E-Mail-Datenschutz

• E-Mails gehören zu den wichtigsten Kommunikationskanälen in Unternehmen – und gleichzeitig zu den häufigsten Ursachen für Datenschutzvorfälle.
• Ohne zusätzliche Schutzmaßnahmen lassen sich E-Mails beim Versand mitlesen, manipulieren oder sogar umleiten.
• Entsprechend der DSGVO müssen Sie bei E-Mails bestimmte technische und organisatorische Maßnahmen (TOMs) umsetzen. Dazu zählen die Transportverschlüsselung (TLS) und die Ende-zu-Ende-Verschlüsselung (z.B. S/MIME, PGP).
• In der E-Mail-Kommunikation sind insbesondere die personenbezogenen Daten geschützt. Der Schutz bezieht sich auf E-Mail-Adressen, Inhalte und Dateianhänge.
• Unternehmen müssen die rechtlichen Vorschriften strikt einhalten, wenn sie E-Mails aufbewahren und löschen.

• Vertraulichkeit: Inhalte und Anhänge dürfen nicht für Unbefugte zugänglich sein. Technisch ist mindestens das Verschlüsselungsprotokoll TLS (Transport Layer Security) für die Datenübertragung zwischen Mail-Servern erforderlich. Echte Vertraulichkeit bietet aber nur eine Inhaltsverschlüsselung per Ende-zu-Ende-Verschlüsselung (E2EE).
• Integrität: Empfänger:innen von E-Mails sollten darauf vertrauen können, dass die Absenderadresse korrekt ist und zu der Person gehört, die in der Nachricht als Absender:in steht. E-Mail-Adressen müssen daher vor Manipulation geschützt sein. Hierfür gibt es bestimmte Authentifizierungsstandards wie SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting & Conformance).
• Verfügbarkeit: Ansprechpersonen und Datenschutzbeauftragte müssen über die angegebenen E-Mail-Adressen tatsächlich verfügbar sein.
• Zugriffsregelung: E-Mails lassen sich zwar einfach verbreiten und weiterleiten, dennoch ist der Zugriff nicht für alle gedacht. Unternehmen sollten klare Regeln aufzustellen, wer geschäftliche Postfächer lesen darf. Das gilt besonders für geteilte Postfächer. Zu einem Rollen- und Berechtigungskonzept gehört es auch, Stellvertreterrechte zu dokumentieren.
• Archivierung & Aufbewahrung: Für E-Mails gelten gesetzliche Aufbewahrungspflichten z.B. aus dem Handels- und Steuerrecht. Unternehmen müssen diese im Einzelfall mit Datenschutzvorgaben (z.B. Zweckbindung, Löschung) in Einklang bringen.
• Protokollierung & Nachvollziehbarkeit: Zugriffe und Sicherheitsereignisse im E-Mail-Verkehr müssen nachvollziehbar dokumentiert werden.

• max.mustermann@example.de
• m.mustermann@firma.de
• vertrieb.lieschen.mueller@unternehmen.de

• info@firma.de
• kontakt@unternehmen.de
• support@anbieter.de

Transportverschlüsselung (TLS)

Ende-zu-Ende-Verschlüsselung (Inhaltsverschlüsselung)

• S/MIME: Das Protokoll Secure/Multipurpose Internet Mail Extensions ist zertifikatsbasiert. Es nutzt für E-Mails beglaubigte Zertifikate für Endnutzer:innen bzw. Adressat:innen, die die Root Certificate Authority (Root CA) ausstellt. Diese Behörde dient dabei als Vertrauensanker.
• OpenPGP/PGP: Bei dem Standard (Open) Pretty Good Privacy werden Schlüsselpaare dezentral verwaltet. Diese Technologie ist besonders beliebt bei technisch versierten Teams.

Richtlinien für den DSGVO-konformen E-Mail-Versand

• Versand sensibler Inhalte: Grundsätzlich sollten Sie nur verschlüsselte E-Mails versenden. Wenn dies nicht möglich ist, sollten Sie die Informationen über ein Portal bereitstellen, z.B. über einen Download-Link mit Zugriffskontrolle.
• Angaben von Empfängeradressen: Aus Datenschutzgründen ist es meist besser, beim Versand von E-Mails an größere Verteiler die einzelnen Empfangsadressen unter BCC (Blind Carbon Copy) einzugeben. Dann können andere diese Adressen nicht sehen. Außerdem ist die Funktion Autovervollständigen von E-Mail-Adressen möglichst kritisch zu hinterfragen.
• Anhänge: Metadaten wie die Office-Dokumenteigenschaften können ebenfalls personenbezogene Daten enthalten. Sie benötigen beim Versand möglicherweise eine Schutzklassifizierung und entsprechende Schutzmechanismen.
• Antworten & Weiterleitungen: Viele Personen leiten E-Mails heute einfach weiter, ohne die Inhalte vorher auf personenbezogene Daten zu prüfen. Eine allzu leicht abgeschickte „Antwort an alle“ kann riskant sein. Ihre Beschäftigten sollten hier wachsam sein, denn auch intern im Unternehmen unterliegen personenbezogene Informationen dem Datenschutz.

Awareness & Training

• Phishing-Erkennung: Vermitteln Sie im Unternehmen, wie man die Richtigkeit von Domains in E-Mails erkennt, Linkziele vor dem Anklicken prüft und wie man trotz Zeitdruck misstrauisch bleibt (Zero-Trust-Prinzip).
• Sichere Sprache: Nutzen Sie personenbezogene Daten im Betreff und in der E-Mail sparsam und verschlüsseln Sie Anhänge.
• Szenario-Übungen: Simulieren Sie in Teams, wie Sie mit einem Fehlversand umgehen, trainieren Sie Meldewege und verankern Sie bei wichtigen E-Mails das Vieraugenprinzip.

Incident Response

• Meldeweg: Unternehmen müssen für Sicherheitsvorfälle beim E-Mail-Versand einen klaren internen Meldeweg definieren, z.B. über eine Security- oder Privacy-Mailbox oder ein Ticketsystem. Die Hemmschwelle für Ihre Beschäftigten sollte möglichst niedrig sein.
• Erstmaßnahmen: Nach einem Vorfall sollten Sie sofort alle Empfänger:innen kontaktieren, die Löschung der fälschlicherweise versendeten E-Mail anfordern, Verteiler bereinigen und Postfach- sowie Versand-Logs sichern.
• Bewertung: Anschließend erfolgt eine Risikoanalyse, die Art, Umfang, Sensibilität der Daten, bestehende Schutzmaßnahmen und mögliche Folgen berücksichtigt. Auf Basis dieser Analyse wird entschieden, ob eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und eine Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) erforderlich sind.
• Dokumentation: Sie müssen jeden Vorfall vollständig dokumentieren – inklusive Vorfallakte, Lessons Learned und Anpassungen der Prozesse.

Data Protection by Design & Default

• Standardmäßig sichere Voreinstellungen: Es empfiehlt sich, von Beginn an sichere Standards zu implementieren, z.B. die erzwungene TLS-Verschlüsselung und verpflichtende Zwei-Faktor-Authentifizierung.
• Privacy by Default: Datenschutzfreundliche Voreinstellungen sind heute in Anwendungen Pflicht. Es lohnt sich dennoch, zu überprüfen, ob diese auch umgesetzt sind.