Eine Personalabteilung schickt einen Arbeitsvertrag per Mail, eine Praxis einen Befund, eine Kanzlei die Jahresabschlussunterlagen. Alle drei verlassen sich auf die E-Mail-Verschlüsselung, weil das Schloss im Mailprogramm erscheint oder der Anbieter sie verspricht. Oft stimmt das nur für einen Teil des Weges. Dieser Beitrag ordnet die gängigen Verfahren ein und hilft Geschäftsführern und IT-Verantwortlichen zu entscheiden, was für welchen Zweck reicht.
Arten der E-Mail-Verschlüsselung: Transport und Inhalt
Transportverschlüsselung (TLS) schützt die Verbindung zwischen zwei Mailservern oder zwischen Ihrem Rechner und dem Server. Wer die Leitung abhört, sieht nur Datensalat. Auf den Servern selbst liegt die Mail aber im Klartext: beim eigenen Anbieter, beim Anbieter des Empfängers und auf jedem Zwischenhalt. TLS ist heute Standard zwischen den großen Anbietern, aber nicht in jedem Fall erzwungen. Kann ein Gegenüber kein TLS, stellen viele Server die Mail trotzdem unverschlüsselt zu.
Inhaltsverschlüsselung schützt die Nachricht selbst. Nur wer den passenden Schlüssel oder die Berechtigung hat, kann sie öffnen, egal auf welchem Server sie gerade liegt. Hierzu zählen S/MIME, PGP, Microsoft Purview Message Encryption und Portal-Lösungen. Schützen S/MIME oder PGP die Mail vom Absender bis zum Empfänger ohne Zwischenstation, spricht man von Ende-zu-Ende-Verschlüsselung.
Für den Alltag heißt das: TLS ist die Grundlage, die immer stehen sollte. Für Gesundheitsdaten, Personalakten, Mandantenunterlagen oder Geschäftsgeheimnisse reicht sie allein oft nicht aus. Ob eine Inhaltsverschlüsselung im Einzelfall rechtlich geboten ist, klären Sie bitte mit Ihrem Datenschutzbeauftragten.
TLS zuerst richtig machen
Bevor Sie über Zertifikate nachdenken, lohnt ein Blick auf die eigene Grundkonfiguration. Für Partner, mit denen Sie regelmäßig sensible Daten austauschen, können Sie in Exchange Online oder auf einem Mail-Gateway eine Verbindung einrichten, die TLS erzwingt. Kommt keine verschlüsselte Verbindung zustande, wird die Mail nicht zugestellt statt im Klartext verschickt. Wie Sie Ihre Mail-Infrastruktur insgesamt absichern, beschreiben wir auf der Seite zur E-Mail-Sicherheit.
S/MIME: Zertifikate für Personen und Postfächer
S/MIME arbeitet mit persönlichen Zertifikaten. Jeder Teilnehmer hat einen privaten Schlüssel, den nur er besitzt, und einen öffentlichen Schlüssel im Zertifikat, den er weitergibt. Wer Ihnen verschlüsselt schreiben will, braucht Ihr Zertifikat. Sie wiederum brauchen das Zertifikat des Empfängers. Zusätzlich können Sie Mails signieren: Der Empfänger sieht dann, dass die Nachricht wirklich von Ihnen stammt und unterwegs nicht verändert wurde.
S/MIME-Zertifikate stellen öffentliche Zertifizierungsstellen aus. Seit dem 1. September 2023 gelten dafür einheitliche Regeln des CA/Browser Forums, die unter anderem festlegen, wie eine Zertifizierungsstelle die Mailadresse und gegebenenfalls Organisation und Person prüft. Es gibt Zertifikate, die nur das Postfach bestätigen, und solche, die zusätzlich Firmenname oder Personenname enthalten.
Was in der Praxis Aufwand macht, ist die Verwaltung:
- Ausstellen und Verlängern: Zertifikate laufen ab. Ohne Übersicht fällt erst auf, dass eines abgelaufen ist, wenn eine Mail nicht signiert werden kann.
- Private Schlüssel sichern: Geht der Schlüssel verloren, etwa weil ein Laptop neu installiert wurde, lassen sich alte verschlüsselte Mails nicht mehr öffnen. Schlüssel gehören deshalb gesichert und dokumentiert.
- Mitarbeiter verlässt das Unternehmen: Das Unternehmen muss auf dessen verschlüsselte Mails weiter zugreifen können. Das gelingt nur, wenn die Schlüssel zentral verwaltet werden.
- Zertifikate der Partner: Sie müssen die öffentlichen Schlüssel Ihrer Kommunikationspartner einsammeln. Meist geschieht das, indem der Partner Ihnen einmal eine signierte Mail schickt.
Outlook unterstützt S/MIME seit Langem. Auch das neue Outlook für Windows kann S/MIME, und Microsoft hat 2026 die Möglichkeit nachgereicht, Empfängerzertifikate in den Kontakten zu speichern. Funktionen für freigegebene Postfächer und Stellvertreter sollten Sie vor der Einführung im eigenen Mandanten testen.
S/MIME passt gut, wenn Sie regelmäßig mit denselben Partnern kommunizieren, die ebenfalls S/MIME nutzen, zum Beispiel mit anderen Kanzleien, Banken oder Industriekunden.
Microsoft Purview Message Encryption
Microsoft Purview Message Encryption (früher Office 365 Message Encryption) verschlüsselt Mails aus Exchange Online, ohne dass der Empfänger ein Zertifikat braucht. Laut Microsoft ist die Funktion in Microsoft 365 Business Premium sowie in den E3- und E5-Plänen enthalten. Für Business Basic, Business Standard und die reinen Exchange-Pläne ist ein Zusatz (Azure Information Protection Plan 1) erforderlich.
Für den Empfänger gilt:
- Nutzt er selbst Microsoft 365, öffnet sich die Mail meist direkt in Outlook.
- Andere Empfänger erhalten eine Benachrichtigung mit Link zu einem Webportal. Dort melden sie sich mit einem passenden Konto an oder fordern einen Einmalcode per Mail an und lesen die Nachricht im Browser. Eine Software müssen sie nicht installieren.
Für den Absender ist die Verschlüsselung in Outlook einfach: im Menü „Verschlüsseln“ wählen, fertig. Zusätzlich lassen sich Regeln hinterlegen, die zum Beispiel alle Mails mit einem bestimmten Stichwort im Betreff oder mit erkannten Gesundheitsdaten automatisch verschlüsseln. Ein Punkt verdient Aufmerksamkeit: Die Einmalcode-Mails landen manchmal im Spam-Ordner des Empfängers. Sauber gepflegte SPF-, DKIM- und DMARC-Einträge helfen, und Ihre Empfänger sollten wissen, dass sie dort nachsehen müssen.
Portal- und Gateway-Lösungen
Mail-Gateways vor dem eigentlichen Mailserver können die Mail-Verschlüsselung zentral übernehmen. Sie verschlüsseln automatisch per S/MIME oder PGP, wenn für den Empfänger ein Schlüssel bekannt ist. Fehlt ein Schlüssel, weichen sie auf ein Portal oder auf ein passwortgeschütztes Dokument aus. Der Vorteil: Mitarbeiter müssen nichts entscheiden, die Regeln liegen an einer Stelle. Der Nachteil: Ein weiteres System muss betrieben, gepflegt und lizenziert werden. Für Unternehmen ohne Microsoft-365-Lizenz mit Verschlüsselung oder mit sehr vielen externen Partnern kann das die übersichtlichere Lösung sein.
PGP kurz eingeordnet
PGP (OpenPGP) funktioniert vom Prinzip her wie S/MIME, verzichtet aber auf zentrale Zertifizierungsstellen. Die Teilnehmer prüfen ihre Schlüssel gegenseitig. In der IT-Branche, bei Sicherheitsforschern und in manchen Behörden ist PGP verbreitet, im kaufmännischen Alltag des Mittelstands selten. Outlook unterstützt PGP nicht ohne Zusatzsoftware. Wenn ein Partner ausdrücklich PGP verlangt, ist ein Gateway meist bequemer als Einzelinstallationen.
Was passt wofür?
Kanzlei mit festen Mandanten und Partnerkanzleien: TLS als Pflicht, S/MIME für den Austausch mit Partnern, die es unterstützen, Purview oder Portal für Privatmandanten ohne Zertifikat. Signierte Mails helfen zusätzlich gegen gefälschte Absender.
Arztpraxis oder Pflegedienst: Patienten haben fast nie ein Zertifikat. Eine Lösung mit Webportal und Einmalcode ist hier realistisch. Für den Austausch mit Kliniken und Laboren gibt es im Gesundheitswesen eigene Dienste, die Sie gesondert prüfen sollten.
Personalabteilung: Bewerberinnen und Mitarbeiter erhalten Verträge und Lohnunterlagen am einfachsten über Purview oder ein Portal. Wichtig ist eine Regel, die greift, ohne dass jemand daran denken muss, etwa für alle Mails aus dem Personalpostfach an externe Adressen.
Industrie mit Großkunden: Viele Konzerne geben S/MIME oder erzwungenes TLS vertraglich vor. Klären Sie die Anforderungen vor dem ersten Datenaustausch.
Checkliste: Erste Schritte
- Feststellen, welche Mails im Unternehmen besonders schutzbedürftig sind und wer sie verschickt
- TLS-Konfiguration prüfen und für wichtige Partner erzwungenes TLS einrichten
- Lizenzlage klären: Ist Purview Message Encryption bereits enthalten?
- Automatische Verschlüsselungsregeln für Personal- oder Praxispostfächer definieren
- Bei S/MIME: Verantwortlichen benennen, Ablaufdaten erfassen, private Schlüssel zentral sichern
- SPF, DKIM und DMARC prüfen, etwa mit unserem SPF- und DMARC-Test, damit Benachrichtigungen beim Empfänger ankommen
- Mitarbeiter in einer kurzen Anleitung zeigen, wann und wie sie verschlüsseln
Wie DAVINCI unterstützt
Wir prüfen Ihre bestehende Mail-Konfiguration, richten Purview Message Encryption oder S/MIME im Rahmen unserer Microsoft-365-Betreuung ein und schulen Ihre Mitarbeiter in der Anwendung. Für die Absicherung gegen Phishing und gefälschte Absender verweisen wir auf unsere Leistungen zur IT-Sicherheit. Sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Ist E-Mail-Verschlüsselung Pflicht?
Eine allgemeine Pflicht, jede geschäftliche Mail zu verschlüsseln, gibt es nicht. Der Datenschutz verlangt aber Schutzmaßnahmen, die zum Risiko der übermittelten Daten passen. Bei Gesundheitsdaten, Personalunterlagen oder Mandantengeheimnissen wird deshalb in der Regel mehr als Transportverschlüsselung erwartet. Was in Ihrem Fall erforderlich ist, gehört in die Bewertung durch Ihren Datenschutzbeauftragten.
Welche E-Mail-Verschlüsselung ist am sichersten?
Den weitesten Schutz bieten Verfahren, bei denen nur Absender und Empfänger den Inhalt lesen können, also S/MIME und PGP mit sauber verwalteten Schlüsseln. In der Praxis ist das sicherste Verfahren aber das, das Ihre Mitarbeiter und Empfänger tatsächlich nutzen. Eine automatische Regel mit Purview oder Portal schützt mehr als ein Zertifikat, das niemand einsetzt.
Reicht es, ein PDF mit Passwort zu verschicken?
Ein passwortgeschütztes Dokument kann eine pragmatische Lösung sein, wenn das Passwort auf einem anderen Weg übermittelt wird, etwa telefonisch. Die Sicherheit hängt stark vom Passwort und vom Verfahren ab. Auf Dauer und bei vielen Empfängern ist eine geregelte Lösung übersichtlicher.
Wie öffnet ein Empfänger ohne Microsoft 365 eine verschlüsselte E-Mail?
Bei Purview Message Encryption braucht der Empfänger kein Microsoft 365: Er folgt dem Link in der Benachrichtigung, meldet sich mit einem passenden Konto an oder fordert einen Einmalcode an und liest die Nachricht im Browser, wo er auch antworten kann. Bei S/MIME geht es dagegen nicht ohne eigenes Zertifikat samt privatem Schlüssel im Mailprogramm. Findet ein Empfänger die Code-Mail nicht, lohnt ein Blick in den Spam-Ordner.
Können wir S/MIME und Purview parallel nutzen?
Ja, die Verfahren schließen sich nicht aus. Viele Unternehmen nutzen S/MIME für feste Partner mit Zertifikat und Purview für alle anderen. Wichtig ist eine klare Regel, wann welches Verfahren gilt, sonst entscheidet jeder Mitarbeiter anders.
Verwandte Themen: Wer hier weiterdenkt, liest bei SSL-Zertifikat-Laufzeit, Verdacht auf Rechnungsbetrug per E-Mail und Phishing und Ransomware weiter.
Im Text erwähnt
Quellen
- Message encryption FAQ · Microsoft Learn
- New S/MIME Baseline Requirements via CA/B Forum · GlobalSign
- S/MIME certificates in contacts in new Outlook · Microsoft 365 Message Center MC1302908
