprüfung, Klassifizierung, Vorfallmanagement)
• Awareness (Phishing-Kompetenz, sichere Praxis).