Sichere E-Mail-Verschlüsselung

Rechtliche Anforderungen an die E-Mail-Verschlüsselung

Wer in der DSGVO nach konkreten Anforderungen für die E-Mail-Verschlüsselung sucht, wird schnell ernüchtert. In Art. 32 Abs. 1 lit. a) DSGVO heißt es, dass der Verantwortliche unter Berücksichtigung (u. a.) des Stands der Technik und der Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen hat, um ein angemessenes Schutzniveau zu gewährleisten. Hinter dieser etwas langatmigen Erklärung verbergen sich insbesondere zwei entscheidende Aussagen:

• Einerseits orientiert sich die Frage, ob eine Verschlüsselung als sicher anzusehen ist, am Stand der Technik. Eine handfeste Definition dieses Begriffs gibt es bisher nicht. Im weiteren Sinne versteht man darunter diejenigen Technologien, die auf gesicherten Erkenntnissen beruhen und in der Praxis jeweils in bereits ausreichendem Maß zur Verfügung stehen, um angemessen umgesetzt zu werden.
• Andererseits hängt der Einsatz der Verschlüsselung davon ab, welche Risiken für eine natürliche Person daraus erwachsen, wenn ein Dritter die versandten Daten mitlesen oder manipulieren könnte. Mit anderen Worten: Je brisanter der Inhalt (datenschutzrechtlich) ist, desto höher sind auch die technischen Anforderungen an die Verschlüsselung der E-Mail (Stand der Technik).

Unterschiedliche Verschlüsselungsarten für E-Mails

Grundsätzlich lassen sich zwei Formen der E-Mail-Verschlüsselung unterscheiden, die Transport- und die Inhaltsverschlüsselung (auch Ende-zu-Ende-Verschlüsselung genannt).

Transportverschlüsselung

Bei der Transportverschlüsselung ist nur die Verbindung zwischen den beiden kommunizierenden E-Mail-Servern verschlüsselt. Der Inhalt bleibt jedoch weiterhin lesbar. Bildlich gesprochen, könnte man sich einen Tunnel vorstellen, durch den die Datenpakete geschickt werden. Unbefugte Dritte können nicht in den Tunnel hineinschauen, da dieser entsprechend gesichert ist. Würden Dritte sich jedoch ein Loch zum Tunnel bohren, könnten sie die Datenpakete im Klartext mitlesen.

Seit der Einführung am 13. August 2018 wird im Rahmen der Transportverschlüsselung typischerweise das sogenannte TLS (Transport Layer Security)-Protokoll in der Version 1.3 verwendet.

Wichtig: Solange beide Mailserver TLS verwenden, ist die Übertragung abhörsicher – aber der Inhalt ist auf dem Server des Empfängers nicht verschlüsselt. Die E-Mail liegt nach der Zustellung auf dem Zielserver also wieder im Klartext vor. Wer Zugriff auf diesen Server oder das Endgerät hat, kann die Nachricht einsehen.

Inhaltsverschlüsselung

Bei der Ende-zu-Ende-Verschlüsselung (E2EE) oder auch Inhaltsverschlüsselung wird hingegen der versandte Inhalt als solcher codiert. In diesem Fall stellt es sich also eher so dar, dass selbst wenn ein Dritter in den zuvor beschriebenen Tunnel blicken könnte, er die Datenpakete dennoch nicht mitlesen könnte, da jedes einzelne separat verschlüsselt ist.

Bei der Inhaltsverschlüsselung tauschen der Sender und Empfänger zuvor verschiedene Schlüssel (einen öffentlich einsehbaren und dann einen privaten) aus, mit denen sich die Datenpakete wieder öffnen lassen. Deshalb können auch nur die Schlüssel-austauschenden Beteiligten den versandten Inhalt wieder im Klartext lesen.

Im Bereich der Inhaltsverschlüsselung ist vor allem das Datenverschlüsselungsformat S/MIME bekannt, außerdem PGP (pretty good privacy).

Wichtig: Damit E2EE funktioniert, benötigen Absender und Empfänger digitale Zertifikate. Diese bestätigen Identitäten und ermöglichen den sicheren Umgang mit den verwendeten Schlüsseln. Eine sorgfältige Verwaltung dieser Schlüssel ist entscheidend – gehen sie verloren oder werden kompromittiert, müssen sie sofort ersetzt werden.

Welche Verschlüsselungsmethode ist die richtige?

Welche Methode zur Verschlüsselung von E-Mails sinnvoll ist, hängt vom Schutzbedarf der Informationen und der technischen Ausstattung beider Seiten ab. Insbesondere Privatpersonen bzw. Verbraucher können Probleme haben mit dem Empfang von Ende-zu-Ende-verschlüsselten E-Mails, weil die entsprechenden Zertifikate fehlen.

Handlungsvorschläge für Ihre E-Mail-Verschlüsselung

Ein besonderes Problem der E-Mail-Verschlüsselung zum gegenwärtigen Zeitpunkt ist, dass sowohl Sender als auch Empfänger die notwendigen Voraussetzungen zum Ver- und Entschlüsseln der Nachrichten eingerichtet haben müssen. Allerdings haben noch nicht alle Nutzer die Bedeutsamkeit des Themas erkannt. Dabei ist die Verwendung einer Transportverschlüsselung kein Hexenwerk. Mittels dieser Anleitung lässt sich eine solche mit nur wenigen Klicks einrichten.

Auch im Fall der Inhaltsverschlüsselung gibt es Hoffnung. So ist z. B. in den bekannten E-Mail-Client Microsoft Outlook von Hause aus auch eine Lösung für den Einsatz von S/MIME integriert. Unter Zuhilfenahme dieser Anleitung, lassen sich sowohl S/MIME als auch PGP auf den unterschiedlichsten E-Mail-Clients recht leicht installieren. Die vorgeschlagenen Lösungen sind kostenlos.

Verfügt der Empfänger nicht über die erforderliche Verschlüsselungstechnik, so können ihm Daten zumindest komprimiert (z. B. mit 7-zip, WinRar oder WinZip) und mit einem Passwort versehen übersandt werden. Damit der Empfänger die Datei auch öffnen kann, wird das Passwort hierzu (vorzugsweise) über einen anderen Kommunikationskanal, wie z. B. SMS oder per Telefon, versandt. Aber auch in diesem Zusammenhang sollte geprüft werden, welche Komprimierungssoftware man benutzt. Unterschiede ergeben sich bei den einzelnen Anbietern insbesondere hinsichtlich der eingesetzten Verschlüsselungsstärke (z. B. 256 Bit), aber auch beim Verschlüsselungsalgorithmus (AES).

Abgesehen davon gibt es aber auch weitaus einfachere Möglichkeiten, den Schutz zu versendender E-Mails zu erhöhen. So empfiehlt es sich bspw. im Betreff einer Nachricht keine personenbezogenen Daten (Negativbeispiel: „Syphilisuntersuchung von Erwin Meier am 9.3.2018“), sondern neutrale Schlagwörter (z. B. „Rückmeldung zu Ihrem letzten Termin“) zu verwenden.

Um die Daten vor Veränderung auf dem Transportweg zu erschweren, empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) u. a. den Einsatz einer digitalen Unterschrift. Dadurch wird auch stärker sichergestellt, dass die E-Mail tatsächlich vom angegebenen Versender stammt. Hilfreiche Hinweise zur Einführung einer solchen Unterschrift, die bei S/MIME bereits integriert ist, finden sich hier.

Arbeiten Unternehmen dauerhaft zusammen und versenden sie sensible Daten, sollten sich beide überlegen, ob auch mit Blick auf Haftungsfragen der Einrichtungsaufwand in Kauf genommen wird.

Eine Alternative zur Verschlüsselung von E-Mails und deren Anhängen besteht darin, die zu schützenden Daten über ein passwortgeschütztes Portal zum Download bereitzustellen. In diesem Fall wird dem Empfänger nur noch eine Benachrichtigung über neue Dokumente per E-Mail gesendet. Dieses Vorgehen hat sich vor allem im medizinischen Bereich inzwischen breit etabliert.

Datenschutzrechtliche Haftungsrisiken bei unverschlüsselten E-Mails

Werden per E-Mail versandte Daten von Dritten abgefangen oder diesen bspw. offengelegt, so steht es dem Betroffenen frei, vom Versender Schadensersatz zu verlangen. In diesem Zusammenhang sei nochmals besonders darauf verwiesen, dass es nach der DSGVO nunmehr möglich ist, auch immaterielle Schäden ersetzt zu verlangen. Denkt man z. B. an die zuvor erwähnte Syphilisuntersuchung, so könnte eine nicht wohlgesonnene Person bei Kenntnisnahme diese Informationen ohne größere Probleme in einem sozialen Netzwerk veröffentlichen. Ist der Ruf der betroffenen Person dann erst einmal durch ehrkränkende Äußerungen verletzt, so kann dieser den entstandenen Schaden vom Arzt, der seine E-Mails nicht entsprechend verschlüsselt hat, ersetzt verlangen (vgl. Erwägungsgrund 75 DSGVO). Mittlerweile gab es sogar entsprechende Urteile, bei denen etwa eine TLS-Verschlüsselung als nicht risikoangemessen betrachtet wurde.

Nicht unerwähnt sollen auch die Bußgelder bleiben, die von der Datenschutzaufsichtsbehörde in diesem Zusammenhang verhängt werden können.

Fazit: E-Mail-Verschlüsselung sollte Standard sein

Den technischen Datenschutz durch E-Mail-Verschlüsselung oder wenigstens passwortgeschützten Versand personenbezogener Daten zu gewährleisten, ist kein Hexenwerk (mehr). Es kann gar nicht oft genug an Verantwortliche in Unternehmen appelliert werden, sich mit diesem Thema intensiver zu befassen.

Die wirtschaftlichen Schäden, die durch Hacking, Industriespionage, etc. entstehen, steigen von Jahr zu Jahr. Wenn man bedenkt, dass ein Unternehmer herkömmliche Briefe mit Kundendaten ja auch zuklebt, um den Inhalt vor den neugierigen Blicken Dritter zu schützen, leuchtet es nur umso mehr ein, dass dieser die Kommunikation per E-Mail ebenso schützen sollte und muss.