Ein vertraulicher Vertragsentwurf, sensible Projektinformationen oder eine Nachricht an einen Geschäftspartner sollen nur die vorgesehenen Personen erreichen. Wenn Dein Unternehmen dafür E-Mail verwendet, braucht die Verschlüsselung einen alltagstauglichen betreuten Weg. Neben dem Versand zählen die Möglichkeiten des Empfängers, die verwendeten Geräte und der spätere Zugriff auf benötigte Nachrichten. Hier erfährst Du, wie Du diesen Auftrag abgrenzt und Angebote vergleichst. Dein Ziel ist eine passende vertrauliche Kommunikation, deren Voraussetzungen und Grenzen verständlich bleiben.
Den geschäftlichen Austausch konkret beschreiben
Beginne mit den Nachrichten, die tatsächlich geschützt werden sollen. Mit welchen externen Stellen arbeitet Dein Team zusammen und welche Informationen werden dabei übermittelt? Ein regelmäßiger Austausch mit einer festen Partnerorganisation kann anders geplant werden als gelegentliche Nachrichten an wechselnde Personen. Notiere die wichtigen Fälle und die zuständigen Fachbereiche. Für ein erstes Gespräch genügt eine allgemeine Beschreibung. Vertrauliche Originalnachrichten oder Anhänge musst Du dafür nicht ungeprüft an verschiedene angefragte Anbieter weitergeben.
Beschreibe auch den benötigten Rückweg. Soll die andere Person lediglich eine Nachricht lesen oder vertraulich darauf antworten können? Welche Geräte und Programme verwendet sie, soweit diese bekannt sind? Der Anbieter sollte den gesamten Austausch betrachten. Ein korrekt geschützter Versand allein ist für Dein Unternehmen wenig hilfreich, wenn der Empfänger den vorgesehenen Inhalt anschließend nicht öffnen kann oder für die Antwort auf einen ungeklärten Ersatzweg ausweicht. Die Nutzbarkeit gehört deshalb von Anfang an zur Auswahl.
Kläre intern, wer den Schutzbedarf einordnet. Welche Arten von Informationen sollen über welchen Kommunikationsweg weitergegeben werden? Die technische Betreuung kann geeignete Möglichkeiten erklären und einrichten. Ob eine bestimmte Information an einen konkreten Empfänger gehen darf, ist eine zusätzliche fachliche Entscheidung. Lass vorhandene betriebliche und gegebenenfalls rechtliche Anforderungen zusammentragen. Aus einer Produktbezeichnung allein lässt sich keine pauschale Aussage ableiten, dass jeder beliebige Nachrichtenaustausch damit für Dein Unternehmen zulässig und passend wäre.
Inhaltsschutz, Transport und Signatur auseinanderhalten
E-Mail-Sicherheit besteht aus mehreren Aufgaben. Eine geschützte Verbindung betrifft einen Übertragungsweg; eine Nachrichtenverschlüsselung schützt den vorgesehenen Inhalt im jeweiligen Verfahren. Eine digitale Signatur hat wiederum eine andere Funktion. Lass den Anbieter erklären, welchen Schutz sein Angebot tatsächlich liefert und wo die Nachricht dabei lesbar vorliegt. Für Deine Entscheidung ist eine verständliche Darstellung des Wegs hilfreicher als eine Reihe von Produktbegriffen, deren Wirkung und Grenzen unklar bleiben.
Microsoft beschreibt bei S/MIME getrennt die digitale Signatur und die Verschlüsselung. Eine allein signierte Nachricht erhält dadurch keine Vertraulichkeit; für den Inhaltsschutz wird Verschlüsselung benötigt. Diese produktbezogene Dokumentation ist eine gute Gesprächsgrundlage, wenn ein Angebot beide Funktionen nennt. Lass erläutern, welche davon für Deinen Austausch eingerichtet werden und wie Dein Team den vorgesehenen Zustand erkennt. Microsoft: S/MIME für Signatur und Verschlüsselung
Unterscheide außerdem den Schutz Deiner Absenderdomain vom vertraulichen Nachrichteninhalt. Ein Auftrag zur Prüfung berechtigter Versandwege oder zur DMARC-Einführung beantwortet die Verschlüsselungsfrage nicht automatisch. Benenne deshalb Dein eigentliches Ziel im Erstgespräch. Verschiedene Leistungen können sinnvoll zusammenarbeiten, sollten aber verständlich getrennt beschrieben sein. So kannst Du erkennen, welchen Nutzen der angebotene Baustein übernimmt und welche weiteren Aufgaben in Eurer E-Mail-Umgebung bereits betreut werden oder gesondert geklärt werden müssen.
Das Verfahren mit den vorgesehenen Empfängern abstimmen
Frage, welche Möglichkeiten zu den tatsächlich beteiligten Kommunikationspartnern passen. Unterstützen beide Seiten dasselbe Verfahren und sind die benötigten Voraussetzungen vorhanden? Ein fester Partner kann eine bestimmte Technik vorgeben. Bei wechselnden Empfängern kann die Nutzbarkeit anders zu beurteilen sein. Lass den Anbieter die vorhandenen Wege und ihre jeweiligen Grenzen erklären. Dein Unternehmen sollte eine begründete Auswahl erhalten, die zum Austausch passt, statt nur das bevorzugte Produkt einer einzelnen betreuenden Firma kennenzulernen.
Microsoft stellt für seine Umgebung unterschiedliche Verfahren gegenüber und beschreibt S/MIME als zertifikatbasierte Möglichkeit. Die Dokumentation erläutert auch andere Nachrichtenverschlüsselungswege mit jeweils eigenen Voraussetzungen. Daraus folgt keine allgemeine Empfehlung für einen bestimmten Dienst. Für Deinen Auftrag ist die Frage wichtig, wer Schlüssel verwaltet, wie der Empfänger Zugang erhält und welche Geräte tatsächlich unterstützt werden. Diese Eigenschaften müssen am konkret angebotenen Verfahren geprüft werden. Microsoft: E-Mail-Verschlüsselung vergleichen
Lass auch einen Fall mit unbekannter Empfängerausstattung besprechen. Wie erfährt Dein Team vor dem Versand, ob der vorgesehene Weg nutzbar ist? Wer klärt eine fehlende Voraussetzung mit dem Kommunikationspartner und welche freigegebene Alternative gibt es? Der Umgang sollte bewusst vereinbart sein. Eine spontane ungeschützte Wiederholung derselben vertraulichen Nachricht wäre kein passender Abschluss einer fehlgeschlagenen geschützten Zustellung. Dein Anbieter sollte einen praktikablen Hilfsweg erklären, der die ursprüngliche Schutzanforderung berücksichtigt.
Zertifikate und Schlüssel als laufende Aufgabe einplanen
Wenn ein zertifikatbasiertes Verfahren vorgesehen ist, braucht es eine klare Zuständigkeit für dessen Einrichtung. Wer beschafft oder stellt benötigte Zertifikate bereit und wie werden sie der richtigen Person zugeordnet? Welche Mitwirkung ist erforderlich und welche Informationen dürfen weitergegeben werden? Lass den Anbieter den Ablauf erklären. Dein Unternehmen muss die einzelnen technischen Schritte nicht selbst ausführen. Es sollte aber verstehen, welche Voraussetzung für eine nutzbare geschützte Kommunikation geschaffen wird und wer sie anschließend betreut.
Die Unterscheidung zwischen öffentlichen Informationen und geheim zu haltenden Schlüsseln ist dabei wesentlich. Microsoft beschreibt für S/MIME die benötigten öffentlichen Schlüssel der Empfänger und den Schutz ihrer privaten Schlüssel. Lass konkret erklären, wo diese in Eurer vorgesehenen Einrichtung liegen und wer darüber verfügen kann. Eine allgemeine Aussage, alle Schlüssel seien sicher, beschreibt noch keinen nachvollziehbaren Betreuungsumfang. Für das Angebot zählt der tatsächliche Verwaltungsweg mit seinen Verantwortlichkeiten und dem vorgesehenen Umgang mit Problemen.
Besprich die spätere Pflege. Was passiert bei Ablauf, Erneuerung oder einem vermuteten Verlust eines Schlüssels? Wer bemerkt den Handlungsbedarf und stimmt die nächsten Schritte mit betroffenen Personen ab? Die technische Antwort hängt vom verwendeten Verfahren ab. Frage nach der Wirkung auf neue Nachrichten und auf weiterhin benötigte ältere Inhalte. Ein neu ausgestelltes Zertifikat sollte nicht ungeprüft als Nachweis gelten, dass dadurch jede bisherige Nachricht wieder lesbar wird. Der konkrete Wiederherstellungsweg muss erklärt und kontrolliert betrachtet werden.
Geräte und Vertretung am echten Arbeitsweg prüfen
Ein Team verwendet möglicherweise mehrere Geräte für seine E-Mails. Frage, welche davon für den geschützten Austausch vorgesehen sind und ob die nötige Einrichtung jeweils enthalten ist. Eine erfolgreiche Nutzung am Bürorechner belegt nicht automatisch denselben Ablauf auf einem Smartphone oder in einem anderen Mailprogramm. Lass wichtige Varianten ausdrücklich aufnehmen. Dein Unternehmen sollte erkennen können, welcher Arbeitsweg unterstützt wird und bei welchem Gerät ein eigener Prüf- oder Einrichtungsbedarf bleibt.
Beziehe die Vertretung ein, wenn sie für die betroffenen Nachrichten nötig ist. Welche berechtigte Person muss bei Abwesenheit weiterarbeiten können und wie wird dieser Zugriff im ausgewählten Verfahren ermöglicht? Die Lösung darf nicht beiläufig aus dem Weiterreichen geheimer Schlüssel entstehen. Lass geeignete Möglichkeiten und Grenzen mit den fachlich verantwortlichen Personen klären. Für den Angebotsvergleich ist wichtig, ob die Betreuung einen geplanten Vertretungsweg berücksichtigt oder lediglich die Einrichtung für einzelne Personen übernimmt.
Auch ein Gerätewechsel gehört in den Ablauf. Welche Mittel werden für die neue Einrichtung benötigt und wann darf das bisherige Gerät zurückgesetzt oder abgegeben werden? Der Anbieter sollte den geschützten Nachrichtenbestand und die Anmeldung gemeinsam betrachten. Wenn ältere Inhalte geschäftlich weiter gebraucht werden, muss ihr künftiger Zugriff berücksichtigt sein. Dein Team benötigt dafür keine selbst entworfene Schlüsselverwaltung. Ein brauchbarer Auftrag ordnet die erforderlichen Schritte und ihre Zuständigkeiten rechtzeitig dem Wechsel zu.
Die Nutzung für Beschäftigte verständlich machen
Lass erklären, wie Dein Team den vorgesehenen Schutz im Alltag verwendet. Muss jemand eine bestimmte Option auswählen oder greift eine eingerichtete Regel für bestimmte Fälle? Welche Wirkung hat die Auswahl und woran lässt sich der Zustand erkennen? Der Ablauf muss zum eingesetzten Dienst passen. Eine verständliche Einweisung kann verhindern, dass Beschäftigte unterschiedliche Begriffe wie signiert und verschlüsselt verwechseln oder einen benötigten Schritt auslassen. Die Betreuung sollte den tatsächlichen Arbeitsweg zeigen und Rückfragen aufnehmen.
Besprich einen geeigneten Hilfsweg für Warnungen oder unerwartete Rückmeldungen. Wer prüft, ob ein Empfänger korrekt zugeordnet ist oder ob ein Zertifikat im vorgesehenen Verfahren noch verwendet werden kann? Beschäftigte sollten solche Fragen melden können, ohne selbst technische Ausnahmen zu improvisieren. Die zuständige Fachperson kann den Fall einordnen und eine begründete nächste Handlung nennen. Eine pauschale Aufforderung, Warnmeldungen einfach zu bestätigen, würde den Sinn der geplanten Einrichtung nicht nachvollziehbar unterstützen.
Halte die Unterstützung für externe Empfänger gesondert fest. Übernimmt Dein Dienstleister deren erste technische Rückfragen oder koordiniert eine interne Ansprechperson den Kontakt? Welche Informationen dürfen dafür weitergegeben werden? Für eine Fehlersuche sind meist zunächst allgemeine Angaben zum betroffenen Weg sinnvoll. Vertrauliche Inhalte und geheime Zugangsmittel sollten nicht ungeprüft Teil einer Supportnachricht werden. Der Anbieter sollte einen passenden Prozess benennen, damit die Hilfe das vereinbarte Schutzkonzept unterstützt.
Mit einem kontrollierten Pilot beginnen
Für die Einführung hilft ein begrenzter, vorbereiteter Austausch mit passenden Beteiligten. Lass dafür geeignete Testinhalte und eine ausdrücklich vereinbarte Erprobung planen. Welche Versand- und Empfangsvarianten müssen gezeigt werden? Gehört eine geschützte Antwort dazu? Der Dienstleister sollte den Umfang an Eurem tatsächlichen Bedarf ausrichten. Dein Unternehmen braucht einen nachvollziehbaren Nachweis, dass die ausgewählten Personen den vorgesehenen Weg verwenden können. Ein Symbol im Mailprogramm ist dafür nur ein Teil der Betrachtung.
Prüfe den gesamten Vorgang aus Sicht beider Seiten. Kann der Empfänger die richtigen Inhalte öffnen und erkennt Dein Team eine Rückfrage? Funktioniert der vereinbarte Zugriff auf einem benötigten weiteren Gerät? Lass Abweichungen dokumentieren und vor einer breiteren Einführung bearbeiten. Ein Probelauf kann seinen Umfang bewusst begrenzen. Dann sollte aber klar bleiben, welche Aussage er ermöglicht und welche weiteren Varianten noch offen sind. So entsteht kein pauschales Erfolgsversprechen aus einem einzelnen gelungenen Beispiel.
Für den Übergang in den Betrieb brauchst Du bekannte Ansprechpartner und eine kurze Übersicht der betreuten Wege. Welche Personen sind eingerichtet, welche Ausnahmen bestehen und wer meldet neue Anforderungen? Der Anbieter sollte erklären, wann zusätzliche Empfänger oder Geräte eine weitere Prüfung benötigen. Die Schutzwirkung darf nicht allein von der Erinnerung an einen einmaligen Einführungstermin abhängen. Eine laufende Betreuung verbindet die verwendeten Mittel mit den Menschen und Arbeitsabläufen, für die sie vorgesehen sind.
Aufbewahrung und späteren Anbieterwechsel berücksichtigen
Besprich, wie geschäftlich benötigte Nachrichten später verfügbar bleiben. Zugriff, Sicherung und gegebenenfalls Aufbewahrung müssen zum verwendeten Verfahren und Euren Anforderungen passen. Die technische Betreuung sollte ihre Möglichkeiten erklären und die zuständigen Fachpersonen einbeziehen. Dieser Ratgeber leitet daraus keine allgemeine Aufbewahrungsfrist oder rechtliche Vollständigkeit ab. Für Deinen Auftrag ist wichtig, dass die Verwendbarkeit älterer Inhalte bewusst geprüft wird und nicht erst bei einer späteren Rückfrage als unerwartetes Problem erscheint.
Ein Anbieterwechsel braucht eine geschützte Übergabe. Welche Dokumentation erhält die neue zuständige Fachperson und welche Verwaltungsaufgaben werden übernommen? Der Umfang sollte die tatsächlich eingerichteten Personen, Verfahren und bekannten Grenzen abbilden. Geheime Mittel werden nur über einen geeigneten berechtigten Weg behandelt. Lass außerdem klären, welche Zugriffe des bisherigen Betreuers anschließend enden. So bleibt der Wert der Einführung für Dein Unternehmen nutzbar, auch wenn sich die technische Unterstützung später verändert.
Vergleiche Angebote schließlich mit denselben Kommunikationsfällen und Geräten. Lass Einführung, benötigte Lizenzen oder Zertifikate, Einweisung und laufende Pflege getrennt ausweisen. Bei offenen Voraussetzungen sollte eine konkrete Untersuchung benannt sein. Du kannst dann erkennen, ob ein Preis nur eine technische Einrichtung oder eine vollständige betreute Kommunikation abdeckt. Entscheidend ist der passende Weg für Deine vertraulichen Nachrichten, mit erreichbarer Hilfe und nachvollziehbarer Behandlung von Änderungen.
Unterstützung für vertrauliche E-Mails anfragen
Auf der Startseite von IT-Sicherheit Angebote kannst Du kostenfrei und unverbindlich Unterstützung anfragen. Wähle das passende Anliegen und die nächstliegende IT-Umgebung. Halte für die Rückmeldung eine allgemeine Übersicht der Kommunikationspartner und verwendeten Mailprogramme bereit. Welche Einrichtung und Betreuung dazu passt, besprichst Du mit dem jeweiligen Anbieter. Geheime Schlüssel, Passwörter und vertrauliche Nachrichteninhalte werden für diese erste Übersicht nicht benötigt.