DSGVO: Warum TLS oder S/MIME nicht funktionieren können

Wir haben von einem unserer Kunden heute ein Schreiben von einer sehr großen Österreichischen Versicherung mit folgendem Inhalt erhalten:

Sehr geehrte Geschäftspartner,

mit 25. Mai 2018 ist die Datenschutz Grundverordnung (DSGVO) in Kraft getreten. Wir bieten all unseren Geschäftspartnern die Möglichkeit der TLS Verschlüsselung für EMails. Wenn Sie diese auch bei Ihnen aktiviert haben, können wir auch Informationen mit besonderen Kategorien von Daten (z.B. Gesundheitsdaten) per EMailaustauschen. Ebenso sind alle EMails die Sie von uns erhalten TLS verschlüsselt.

Diese Nachricht ist leider nicht nur technisch, sondern auch rechtlich falsch.

Aufgrund dessen möchten wir hier nochmals die Unterschiede und Probleme mit der Nutzung von TLS oder S/MIME aufzeigen:

TLS

Technisch unterscheidet man bei der E‑Mail-Verschlüsselung die sogenannte Transportverschlüsselung und die Inhaltsverschlüsselung. Bei der Transportverschlüsselung werden Nachrichten durch einen verschlüsselten Tunnel geschickt. Beim Absender und Empfänger, und gegebenenfalls auch auf den dazwischenliegenden Knoten, liegen sie jedoch im Klartext vor und können mitgelesen werden.

TLS ist ein nicht zwingendes Protokoll. Es ist etwas was zwischen Servern vereinbart wird. Kann es der jeweilige Server, dann wird es verwendet. Kann er es nicht, wird das Mail eben herkömmlich verschickt. TLS bietet auf alle Fälle nicht die von der DSGVO geforderte End-End Verschlüsselung und folglich ist diese Art der e‑Mail kommunikation als Data breach zu betrachten und somit meldepflichtig.

Fazit: TLS ist vollkommen ungeeignet um e‑Mails sicher zu versenden. Es funktioniert schlicht und einfach nicht.

S/MIME

Anders verhält es sich bei S/MIME.
Hier werden nun in großem Stil von Unternehen Zertifikate gekauft. In der Praxis bedeutet dies, dass faktisch jedes Postfach ein eigenes Zertifikat instaliert bekommen muss. Und das jedes Jahr, da diese Zertifikate nach einem Jahr erneuert werden müssen.
Auch die Kommunikationspartner müssen bevor man Kommuniziert dieses Zertifikat installieren.
Die Folge ist ein unmanagebarer Zertifikatedschungel, der dann noch vom IT Verantwortlichen gemanagt werden muss.

Nach Erneuerung des Zertifikats, also nach einem Jahr wird die Situation noch schwieriger, da ohne das alte Zertifikat alle alten E‑Mails nicht mehr lesbar sind. Eine e‑Mail Archivierung ist somit fast unmöglich oder nur wenn dann auch das Zertifikat archiviert wird. Und dies darf nun wieder nich gemeinsam geschehen, da man ja bekanntlich nicht Schlüssel und Tresor nebeneinanderstellen sollte…

Interessant wird die Angelegenheit, wenn ein Mitarbeiter oder auch Kunde / Partner, welcher dieses Zertifikat installiert hat ein Endgerät verliert oder es gestohlen wird. Das wäre dann der Super-Gau für das betreffende e‑Mail Postfach, da es wiederum einen Data Breach gäbe.

Fazit: Der Einsatz von Zertifikaten kann eine DSGVO konformität herstellen, ist aber extrem schwer zu managen und deshalb nur bedingt zu empfehlen. Unternehmen mit mehr als 30 Postfächern sollten generell die Finger davon lassen, da sich das benötigte Zertifikatemanagement dann nicht mehr lohnt.

Die momentan konfortabelste Art und Weise, Daten sicher zu übertragen ist über einen File Sharing Provider oder ein File Sharing Tool wie CloudFiles.
Bei solchen Diensten wird eine sichere Verbindung (SHA-256) zum Datencenter des Providers aufgebaut. Das Datencenter ist wiederum entsprechend laut DSGVO abgesichert. Beide Seiten, Unternehmen und Kunde/Lieferant sind zum Datencenter zu abgesichert. Es ist folglich End-End verschlüsselt.

Dies ist aktuell die einzige Möglichkeit Daten komfortabel, sicher und vor allem DSGVO konform zu übertragen.

Rufen Sie uns an! Wir wissen was zu tun ist.