Risiko Mensch Warum E-Mails die Compliance gefährden

Nach wie vor zählen E-Mails zu den wichtigsten Business-Kommuni­kations­kanälen. Da sie Kunden-, Vertrags- und Rechnungs­daten enthalten, bergen die unver­schlüsselte Weiter­leitung, persönliche Ordner oder nicht überwachte Geräte Compliance-Risiken. Legt eine E-Mail persönliche Daten offen, drohen DSGVO-Bußgelder. Im schlimmsten Fall können durch eine Phishing-E-Mail vertrauliche Informa­tionen in falsche Hände geraten.

Für Unternehmen wird es immer wichtiger, mögliche Risiken zu bedenken und zu minimieren. Für IT- und Compliance-Verantwortliche besteht die Herausforderung daher längst nicht mehr nur darin, Phishing oder Malware zu verhindern, sondern darüber hinaus auch sicher­zustellen, dass die tägliche Kommunikation mit den strengen Governance-Anforderungen über­einstimmt. Denn ein Nicht­einhalten dieser Vorschriften wie beispiels­weise der DSGVO kann gravierende Folgen für ein Unternehmen haben: vom Verlust des Kunden­vertrauens bis hin zu hohen Strafen.

Beispiele für Risiken durch E-Mails gibt es viele. So kann zum Beispiel jemand, der einen Vertrag unverschlüsselt versendet, damit gegen Branchen­vorschriften verstoßen – was fatale Folgen im Rechts­wesen oder Finanz­sektor haben kann. Generell ist das Risiko Mensch hoch: Schließlich nutzen Mitarbeitende ihre E-Mails täglich, und schon ein unbedachter Klick oder eine vergessene Einstellung können zu Sicherheits­lücken führen, die von Aufsichts­behörden nicht übersehen werden.

Für Unternehmen, die bereits Microsoft 365 nutzen, gibt es integrierte Sicherheits­vorkehrungen wie Verschlüsselung, Aufbewahrungs­richtlinien und Archivierung. Diese sind zwar hilfreich, aber nicht perfekt. Daten­verlust­prävention (DLP), Informations­rechte­verwaltung (IRM), Nachrichten­verschlüsselung und Protokollierung sind einige der Sicherheits­funktionen, die Microsoft bietet. Sie helfen dabei, den Zugriff einzuschränken, die Nutzung zu überwachen und Regeln in Microsoft 365 durchzusetzen.

Doch diese Mechanismen reichen nicht aus. Zwar sind DLP-Richtlinien wirksam, aber auch schwierig einzurichten und, wenn sie nicht durchgesetzt werden, leicht zu umgehen. Ein weiteres Handicap ist die Verschlüsselung. Damit diese wirksam ist, müssen sich die Mitarbeitenden auch bewusst dafür entscheiden. Zudem entstehen Blindstellen, die von den nativen Funktionen nicht abgedeckt werden, häufig auch durch externe Empfänger, Auftrag­nehmer oder grenz­überschreitende Arbeitsabläufe.

Zugleich gilt es bei den Sicherheits­maßnahmen darauf zu achten, dass Mitarbeitende ihrer Arbeit weiterhin uneingeschränkt nachgehen können – ohne dass sie durch Regularien gebremst werden.

Hier setzen Organisationen mit Systemen zur Verwaltung der Dokumente an, um Abwehr­maßnahmen zu verstärken. Indem sie die Einhaltung von Vorschriften direkt im Posteingang ermöglichen, schließen diese Tools die Lücke zwischen menschlichem Verhalten und der Durchsetzung von Richtlinien.

Outlook-Add-ins können die Sicherheit optimieren

Ein sicheres E-Mail-Add-in für Microsoft 365 geht über die Standard­funktionen von Microsoft hinaus, indem es die Einhaltung von Sicherheits­richtlinien in den Arbeitsablauf der Nutzer integriert – ohne dass die Mitarbeitenden hier selbst aktiv werden müssen. Anstatt zu erwarten, dass sich die User Verschlüsselungsschritte oder Richt­linien­regeln merken, werden diese automatisch durchgesetzt. Durch die Erfassung von Metadaten und die Zentralisierung von Datensätzen lässt sich das Risiko vermindern, dass sensible Daten in nicht verwalteten Post­eingängen landen. Revisions­sichere E-Mail- und Dokumenten­protokolle werden erstellt, indem E-Mails mit Metadaten automatisch in SharePoint gespeichert werden. Das sorgt für eine reibungslose Nutzer­akzeptanz. Es sind keine zusätzlichen Schulungen erforderlich, denn die Richtlinien werden im Hintergrund angewendet.

Aus der Praxis – wie sich E-Mail-Richtlinien in unterschiedlichen Branchen einhalten lassen

In sensiblen Bereichen wie Anwalts­kanzleien muss eine sichere Kommunikation gewährleistet sein, zum Beispiel durch Prüf­protokolle, die den Vorschriften entsprechen und dabei Finanz­daten und vertrauliche Informationen verschlüsseln.

Ein sicheres Softwaretool oder -Add-on kann zudem dazu beitragen, Datenschutz- und Compliance-Risiken in regulierten Branchen zu reduzieren, indem es die ordnungsgemäße Identifizierung, den Schutz und die Überwachung sensibler Informationen gewährleistet. Im Finanz­wesen hilft es, Insiderrisiken zu minimieren, indem es Berichte zentralisiert und den Zugriff auf autorisierte Empfänger beschränkt.

Auch internationale Unternehmen benötigen spezielle Tools. Denn hier versenden Mit­arbeitende E-Mails über Länder­grenzen hinweg, in denen unter Umständen unterschiedliche Daten­schutz­bestimmungen gelten, die natürlich ent­sprechend ein­gehalten werden müssen. Bei der Auswahl der richtigen Tools ist daher darauf zu achten, dass die Kommunikation geschützt ist, auch wenn externe Partner oder Aufsichts­behörden beteiligt sind.

Auch die Einführung von Produkten in multinationalen Konzernen erfordert eine einheitliche E-Mail-Governance über alle Abteilungen hinweg. Jedes Teammitglied, ob im Vertrieb, im Compliance-Bereich oder im Personal­wesen, kann sich so automatisch an dasselbe sichere Verfahren halten, ohne dass Regeln manuell angewendet werden müssen.

Was bei der Installation entsprechender Tools zu beachten ist

Die Einführung von entsprechenden Add-ins ist nicht so einfach wie das Umlegen eines Schalters. Hier sind einige Tipps:

• Leichte Integration: Das Add-in sollte sich in Microsoft 365 nahtlos integrieren und von einem zertifizierten Hersteller sein, der seine Produkte über den Microsoft App Store oder Azure anbietet.

• Test im Kleinen: Immer empfehlenswert sind Pilot­projekte in einzelnen Teams, bevor das Projekt auf das komplette Unternehmen ausgeweitet wird.

• Die Vorteile kommunizieren: Das Tool soll das Unternehmen und seinen Ruf schützen, ohne die Mitarbeitenden durch komplizierte Vorschriften zu belasten.

• Leichtes Training ist der Schlüssel: Einfache Erinnerungen wie „Erst denken, dann klicken“ genügen oft, wenn Richtlinien im Hinter­grund laufen.

• Überwachen und optimieren: Durch die Nutzung von Compliance-Dashboards lassen sich Probleme erkennen und Richtlinien im Laufe der Zeit verfeinern.

Nach wie vor ist der Mensch das größte Sicherheits­risiko in der IT. Das gilt grade auch für E-Mails. Doch die Compliance lässt sich verbessern, ohne Mitarbeitende zusätzlich regulatorisch zu belasten. Mit einem sicheren Outlook- oder Microsoft-365-Add-in lassen sich Sicherheits­lücken schließen, Mails und Metadaten Compliance-konform speichern, so dass sich Datensätze eindeutig identifizieren, archivieren und schnell wiederfinden lassen.

* Der Autor: Gaurav Tiwari, Product Director bei Konnect eMail. Konnect eMail stellt Unternehmen eine leistungs­starke Plattform beziehungsweise ein plattform­übergreifendes Outlook-Add-in zur Verfügung. Die Produkte von Konnect eMail integrieren sich nahtlos in Microsoft 365 und ermöglichen Unternehmen E-Mails und Anhänge direkt aus Outlook in SharePoint, Microsoft Teams oder OneDrive zu speichern – mit automatischer Metadaten-Kennzeichnung für eine vollständige Klassifizierung und Compliance.

Sicherheit für Unternehmensdaten, Teil 1

Storage-Security: Replikation und Verschlüsselung

(ID:51006307)