Worauf Unternehmen achten sollten: Die richtige E-Mail-Verschlüsselungslösung finden

E-Mails sind einfach zu handhaben und erreichen den Empfänger in kürzester Zeit – leider sind sie nicht das sicherste Kommunikationsmittel, wenn es um den Versand vertraulicher Geschäftsinformationen geht. Das Problem ist hinlänglich bekannt: Jeder, der in irgendeiner Form am Transportprozess beteiligt ist, kann unbemerkt mitlesen.

Dennoch verschlüsseln die Mitarbeiter ihre E-Mails nur selten. Zu komplex. Zu technisch. Endnutzer scheitern oft schon an den Grundlagen und machen sich wenig Gedanken über private oder öffentliche Schlüssel. Auf Admin-Seite sieht es nicht viel besser aus: Zu groß scheint der verbundene Aufwand für Implementierung und Verwaltung.

Folglich wird auf eine Verschlüsselung schlicht verzichtet und die Korrespondenz bleibt ohne großen Aufwand einsehbar. Das kann für Unternehmen kein akzeptabler Zustand sein. Nur eine gut gemachte E-Mail-Verschlüsselung schützt personenbezogene Daten ebenso wie wertvolles Firmen-Know-how und wahrt die Vertraulichkeit der Geschäftskommunikation.

Mit einer geeigneten Lösung müssen Nutzer und Administratoren dabei keinen hohen Aufwand befürchten.

Unkomplizierte E-Mail-Encryption

Empfehlenswert ist eine Gateway-basierte Verschlüsselungslösung, die vollautomatisch im Hintergrund läuft. Damit verschlüsseln die Mitarbeiter ausgehende E-Mails beispielweise mit nur einem Klick auf ein Schloss-Symbol direkt in ihrem E-Mail-Client. Die Lösung übernimmt den Rest. Selbst wenn der Empfänger keine eigene Verschlüsselungslösung nutzt, stellt eine gute Encryption-Lösung die E-Mail über ein sicheres Webmail-Postfach zur Abholung bereit.

Darüber hinaus sollten Verschlüsselungslösungen es dem Kunden ermöglichen, über spezifische Regelwerke festzulegen, dass E-Mails an einen bestimmten Kommunikationspartner oder eine bestimmte Domäne grundsätzlich verschlüsselt versendet werden sollen – auch wenn der Mitarbeiter das Schloss-Symbol einmal nicht aktiviert hat.

Hoher Administrationsaufwand schreckt ab

Die Verschlüsselung von E-Mails schreckt aufgrund der hohen Anforderungen häufig auch die IT-Abteilung ab: So müssen unter anderem die Zertifikate stets auf dem aktuellen Stand gehalten oder zugewiesen werden, zum Beispiel wenn Mitarbeiter neu eingestellt werden oder aus dem Unternehmen ausscheiden. Gleichzeitig müssen aktuelle Richtlinien von Kommunikationspartnern sowie eigene Compliance-Anforderungen bei der Aktivierung neuer Regelwerke oder der Zertifikat-Bestellung berücksichtigt werden.

Um den manuellen Aufwand zu reduzieren, benötigen Unternehmen eine Lösung, mit der sich die Verwaltung spezifischer Verschlüsselungsrichtlinien sowie der Import von Benutzern und deren Zuordnung zu Gruppen deutlich vereinfachen lässt. Mit einer Funktion zur Synchronisation mit dem Verzeichnisdienst des Unternehmens können zum Beispiel einzelne Nutzer, Gruppen, Schlüssel beziehungsweise Zertifikate sowie Richtlinien eigenständig vom Admin verwaltet werden, ohne dass ein zusätzlicher Support nötig ist. Anhand dieser kundenspezifischen Regeln werden vertrauliche Nachrichten inklusive aller Dateianhänge automatisch verschlüsselt. Auch S/MIME- und PGP-Schlüssel lassen sich darüber synchronisieren.

Dabei werden Administratoren über den Status der Synchronisation und die erstellten Schlüssel umgehend per E-Mail benachrichtigt. Dadurch behalten IT-Verantwortliche die Kontrolle über die verwendeten Schlüssel.

Insbesondere große Unternehmen mit vielen Nutzern, IT-Systemhäuser und Distributoren senken so ihren manuellen Aufwand sowie ihre Fehlerquote erheblich. Denn je einfacher sie zu handhaben ist, desto eher wird Verschlüsselung auch in den IT-Abteilungen vorangetrieben.

Etablierte Standards und revisionssichere Archivierung

Unternehmen sollten zudem darauf achten, dass ihre Verschlüsselungslösung mit einer intelligenten Antivirenlösung kombinierbar ist, die ausgehende Nachrichten vor dem Verschlüsseln sowie eingehende Nachrichten nach dem Entschlüsseln zuverlässig auf Malware filtert. Ein Dienstleister sollte idealerweise alle etablierten Standards wie S/MIME, PGP und OpenPGP gleichermaßen bieten, um den Anteil verschlüsselter E-Mails weiter zu steigern.

Geschäftliche E-Mails müssen darüber hinaus auch revisions- und rechtssicher archiviert werden. Einige Verschlüsselungslösungen entschlüsseln dafür eingehende Nachrichten zentral über eine Cloud-Plattform, bevor sie mit einem zentralen Archivschlüssel verschlüsselt abgelegt werden. Im Gegensatz zu einer Entschlüsselung auf dem Client des Nutzers ist dadurch sichergestellt, dass die
Nachrichten auch dann lesbar sind, wenn die jeweiligen privaten Schlüssel zum Zeitpunkt des Zugriffs nicht mehr existieren.

Fazit

Insgesamt sind neben der Verschlüsselung selbstverständlich auch Virenscanner, Spamschutz sowie Advanced Threat Protection inklusive Sandbox essenzielle Faktoren, um vertrauliche Daten vor unbefugtem Zugriff zu schützen und die Geschäftskommunikation bestmöglich abzusichern. Anhand umfassender Sicherheitsmechanismen sollten eingehende und immer auch ausgehende E-Mails auf Malware, Spam und Phishing überprüft werden. Durch künstliche Intelligenz und Sandboxing lassen sich mittlerweile auch zunächst unbekannte Angriffsmuster zuverlässig erkennen.

Unternehmen sollten zudem idealerweise auf einen europäischen IT-Dienstleister setzen, der nicht dem US Cloud Act unterliegt, internationale Datenschutzrichtlinien wie die Datenschutzgrundverordnung (DSGVO), individuelle Branchenstandards sowie Compliance-Richtlinien erfüllt und die Daten in europäischen, redundanten Rechenzentren verarbeitet.

Weitere Artikel zum Thema: 

So gelingt Unternehmen die Workflow-Automatisierung des E-Mail-Verkehrs

Archivierung und Verschlüsselung von Business-E-Mails für Unternehmen

„Die Identität einer Papierunterschrift ist technisch nicht prüfbar“