Sichere und rechtskonforme Business-Mails

Aus dem geschäftlichen Umfeld ist die E-Mail längst nicht mehr wegzudenken. Die Anwender messen den elektronischen Nachrichten so viel Bedeutung bei, dass ein Ausfall des Mailservers als noch störender empfunden wird, als beispielsweise der einer Datenbank oder einer Geschäftsanwendung. Die Absicherung des E-Mail-Verkehrs und der Mailsysteme erweist sich allerdings als eine ständige Herausforderung, bei der ganz andere Konzepte zum Tragen kommen, als bei herkömmlichen Applikationen. E-Mail-Systeme passen nicht ins gewohnte Schema herkömmlicher Anwendungen oder Datenbanken und verlangen deshalb auch gesonderte Maßnahmen. Zu den spezifischen Eigenheiten, die die E-Mail von anderen Informationen unterscheiden, gesellen sich noch gesetzliche Regelungen und betriebliche Vorgaben, die eingehalten und eventuell kurzfristig angepasst werden müssen.

Ein Beispiel: Wer eine Geschäftsanwendung mit den Daten einer Bestellung füttert, unterliegt klaren Vorgaben, die durch die Software gesetzt werden. Eingabefelder für Datenerfassung, Prozesse, Vorschriften und Techniken für Backups und Archivierung geben den Rahmen vor. Bei der Bearbeitung bewegt sich der Anwender in einem vorher festgelegten Umfeld aus Masken und Funktionen. Ein Programmierer hat festgelegt, welche Informationen wo einzugeben sind und in welchem Format die Bestellung gespeichert, gedruckt und weitergeleitet wird oder wie sie gelöscht werden kann. Die verfügbaren Optionen sind in Stein gemeißelt und im Code hinterlegt. Der im System angemeldete Anwender kann den Ablauf nicht verändern.

Bei E-Mails stellt sich die Ausgangssituation völlig anders dar. Die Nachrichten werden frei im Textfeld heruntergeschrieben und haben einen beliebigen Aufbau, den der Anwender jedesmal neu wählt. Lediglich die Adress- und Betreff-Felder geben ein wenig Struktur vor. Dieses Freistil-Format erschwert eine automatisierte Bearbeitung und damit letztlich auch die Kontrolle. Im Gegensatz zu anderen Geschäftsanwendungen gibt es meist keine Vorgaben, wer welche Inhalte sehen oder weiterleiten darf und wer befugt ist, die Nachricht zu löschen. Ebenso ist unklar, wo eine Mail gespeichert wird und für wie lange. Oder was eine geschäftliche E-Mail ausmacht, damit sie archivierungspflichtig wird oder welche Information sie für eine unternehmerische Entscheidung relevant macht. Diese Fragen bleiben bei der E-Mail-Nutzung im Unternehmen offen.

E-Mails sind heute eine grundlegende IT-Anwendung, die viele andere Geschäftsprozesse unterstützen. Weil E-Mails so unverzichtbar und gleichzeitig so schwer in ein Korsett zu pressen sind, kommt es unweigerlich zu Konflikten. Um die Compliance durchzusetzen, müssen Unternehmen auch ihre geschäftlichen E-Mails regelkonform, also compliant, machen. Das schließt den gesamten Ablauf von der Erstellung der Nachricht über den Transport bis zur Auslieferung beim Empfänger und der anschließenden Archivierung ein.

Die dreiteilige Artikelreihe des TecChannels rund um das Thema E-Mail-Sicherheit und Compliance orientiert sich an dieser zeitlichen Abfolge. Der erste Beitrag widmet sich der sicheren E-Mail-Erzeugung und geht im zweiten Teil auf die Prozesse beim E-Mail-Empfang ein. Teil 3 erläutert, wie das E-Mail-System selbst geschützt werden kann.