Managed E-Mail-Security für Unternehmen

Compliance-Leitfaden: Datenschutz und Rechtssicherheit sollten zentrale Komponenten jedes E-Mail-Sicherheitskonzepts sein
Rechtssicherheit und Compliance: Sollen Spam- und Malware-Nachrichten von einem externen Dienstleister ausgefiltert werden, ist es ratsam, als Spam oder andere gefährliche E-Mail erkannte Nachrichten schon während des SMTP-Dialogs abzuweisen

(08.05.12) - Die E-Mail-Sicherheit zählt nach wie vor zu den wichtigsten Aufgaben für Unternehmen im Bereich der IT-Security. Vor allem die Bedrohung durch Malware- und Phishing-Angriffe per E-Mail hat in den vergangenen zwölf Monaten deutlich zugenommen und erfordert umfangreiche Sicherheitskonzepte. Bei der Sicherung der E-Mail-Infrastruktur sind jedoch eine Reihe rechtlicher Anforderungen zu beachten, deren Nichteinhaltung erhebliche Risiken für Unternehmen zur Folge haben. Dies gilt insbesondere für Cloud-basierte Lösungen und Managed Services.

eleven hat einen vom Datenschutzexperten Rechtsanwalt Michael Bock erstellten Leitfaden veröffentlicht, der die wichtigsten Punkte enthält, die Unternehmen beachten sollten, wenn sie ihre E-Mail-Kommunikation sichern und gleichzeitig ein Höchstmaß an Rechtssicherheit und Compliance sicherstellen wollen.

Lesen Sie zum Thema "IT-Sicherheit" auch: IT SecCity.de (www.itseccity.de)

Unternehmen, die ihre E-Mail-Sicherheit als Managed Service auslagern wollen, sollten eine Reihe wichtiger Aspekte beachten:

1. Abweisen statt Löschen
Sollen Spam- und Malware-Nachrichten von einem externen Dienstleister ausgefiltert werden, ist es ratsam, als Spam oder andere gefährliche E-Mail erkannte Nachrichten schon während des SMTP-Dialogs abzuweisen (Reject) – und damit, bevor sie vom E-Mail-Server des Empfängers angenommen wurden. Werden sie erst nach erfolgter Annahme geprüft, gelten sie als zugestellt. Eine Löschung ist dann erheblich problematischer.

2. Datenschutz
Bei der Auswahl eines Managed E-Mail Security Providers ist entscheidend, dass wesentliche Datenschutzvoraussetzungen erfüllt sind. Neben Zertifizierungen der Infrastruktur (zum Beispiel ISO 27001) und verschlüsselter Datenübertragung und -speicherung, ist vor allem der Standort des Dienstleisters entscheidend. Deutsche Anbieter unterliegen der strengen deutschen Datenschutzgesetzgebung und bieten dadurch deutlich mehr Sicherheit als beispielsweise US-amerikanische Dienstleister. Selbst wenn deren Infrastruktur in Deutschland betrieben wird, bestehen beispielsweise Zugriffsmöglichkeiten über den Patriot Act oder andere gesetzliche Bestimmungen.

3. Private E-Mail-Kommunikation
Erlaubt ein Unternehmen die private E-Mail-Kommunikation, ergeben sich daraus womöglich Folgen für die Zulässigkeit der Spam- und Virenfilterung, insbesondere der Löschung von E-Mails. Generell empfiehlt sich (insbesondere auch auf Grund der gesetzlich vorgeschriebenen langfristigen Archivierung geschäftlicher E-Mails), die private E-Mail- Nutzung nicht zuzulassen. Geschieht dies doch, sollte der Umgang mit privater E-Mail bei der Spam- und Virenfilterung über Betriebsvereinbarungen sowie vertraglich mit dem Dienstleister geregelt werden.

4. Folgen mangelhafter E-Mail-Sicherheit
Auch mangelhafte Sicherungsmaßnahmen können rechtliche Folgen haben. So kann auf Grund der Infektion von Unternehmensrechnern durch Trojaner das Unternehmen selbst zum Spam-Versender werden und hierfür rechtlich belangt werden. Fehlerhafte E-Mail-Sicherheitsmaßnahmen können auch zur Einschleusung von Malware und im schlimmsten Fall zu massiven Schäden an der gesamten IT-Infrastruktur führen.

5. Mitbestimmungsrechte
Verfügt das Unternehmen über einen Betriebsrat oder eine Personalvertretung, dann sind bei der Nutzung eines externen Dienstleisters bestehende Mitbestimmungsrechte zwingend zu beachten. Eine detaillierte Auflistung dieser und weiterer rechtlicher Anforderungen hat eleven in Zusammenarbeit mit dem Datenschutzexperten Rechtsanwalt Michael Bock im Leitfaden "Rechtliche Anforderungen an E-Mail Sicherheitslösungen" zusammengestellt.
(eleven: ra)

eleven: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Schriften