“Unsere E-Mails sind verschlüsselt.” Diesen Satz hören wir in Erstgesprächen regelmäßig. Auf Nachfrage stellt sich heraus: Der E-Mail-Provider nutzt TLS. Das war’s.
Das Problem: TLS allein erfüllt nicht in jedem Fall die Anforderungen der DSGVO. Je nach Art der übermittelten Daten kann eine reine Transportverschlüsselung zu wenig sein. Und seit dem Urteil des OLG Schleswig-Holstein (Dezember 2024) ist die Rechtslage deutlicher als je zuvor.
Dieser Artikel zeigt Ihnen, wann welche Verschlüsselung Pflicht ist, was die DSK empfiehlt und wie Sie Ihre E-Mail-Infrastruktur DSGVO-konform aufstellen.
Art. 32 DSGVO verpflichtet Verantwortliche, “geeignete technische und organisatorische Maßnahmen” zu treffen. Verschlüsselung wird in Absatz 1 ausdrücklich als Beispiel genannt.
Die DSGVO nennt aber keine konkreten Verfahren. Stattdessen gilt ein risikobasierter Ansatz: Die Maßnahme muss dem Schutzbedarf der Daten angemessen sein. Je sensibler die Daten, desto stärker muss die Verschlüsselung sein.
Konkret bedeutet das:
Die DSK-Orientierungshilfe zur E-Mail-Verschlüsselung macht diese Abstufung seit 2021 verbindlich. Verwenden Sie dabei nur Algorithmen, die das BSI in der Technischen Richtlinie TR-02102-2 empfiehlt – aktuell mindestens TLS 1.2, besser TLS 1.3.
Die Unterschiede sind vielen Unternehmen nicht klar. Diese Tabelle zeigt, was die drei Varianten leisten – und wo die Grenzen liegen.
| Kriterium | Keine Verschlüsselung | Transportverschlüsselung (TLS) | Ende-zu-Ende (S/MIME, PGP) |
|---|---|---|---|
| Schutz auf dem Transportweg | Nein – E-Mail im Klartext lesbar | Ja – Übertragung zwischen Servern verschlüsselt | Ja – durchgehend verschlüsselt |
| Schutz auf dem Server | Nein | Nein – E-Mail liegt unverschlüsselt auf dem Server | Ja – nur Sender und Empfänger können lesen |
| DSGVO-konform bei normalem Risiko | Nein | Ja (DSK-Mindeststandard) | Ja |
| DSGVO-konform bei hohem Risiko | Nein | Nein – reicht nicht aus | Ja |
| Umsetzungsaufwand | Keiner | Gering – meist schon aktiviert | Mittel bis hoch – Zertifikate nötig |
| Empfänger braucht | Nichts | Nichts (automatisch) | Eigenes Zertifikat oder Schlüssel |
Viele Unternehmen verlassen sich auf "opportunistisches TLS" – der Server versucht eine verschlüsselte Verbindung, fällt aber stillschweigend auf Klartext zurück, wenn die Gegenseite kein TLS unterstützt. Prüfen Sie, ob Ihr E-Mail-Server "erzwungenes TLS" (mandatory TLS) für sensible Empfänger konfiguriert hat. Nur so stellen Sie sicher, dass die Verschlüsselung tatsächlich greift.
Die Datenschutzkonferenz (DSK) hat 2021 eine Orientierungshilfe veröffentlicht, die 2022 aktualisiert wurde. Die wichtigsten Punkte:
Für Verantwortliche (also Sie als Unternehmen):
Für empfangende Stellen:
Das OLG Schleswig-Holstein hat im Dezember 2024 entschieden: Unternehmen, die Rechnungen per E-Mail an Privatpersonen senden, können sich nicht pauschal auf TLS berufen. Das Gericht bewertete den Rechnungsversand mit Bankdaten als Vorgang mit erhöhtem Risiko.
Das Urteil hat Signalwirkung. Es zeigt: Gerichte legen die Anforderungen aus Art. 32 DSGVO strenger aus als viele Unternehmen erwarten. Prüfen Sie deshalb genau, welche Daten in Ihren E-Mails stecken – nicht nur im Text, sondern auch in Anhängen.
Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.
Nils OehmichenDatenschutzberater bei frag.hugoDiese Checkliste hilft Ihnen, den aktuellen Stand Ihrer E-Mail-Sicherheit zu bewerten und Lücken zu schließen.
Die Antwort hängt von den Daten ab, die Sie per E-Mail versenden. Eine Risikoeinschätzung liefert die Grundlage.
TLS reicht aus bei:
Ende-zu-Ende ist erforderlich bei:
Wenn Sie unsicher sind, welche Kategorie auf Ihr Unternehmen zutrifft: Starten Sie mit einem kostenlosen Datenschutz-Check. Er zeigt Ihnen in wenigen Minuten, wo Ihre größten Risiken liegen.
Nicht jedes Unternehmen kann sofort S/MIME oder PGP für alle Mitarbeitenden einführen. Diese Zwischenlösungen helfen:
E-Mail-Sicherheit prüfen lassen?
Wir analysieren Ihre E-Mail-Infrastruktur und empfehlen passende Verschlüsselungslösungen.
Jetzt Beratung anfragen →Das OLG Schleswig — zuständig auch für viele Hamburger Verfahren — hat mit seinem Urteil zur E-Mail-Verschlüsselung ein Signal gesetzt. Gerade Hamburger Kanzleien, Steuerberater und Finanzdienstleister versenden täglich Rechnungen und Mandantendaten per E-Mail. Hier reicht TLS allein oft nicht mehr. Unsere IT-Sicherheitsberatung in Hamburg prüft Ihre E-Mail-Infrastruktur und findet eine pragmatische Verschlüsselungslösung.
Die DSGVO schreibt keine bestimmte Verschlüsselungsmethode vor, nennt Verschlüsselung aber explizit als Schutzmaßnahme in Art. 32. Ob TLS oder Ende-zu-Ende erforderlich ist, hängt von der Sensibilität der übertragenen Daten ab.
Für normale Geschäftskorrespondenz ist TLS (Transportverschlüsselung) in der Regel ausreichend. Bei besonders sensiblen Daten wie Gesundheitsdaten oder Bankverbindungen empfehlen Aufsichtsbehörden und Gerichte Ende-zu-Ende-Verschlüsselung.
TLS verschlüsselt den Transportweg zwischen Mailservern – die E-Mail liegt aber unverschlüsselt auf den Servern. Ende-zu-Ende-Verschlüsselung schützt den Inhalt vom Absender bis zum Empfänger, sodass auch der E-Mail-Provider nicht mitlesen kann.
Die DSK fordert mindestens obligatorische Transportverschlüsselung (TLS 1.2 oder höher). Bei Daten mit hohem Schutzbedarf empfiehlt sie zusätzlich Ende-zu-Ende-Verschlüsselung als angemessene Maßnahme nach Art. 32 DSGVO.
Als Mindeststandard sollte TLS 1.2 oder höher auf Ihrem Mailserver aktiv sein. Für den Versand sensibler Daten empfiehlt sich eine Gateway-Lösung oder ein verschlüsselter PDF-Versand als pragmatische Alternative zu S/MIME oder PGP.
Inhaltsverzeichnis
Mitarbeiter hat Phishing-Mail geöffnet? Die 7 Sofortmaßnahmen für Hamburger Unternehmen – plus Meldepflicht-Check und Präventionstipps.
WeiterlesenTOM nach DSGVO Art. 32: Konkrete Beispiele für technische und organisatorische Maßnahmen, die Hamburger KMU sofort umsetzen können.
WeiterlesenCloud-Sicherheit für Unternehmen: Die größten Risiken bei AWS, Azure & Co. und konkrete Schutzmaßnahmen nach DSGVO und NIS2. Mit Checkliste für KMU.
Weiterlesen Über den Autor
Co-Founder
Jens ist Co-Founder und Geschäftsführer der frag.hugo Informationssicherheit GmbH. Mit über 20 Jahren IT-Erfahrung verbindet er technisches Know-how mit strategischem Denken, um Datenschutz und Compliance für KMU zugänglich zu machen.
Vereinbaren Sie ein unverbindliches Erstgespräch mit unseren Experten. Wir beraten Sie persönlich zu Datenschutz, NIS2 und IT-Sicherheit.
