E-Mail-Verschlüsselung DSGVO: So schützt du deine digitale Kommunikation

E-Mails sind fester Bestandteil jeder Unternehmenskommunikation – ob Rechnungen, Verträge oder Kundendaten. Doch wer seine Mails unverschlüsselt verschickt, riskiert ein Datenleck. Nach Art. 32 DSGVO müssen technische und organisatorische Maßnahmen den Schutz personenbezogener Daten gewährleisten. E-Mail-Verschlüsselung DSGVO-konform bedeutet, dass du den Inhalt deiner Nachrichten vor unbefugtem Mitlesen schützt. In diesem Artikel erfährst du, welche Verschlüsselungsverfahren es gibt, warum Transportverschlüsselung (TLS) oft nicht ausreicht und wann du auf Ende-zu-Ende-Lösungen (S/MIME oder PGP) setzen solltest.

Bulletpoints – E-Mail-Verschlüsselung & DSGVO

• TLS/SSL für Transport (Mindeststandard)
• Ende-zu-Ende (S/MIME/PGP) für sensible Daten
• Key Management: Private Schlüssel sicher speichern
• Regelmäßige Audits der E-Mail-Infrastruktur

1. Warum ist Verschlüsselung nötig?

Ein Großteil des E-Mail-Verkehrs läuft über mehrere Server, bevor die Nachricht beim Empfänger ankommt. Ohne Verschlüsselung könnten Hacker oder andere Unbefugte die Inhalte mitlesen. Zudem verlangen die DSGVO und teilweise auch Branchenstandards (z. B. im Gesundheitsbereich) eine angemessene Sicherung gegen Datenabgriff.

OpenPGP

Email encryption. For all operating systems. Standing the test of time.

2. Arten der E-Mail-Verschlüsselung

1. Transportverschlüsselung (TLS)
   • Verschlüsselt die Verbindung zwischen den Mail-Servern.
   • Nachteil: Auf den Servern selbst liegen Mails oft im Klartext.
2. Ende-zu-Ende-Verschlüsselung (S/MIME, PGP/GPG)
   • Nur Absender und Empfänger können die Nachricht im Klartext lesen.
   • Erfordert Austausch von Zertifikaten oder Schlüsseln.
   • Höchste Sicherheit, aber meist höherer Einrichtungsaufwand.
3. Gateway-Verschlüsselung
   • Das E-Mail-Gateway (Server) verschlüsselt ausgehende Mails automatisch, Empfänger muss ggf. ein Webportal nutzen.
   • Praktisch für Unternehmen, die viele Mails automatisiert verschicken.

3. Umsetzung im Unternehmen

• Technische Basis: Richte TLS auf deinem Mailserver ein (z. B. „STARTTLS“).
• Schulungen: Mitarbeiter sollten wissen, wann sie sensible Infos senden und welche Tools zu verwenden sind (S/MIME-Client, PGP-Plugin).
• Richtlinien: Lege fest, welche Daten überhaupt per E-Mail verschickt werden dürfen (z. B. keine Kreditkartendaten im Klartext).
• Dokumentation: Halte fest, wie du die Verschlüsselung organisierst und wer für Schlüsselverwaltung zuständig ist.

4. Häufige Stolperfallen

1. Halbe Transportverschlüsselung: Wenn einer der Mailserver kein TLS unterstützt, wird die Verbindung unverschlüsselt fortgesetzt.
2. Private Schlüssel unsicher aufbewahrt: Bei S/MIME oder PGP kann das Leaken eines privaten Schlüssels alles kompromittieren.
3. Altarchivierung ohne Schutz: Selbst wenn live verschlüsselt wird, liegen alte Mails oft unverschlüsselt auf Servern oder in Backups.
4. Fehlende Prüfungen: Manche Anbieter behaupten TLS, aber legen E-Mails auf dem Server im Klartext ab.

E-Mail-Verschlüsselung in der Praxis

Für den sicheren Austausch von Daten zwischen einem E-Mail-Client und einem E-Mail-Server werden heute meistens verschlüsselte Kanäle benutzt. Dies wird z.B. durch das Verschlüsselungsprotokoll Transport Layer Security (TLS) ermöglicht, das auch bei HTTPS-Verbindungen zum Einsatz kommt. Anfangs- und Endpunkt des Datenflusses sind dabei meistens über mehrere Server oder Punkte miteinander verbunden. An diesen Punkten liegen die Daten unverschlüsselt vor, bevor sie für das nächste Teilstück der Strecke wieder durch einen verschlüsselten Kanal geschickt werden. Deshalb wird hier auch von Punkt-zu-Punkt-Verschlüsselung gesprochen.

Datenschutzschulung Mitarbeiter: So machst du dein Team DSGVO-fit

Datenschutzschulung Mitarbeiter: Mit Praxisbeispielen und E-Learnings zum sicheren Umgang mit Daten.

FAQ – E-Mail-Verschlüsselung & DSGVO