7 Mythen über E-Mail-Archivierung

Darf ein Unternehmen jede E-Mail archivieren? Was passiert mit privater Korrespondenzen? Sollte jede E-Mail verschlüsselt werden? Hier finden Sie die gröbsten Fehleinschätzungen bei der E-Mail-Archivierung.

Wieland Alge, General Manager EMEA, Barracuda Networks und Alexander Bayer, Rechtsanwalt, Kanzlei Wragge & Co

Viele deutsche Unternehmen handhaben das Thema E-Mail-Archivierung nur sehr unzureichend und die wenigsten verfügen über eine rechtskonforme Lösung. Zahlreichen Vorschriften und teils intransparente Regeln sorgen zusätzlich für Missverständnisse und Fehler. Die ChannelPartner-Schwester-Publikation Computerwoche hat die verbreitetsten Mythen zur E-Mail-Archivierung zusammengetragen.

1. Jede Mail muss archiviert werden

Alle Unternehmen – Kleingewerbetreibende ausgenommen – müssen ihre komplette Geschäftskorrespondenz für sechs bis zehn Jahre ab Ende des Kalenderjahres aufbewahren. Daher ist es sinnvoll, die Geschäftskorrespondenz eines Unternehmens per E-Mail für zehn Jahre zu archivieren und danach ebenso zuverlässig zu löschen. Spam, Werbemittel und Newsletter sind von dieser Regelung aber nicht betroffen und können bedenkenlos gelöscht werden.

2. Jede Mail darf archiviert werden

Einige E-Mails können, andere müssen gespeichert werden. Es gibt aber auch Mails, die auf keinen Fall mitgespeichert werden dürfen: private E-Mails von Mitarbeitern. Unternehmen, in denen die private E-Mail-Nutzung der Mitarbeiter auch nur geduldet ist, verwandeln sich nach dem Gesetz zu einem Anbieter von Telekommunikationsdiensten. Folglich ist die Überwachung und Speicherung der E-Mail-Kommunikation grundsätzlich unzulässig, soweit keine explizite Einwilligung der Mitarbeiter vorliegt.

Mehr über die Pflichten zur E-Mail-Archivierung erfahren Sie auf dem dem Channel-Sales-Kongress "Security und Storage" am 17. Februar in München.

3. Das Verbot privater Mails

Auch wenn es die bequemste und einfachste Methode ist: Ein striktes Verbot für private E-Mail ist nicht mehr zeitgemäß. Der gesamte Social-Media-Bereich weicht die Grenze von privater und geschäftlicher Nutzung IT auf und gerade die Einbindung des Unternehmens in Facebook, Twitter oder ähnliche Netzwerke erfordert eine private oder halbprivate E-Mail-Korrespondenz während der Arbeitszeit.

Daher ist es sinnvoller, als ein Verbot zu verhängen, darauf zu achten, dass diese E-Mails nicht Teil der Archivierungsroutine werden. Dafür gibt es mehrere Optionen: Zum einen könnte jeder Mitarbeiter ein zweites E-Mail-Konto bekommen, oder den Mitarbeitern wird erlaubt, Freemail-Accounts auch am Arbeitsplatz zu nutzen. So kann jeder Mitarbeiter seine privaten E-Mails selber organisieren und ist dafür verantwortlich, dass diese nicht von Sicherungs- oder Archivierungsroutine erfasst werden.

4. Das E-Mail-Archiv muss verschlüsselt sein

Der Gesetzgeber verlangt keine Verschlüsselung. Einige Fälle von unbeabsichtigten Datenverlusten zeigen aber, dass es im Eigeninteresse der Unternehmen liegen sollte, Daten verschlüsselt zu speichern und zu übertragen. So sind nicht nur die eigenen Daten geschützt, auch der Verlust und die damit einhergehenden Entschädigungsklagen Dritter lassen sich vorbeugen. Eine rechtskonforme technische Lösung ermöglicht, die Daten in ihrer Gesamtheit sicher zu verwahren und im Bedarfsfall an den Berechtigten entschlüsselt zu übergeben.

5. Bordmittel des E-Mail-Servers bieten alle nötigen Optionen

E-Mails werden häufig in proprietären Archivdateien gesichert, wie beispielsweise PST-Dateien in Exchange-Umgebungen. Diese enthalten nicht nur die gesicherten E-Mails, sondern auch Kalendereinträge, Kontakte sowie Aufgaben und werden häufig auf dem Endgerät des Anwenders abgespeichert. Dies reduziert zwar die Datenmenge auf den Mail-Servern, bietet aber keinerlei
Compliance. Für den Administrator sind sie schwer zu verwalten und für den Anwender bieten sie keinen bequemen Zugang zu archivierten Nachrichten. Darüber hinaus sind die Dateien weder vor Diebstahl noch vor Manipulationen geschützt.

Um geschäftliche E-Mails inklusive Anhänge - wie gesetzlich gefordert - fälschungssicher und untersuchbar zu speichern, ist nur eine serverseitige Lösung denkbar: Die eingehende Mail sollte abgespeichert sein, bevor sie den Nutzer erreicht. Da dies die Performance eines E-Mail-Server in großen Unternehmen überfordert, ist ein dedizierter Server, eine Appliance oder ein Cloud Service die passende Lösung.

6. E-Mail-Archiv garantiert Sicherheit

Neue, automatisierte Appliances oder Cloud-Lösungen mit hohem Zusatznutzen steigern die Motivation in Unternehmen, ihre E-Mail-Archivierung rechtskonform aufzusetzen. Doch die Tools automatisieren nur den Archivierungsvorgang. Unternehmen benötigen daher einen klaren Ablaufplan, damit einerseits alle aufbewahrungspflichtigen E-Mails sicher archiviert und vor Zugriffen durch Unberechtigte geschützt sind und andererseits andere Nachrichten gemäß des Datenschutzes genauso sicher gelöscht werden kann.

7. E-Mail-Archivierung geschieht nur aus juristischen Gründen

Selbst wenn es keine gesetzliche Verpflichtung geben würde, ist eine Sicherung der E-Mails nach heutigen Standart sinnvoll: Eine umgehende Wiederherstellung verloren gegangener E-Mail-Infrastrukturen ist jederzeit möglich - entweder von einer lokalen Appliance oder von einem externen Rechenzentrum, wo die Daten gespiegelt sind. Dabei haben Mitarbeitern einen schnellen Zugriff und hervorragende Suchmöglichkeiten für die in ihrem Account gespeicherten Mails, Anhänge, Kalendereinträgen, Kontakte und Aufgaben. (CW/mhr)

Mehr über die Pflichten zur E-Mail-Archivierung erfahren Sie auf dem dem Channel-Sales-Kongress "Security und Storage" am 17. Februar in München.