Eine Mandantin schickt ihre Lohnunterlagen als 40-MB-Anhang, ein Patient möchte Befunde von der Vorpraxis weiterleiten, ein Kunde braucht Konstruktionszeichnungen für ein Angebot. Ein sicherer Datenaustausch sieht anders aus: Im Alltag landen solche Dateien oft dort, wo es gerade am schnellsten geht, im E-Mail-Anhang oder bei einem kostenlosen Versanddienst. Dieser Beitrag richtet sich an Geschäftsführer, Kanzlei- und Praxisleitungen und zeigt, welche Wege für den Dateiaustausch mit externen Partnern sinnvoll sind und welche Regeln Sie festlegen sollten.
Warum der E-Mail-Anhang problematisch ist
E-Mail ist für den schnellen Austausch gebaut, nicht für vertrauliche Dokumente. Drei Punkte sind in der Praxis entscheidend:
Die Transportverschlüsselung schützt nur den Weg zwischen Servern. Die meisten E-Mail-Server verschlüsseln die Übertragung untereinander mit TLS (Transport Layer Security). Auf den Servern selbst, in Postfächern und in Sicherungen liegt der Anhang aber im Klartext. Eine Ende-zu-Ende-Verschlüsselung mit S/MIME oder PGP ist im Austausch mit Privatpersonen selten eingerichtet.
Der Anhang vervielfältigt sich. Jede Weiterleitung, jede Antwort mit Originalanhang und jede Postfachsicherung erzeugt eine weitere Kopie. Wer später löschen will, findet nie alle.
Ein Tippfehler reicht. Die automatische Vervollständigung im Adressfeld schlägt den falschen „Herrn Müller“ vor, und die Steuererklärung geht an einen Fremden. Ein solcher Fehlversand kann ein meldepflichtiger Datenschutzvorfall sein.
Hinzu kommt die Größe: Viele Mailserver begrenzen Anhänge, und wer große Dateien sicher versenden will, scheitert per E-Mail oft schon daran, dass sie beim Empfänger gar nicht erst ankommen.
WeTransfer und DSGVO: Warum kostenlose Versanddienste keine Lösung sind
Dienste wie WeTransfer und vergleichbare Angebote lösen das Größenproblem, schaffen aber neue Fragen. Für die kostenlose Nutzung gibt es in der Regel keinen Vertrag zur Auftragsverarbeitung, den Sie als Unternehmen nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten durch Dienstleister benötigen. Sie wissen oft nicht verlässlich, wo die Daten gespeichert werden, wer Zugriff hat und wann sie tatsächlich gelöscht sind. Der Download-Link selbst geht meist per E-Mail raus und ist damit so sicher wie die E-Mail.
Für Werbematerial oder öffentliche Unterlagen spricht wenig dagegen. Für Gehaltsabrechnungen, Gesundheitsdaten, Verträge oder Konstruktionsdaten sollten Sie einen Weg wählen, den Sie selbst kontrollieren.
Sicherer Datenaustausch: die sinnvollen Optionen im Überblick
SharePoint und OneDrive: externe Freigabe richtig einstellen
Wenn Sie Microsoft 365 nutzen, haben Sie die Werkzeuge bereits. In SharePoint und OneDrive lassen sich Dateien und Ordner gezielt mit externen Personen teilen. Für die Sicherheit kommt es auf die Einstellungen an, die Ihre IT im SharePoint Admin Center vorgibt:
- „Bestimmte Personen“ statt „Jeder mit dem Link“: Bei Freigaben an bestimmte Personen muss sich der Empfänger mit seinem Microsoft-Konto anmelden oder einen Bestätigungscode eingeben, der an seine E-Mail-Adresse geht. Ein weitergeleiteter Link nützt einem Dritten dann nichts.
- Ablaufdatum: Für „Jeder“-Links kann die IT eine maximale Gültigkeit in Tagen erzwingen. Zusätzlich lässt sich festlegen, nach wie vielen Tagen der Gastzugriff automatisch endet.
- Kennwort: Für „Jeder“-Links können Benutzer zusätzlich ein Kennwort setzen. Das Kennwort sollte dann über einen anderen Kanal mitgeteilt werden, etwa telefonisch oder per SMS.
- Nur Anzeige: „Jeder“-Links lassen sich auf Leserechte beschränken.
- Domänen einschränken: Externe Freigaben können auf bestimmte Domänen begrenzt oder für bestimmte Domänen gesperrt werden.
Für den Upload durch Kunden eignet sich die Funktion „Dateien anfordern“: Der Kunde lädt in einen Ordner hoch, sieht aber nicht, was andere dort abgelegt haben. Wie Sie Ablagestrukturen intern und mit Partnern sinnvoll organisieren, beschreibt unser Beitrag zu Zusammenarbeit und Dateiablage; den Umgang mit dauerhaften Gastkonten erklärt der Beitrag zu Gastzugängen in Teams und SharePoint.
Eigene Datenaustauschplattform, etwa Nextcloud
Eine selbst betriebene Plattform wie Nextcloud bietet ähnliche Funktionen: Freigabelinks mit Kennwort und Ablaufdatum, Upload-Ordner, Protokollierung von Zugriffen. Der Vorteil ist die volle Kontrolle über Speicherort und Konfiguration, etwa auf einem Server im eigenen Rechenzentrum oder bei einem deutschen Dienstleister. Der Nachteil: Jemand muss die Plattform aktuell halten, sichern und überwachen. Eine Austauschplattform, die direkt aus dem Internet erreichbar ist und nicht zeitnah aktualisiert wird, ist ein naheliegendes Angriffsziel.
Mandanten- und Patientenportale
Viele Branchenlösungen bringen eigene Portale mit, etwa Kanzleisoftware mit Mandantenportal oder Praxissoftware mit Patientenzugang. Hier sind Identitäten fest hinterlegt, und Dokumente landen direkt im richtigen Vorgang. Für wiederkehrenden Austausch mit denselben Personen ist das meist die beste Lösung. Was wir in Steuerkanzleien typischerweise einrichten, zeigt unsere Referenz IT für Steuerkanzleien.
Verschlüsseltes ZIP nur als Notlösung
Ein mit Kennwort verschlüsseltes ZIP-Archiv ist besser als ein offener Anhang, hat aber Schwächen. Ältere ZIP-Verschlüsselungsverfahren gelten als unsicher; nur AES-Verschlüsselung (zum Beispiel AES-256 in 7-Zip) ist vertretbar. Häufig wird das Kennwort in derselben E-Mail oder direkt in der nächsten mitgeschickt, was den Schutz aufhebt. Und viele Virenscanner und Mailfilter blockieren verschlüsselte Archive, weil sie den Inhalt nicht prüfen können. Nutzen Sie ZIP-Dateien daher nur, wenn keine andere Option zur Verfügung steht.
Dateien sicher versenden: Regeln, die unabhängig vom Werkzeug gelten
Das beste System nützt wenig, wenn jede Mitarbeiterin anders damit umgeht. Halten Sie in einer kurzen Arbeitsanweisung fest:
- Ablaufdatum immer setzen. Freigaben ohne Ende bleiben jahrelang aktiv. Für einmalige Übermittlungen reichen meist 7 bis 14 Tage.
- Empfänger prüfen. Vor dem Versand die E-Mail-Adresse kontrollieren, nicht nur den angezeigten Namen. Bei neuen Kontakten die Adresse telefonisch bestätigen lassen.
- Kennwort über einen zweiten Kanal. Nie im selben Kanal wie den Link verschicken.
- Nur das Nötige teilen. Einzelne Dateien statt ganzer Ordner, Leserechte statt Bearbeitungsrechte.
- Protokoll führen. Bei sensiblen Unterlagen festhalten, wer wann was an wen übermittelt hat. SharePoint und Nextcloud protokollieren Zugriffe, wenn das eingeschaltet ist.
- Regelmäßig aufräumen. Einmal im Quartal Freigaben prüfen und alte Links entfernen.
Was die DSGVO verlangt
Die DSGVO schreibt kein bestimmtes Werkzeug vor. Sie verlangt nach Art. 32 geeignete technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Für Gesundheitsdaten, Sozialdaten oder Daten, die einem Berufsgeheimnis unterliegen, ist das Risiko hoch und damit auch der Maßstab. Wichtige Punkte sind:
- Ein Vertrag zur Auftragsverarbeitung mit jedem Anbieter, über den Daten laufen
- Verschlüsselung bei Übertragung und, wo möglich, bei Speicherung
- Zugriffsbeschränkung auf berechtigte Empfänger
- Dokumentation der Verfahren im Verzeichnis der Verarbeitungstätigkeiten
Für Berufsgeheimnisträger wie Ärzte, Steuerberater und Rechtsanwälte kommen berufsrechtliche Pflichten hinzu. Welche Anforderungen in Ihrem Fall konkret gelten, klären Sie am besten mit Ihrem Datenschutzbeauftragten. Einen Überblick über die technische Seite gibt unser Beitrag zu technischen Maßnahmen nach DSGVO.
Checkliste: Dateiaustausch neu aufstellen
- Erfassen, welche Daten mit wem regelmäßig ausgetauscht werden und wie bisher.
- Für jeden Anwendungsfall einen Standardweg festlegen (Portal, Freigabe, Plattform).
- Freigabeeinstellungen in Microsoft 365 prüfen: „Jeder“-Links einschränken oder abschalten, Ablaufdatum erzwingen.
- Verträge zur Auftragsverarbeitung für alle eingesetzten Dienste prüfen.
- Arbeitsanweisung mit den Regeln für Ablaufdatum, Empfängerprüfung und Kennwort erstellen.
- Mitarbeiter kurz schulen und typische Fehler zeigen.
- Quartalsweise Freigaben prüfen und aufräumen.
Wie DAVINCI unterstützt
DAVINCI prüft mit Ihnen, welche Daten Sie mit wem austauschen, und richtet passende Freigabeeinstellungen in Microsoft 365 ein oder stellt eine Austauschplattform auf unseren Servern bereit. Dabei dokumentieren wir die Konfiguration so, dass sie für Datenschutzbeauftragte nachvollziehbar ist. Sprechen Sie uns gern über unser Kontaktformular an.
Häufige Fragen
Was bedeutet sicherer Datenaustausch konkret?
Gemeint ist ein Weg, auf dem Dateien verschlüsselt übertragen werden, nur der vorgesehene Empfänger Zugriff erhält und Sie nachvollziehen können, wer wann was abgerufen hat. Dazu gehört auch, dass Freigaben wieder enden und Sie wissen, wo die Daten liegen. Ein offener E-Mail-Anhang erfüllt keine dieser Bedingungen.
Darf ich Kunden bitten, Unterlagen per E-Mail zu schicken?
Sie können niemanden daran hindern, Ihnen eine E-Mail zu senden. Sinnvoll ist aber, aktiv einen sicheren Weg anzubieten, etwa einen Upload-Link oder ein Portal, und darauf in Formularen und Signaturen hinzuweisen. So entsteht gar nicht erst die Gewohnheit, sensible Dokumente als Anhang zu schicken.
Wie versende ich große Dateien DSGVO-konform?
Nicht per Anhang und nicht über einen kostenlosen Versanddienst ohne Vertrag zur Auftragsverarbeitung. Nutzen Sie eine Freigabe aus Microsoft 365, Ihre eigene Austauschplattform oder ein Branchenportal, jeweils mit Ablaufdatum und auf den Empfänger beschränkt. Für den Weg zu Ihnen eignet sich ein Upload-Ordner, in den Kunden große Dateien direkt ablegen.
Ist ein SharePoint-Link mit Kennwort so sicher wie eine Freigabe an bestimmte Personen?
Nicht ganz. Ein „Jeder“-Link mit Kennwort funktioniert für jeden, der Link und Kennwort kennt. Bei Freigaben an bestimmte Personen wird zusätzlich die E-Mail-Adresse des Empfängers geprüft. Für sensible Daten ist die personenbezogene Freigabe daher vorzuziehen.
Brauchen wir einen virtuellen Datenraum?
Für den laufenden Austausch mit Kunden und Mandanten in der Regel nicht. Ein virtueller Datenraum ist ein besonders abgeschirmter Bereich mit feinen Berechtigungen, lückenloser Protokollierung und oft Schutz vor Download oder Druck. Er lohnt sich für zeitlich begrenzte Projekte mit vielen externen Beteiligten, etwa bei Unternehmensverkäufen oder Prüfungen.
Lohnt sich eine eigene Nextcloud für kleine Unternehmen?
Das hängt weniger von der Größe ab als davon, ob Sie den Betrieb sicherstellen können. Wenn Updates, Sicherungen und Überwachung zuverlässig laufen, ist eine eigene Plattform eine gute Wahl. Wenn nicht, ist eine gut konfigurierte Microsoft-365-Umgebung oder ein Branchenportal meist sicherer.
Verwandte Themen: Wer hier weiterdenkt, liest bei Teams-Gastzugriff, Auftragsverarbeitung und Digital Omnibus weiter.
