E-Mails über TLS verschlüsseln - die unangenehme Wahrheit
26.09.2023
IT, NewMedia & Software
Sowohl von Endkunden als auch von Beratungs- und Implementierungsunternehmen hört man vermehrt die Aussage: "TLS (Transport Layer Security) reicht aus, um DSGVO-konform zu kommunizieren." Dahinter steckt in der Regel der Wunsch nach einer möglichst einfachen Art, sich verschlüsselt per E-Mail mit anderen Kommunikationspartnern auszutauschen. Dies ist leider ein trügerischer Schluss.
Um diese Einschätzung auch durch die juristische Brille zu betrachten, empfiehlt sich ein tieferer Blick in Art. 32 DSGVO "Sicherheit der Verarbeitung" und in Erwägungsgrund 83 der DSGVO.
Der Art. 32 DSGVO sagt aus, dass Personen, die für die Verarbeitung von personenbezogenen Daten verantwortlich sind, dafür Sorge zu tragen haben, dass diese Daten gegen unbefugte Zugriffe geschützt sind. Die Verpflichteten haben geeignete technische und organisatorische Maßnahmen zu treffen. Möglich sind hier die Pseudonymisierung und die Verschlüsselung der Daten. Die Verschlüsselung muss dafür sorgen, dass die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden (vgl. Art. 34 Abs. 3 lit. a DSGVO). Hier mag man für sich selbst entscheiden, ob TLS in allen Fällen die geeignete Technologie ist.
Kommentar von Stephan Heimel, Prokurist, Sales Director der SEPPmail - Deutschland GmbH
Pauschale Aussagen sind aus juristischer Perspektive selten ein guter Ansatz. Deswegen ist die erste Antwort eines Anwalts auch in der Regel: "Es kommt darauf an ...".
Im Streitfall bedarf es einer Einzelfallbetrachtung des jeweiligen Sachverhalts. Die Prüfung kann ergeben, dass überhaupt keine Verschlüsselung notwendig war, dass eine TLS-Verschlüsselung ausreichend war, oder aber, dass zusätzlich zur reinen Leitungsverschlüsselung zwingend eine inhaltliche Ende-zu-Ende-Verschlüsselung hätte genutzt werden müssen.
Einer pauschalen Aussage wie "TLS reicht aus, um DSGVO-konform zu kommunizieren" sollte man mit Vorsicht begegnen.
Um die datenschutzrechtlichen Regelungen einzuhalten, bleibt nach wie vor der Verantwortliche (gemäß Artikel 4 Nummer 7 EUDSGVO) in der Pflicht. Denn nicht nur das Risiko liegt bei ihm, sondern ihn treffen auch - gegebenenfalls persönlich - die Konsequenzen. Zu möglichen Sanktionen zählen unter anderem Regressansprüche gegen das Management oder Sonderbeauftragte für Compliance, Datenschutz und Informationssicherheit. Zivilrechtlich wird in der Regel Schadensersatz gefordert. Dies beinhaltet auch Vermögensschäden ohne Haftungsobergrenze. Zu öffentlich-rechtlichen Sanktionen zählen Geld-, Haft- oder Verwaltungsstrafen. Ordnungsmaßnahmen können auch bis zur Stilllegung des Betriebes führen.
Die Kunst der sicheren E-Mail-Kommunikation
Angesichts dieser potenziellen Gefahren ist es von entscheidender Bedeutung, in der Praxis alle möglichen Schritte zu unternehmen, um die Risiken zu minimieren und die Sicherheit von E-Mails zu maximieren. Neben der häufig verwendeten TLS-Verschlüsselung stehen verschiedene weitere Verschlüsselungsmethoden zur Verfügung, um vertrauliche E-Mails abzusichern. Dazu gehören Technologien wie S/MIME und PGP, die eine Ende-zu-Ende-Verschlüsselung bieten und sicherstellen, dass nur der befugte Empfänger den Inhalt entschlüsseln kann. Ebenso ist die Nutzung von Spontanverschlüsselung eine praktikable Option, um bestimmte E-Mails oder Nachrichten nach Bedarf zu verschlüsseln und somit eine zusätzliche Sicherheitsebene zu schaffen. Alle diese Technologien wurden entwickelt, um eben nicht auf die darunterliegende Infrastruktur aufbauen zu müssen, sondern funktionieren eigenständig zwischen Sender und Empfänger.
Im Idealfall werden diese Technologien kombiniert, damit die Vertraulichkeit und Integrität der E-Mail-Kommunikation unter keinen Umständen ein Grund für DSGVO Verstöße ist.
Firmenkontakt:
SEPPmail Deutschland GmbH
Ringstraße 1c
85649 Brunnthal b. München
Deutschland
+49 (0) 8104 8999 030
https://www.seppmail.de
Pressekontakt:
Sprengel & Partner GmbH
Nisterstraße 3
56472 Nisterau
02661-912600
http://www.sprengel-pr.com
Diese Pressemitteilung wurde über PR-Gateway veröffentlicht.
Für den Inhalt der Pressemeldung/News ist allein der Verfasser verantwortlich. Newsfenster.de distanziert sich ausdrücklich von den Inhalten Dritter und macht sich diese nicht zu eigen.
Weitere Artikel von SEPPmail Deutschland GmbH
13.11.2024 | SEPPmail Deutschland GmbH
Black Friday - Hochsaison für raffinierte Phishing-Angriffe
Black Friday - Hochsaison für raffinierte Phishing-Angriffe
18.09.2024 | SEPPmail Deutschland GmbH
it-sa 2024: SEPPmail stellt "Secure Large File Transfer in der Cloud" vor
it-sa 2024: SEPPmail stellt "Secure Large File Transfer in der Cloud" vor
11.09.2024 | SEPPmail Deutschland GmbH
NIS-2 und E-Mail-Verschlüsselung
NIS-2 und E-Mail-Verschlüsselung
10.09.2024 | SEPPmail Deutschland GmbH
NIS-2 und E-Mail-Verschlüsselung
NIS-2 und E-Mail-Verschlüsselung
25.06.2024 | SEPPmail Deutschland GmbH
VBSpam-Report: SEPPmail.cloud-Filter erneut Testsieger
VBSpam-Report: SEPPmail.cloud-Filter erneut Testsieger
Weitere Artikel in dieser Kategorie
26.11.2024 | WSW Software
HARMAN: Mit SPEEDI Toleranzverletzungen bei Kunden-Lieferabrufen automatisch erkennen
HARMAN: Mit SPEEDI Toleranzverletzungen bei Kunden-Lieferabrufen automatisch erkennen
26.11.2024 | simpleshow GmbH
Neue Funktionen für markengerechte simpleshow-Videos
Neue Funktionen für markengerechte simpleshow-Videos
26.11.2024 | Checkmarx Germany GmbH
Checkmarx erweitert Software Supply Chain Security um Secrets Detection und Repository Health
Checkmarx erweitert Software Supply Chain Security um Secrets Detection und Repository Health
26.11.2024 | simpleshow GmbH
Neue visuelle und Audio-Optionen für markengerechte simpleshow-Videos
Neue visuelle und Audio-Optionen für markengerechte simpleshow-Videos
26.11.2024 | SEF Smart Electronic Factory e.V.
Ist Industrie 4.0 gescheitert? Eine Einschätzung des SEF Smart Electronic Factory e.V.
Ist Industrie 4.0 gescheitert? Eine Einschätzung des SEF Smart Electronic Factory e.V.