DSGVO | So halten Sie die vom Gesetzgeber verlangte E-Mail Verschlüsselung ein!

Für viele Einzelunternehmer und Mittelständler stellt die IT-Sicherheit des eigenen Unternehmens eine zentrale Herausforderung dar. Aktuell kommuniziert noch immer ein Großteil aller Unternehmen durch E-Mails mit Kunden und Geschäftspartnern. Hierbei haben sich in den letzten Jahren jedoch die gesetzlichen Regelungen massiv verändert.

Im Zuge der fortschreitenden Technik sind nicht nur die Möglichkeiten zur Wirtschaftsspionage immer vielfältiger geworden, sondern ebenfalls die Maßnahmen zum Schutz der eigenen Daten. Insbesondere im Bereich der E-Mail haben sich daher einige gängige Praktiken gravierend geändert.

In Deutschland sind seit jeher Unternehmen und Behörden, die personenbezogene Daten erheben, nutzen oder weiterverarbeiten dazu verpflichtet, diese Daten umfassend vor dem Zugriff Dritter zu schützen. Hierbei hat der Gesetzgeber veranlasst, dass ein Unternehmen grundsätzlich verpflichtet ist, sämtliche technischen sowie organisatorischen Maßnahmen zu treffen, die für den Schutz der Daten erforderlich sind. Dabei hat der Gesetzgeber jedoch eine ergänzende Klausel eingefügt, die vielen Unternehmen bisher die Verweigerung einer Verschlüsselung ermöglichte. So müssen laut Schlusssatz des Bundesdatenschutzgesetzes BDSG §9 nur jene Maßnahmen getroffen werden, die mit einem angemessenen Aufwand zu bewerkstelligen sind. Hierbei muss daher lediglich das Verhältnis zwischen Schutzzweck und Aufwand von einem Gericht als angemessen betrachtet werden können.

Bislang stellte eine sichere Verschlüsselung der E-Mails stets einen enormen Aufwand für sämtliche beteiligten Parteien dar. Für eine sichere Verschlüsselung war es notwendig, dass beide Kommunikationspartner einen öffentlichen sowie einen privaten Schlüssel zur Verschlüsselung ihrer E-Mails nutzen. Beide Schlüssel mussten dabei manuell ausgestellt und physisch übermittelt werden, um einen maximalen Schutz durch die Verschlüsselung zu gewährleisten. Auf diese Weise war eine spontane Kontaktaufnahme nicht möglich, sodass eine umfassende Verschlüsselung der E-Mails bislang nicht als verpflichtend betrachtet wurde.

Aufgrund zahlreicher technischer Fortschritte ist es heute jedoch problemlos möglich, den eigenen E-Mail-Verkehr mit einem deutlich geringeren Aufwand zu verschlüsseln. Die zertifikatbasierte Verschlüsselung bietet dabei ein besonders hohes Maß an Automatisierung. Hierbei können die für die Verschlüsselung notwendigen Schlüssel mit der richtigen Software sogar vollständig ohne das Mitwirken der Anwender ausgetauscht werden. Auf diese Weise wurde eine Möglichkeit geschaffen, um mit minimalem Aufwand jederzeit mit jedem Kommunikationspartner über eine sichere Leitung kommunizieren zu können. Dadurch ist gleichermaßen die Verhältnismäßigkeit des Verschlüsselungsaufwands zum Schutzzweck in jedem Fall gegeben. Eine Verschlüsselung der E-Mails ist deshalb durch diese Entwicklung in Deutschland verpflichtend geworden.

Die Pflicht zur Verschlüsselung der eigenen E-Mails ist jedoch in keinem Fall unbegründet. Sie besteht lediglich zum Schutz Ihrer eigenen Daten sowie der Daten Ihrer Kunden und Geschäftspartner. Während sich eine E-Mail auf dem Weg von Ihrem Unternehmen zu einem Empfänger befindet, wird sie im Internet zwischengespeichert.

Ohne eine sichere Verschlüsselung kann die E-Mail dadurch von zahlreichen unterschiedlichen Angreifern mitgelesen werden. Darüber hinaus besteht ebenfalls die Möglichkeit, dass der Angreifer die Mail vollständig abfängt und ihren Inhalt manipuliert. Eine Manipulation einer unverschlüsselten E-Mail wird in der Regel weder von ihrem Empfänger noch von ihrem Sender rechtzeitig bemerkt.

Durch das Abfangen und die Manipulation von E-Mails entstehen enorme Gefahren für Ihr Unternehmen. Sollten sich innerhalb einer E-Mail personenbezogene Informationen oder sogar Betriebs- und Geschäftsgeheimnisse befinden, kann der schwerwiegende finanzielle Schaden des Angriffs im Vorfeld nur schwer abgeschätzt werden. In vielen Fällen bedrohen die durch einen solchen Angriff verursachten Schäden sowie der daraus resultierende Imageverlust sogar die Existenz des geschädigten Unternehmens.

Hierbei sollten Sie ebenfalls auf die rechtlichen Konsequenzen eines solchen Vorfalls vorbereitet sein. Ein Schadenfall, der auf einer mangelhaften Verschlüsselung der E-Mails beruht, kann sowohl privat- als auch strafrechtliche Folgen nach sich ziehen. Die Verletzung von Persönlichkeitsrechten und Geheimhaltungspflichten wird in Deutschland in der Regel mit Bußgeldern, Disziplinarmaßnahmen und Schadenersatzforderungen geahndet. Im schlimmsten Fall kann diese Pflichtverletzung sogar eine Haftstrafe nach sich ziehen.

Das Risiko eines Angriffs ist hierbei deutlich größer, als die meisten Menschen glauben. Zahlreiche Menschen versuchen tagtäglich an Betriebsgeheimnisse zu gelangen und die E-Mails von Unternehmen zu hacken und zu überwachen. Neben Kleinkriminellen und Hackern können die E-Mails eines Unternehmens auch ins Visier von Geheimdiensten und Regierungen gelangen.

Seit den Enthüllungen Edward Snowdens ist bekannt, dass sowohl der amerikanische als auch der britische Geheimdienst die gesamte elektronische Kommunikation überwachen wollen. Zu diesem Zweck wurden mehrere wirkungsvolle Programme entwickelt, die eine unverschlüsselte E-Mail automatisch überwachen, speichern und sogar manipulieren können.

Die bekanntesten Beispiele sind hierbei PRISM und Tempora. Den Geheimdiensten geht es dabei jedoch nicht nur um die Terrorbekämpfung, sondern ebenfalls um wirtschaftliche Interessen. Lediglich eine umfassende E-Mail-Verschlüsselung kann dafür sorgen, dass Sie die Geheimnisse Ihres Unternehmens vor diesen Menschen bewahren können und keinen Nachteil gegenüber einem Konkurrenten erleiden.

Eine sichere Verschlüsselung ist jedoch nicht nur für die Gerichte, sondern ebenfalls für Ihre Kunden und Geschäftspartner relevant. So verhindert eine professionelle Verschlüsselung, dass Unbefugte Zugang zu vertraulichen Informationen erhalten und erhöht dadurch das Vertrauen.

Eine E-Mail-Verschlüsselung ist ein wichtiger Teil eines umfassenden Compliance Managements und bietet Ihren Daten größtmöglichen Schutz vor Kriminellen und Konkurrenten.

Für die Verschlüsselung Ihrer E-Mails stehen Ihnen zahlreiche unterschiedliche Methoden zur Verfügung. Jede Methode verfügt dabei über eigene Vor- sowie Nachteile.

Datenschützer sprechen sich hier eindeutig für eine komplette Ende zu Ende-Verschlüsselung aus. Diese wird jedoch von den meisten Unternehmen sehr kritisch beurteilt. Das liegt vor allem daran, dass diese in den meisten Fällen den Einsatz von DLP-Lösungen sowie eine zentrale Anti-Virus-Kontrolle verhindert.

Aus diesem Grund ist stets der Einsatz eines hybriden Systems zu empfehlen, das sämtliche Nachrichten automatisch verschlüsselt und auf Viren überprüft. Dabei wird die Nachricht vorerst durch das Verschlüsselungssystem Ihres Unternehmens gesichert, danach auf Viren getestet und durch DLP geprüft. Bevor die Mail ihren Bestimmungsort erreicht, wird sie anschließend noch auf das Verschlüsselungssystem des Empfängers angepasst. Auf diese Weise können sowohl die Vorgaben der Datenschutzaufsichtsbehörden als auch Ihre eigenen Anforderungen vollständig erfüllt werden.