Datenschutz bei E-Mail-Versand: Das sollten Sie beachten

E-Mails gelten als die Postkarten des Internets. Ohne geeignete Schutzmaßnahmen können sie problemlos mitgelesen werden. Daher hat die Datenschutzkonferenz (DSK) vor wenigen Wochen eine Orientierungshilfe zum Schutz personenbezogener Daten bei der Übermittlung von E-Mails veröffentlicht. Die Orientierungshilfe klärt, welche Anforderungen an die Verfahren zum Versand und Empfang von E-Mails bestehen.

Wir haben für Sie zusammengefasst, worauf Sie bei der Auswahl eines E-Mail-Dienst-Anbieters achten sollten, wie eine Risikoanalyse als Basis Ihrer Maßnahmen dient und welche Maßnahmen Sie bei den verschiedenen Risikostufen umsetzen sollten. 

Bereits bei der Auswahl des E-Mail-Dienst-Anbieters ist einiges zu berücksichtigen. Denn Sie unterliegen bei der Auswahl des richtigen E-Mail-Dienstanbieters einer Sorgfaltspflicht. Dabei ist besonders darauf zu achten, dass die Dienstanbieter hinreichend Garantien für die Einhaltung der DSGVO und insbesondere der technischen Richtlinie 03108-1 des Bundesamts für Sicherheit in der Informationstechnik (BSI) bieten können. Die Auswahl eines geeigneten E-Mail-Dienst-Anbieters ist ein erster Schritt auf dem Weg zur Datenschutzkonformität.

Wenn Sie E-Mails versenden, enthalten diese aller Wahrscheinlichkeit nach personenbezogene Daten. Damit liegt die Verantwortlichkeit grundsätzlich bei Ihnen. Empfangen Sie jedoch gezielt personenbezogene Daten, etwa durch eine ausdrückliche Vereinbarung (Autragsverabeitungsvertrag), sind Sie laut DSK dazu verpflichtet, mit den Absender:innen zusammenzuarbeiten. Welche Schutzmaßnahmen einzusetzen sind, hängt dabei von dem jeweiligen Risiko für die Betroffenen ab.

Das Risiko wird durch die Wahrscheinlichkeit eines Schadenseintritts und durch die Folgen des Schadens für die Betroffenen bestimmt. Die Eintrittswahrscheinlichkeit berechnet sich aus verschiedenen Faktoren, die herangezogen werden müssen. Ein erster Hinweis für ein hohes Risiko kann sich aus den Kategorien der Daten gemäß Art. 9 DSGVO (z.B. sensible Daten wie Gesundheitsdaten) ergeben.

Sie können sich u.a. folgende Fragen stellen: Wie hoch ist das Interesse unbefugter Dritter, die betroffenen Daten z.B. für einen Identitätsbetrug zu nutzen oder zu manipulieren? 

Wie hoch ist der notwendige technische Aufwand, um die Zugangsberechtigungen auszuspähen? Diese Faktoren können Sie mit „gering“, „normal“ und „hoch“ bewerten. Grundlage für dieses Verfahren kann ein Schutzstufenkonzept sein. Durch den Mittelwert aller Bewertungen ergibt sich dann ein Gesamtwert. Dieser ist maßgeblich für die jeweiligen Schutzmaßnahmen.

Würde der Bruch der Vertraulichkeit zu einem hohen Risiko für die Betroffenen führen, sollten Sie eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung einsetzen. Auf der anderen Seite haben Empfänger:innen bestehende Signaturen (PGP-/S/MIME) zu prüfen.

Eine Ende-zu-Ende Verschlüsselung erfolgt hierbei zumeist unter Nutzung einer Public-Key-Infrastruktur (PKI). Dabei werden entsprechende Zertifikate erstellt und durch eine unabhängige dritte Instanz geprüft. Die PKI erstellt und verwaltet die public und private Keys. Diese werden für die Ver- und Entschlüsselung der Mails benötigt.

Die PKI können Sie entweder selber betreiben oder einen Dienstleister beauftragen. Im geschäftlichen Bereich setzt sich das S/Mime-Verfahren stärker durch als die klassische PGP-Umsetzung, da hierbei weniger Aufwand anfällt und die Nutzung einfacher ist.