E-Mail-Verschlüsselung: Wann ist sie nach der DSGVO Pflicht?

E-Mail ist nach wie vor das wichtigste Kommunikationsmittel im Geschäftsleben. Mit ihr werden täglich Rechnungen, Verträge, Lohnabrechnungen, Arztbriefe oder Bewerbungen versendet. Die DSGVO schreibt keine bestimmte Verschlüsselungstechnik vor. Sie verlangt aber in Art. 32 ein dem Risiko angemessenes Schutzniveau. Ob und wie E-Mails verschlüsselt werden müssen, hängt deshalb vom Inhalt ab.

Zwei Arten der Verschlüsselung

Transportverschlüsselung (TLS): Die Verbindung zwischen den E-Mail-Servern wird verschlüsselt. Die Nachricht liegt jedoch auf den beteiligten Servern im Klartext vor. TLS ist heute weit verbreitet und schützt gegen das Mitlesen auf dem Übertragungsweg. Inhaltsverschlüsselung (Ende-zu-Ende): Die Nachricht selbst wird verschlüsselt, etwa mit S/MIME oder OpenPGP, und kann nur vom Empfänger entschlüsselt werden. Auch die Betreiber der Server können den Inhalt nicht lesen.

Der risikobasierte Ansatz der Aufsichtsbehörden

Die Datenschutzkonferenz hat in einer Orientierungshilfe zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail Maßstäbe formuliert. Vereinfacht gilt:

• Für alltägliche Geschäftskorrespondenz mit normalem Risiko genügt in der Regel eine obligatorische Transportverschlüsselung, die sicher konfiguriert ist.
• Bei hohem Risiko, also bei sensiblen Daten wie Gesundheitsdaten, Kontoverbindungen in Verbindung mit weiteren Daten, Personalakten oder Daten über strafrechtliche Verfahren, ist regelmäßig eine Ende-zu-Ende-Verschlüsselung oder ein gleichwertiges Verfahren erforderlich.

Praktische Alternativen

Da Ende-zu-Ende-Verschlüsselung voraussetzt, dass auch der Empfänger mitmacht, setzen viele Unternehmen auf praktikable Alternativen:

• verschlüsselte PDF- oder ZIP-Anhänge mit starkem Passwort, wobei das Passwort auf anderem Weg (z. B. telefonisch oder per SMS) übermittelt wird,
• Portallösungen, bei denen der Empfänger einen Link zu einem gesicherten Download-Bereich erhält,
• Kundenportale, in denen Dokumente in einem geschützten Kundenkonto bereitgestellt werden.

Was ist mit Einwilligung des Empfängers?

Häufig wünschen Kunden oder Patienten ausdrücklich den unverschlüsselten Versand. Ob und in welchen Grenzen Betroffene auf das Schutzniveau verzichten können, ist umstritten. Einige Aufsichtsbehörden halten einen Verzicht für die eigenen Daten des Betroffenen in bestimmten Konstellationen für möglich, wenn er informiert und ausdrücklich erfolgt. Für Daten Dritter ist ein Verzicht ausgeschlossen. Dokumentieren Sie solche Fälle sorgfältig.

Organisatorische Maßnahmen nicht vergessen

Viele E-Mail-Datenpannen entstehen nicht durch Hacker, sondern durch Fehlbedienung: falscher Empfänger durch Autovervollständigung, offener Verteiler statt BCC, falscher Anhang. Schulungen, eine kurze Prüfroutine vor dem Versand sensibler Daten und technische Hilfen, etwa Warnhinweise bei externen Empfängern, helfen. Passiert doch etwas, gilt unser Leitfaden zur Datenpanne. Die E-Mail-Sicherheit sollte zudem in Ihrem TOM-Konzept beschrieben sein.

Eine Lösung, die dem Risiko entspricht, nützt nur, wenn sie im Alltag auch genutzt wird. Gern prüfen wir mit Ihnen, wie Ihre E-Mail-Kommunikation datenschutzkonform und praktikabel aufgestellt werden kann. Kontaktieren Sie uns oder vereinbaren Sie einen Termin.