Spam-Filter sollen unerwünschte Nachrichten erkennen und E-Mail-Sicherheitslösungen Schadsoftware blockieren, zudem werden Mitarbeiter vor Phishing gewarnt und hinsichtlich Sicherheitsrisiken geschult – alles notwendige, aber noch nicht hinreichende Aspekte einer umfassenden E-Mail-Sicherheit.
Sensible Informationen verlassen Unternehmen jeden Tag per E-Mail, warnt Günter Esch und erläutert die Notwendigkeit, dies im Sicherheitskonzept zu berücksichtigen.
Unternehmen investieren offenbar viel Geld in den Schutz ihrer elektronischen Posteingänge: So sollen Spam-Filter unerwünschte Nachrichten erkennen und E-Mail-Sicherheitslösungen Schadsoftware blockieren; zudem werden Mitarbeiter vor Phishing gewarnt und hinsichtlich Sicherheitsrisiken geschult. „Das ist notwendig – es reicht aber häufig nicht aus, denn sensible Informationen verlassen Unternehmen jeden Tag per E-Mail!“, warnt Günter Esch, Geschäftsführer der SEPPmail – Deutschland GmbH, in seiner aktuellen Stellungnahme.
Oft geschehe dies ohne ausreichende Kontrolle. Eine falsch adressierte Nachricht, ein ungeschützter Anhang oder eine fehlende Verschlüsselung genügten – und schon lägen vertrauliche Daten außerhalb des eigenen Einflussbereichs.
Verteidigung nach außen – Fahrlässigkeit nach innen
Viele Sicherheitskonzepte folgten einem bekannten Muster – der Überzeugung entsprechend, dass die größte Gefahr von außen komme. Entsprechend stark werde der eingehende Datenverkehr geprüft. „Doch E-Mail-Sicherheit hat zwei Richtungen“, gibt Esch zu bedenken.
Unternehmen müssten also nicht nur Angriffe abwehren, sie müssten auch verhindern, dass sensible Informationen unkontrolliert nach außen gelangen.
Esch führt aus: „Das betrifft nahezu alle Abteilungen: Die Personalabteilung verschickt Bewerbungsunterlagen und Gehaltsinformationen. Der Vertrieb sendet Angebote und Verträge. Viele dieser Inhalte sind vertraulich, und trotzdem werden sie oft wie gewöhnliche Nachrichten behandelt.“
Wird Verschlüsselung als Bürde empfunden, leider die Akzeptanz
In vielen Unternehmen liege die Entscheidung über Verschlüsselung bei den Beschäftigten. Sie müssten erkennen, ob eine Nachricht vertrauliche Inhalte enthält. Anschließend wählten sie selbst das passende Verfahren. „Dieses Modell ist fehleranfällig!“, so Esch.
Wer regelmäßig viele E-Mails versendet, treffe eben nicht jedes Mal eine bewusste Sicherheitsentscheidung. Hinzu kommt laut Esch, dass komplizierte Prozesse im Alltag umgangen werden: „Muss ein Zertifikat gesucht, ein Kennwort ausgetauscht oder ein zusätzliches Portal geöffnet werden, sinkt die Akzeptanz, und E-Mails werden ,mal eben’ verschickt.“
Aus diesem Grund müsse Sicherheit möglichst automatisch greifen. Regeln könnten etwa bestimmte Dateitypen, Empfängergruppen oder Schlüsselbegriffe berücksichtigen. Die Technik unterstütze den Versand, statt ihn zu erschweren.
Elektronische Nachrichten sollten in Schutzklassen eingeteilt werden
Nichtsdestotrotz sei eine pauschale Verschlüsselung aller E-Mails nur selten sinnvoll. Diese erhöhe den Aufwand und könne die Kommunikation unnötig verkomplizieren. Besser sei ein abgestuftes Schutzkonzept:
„Allgemeine Informationen benötigen andere Maßnahmen als Personalakten und Verträge. Unternehmen sollten daher festlegen, welche Inhalte besonders sensibel sind und welche Regeln für ihren Versand gelten.“
Dabei gehe es nicht nur um Verschlüsselung. Auch digitale Signaturen, Empfängerprüfungen und zentrale Versandrichtlinien spielten eine wichtige Rolle.
Statt befürchteter Überwachung Kontrolle als hilfreiche Wegweisung
Der Schutz ausgehender E-Mails werde teilweise kritisch gesehen. Beschäftigte befürchteten zusätzliche Kontrollen oder komplizierte Freigaben. Dabei sollte es nicht darum gehen, jede Nachricht manuell zu prüfen. Ziel sei eine technische Absicherung klar definierter Risiken:
„Moderne Sicherheitslösungen erkennen beispielsweise sensible Anhänge oder ungewöhnliche Empfänger. Sie weisen auf mögliche Fehler hin oder aktivieren automatisch die passende Schutzmaßnahme.“
Kritische Nachrichten ließen sich vor dem Versand bestätigen – die normale Kommunikation bleibe davon unberührt. So entstehe Sicherheit, ohne Arbeitsabläufe unnötig auszubremsen.
Klare Regeln als Basis der Verlässlichkeit
„Technik allein löst das Problem nicht. Unternehmen brauchen verständliche Vorgaben!“, macht Esch deutlich.
„Welche Informationen gelten als vertraulich? Wann ist eine Verschlüsselung erforderlich? Welche Versandwege sind erlaubt? Was passiert bei externen Empfängern? Wer trägt die Verantwortung für Ausnahmen?“
Solche Fragen dürften nicht offenbleiben. Unklare Regeln führten nämlich dazu, dass jede Abteilung eigene Lösungen entwickele. „Das erhöht das Risiko und erschwert die Kontrolle!“
E-Mail-Ausgang als Teil des IT-Sicherheitskonzeptes
Der Schutz des Posteingangs bleibe unverzichtbar. Doch er decke nur eine Hälfte der E-Mail-Kommunikation ab. Unternehmen sollten auch den Postausgang systematisch betrachten:
„Welche Daten verlassen das Haus? Wie werden sie geschützt? Lässt sich der Versand später nachvollziehen?“ Wer diese Fragen nicht beantworten kann, habe eine Lücke im Sicherheitskonzept.
Esch betont abschließend: „E-Mail-Sicherheit endet nicht mit der Abwehr von Phishing und Schadsoftware! Sie umfasst auch den verantwortungsvollen Umgang mit den eigenen Informationen. Gerade dort liegt in vielen Unternehmen noch ein Blinder Fleck.“
Zentrale Erkenntnisse der DS-Redaktion
- Daten sollten als virtuelle Vermögenswerte wahrgenommen werden: Niemand würde in der materiellen Welt einen Tresor als sicher einstufen, der zwar höchst widerstandsfähig gegen Einbruchsversuche ist, aber bereitwillig in ihm aufbewahrte Wertgegenstände nach außen gelangen lässt.
- Flussanalysen im Kontext von Sicherheitskonzepten sollten immer bidirektional orientiert sein.
- Bei der Nutzung von Kommunikationswegen sollte auf eine Kultur der Verantwortlichkeit gesetzt werden – diese kann durch technische Systeme unterstützt, aber nicht ersetzt werden.
- Das Zulassen sogenannter Blinder Flecken in Sicherheitsfragen mag aus menschlicher Sicht verständlich sein, muss aber überwunden werden, denn Fahrlässigkeit kann zu existenziell bedrohlichen Situationen führen.
- Technisch-Organisatorische Maßnahmen (TOM) im Umfeld auch der E-Mail-Sicherheit müssen alltagstauglich sein und als Unterstützung wahrgenommen werden können.
Fazit
Da E-Mail in allen modernen Unternehmen und Institutionen als zentraler multidirektionaler Kommunikationskanal dient, sollte diesem Medium auch im Rahmen ganzheitlicher IT-Sicherheitskonzepte die gebührende Beachtung geschenkt werden.
Weitere Informationen
DATENSICHERHEIT.DE, 01.08.2026
42 Jahre nach Empfang der ersten E-Mail in Deutschland: Unternehmen bei der -Sicherheit in der Pflicht
DATENSICHERHEIT.DE, 04.03.2026
Erkennen betrügerischer E-Mails: Dringlichkeit als wichtigstes Warnsignal
DATENSICHERHEIT.DE, 16.12.2025
E-Mail unter cyberkriminellem Dauerbeschuss – Kommunikationssicherheit muss neu gedacht werden
