Was genau bedeutet E-Mail-Verschlüsselung?
Sind meine E-Mails über die all-connect verschlüsselt?
Da wir im Zuge der DSGVO nahezu täglich Fragen zur E-Mail-Verschlüsselung erhalten, wollen wir gerne kurz etwas Aufklärung beisteuern. Diese Informationen sollen es Ihnen ermöglichen, die Sachlage richtig einschätzen können:
Wir unterscheiden bei E-Mails zwei Arten von Verschlüsselungen:
- Die Transport-Verschlüsselung und
- die Ende-zu-Ende-Verschlüsselung.
Die erste Form, also die Transport-Verschlüsselung (kurz: TLS) ist bei all-connect Kunden aktiv. Sie sichert aber nicht den Inhalt der E-Mails ab, sondern lediglich die Übertragung der Mails zwischen Ihrem PC (oder Ihrem Smartphone) und dem Server. Dies ist vor allem deshalb relevant, weil bei dieser Übertragung auch Ihr Benutzername und Ihr Kennwort verschlüsselt übertragen wird. Vereinfacht könnte man sagen: Die Transport-Verschlüsselung garantiert lediglich, dass ein Angreifer nicht Ihre Zugangsdaten ausspähen kann.
Die zweite Form, also die Ende-zu-Ende-Verschlüsselung ist bei den meisten von Ihnen vermutlich nicht aktiv. Diese funktioniert unabhängig vom Mail-Server (egal ob Ihrer oder der von all-connect).
Dies muss in Ihrem Mailprogramm (z.B. Outlook) über die Technik „S/MIME“ aktiviert werden. Wichtig dabei ist, dass Sie mit jedem E-Mail-Partner vorab Ihr S/MIME-Zertifikat austauschen, ehe Sie die die Ende-zu-Ende-Verschlüsselung nutzen können. Erst wenn dies erfolgt ist, wäre auch der E-Mail Inhalt verschlüsselt und niemand außer Ihnen könnte dann noch mitlesen. Natürlich funktioniert dies nur für diese einzeln ausgewählten E-Mail-Partner. Partner ohne S/MIME würden Mails weiterhin unverschlüsselt mit Ihnen austauschen.
Kurzum: Wenn es z.B. um die DSGVO geht, sollten Sie nicht oberflächlich von E-Mail-Verschlüsselung sprechen. Dies wäre technisch und rechtlich unpräzise oder sogar „falsch“ (z.B. als Angabe in einer Datenschutzerklärung). Sie müssen stattdessen die Verschlüsselung differenziert betrachten:
- Mit dem Punkt 1. gewährleisten Sie ein gutes Niveau an IT-Sicherheit (= Passworte und Zugänge absichern).
- Mit dem Punkt 2. würden Sie E-Mail-Inhalte verschlüsseln (= Vertraulichkeit gewährleisten). Dies ist in der Praxis jedoch organisatorisch sehr aufwendig, weil Sie mit jedem Kunden einzeln
vertraglich vorab vereinbart und eingerichtet werden muss.
Praxis-Empfehlung: Keine personenbezogene Daten per E-Mail versenden (z.B. Lohndaten an den Steuerberater). Stattdessen Post oder die Daten vorher in ein verschlüsseltes/Passwort geschütztes ZIP-Archiv verpacken. Das Passwort zur Entschlüsselung können Sie dann per Telefon dem Empfänger (z.B. dem Steuerberater) mitteilen.
Hier eine Anleitung für ZIP-Verschlüsselung:
https://www.heise.de/tipps-tricks/ZIP-Archiv-mit-einem-Passwort-schuetzen-So-geht-s-3907870.html
