Schatten-E-Mail: Verborgene Kosten und Risiken bei der Nutzung privater Konten für die Arbeit

Was ist Schatten-E-Mail und warum entsteht sie?

Schatten-E-Mail wird am besten als Teilmenge von Schatten-IT verstanden, einem Begriff, den Sicherheits- und IT-Governance-Experten verwenden, um jede von Mitarbeitern ohne formelle Genehmigung oder Überwachung durch die IT-Abteilung der Organisation eingeführte Technologieressource zu beschreiben. Harvard Business Services erklärt, dass Schatten-IT-Ressourcen von nicht autorisierter Software und Cloud-Diensten bis zu persönlichen Geräten und externen Speichern reichen und ausdrücklich persönliche E-Mail-Konten sowie für Arbeitszwecke genutzte Consumer-Messaging-Apps als gängige Beispiele einschließen. Schatten-IT entsteht oft, weil Mitarbeiter Unternehmenswerkzeuge als langsam, umständlich oder einschränkend empfinden, während persönliche Konten einfach einzurichten sind, keinen Beschaffungsprozess erfordern und flexibler erscheinen.

Wenn Mitarbeiter geschäftsbezogene Informationen – Verträge, Kundendaten, interne Strategiedokumente – von ihren persönlichen Gmail-, Outlook.com- oder anderen Consumer-Konten versenden, erweitern sie effektiv die Kommunikationsfläche der Organisation in Umgebungen, die die Organisation möglicherweise weder besitzt noch verwaltet. Dies erzeugt Schatten-E-Mail: Arbeitskommunikation, die über Kanäle fließt, die außerhalb der IT-Governance, Sicherheitsüberwachung und Aufzeichnungssysteme liegen.

Regulierungsbehörden haben begonnen, dieses Muster zu erkennen und anzugehen. Die Leitlinien des UK Information Commissioner's Office (ICO) zu Auskunftsersuchen gemäß UK GDPR erkennen ausdrücklich an, dass Mitarbeiter private E-Mail-Konten, Smartphones, Heimcomputer oder private Instant-Messaging-Dienste für Arbeitsaufgaben nutzen können, und stellen fest, dass Arbeitgeber weiterhin die Datenverantwortlichen für personenbezogene Daten sind, die in diesen Kontexten verarbeitet werden, wenn die Verarbeitung im Auftrag des Arbeitgebers erfolgt. Dies bedeutet, dass persönliche E-Mail-Konten, die für die Arbeit verwendet werden, Teil der Datenschutzverantwortung der Organisation werden, selbst wenn die Infrastruktur außerhalb der Kontrolle der Unternehmens-IT liegt.

Die Fallstudie der irischen Datenschutzkommission zur Verarbeitung persönlicher Daten von Mitarbeitern über private E-Mail-Konten macht das Problem anschaulich. In diesem Fall wurden zwei Mitarbeiter entlassen, nachdem ihr Arbeitgeber auf E-Mails eines persönlichen E-Mail-Kontos zugegriffen hatte, das versehentlich auf einem gemeinsam genutzten Computer geöffnet geblieben war, und diese E-Mails dann einer dritten Partei zur Durchführung von Disziplinarmaßnahmen zur Verfügung stellte. Die DPC stellte fest, dass der erste Zugriff und die Sichtung des persönlichen E-Mail-Kontos durch den Arbeitgeber sowie die anschließende Verarbeitung persönlicher E-Mails für disziplinarische Zwecke gegen die GDPR-Prinzipien der Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung sowie der Integrität und Vertraulichkeit verstoßen, insbesondere weil die Einwilligung aus Arbeitsverträgen und Datenschutzerklärungen keine allgemeine Grundlage für die Verarbeitung persönlicher E-Mail-Daten darstellen kann.

Dieser Fall zeigt, dass wenn persönliche E-Mail-Konten mit Arbeitskontexten kollidieren – sei es durch gemeinsam genutzte Geräte, Arbeitsnetzwerke oder Beschäftigungsverhältnisse – dies ein rechtliches Risiko für Organisationen erzeugt, die die Daten einfach deshalb frei nutzbar betrachten, weil sie sich auf Betriebsgelände oder im geschäftlichen Zusammenhang befinden. Schatten-E-Mail entsteht somit nicht nur als Herausforderung der IT-Governance, sondern auch als direkte Quelle von Datenschutzhaftung.

Arbeits-E-Mail als personenbezogene Daten unter GDPR und verwandten Regelungen

Die Verwischung der Grenzen zwischen Unternehmens- und Privatbereich bei E-Mails geht über ausdrücklich „persönliche“ Konten hinaus. Regulierungsbehörden erkennen ebenfalls an, dass E-Mails, die für Arbeit verwendet werden, selbst mit Unternehmensdomänen, personenbezogene Daten enthalten und individuelle Rechte auslösen. Die GDPR-Fallstudie der Brown University, die eine Entscheidung der italienischen Datenschutzbehörde (Garante) untersucht, welche das Baumaterialunternehmen Mapei betrifft, verdeutlicht diese Realität.

Im Fall Mapei hielt der Arbeitgeber das Arbeits-E-Mail-Konto einer Person nach Beendigung seines Arbeitsverhältnisses aktiv und leitete alle eingehenden Nachrichten an seinen Vorgesetzten weiter, eine Praxis, die Garante als Verstoß gegen mehrere GDPR-Grundsätze wie Rechtmäßigkeit, Fairness, Transparenz, Datenminimierung, Speicherbegrenzung sowie Zugangs- und Informationsrechte bewertete. Die Fallstudie erwähnt ausdrücklich, dass Arbeits-E-Mail ein „undurchsichtiges Gebiet“ ist, weil sie für geschäftliche Zwecke verwendet wird, über die Zeit aber die Persönlichkeit und persönliche Informationen der Korrespondenzpartner annimmt, und kommt zu dem Schluss, dass Arbeits-E-Mail personenbezogene Daten darstellt, an denen Betroffene Rechte nach DSGVO haben.

Kanadische Datenschutzbehörden kamen zu ähnlichen Ergebnissen unter PIPEDA, Kanadas bundesweitem Datenschutzgesetz für den Privatsektor. In Fallzusammenfassung 2009-019 untersuchte der Canadian Privacy Commissioner eine Beschwerde eines Mitarbeiters, dessen Arbeitgeber während eines Arbeitskonflikts auf sein persönliches E-Mail-Konto zugriff und die darin enthaltenen Informationen für disziplinarische Maßnahmen nutzte. Obwohl der stellvertretende Commissioner letztlich feststellte, dass die Handlungen des Unternehmens unter PIPEDA-Ausnahmen gerechtfertigt waren, die die Sammlung und Nutzung personenbezogener Daten ohne Einwilligung für Untersuchungen von Vertragsverletzungen oder Gesetzesverstößen erlauben, betont die Fallzusammenfassung, dass selbst E-Mails, die über das System einer Organisation gesendet oder empfangen werden, sowohl als Unternehmensunterlagen als auch als persönliche Informationen der Mitarbeiter gelten, die durch das Gesetz geschützt sind.

Der Commissioner erklärt, dass ohne eine gesetzliche Ausnahme Organisationen Mitarbeiter-E-Mails nicht ohne triftigen Grund überwachen dürfen und normalerweise das Wissen und die Einwilligung der Mitarbeiter für den Zugriff und die Nutzung ihrer E-Mails einholen müssen. In Kombination mit der DSGVO-Analyse unterstreicht dies, dass Schatten-E-Mail bestehende Herausforderungen rund um Arbeits-E-Mail verstärkt: Unabhängig davon, ob es sich um ein Unternehmens- oder persönliches Konto handelt, betrachten Regulierungsbehörden E-Mail-Inhalte als personenbezogene Informationen, die Rechte und Pflichten auslösen.

Sicherheitsrisiken und technische Gefahren durch Schatten-E-Mails

Autoritative Leitlinien zur E-Mail-Sicherheit betonen eine robuste Kontrolle über die E-Mail-Umgebung, einschließlich Mail-Server, Client-Verbindungen und Transportsicherheit, die alle untergraben werden, wenn die Kommunikation über nicht genehmigte persönliche Konten und Geräte verläuft. NIST Special Publication 800-45, Version 2, „Guidelines on Electronic Mail Security“ bietet einen umfassenden Rahmen für die Gestaltung, Implementierung und den Betrieb sicherer E-Mail-Systeme in öffentlichen und privaten Netzwerken, mit besonderem Fokus auf Bundesbehörden, jedoch mit Anwendbarkeit für private Organisationen als freiwillige Best Practice.

Das Dokument skizziert die Notwendigkeit organisationsweiter Informationssicherheitspolitiken, Konfigurations- und Änderungsmanagement, Risikoanalyse und -management, standardisierte Softwarekonfigurationen, die Sicherheitsrichtlinien erfüllen, Sicherheitsbewusstsein und Schulungen, Notfall- und Katastrophenplanung sowie Zertifizierung und Akkreditierung als wesentliche Praktiken für den sicheren Betrieb von Mail-Servern. Es betont, dass Betriebssysteme von Mail-Servern ordnungsgemäß bereitgestellt und konfiguriert werden müssen, unnötige Dienste deaktiviert sein sollten und kryptographische Technologien zum Schutz der Benutzerauthentifizierung und der E-Mail-Daten in Betracht gezogen werden sollten, einschließlich sicherer Protokolle wie SSH und HTTPS.

Diese Empfehlungen setzen voraus, dass Organisationen die Umgebung, in der der E-Mail-Verkehr stattfindet, definieren und kontrollieren können – eine Prämisse, die untergraben wird, wenn Mitarbeiter vertrauliche Nachrichten über persönliche Konten senden oder empfangen, die außerhalb der Unternehmenskonfigurationsverwaltung liegen.

NIST-Vertrauenswürdige E-Mail und Protokoll-Ebene Empfehlungen

NIST SP 800-177, „Trustworthy Email“ sowie dessen Revision 1 beschreiben Protokoll-Ebene Empfehlungen zur Erhöhung des Vertrauens in E-Mails und zur Reduzierung von Risiken wie Phishing, Spoofing und Inhaltsoffenlegung. Die Erstversion beschreibt Technologien wie Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting & Conformance (DMARC) als Mechanismen zur Authentifizierung sendender Domains und zur Verbesserung der Vertrauenswürdigkeit von E-Mails.

Es werden außerdem TLS und zugehörige Zertifikatsauthentifizierungsprotokolle für die Übertragungssicherheit sowie S/MIME mit geeigneter Zertifikats- und Schlüsselverteilung für die Sicherheit des E-Mail-Inhalts empfohlen. Dabei wird betont, dass diese Technologien das Risiko verringern, dass gefälschte E-Mails als Angriffsvektor verwendet werden, und die unbefugte Offenlegung von E-Mail-Inhalten mindern. Der zweite Entwurf und die endgültige Revision 1 von SP 800-177 erweitern diese Empfehlungen um Protokollsicherheits-Technologien wie Mail Transfer Agent Strict Transport Security (MTA-STS) und TLS Reporting sowie eine E-Mail-System FISMA-Überlagerung, die Administratoren dabei helfen soll, E-Mail-Dienste mit Bundesbehördenvorschriften in Einklang zu bringen.

Wenn Mitarbeiter persönliche E-Mail-Konten verwenden – gehostet auf Verbraucherplattformen und von persönlichen Geräten aus zugegriffen – fehlt Organisationen typischerweise die Sichtbarkeit, ob diese Konten mit SPF, DKIM, DMARC, MTA-STS oder starkem TLS konfiguriert sind, selbst wenn die Anbieter solche Maßnahmen umfassend implementieren. Noch wichtiger ist, dass die Organisation ihre eigenen Domain-Authentifizierungseinstellungen für Nachrichten, die von persönlichen Domains gesendet werden, nicht durchsetzen kann, noch diese Nachrichten leicht in ihre E-Mail-Übertragungssicherheitsrichtlinien integrieren kann.

Beispielsweise empfiehlt SP 800-177, dass IMAP- und POP3-Clients sich über TLS mit Servern verbinden und nicht verschlüsselte TCP-Verbindungen mit einfacher Benutzername-Passwort-Authentifizierung vermeiden sollten. Es wird Unternehmen angeraten, ein kryptographisches Schlüsselmanagementsystem zum Schutz von E-Mail-Sitzungen mit Endbenutzern einzurichten. Diese Erwartungen setzen voraus, dass das Unternehmen die E-Mail-Server und die Client-Konfiguration bereitstellt und verwaltet; wenn die Mitarbeiter stattdessen persönliche Konten über Ad-hoc-Einstellungen auf Geräten außerhalb der Unternehmenssteuerung verbinden, ist die Einhaltung dieser Empfehlungen eher spekulativ als gesichert. Schatten-E-Mail führt daher zu einer strukturellen Diskrepanz zwischen empfohlenen, vertrauenswürdigen E-Mail-Praktiken und dem tatsächlichen Kommunikationsverhalten – was sich auf die Schatten-E-Mail-Compliance auswirkt.

Datenleckwege und Szenarien für Sicherheitsverletzungen

Die Verwendung persönlicher Konten für die Arbeit erhöht die Anzahl der Datenleckwege erheblich, insbesondere da persönliche Umgebungen weniger wahrscheinlich unternehmensweite Verschlüsselungs-, Überwachungs- und Zugangskontrollen aufweisen. Die allgemeinen Sicherheitsrichtlinien der ICO für Organisationen erläutern grundlegende Fragen zur E-Mail-Sicherheit, wie etwa ob E-Mail-Adressen persönliche Daten sind, wann Blindkopien (BCC) verwendet werden sollten und welche weiteren Sicherheitsmaßnahmen erforderlich sind, womit E-Mail klar in den umfassenderen Kontext der Cybersicherheit eingeordnet wird.

Die Richtlinien kategorisieren Datenschutzverletzungen und geben Hinweise, wann Vorfälle der ICO und betroffenen Personen gemeldet werden müssen sowie wie diese zu bewerten sind. Es wird betont, dass Organisationen angemessene technische und organisatorische Maßnahmen entwickeln müssen, um die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten, einschließlich E-Mails, sicherzustellen und unbefugten Zugriff oder Offenlegung zu verhindern. Schatten-E-Mail erschwert diese Maßnahmen, indem relevante personenbezogene Daten – Kundeninformationen, Personalkommunikation, interne strategische Diskussionen – in persönlichen Konten gespeichert werden, die möglicherweise nicht von unternehmensweiten Sicherheitstools wie Data Loss Prevention (DLP), zentralem Logging oder erweiterter Bedrohungserkennung profitieren.

Der Artikel über Schatten-IT von Harvard Business Services warnt speziell, dass die Vermischung persönlicher und unternehmensbezogener Daten auf nicht autorisierten Geräten die Wahrscheinlichkeit von Datenschutzverletzungen erhöht, da diese Geräte oft ohne strenge Sicherheitsrichtlinien genutzt werden und anfälliger für Verlust, Diebstahl oder Kompromittierung sind. Persönliche Laptops und Smartphones, die für die Arbeit genutzt werden, werden möglicherweise nicht zeitnah gepatcht, verfügen nicht über verschlüsselten Speicher oder Bildschirmsperren und verbinden sich mit unsicheren Netzwerken, können aber dennoch sensible Arbeits-E-Mails enthalten, wenn Mitarbeiter Kommunikationen über persönliche Konten auf diesen Geräten leiten.

Geht ein solches Gerät verloren oder wird es kompromittiert, sind Unternehmensdaten, die in persönlichen Postfächern liegen, exponiert, und die Organisation ist möglicherweise nicht einmal über das Ausmaß der Offenlegung informiert, was Meldung und Behebung von Datenschutzverletzungen erschwert. Hinzu kommt, dass persönliche E-Mail-Anbieter in der Regel große Mengen historischer E-Mails einschließlich Anhängen speichern, sodass ein einziger Vorfall Jahre an geschäftsbezogener Korrespondenz offenlegen kann, die nie den unternehmensweiten Aufbewahrungs- oder Löschrichtlinien unterlag.

Private Geräte, gemeinsam genutzte Computer und unbeabsichtigter Zugriff

Schatten-E-Mail wird häufig an der Schnittstelle persönlicher Konten und gemeinsam genutzter oder mehrfach verwendeter Geräte beobachtet, wo private und berufliche Kontexte auf eine Weise kollidieren, die unbeabsichtigten Zugriff auf sensible Informationen ermöglicht. Die Fallstudie der irischen Datenschutzkommission (DPC) zur Verarbeitung personenbezogener Daten von Mitarbeitern aus einem privaten E-Mail-Konto zu disziplinarischen Zwecken bietet hierfür ein anschauliches Beispiel: Ein Mitarbeiter kam zur Arbeit und fand sein persönliches E-Mail-Konto auf einem gemeinsam genutzten Computer geöffnet vor, auf den später der Arbeitgeber zugriff, mehrere E-Mails ausdruckte und diese einer dritten Partei für disziplinarische Maßnahmen übergab.

Die anschließende Kündigung von zwei Mitarbeitern, die teilweise auf diesen E-Mails basierte, führte zu Beschwerden bei der DPC, die feststellte, dass die Organisation personenbezogene Daten unrechtmäßig verarbeitet hatte, indem sie sich auf ungültige Einwilligungen stützte und die GDPR-Grundsätze nicht einhielt, und gegen Artikel 32 Absatz 1 und 2 verstoßen hatte, weil keine angemessenen Sicherheitsmaßnahmen implementiert wurden, um einen solchen Vorfall zu verhindern. Als Reaktion führte die Organisation Sicherheitsmaßnahmen wie Mitarbeiterschulungen zu GDPR und IT-Nutzung, einschließlich Computer-Login-Prozessen, ein, um das Risiko zu verringern, dass persönliche Konten auf Geschäftsausrüstung offen oder zugänglich bleiben.

Dieser Fall unterstreicht, dass Arbeitgeber bei der Nutzung persönlicher E-Mail-Konten auf Unternehmensgeräten, insbesondere gemeinsam genutzten, versucht sein könnten, alle zugänglichen Informationen als frei verwertbar zu betrachten, aber Regulierungsbehörden solche Annahmen strikt ablehnen und Organisationen dazu verpflichten, Datenschutz zu respektieren und starke Sicherheitspraktiken zu implementieren.

Regulatorische, Datenschutz- und Compliance-Kosten von Schatten-E-Mails

Unter der DSGVO ist der Begriff der personenbezogenen Daten weit gefasst und umfasst jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht – eine Definition, die problemlos E-Mail-Konten und Nachrichten einschließt, die im Arbeitskontext verwendet werden. Die Fallstudie der Brown University zur DSGVO im Kontext von Arbeits-E-Mails, die sich auf die italienische Entscheidung der Garante gegen Mapei konzentriert, kommt explizit zu dem Schluss, dass Arbeits-E-Mails personenbezogene Daten darstellen und dass die betroffene Person nach der DSGVO Rechte daran hat, einschließlich Zugriffs- und Löschrechten.

Der Fall zeigt, dass selbst wenn IT-Richtlinien besagen, dass Arbeits-E-Mails geschäftlichen Zwecken dienen und nicht privat sind, der Inhalt und die Metadaten dennoch persönliche Informationen des Mitarbeiters und seiner Korrespondenzpartner widerspiegeln, wodurch sie den DSGVO-Grundsätzen wie Rechtmäßigkeit, Fairness, Transparenz, Datenminimierung und Speicherbegrenzung unterliegen. Die Praxis von Mapei, das E-Mail-Konto nach Beendigung des Arbeitsverhältnisses aktiv zu halten und Nachrichten an einen Vorgesetzten weiterzuleiten, verstieß gegen diese Grundsätze, was zu einer Geldstrafe von 15.000 € führte und bestätigte, dass Arbeitgeber Arbeits-E-Mails nicht als rein unternehmensbezogenes Gut behandeln können, sobald diese sich auf identifizierbare Personen beziehen.

Private E-Mails für die Arbeit: arbeitsrechtliche Implikationen

Eine weitere europäische Entscheidung, die in der Diskussion der Shannon Chamber zu einem Fall der Workplace Relations Commission (WRC) hervorgehoben wird, erweitert den Fokus auf die Nutzung privater E-Mails für die Arbeit. In diesem Fall wurde einem Kundenberater eines Technikdistributors 4.500 € zugesprochen, nachdem festgestellt wurde, dass seine Kündigung unwirksam war. Der WRC-Gutachter stellte fest, dass die Verarbeitung seiner personenbezogenen Daten durch den Arbeitgeber – einschließlich der Weitergabe seiner privaten E-Mail-Adresse in Sitzungsprotokollen und der Nutzung seiner privaten E-Mail im Disziplinarverfahren – eine "verwerfliche Vertragsverletzung" und ein schwerwiegender Vertrauensbruch im Arbeitsverhältnis darstellte.

Der Gutachter bemerkte, dass eine der Anschuldigungen auf der privaten E-Mail des Arbeitnehmers beruhte, während dieser vom IT-System des Arbeitgebers abgemeldet war, und kritisierte die Verarbeitung dieser personenbezogenen Daten ohne ersichtliche vorherige Zustimmung oder Einwilligung des Arbeitnehmers als unangemessen und nicht mit den vertraglichen Datenschutzbestimmungen vereinbar. Die Analyse der Shannon Chamber kommt zu dem Schluss, dass die Nutzung privater E-Mails für berufliche Zwecke nicht zulässig sein sollte und Arbeitgeber klare Richtlinien in Mitarbeiterhandbüchern und Social-Media-Richtlinien bereitstellen sollten, was der wachsenden Erkenntnis entspricht, dass Schatten-E-Mails erhebliche vertragliche und regulatorische Probleme verursachen können.

Der Fall der irischen DPC unterstreicht DSGVO-Grundsätze, die besonders für Schatten-E-Mails relevant sind: Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung, Integrität, Vertraulichkeit und angemessene Sicherheit. Im betreffenden Fall stellte die DPC fest, dass der Zugriff und die Verarbeitung privater E-Mails von einem privaten Konto – das teilweise für Diskussionen über ein potenzielles Konkurrenzgeschäft genutzt wurde – ohne gültige Rechtsgrundlage gegen die Artikel 5(1)(a), (b) und (f) sowie Artikel 32(1) und 32(2) verstößt.

Die DPC wies die Berufung des Arbeitgebers auf allgemeine Einwilligungsklauseln in Verträgen und Datenschutzmitteilungen als Rechtsgrundlage für die Verarbeitung persönlicher E-Mail-Daten zurück und erklärte, dass Einwilligungen frei, spezifisch, informiert und eindeutig erfolgen müssen und dass pauschale Einwilligungen zur Verarbeitung jeglicher personenbezogener Daten auf Unternehmensgeräten nicht gültig sind. Für Organisationen, die sich mit Schatten-E-Mails befassen, bedeutet dies, dass das bloße Einbeziehen von Überwachungs- oder Datenverwendungsklauseln in IT-Richtlinien nicht automatisch die Rechtmäßigkeit des Zugriffs auf private Konten legitimiert, die beruflich genutzt werden, insbesondere wenn diese auch nicht-berufliche persönliche Informationen enthalten.

Betroffenenanfragen, DSARs und Komplexität bei der Entdeckung

Einer der konkretesten Compliance-Kosten im Zusammenhang mit Schatten-E-Mails ist die Komplexität, die sie bei der Beantwortung von Betroffenenanfragen (SARs) oder Anfragen auf Auskunft der betroffenen Person (DSARs) hinzufügt, wenn Personen ihre Rechte ausüben, Kopien von personenbezogenen Daten, die Organisationen vorliegen, zu erhalten. Die SAR-Richtlinie der ICO erkennt an, dass Arbeitgeber personenbezogene Informationen auf privaten Geräten ihrer Mitarbeitenden – einschließlich einzelner Auftragnehmer – und der Mitarbeitenden von Auftragsverarbeitern bereitstellen müssen, sofern der Arbeitgeber weiterhin der Datenverantwortliche für diese Daten ist.

Dazu zählen Situationen, in denen Mitarbeitende Smartphones, Heimcomputer, private E-Mail-Konten oder private Instant-Messaging-Dienste für berufliche Zwecke verwenden, sodass personenbezogene Daten, die über diese Kanäle verarbeitet werden, Teil der Datensätze des Arbeitgebers werden. Die ICO erklärt zwar, dass sie nicht erwartet, dass Arbeitgeber ihre Mitarbeitenden standardmäßig anweisen, ihre privaten Geräte oder E-Mails zu durchsuchen, stellt jedoch fest, dass diese Erwartung sich ändert, wenn der Arbeitgeber einen triftigen Grund hat zu glauben, dass dort relevante personenbezogene Daten gespeichert sind, wodurch das Vorhandensein geschäftsbezogener Informationen in privaten Konten potenziell eine umfassendere Suche auslöst.

Die rechtliche Kommentierung auf Lexology baut auf dieser Richtlinie auf und warnt davor, dass wenn Mitarbeitende persönliche Geräte oder Konten für arbeitsbezogene E-Mails nutzen dürfen, sie wahrscheinlich im Auftrag des Arbeitgebers handeln, und alle personenbezogenen Daten, die auf diesen Geräten oder Konten gespeichert sind, im Umfang eines DSARs relevant sein könnten.

Die Brown-Fallstudie zu Mapei deutet darauf hin, dass Arbeits-E-Mails, auch nach Beendigung des Arbeitsverhältnisses, Zugriffsanfragen nach Artikel 15 der DSGVO unterliegen können und dass ein Versäumnis, ausreichende Informationen über Verarbeitung, Aufbewahrung und Weiterleitung bereitzustellen, einen Verstoß darstellen kann. Parallel zeigen die Fälle der irischen DPC, dass Beschäftigte Beschwerden einreichen können, wenn ihre persönlichen E-Mail-Daten in disziplinarischen Verfahren verwendet werden, was Untersuchungen erfordert, bei denen Organisationen rekonstruieren müssen, welche Daten wann, von wem, auf welcher Rechtsgrundlage und mit welchen Sicherheitskontrollen abgerufen wurden.

Dies führt zu zusätzlichen administrativen und rechtlichen Kosten durch Schatten-E-Mails: Organisationen müssen Datenübersichten pflegen, die zumindest die Existenz privater, beruflich genutzter Konten anerkennen; sie müssen möglicherweise mit Mitarbeitenden zusammenarbeiten, um DSARs zu diesen Konten zu beantworten; und sie laufen Gefahr, regulatorische Prüfungen zu erfahren, wenn keine Rechtsgrundlage für die Verarbeitung dokumentiert ist oder wenn solche Konten ohne gültige Rechtfertigung eingesehen wurden.

Aus Sicht des Records Managements und der eDiscovery erschwert Schatten-E-Mail außerdem die Bereitschaft zur Rechtsstreitbewältigung und die Einhaltung rechtlicher Aufbewahrungsanforderungen. Unternehmens-E-Mail-Systeme enthalten typischerweise Werkzeuge für Aufbewahrungsrichtlinien, Journalisierung und Anwendung rechtlicher Aufbewahrungspflichten, die es Organisationen ermöglichen, relevante Kommunikation als Reaktion auf Klagen oder behördliche Untersuchungen zu sichern. Wenn Mitarbeitende Geschäftskommunikation teilweise über private Konten führen, fallen diese Nachrichten außerhalb der üblichen rechtlichen Aufbewahrungsmechanismen und können versehentlich gelöscht oder verändert werden, was die Vollständigkeit der Beweislage untergräbt und zu Sanktionen oder negativen Auslegungen im Prozess führen kann.

Regulierungsbehörden und Gerichte könnten fehlende Kommunikation aus privaten Konten als Hinweise auf Vernichtung von Beweismitteln oder schlechte Governance interpretieren, insbesondere wenn Richtlinien die Nutzung privater Konten für die Arbeit zuließen oder stillschweigend akzeptierten. Dadurch erhöhen Schatten-E-Mails sowohl die direkten Kosten für die Beantwortung von Zugriffs- und Entdeckungsanfragen als auch das indirekte Risiko von Verfahrensstrafen.

Operative und geschäftliche Auswirkungen von Schatten-E-Mails

Über die rechtlichen Kosten hinaus verursacht Schatten-E-Mail erhebliche operative Belastungen, indem sie die Sichtbarkeit der Organisation auf ihre eigenen Kommunikationsflüsse reduziert und Strategien des Records Management untergräbt. Das NIST-Konzept der „vertrauenswürdigen E-Mail“ in SP 800-177 geht davon aus, dass Organisationen Authentifizierung, Verschlüsselung und Übertragungskontrollen systematisch über ihre Mail Transfer Agents und Client-Verbindungen implementieren, mit einem klaren Verständnis darüber, wo E-Mails sich befinden und wie sie Netzwerke durchqueren.

Der Leitfaden zielt darauf ab, das Risiko von gefälschten E-Mails als Angriffsvektor und unbefugter Offenlegung von Inhalten zu verringern, indem Protokolle wie SPF, DKIM, DMARC, TLS und S/MIME empfohlen werden, die alle innerhalb einer integrierten Infrastruktur eingesetzt werden. Ebenso betont SP 800-45 Konfigurationsmanagement, standardisierte Software-Builds und umfassende Sicherheitsrichtlinien, um Vertraulichkeit, Integrität und Verfügbarkeit von E-Mail-Ressourcen sicherzustellen. Diese Rahmenwerke setzen effektiv voraus, dass die Organisation ihre E-Mail-Server, Clients und Domains aufzählen und sie nach Bedarf konfigurieren oder prüfen kann.

Verlust der Sichtbarkeit, Records Management und Vertrauenswürdigkeit von E-Mails

Schatten-E-Mail stört diese Annahme, indem sie parallele Kommunikationskanäle schafft, von denen die Organisation möglicherweise nicht einmal weiß, dass sie existieren. Wenn Mitarbeitende Kundenanfragen von persönlichen E-Mail-Konten beantworten, um Einschränkungen zu umgehen, oder Arbeitsdokumente an persönliche Konten weiterleiten, um später darauf zuzugreifen, fallen diese Nachrichten vollständig außerhalb zentralisierter Archiv-, DLP- und Journaling-Systeme.

Im Laufe der Zeit können wichtige Entscheidungen, Verhandlungen und sogar Vertragsabschlüsse nur in persönlichen Posteingängen dokumentiert werden, was die Fähigkeit der Organisation beeinträchtigt, Ereignisse konsistent zu rekonstruieren und die institutionelle Erinnerung schwächt. Im Mapei-Fall führte die Weiterleitung von Arbeits-E-Mails an einen Vorgesetzten nach Beendigung des Arbeitsverhältnisses zu einem verzerrten Protokoll, das den Anforderungen der DSGVO widersprach und vermutlich auch dem guten Records Management, und illustriert, wie selbst Missbräuche von Firmen-E-Mails Kommunikationsarchive verfälschen können. Schatten-E-Mail erhöht die Unordnung, indem sie relevante Nachrichten über persönliche Konten verstreut, die möglicherweise unzugänglich sind oder ohne Vorankündigung gelöscht werden.

Die von NIST definierte Vertrauenswürdigkeit von E-Mails leidet ebenfalls, wenn Mitarbeitende E-Mails von persönlichen Domains senden, die nicht die Marke der Organisation oder die domainbasierte Authentifizierung widerspiegeln. Wenn Mitarbeitende routinemäßig Kunden von persönlichen Gmail-Adressen kontaktieren, können Empfänger die Echtheit der Nachrichten mittels DMARC oder SPF nicht überprüfen, da sie nicht von der Firmendomain stammen, was den Phishing-Schutz untergräbt.

Andererseits könnten Angreifer persönliche Konten imitieren oder Kommunikationen abfangen, die die Sicherheit des E-Mail-Systems der Organisation umgehen, wodurch die von NIST geplanten Schutzmaßnahmen geschwächt werden. Diese operativen Auswirkungen sind subtil, aber bedeutend: Je mehr Kommunikation über unkontrollierte Kanäle läuft, desto weniger effektiv werden domainbasierte Vertrauensmechanismen.

Mitarbeiterüberwachung, Vertrauen und Organisationskultur

Schatten-E-Mail wirft heikle Fragen zur Mitarbeiterüberwachung und zum Vertrauen auf, besonders wenn Organisationen versuchen, die Nutzung persönlicher Konten einzuschränken oder mutmaßliches Fehlverhalten zu untersuchen. Datenschutzbehörden warnen im Allgemeinen vor routinemäßiger, pauschaler Überwachung von Mitarbeiter-E-Mails und betonen die Notwendigkeit guter Gründe und rechtmäßiger Grundlagen für den Zugriff auf Kommunikationen.

Die PIPEDA-Fallzusammenfassung stellt explizit fest, dass selbst wenn E-Mails, die auf dem System einer Organisation gesendet oder empfangen werden, als Firmenunterlagen gelten, sie auch persönliche Informationen sind, die durch das Gesetz geschützt werden, und dass das Office of the Privacy Commissioner es für unzulässig hält, dass Organisationen Mitarbeiter-E-Mails ohne guten Grund überwachen, der nach dem Gesetz gerechtfertigt ist. Die Zusammenfassung unterstreicht, dass die Beschäftigung den Arbeitgeber nicht von der Verpflichtung entbindet, Wissen und Zustimmung einzuholen, bevor persönliche Informationen gesammelt, verwendet oder offengelegt werden, es sei denn, es greifen gesetzliche Ausnahmen.

Die irische DPC-Fallentscheidung bestätigt diese Haltung, indem sie pauschale Zustimmungsklauseln ablehnt und die Notwendigkeit spezieller, informierter Zustimmung oder einer anderen gültigen Rechtsgrundlage bei der Verarbeitung persönlicher E-Mail-Daten auf geschäftlicher Ausrüstung hervorhebt.

Arbeitsrechtliche Entscheidungen wie der WRC-Fall, den Shannon Chamber diskutiert, zeigen, dass der unsachgemäße Umgang mit persönlichen E-Mail-Daten in disziplinarischen Kontexten nicht nur als Compliance-Verstoß, sondern als Bruch des grundlegenden Vertrauens angesehen werden kann, das Arbeitsverhältnisse stützt. Die Charakterisierung der Verarbeitung der persönlichen E-Mails eines Arbeitnehmers als eine „erhebliche Abweichung vom in einem Arbeitsvertrag verankerten Vertrauen und der Zuversicht“ signalisiert, dass Mitarbeitende vernünftigerweise erwarten, dass ihre persönlichen Konten mit Respekt behandelt werden und nicht ohne stichhaltige Begründung und Schutzmaßnahmen für disziplinarische Zwecke verwendet werden.

Wenn Organisationen Anschuldigungen aus Aktivitäten mit persönlichen E-Mails ableiten, die Mitarbeitende während ausgeloggter Unternehmenssysteme durchführen, wie in diesem Fall, riskieren sie, als übergriffig wahrgenommen zu werden, was das psychologische Sicherheitsgefühl untergräbt, die Moral schädigt und Fluktuation erhöhen kann.

Schatten-E-Mail erschwert Überwachungsentscheidungen, da Organisationen möglicherweise wissen, dass sensible oder kontroverse Diskussionen in persönlichen Kanälen stattfinden – etwa zur Planung eines Konkurrenzgeschäfts wie im DPC-Fall – gleichzeitig aber keine klare Anleitung haben, ob und wie sie auf diese Kanäle zugreifen dürfen. Der DPC-Fall zeigt, dass selbst wenn persönliche E-Mails Inhalte enthalten, die dem Geschäft schaden könnten, deren Verarbeitung zu disziplinarischen Zwecken ohne gültigen rechtlichen Grund zu DSGVO-Verstößen führen kann. Organisationen, die Vertrauen bewahren wollen, müssen diese Spannungen meistern, indem sie klare Grenzen für die Nutzung persönlicher Konten setzen, Richtlinien transparent kommunizieren und invasive Überwachung nur einsetzen, wo sie unbedingt notwendig und gerechtfertigt ist.

Vorfallreaktion, Forensik und Aufwand zur Behebung

Die Sicherheitsvorfälle, die durch Schatten-E-Mail entstehen – sei es Datenpannen, versehentliche Offenlegungen oder unautorisierte Verarbeitung – erfordern Vorfallreaktion und forensische Untersuchungen, die oft komplexer sind als solche, die sich nur auf firmeneigene Systeme beziehen. Traditionelle Vorfallreaktion basiert auf zentralen Logs, standardisierten Konfigurationen und bekannten Inventaren von Assets, wie sie in den E-Mail-Sicherheitsrichtlinien von NIST und den umfassenderen Cybersicherheits-Rahmenwerken vorgesehen sind.

Wenn Vorfälle persönliche Konten und Geräte betreffen, fehlt Organisationen oft der direkte Zugriff auf Logs, oder sie müssen den Zugang mit Mitarbeitenden oder Verbraucherdiensten aushandeln, was die Rekonstruktion von Zeitabläufen und die Einschätzung von Auswirkungen erschwert. Beispielsweise kann die Identifikation, welche persönlichen E-Mails unautorisiert eingesehen wurden oder welche Anhänge aus einem persönlichen Posteingang exfiltriert wurden, freiwillige Mitarbeit oder rechtliche Schritte gegen Anbieter erfordern, was Zeit und Unsicherheit erhöht.

Der irische DPC-Fall, bei dem persönliche E-Mails von einem gemeinsam genutzten Computer aus zu disziplinarischen Zwecken ausgedruckt wurden, zeigt, dass die Behebung von Vorfällen sowohl technische als auch Schulungsmaßnahmen umfassen kann. Nachdem der DPC festgestellt hatte, dass die Organisation gegen DSGVO-Grundsätze und Sicherheitsverpflichtungen verstoßen hatte, führte die Organisation Mitarbeiterschulungen zu DSGVO sowie zu IT-, Internet- und E-Mail-Nutzung, einschließlich Computer-Anmeldeprozesse, durch, um Wiederholungen zu verhindern.

Diese Art der Behebung verursacht direkte Kosten bei der Gestaltung und Durchführung von Schulungen sowie indirekte Kosten, da Mitarbeitende sich an neue Verfahren wie das Ausloggen aus persönlichen Konten auf gemeinsam genutzten Geräten und das Vermeiden der Nutzung persönlicher Konten auf Geschäftsausstattung gewöhnen müssen. Ebenso empfiehlt die Sicherheits- und Datenpannen-Richtlinie des ICO, dass Organisationen angemessene Richtlinien und Kontrollen einrichten, um Datenschutzverletzungen zu vermeiden, und beschreibt Meldepflichten, die detaillierte interne Untersuchungen erforderlich machen können. Vorfälle mit Schatten-E-Mails können diese Verpflichtungen auslösen und Ressourcen beanspruchen, die vermeidbar gewesen wären, wenn die Kommunikation innerhalb kontrollierter Unternehmens-E-Mail-Systeme geblieben wäre.

Mailbird in der Schatten-E-Mail-Landschaft: Fähigkeiten, Schutzmaßnahmen und Einschränkungen

Um die Rolle von Mailbird bei Risiken durch Schatten-E-Mails zu verstehen, ist ein genauer Blick auf seine Architektur und Datenschutzpraktiken erforderlich. Mailbird positioniert sich als E-Mail-Infrastrukturprodukt, das in Europa entwickelt wurde und einen Desktop-Client bereitstellt, der sich mit den E-Mail-Servern der Nutzer verbindet und Konten aggregiert, dabei jedoch bewusst vermeidet, E-Mail-Inhalte auf unternehmenseigenen Servern zu speichern.

Die Datenschutzrichtlinie von Mailbird, zuletzt aktualisiert im April 2026, erläutert, dass Mailbird nur minimale Kontoinformationen sammelt, darunter die E-Mail-Adresse des Nutzers, ein gehashter Passwort-Hash und den Namen zur Authentifizierung und für Service-Kommunikation sowie Verbindungsdetails zum Server wie IP-Adresse, SSH-Port, SSH-Benutzername und verschlüsselte Zugangsdaten, wenn Nutzer einen VPS verbinden. SSH-Zugangsdaten und SMTP-Passwörter werden im Ruhezustand mit Fernet (unter Verwendung von AES-128-CBC plus HMAC-SHA256) verschlüsselt, und Kontodaten werden in Supabase (PostgreSQL) in der EU gespeichert, wobei Verbindungen zur Mailbird-Anwendung auf TLS 1.2 oder höher beschränkt sind.

Betriebliche Metadaten wie Nachrichten-IDs, Empfängeradressen, Zeitstempel und Zustellstatus werden gesammelt, um Dashboards und Webhooks zu befüllen. Dennoch erklärt die Richtlinie ausdrücklich, dass Mailbird nicht den Inhalt von E-Mail-Nachrichten sammelt oder speichert, diese verbleiben auf den VPS- oder E-Mail-Servern der Nutzer.

Die unabhängige Bewertung von Mailbird durch DeleteMe bestätigt diese Architektur und liefert weitere Details zu Sicherheitsmaßnahmen und Datenerhebung. Der Artikel berichtet, dass Mailbird alle zwischen seiner Anwendung und dem Lizenzserver übertragenen Daten per HTTPS verschlüsselt, keine E-Mails oder persönlichen Daten auf seinen Servern speichert und keinen Zugriff auf Nutzer-E-Mails hat, die auf dem lokalen Computer oder den Anbieterservern verbleiben.

Er erklärt, dass Mailbird als lokal installiertes Programm Datenzugriffe einschränkt und nur begrenzte persönlich identifizierbare Informationen wie Benutzername und E-Mail-Adresse zur Lizenzvalidierung sowie Nutzungsdaten von Funktionen zur Softwareverbesserung sammelt, die an Analyseplattformen wie Mixpanel und ein Lizenzverwaltungssystem gesendet werden. Nutzer können die Datenerfassung deaktivieren, und keine Daten werden für kommerzielle Zwecke außerhalb von Mailbird-Softwareverbesserungen verwendet. Die Bewertung stellt fest, dass Mailbirds Kontosicherheit von der Stärke der Passwörter der Nutzer, der Verwendung von Zwei-Faktor-Authentifizierung und den Sicherheitspraktiken verbundener E-Mail-Anbieter abhängt, was impliziert, dass die Architektur von Mailbird zentrale Risiken reduziert, die Verantwortung jedoch an Endpunkte und Anbieter überträgt.

Authentifizierungs- und Transportschutz: OAuth 2.0, TLS und moderne Sicherheit

Die Unterstützung moderner Authentifizierung und verschlüsseltem Transport durch Mailbird entspricht den wichtigsten Empfehlungen des NIST und kann einige Sicherheitsrisiken im Zusammenhang mit der gemischten Nutzung von Konten mindern. Mailbirds Leitfaden zu Microsoft Modern Authentication Enforcement erläutert, dass Mailbird beim Verbinden von Microsoft-E-Mail-Konten automatisch versucht, OAuth 2.0 zu verwenden, was viel manuellen Konfigurationsaufwand für Nutzer beseitigt.

Gemäß dieser Dokumentation erkennt die Anwendung beim Hinzufügen von Microsoft-Konten im Setup-Prozess den Anbieter und ruft den Microsoft OAuth-Login-Prozess auf, der Nutzer zum offiziellen Authentifizierungsportal weiterleitet und das Token-Management transparent handhabt. So wird das moderne Authentifizierungsmodell OAuth unterstützt, das über traditionelle Benutzername-Passwort-Kombinationen hinausgeht. Der Leitfaden weist darauf hin, dass Mailbirds OAuth-Implementierung auch Gmail, Yahoo und andere große Anbieter umfasst und der Client die Protokolle IMAP, POP3 und SMTP mit modernen Authentifizierungsmechanismen unterstützt, wobei empfohlene Konfigurationsstrategien abhängig vom Anbieter und Kontotyp erklärt werden.

Mailbirds Datenschutz- und Sicherheitsunterlagen sowie Drittanbieterbewertungen beschreiben außerdem, wie der Client TLS für alle Verbindungen zu E-Mail-Servern verwendet, um die Kommunikation zwischen Mailbird und den Servern während der Übertragung zu verschlüsseln. Das NIST SP 800-177 empfiehlt ausdrücklich TLS für die Sicherheit der E-Mail-Übertragung und rät von unverschlüsselten TCP-Verbindungen ab. Es wird empfohlen, dass IMAP- und POP3-Clients TLS verwenden und mit einem vollständigen Satz von Schutzmaßnahmen wie Zertifikatsauthentifizierung und robustem Schlüsselmanagement verbunden sind.

Durch die Einhaltung dieser Praktiken unterstützt Mailbird den Schutz der Transportschicht, selbst wenn Nutzer persönliche Konten verbinden, und reduziert so bestimmte Risiken im Zusammenhang mit Schatten-E-Mails. Darüber hinaus verlagert die OAuth-Authentifizierung die Passwortverwaltung auf den Anbieter und unterstützt Mehr-Faktor-Authentifizierung auf Identitätsanbieterebene. Damit profitiert Mailbird vom Durchsetzen starker Authentifizierungsrichtlinien seiner Anbieter, wie etwa der MFA-Anforderungen von Microsoft und Google, die während des OAuth-Login-Prozesses angewandt werden.

Mailbirds Vergleich sicherer E-Mail-Clients erkennt an, dass der Schutz von Mailbird standardmäßig auf OAuth-freundlicher Einrichtung und externer Verschlüsselung beruht, falls erforderlich, und stellt fest, dass die Anwendung keine native End-to-End-Verschlüsselung bietet. Der Artikel empfiehlt Nutzern, die stärkeren Inhaltschutz als gewöhnliches TLS benötigen, Mailbird mit externen PGP-Tools oder datenschutzorientierten Anbietern zu kombinieren, anstatt zu erwarten, dass die App selbst End-to-End-Verschlüsselung bereitstellt.

Diese Transparenz ist wichtig für Organisationen, die Mailbird in hochsicheren Umgebungen in Betracht ziehen: Während der Client sicheren Transport und moderne Authentifizierung unterstützt, löst er nicht das Problem der Inhaltsvertraulichkeit über gemischte persönliche und Unternehmenskonten hinweg. Für Schatten-E-Mail bedeutet dies, dass Nachrichten, die von persönlichen Konten über Mailbird gesendet werden, zwar sicher transportiert werden können, aber dennoch unverschlüsselt auf Anbieterservern und Geräten gespeichert sind und bei Kompromittierung der Konten Risiken darstellen können.

Mailbird als Milderer oder Verstärker des Schatten-E-Mail-Risikos

Der Einfluss von Mailbird auf das Schatten-E-Mail-Risiko ist nicht vorbestimmt; er hängt stark davon ab, wie Organisationen und Nutzer das Tool konfigurieren und verwalten. Im mildernden Sinne kann Mailbird als kontrollierter Client für Unternehmenskonten dienen, der moderne Authentifizierung und TLS nutzt, um NIST-konforme Sicherheitsanforderungen zu erfüllen, und eine einheitliche Benutzeroberfläche bietet, die die Versuchung reduziert, persönliche Konten für die Arbeit zu verwenden, nur weil Unternehmenswerkzeuge umständlich sind.

Indem ein benutzerfreundlicher, effizienter Client bereitgestellt wird, der mehrere Unternehmenskonten verwaltet, können Organisationen die Komfortlücke adressieren, die oft Schatten-IT-Verhalten, einschließlich Schatten-E-Mail, antreibt. Wenn Mailbird mit Richtlinien eingesetzt wird, die Konto-Verbindungen auf Unternehmensdomänen und genehmigte Anbieter beschränken, und zentral verwaltet wird, kann es helfen, die E-Mail-Nutzung wieder unter Governance zu bringen und gleichzeitig die Nutzerzufriedenheit zu erhalten.

Im verstärkenden Sinne können jedoch dieselben Funktionen Mitarbeiter dazu verleiten, persönliche Konten aus Bequemlichkeit hinzuzufügen, was zu gemischter Nutzung in einem einzigen Client und Gerät führt. Ohne technische Durchsetzungsmechanismen, die Verbindungen zu nicht genehmigten Konten oder den Nachrichtenversand zwischen Konten verhindern, kann Mailbird zu einer Plattform werden, auf der Schatten-E-Mail gedeiht: Mitarbeiter prüfen ihr persönliches Gmail neben Unternehmens-Exchange, leiten Arbeitsdokumente an persönliche Konten zur späteren Verwendung weiter und antworten Geschäftskontakten von persönlichen Adressen, ohne es zu bemerken – vor allem in einheitlichen Posteingangsanzeigen.

Das Fehlen nativer End-to-End-Verschlüsselung, wie in Mailbirds sicherem Client-Vergleich zugegeben, bedeutet, dass Unternehmensinhalte, die über persönliche Konten in Mailbird versendet werden, nur durch Transportverschlüsselung und Anbietersicherheit geschützt sind, nicht durch anwendungsspezifische Inhaltskontrollen. In Umgebungen, in denen Datenhoheit, Verschlüsselung im Ruhezustand oder Anbieterauswahl Teil der Sicherheitsrichtlinie sind, kann dies schwer erkennbare Richtlinienverstöße verursachen.

Mailbirds Datenschutzposition – dass keine E-Mail-Inhalte gespeichert und somit nicht gelesen oder verarbeitet werden – vermindert die direkte Rolle des Unternehmens bei Datenschutzentscheidungen, bedeutet aber auch, dass Organisationen nicht auf Mailbird für zentrale Inhaltsgovernance oder -überwachung vertrauen können. Wenn die Unternehmens-IT E-Mail-Inhalte auf Compliance oder Data Loss Prevention prüfen möchte, muss dies über Server-Tools oder Anbieterfunktionen erfolgen, nicht über Mailbird.

In Szenarien mit Schatten-E-Mail, in denen Mitarbeiter persönliche Anbieter nutzen, hat die Unternehmens-IT möglicherweise keinen Zugriff auf diese Konten und somit keine Möglichkeit, Beschränkungen bei Datenexfiltration oder Missbrauch zu überwachen oder durchzusetzen. Die Verantwortung liegt daher klar bei Organisationsrichtlinien und Schulungen: Mailbird kann Teil einer verwalteten Lösung sein, aber nur, wenn der soziale und regulatorische Kontext berücksichtigt wird.

Letztendlich kann Mailbird entweder dazu beitragen, Schatten-E-Mail zu reduzieren, indem es einen leistungsfähigen, genehmigten Client bereitstellt, der Sicherheitsanforderungen erfüllt, oder als Kanal dienen, durch den sich Schatten-E-Mail verbreitet – je nachdem, wie es eingesetzt wird. Die Produktarchitektur und Funktionen sind in dieser Hinsicht weder grundsätzlich gut noch schlecht, sondern schaffen Möglichkeiten, die Governance erfordern. In diesem Bewusstsein müssen Organisationen Mailbird in eine umfassendere E-Mail-Sicherheits- und Datenschutzstrategie einbinden, die durch NIST-Richtlinien, ICO- und DPC-Beschlüsse sowie interne Risikoanalysen rund um Schatten-IT und die Nutzung persönlicher Konten informiert wird.

Governance-Strategien: Schatten-E-Mail-Eindämmung bei der Nutzung von Mailbird

Eine effektive Eindämmung von Schatten-E-Mails erfordert robuste Richtlinien, die sowohl technische Best Practices als auch regulatorische Verpflichtungen widerspiegeln. NIST SP 800-45 betont, dass Organisationen angemessene Sicherheitsmanagementpraktiken und Kontrollen beim Betrieb sicherer Mailserver implementieren sollten, einschließlich organisationsweiter Informationssicherheitspolitiken, Konfigurations- und Änderungsmanagement, Risikoabschätzung und -management, standardisierte Softwarekonfigurationen, Sicherheitsbewusstsein und Schulungen, Notfallplanung sowie Zertifizierungen und Akkreditierungen.

Diese grundlegenden Elemente sind für E-Mail-Clients und Kontonutzung ebenso relevant wie für Server: Organisationen müssen definieren, welche Konten und Anbieter für die Arbeit erlaubt sind, unter welchen Bedingungen und mit welchen Schutzmaßnahmen, und diese Entscheidungen in Richtlinien dokumentieren, die Mitarbeitende verstehen können.

Grundlagen der Richtlinie im Einklang mit den NIST-E-Mail-Sicherheitsrichtlinien

NIST SP 800-177 und seine Revision 1 liefern spezifische Empfehlungen zur Einführung von Protokollen und Technologien, die die Vertrauenswürdigkeit von E-Mails verbessern, darunter domainbasierte Authentifizierung (SPF, DKIM, DMARC), TLS, S/MIME, MTA-STS und TLS-Reporting sowie ein E-Mail-System-FISMA-Overlay, das hilft, Dienste mit Bundeskontrollen in Einklang zu bringen. Diese Dokumente legen nahe, dass Organisationen die Kontrolle über ihre E-Mail-Domains und Infrastruktur behalten sollten, um solche Technologien korrekt umzusetzen, was wiederum nahelegt, dass Richtlinien die Weiterleitung von Arbeitskommunikation über persönliche Konten, die nicht von diesen Vertrauensmechanismen profitieren, entmutigen oder verbieten sollten.

Durch die Bezugnahme auf NIST-Empfehlungen können Organisationen erläutern, warum Unternehmens-E-Mail der bevorzugte Kanal ist und warum persönliche Konten Sicherheits- und Vertrauenswürdigkeitsprobleme verursachen, was die Begründungen für Richtlinien verstärkt.

Richtlinien sollten auch regulatorische Erwartungen hinsichtlich personenbezogener Daten und E-Mails berücksichtigen, basierend auf Anleitungen von ICO, DPC, Garante und PIPEDA. Beispielsweise können Organisationen ausdrücklich festlegen, dass persönliche E-Mail-Konten nicht für Arbeitskommunikation verwendet werden dürfen, die personenbezogene Daten oder vertrauliche Geschäftsinformationen enthält, unter Verweis auf Fälle, in denen der Missbrauch persönlicher E-Mails zu Urteilen wegen ungerechtfertigter Kündigung oder Datenschutzverletzungen geführt hat.

Sie können auch klären, dass Arbeits-E-Mails personenbezogene Daten darstellen und Mitarbeitende Rechte darauf haben, die intern respektiert werden sollten, wodurch Praktiken wie das Weiterleiten von E-Mails ehemaliger Mitarbeitender an Vorgesetzte entmutigt werden. Die Kombination technischer und regulatorischer Argumente hilft, Richtlinien zu schaffen, die sowohl sinnvoll als auch rechtlich abgesichert sind.

Technische Kontrollen: Kontentrennung, Verschlüsselung und Überwachung innerhalb rechtlicher Grenzen

Allein Richtlinien können Schatten-E-Mail nicht beherrschen; technische Kontrollen sind notwendig, um Kontentrennung und Sicherheitserwartungen zu operationalisieren. In Umgebungen mit Mailbird könnten Organisationen Client-Installationen über verwaltete Bereitstellungsmechanismen konfigurieren, die Firmenkonten voreinstellen und die Möglichkeit, persönliche Konten hinzuzufügen, deaktivieren oder einschränken, um das Risiko einer gemischten Nutzung zu verringern.

Obwohl die Mailbird-Dokumentation in den bereitgestellten Suchergebnissen keine verwalteten Konfigurationsfunktionen beschreibt, können Organisationen dennoch Geräteeinschränkungen durchsetzen, etwa Mailbird nur auf Firmenrechnern mit strikten Benutzerrechten zulassen oder Anwendungs-Whitelisting verwenden, um zu begrenzen, was auf privaten Geräten installiert werden kann. Gerätemanagementsysteme können zudem sicherstellen, dass Computer, die über Mailbird auf Firmen-E-Mails zugreifen, verschlüsselten Speicher, automatische Sitzungssperren und starke Authentifizierung nutzen, was den Erwartungen von NIST an sichere Client-Umgebungen entspricht.

Verschlüsselungsstrategien sollten sowohl den Transport als auch den Inhalt berücksichtigen. Mailbirds Verwendung von TLS 1.2+ für Verbindungen und OAuth 2.0 für die Authentifizierung entspricht den NIST-Empfehlungen und sollte wo möglich aktiviert oder erzwungen werden. Für die Inhaltsvertraulichkeit können Organisationen die Nutzung von S/MIME oder OpenPGP für sensible Nachrichten verlangen oder fördern, entsprechend der Empfehlung von NIST, die Sicherheit des E-Mail-Inhalts durch Verschlüsselung und Authentifizierung via S/MIME sowie die zugehörigen Zertifikats- und Schlüsselverteilungsprotokolle zu gewährleisten.

SP 800-177 empfiehlt, E-Mail-Schlüssel für S/MIME und OpenPGP nur für Nachrichten während der Übertragung zu verwenden und Nachrichten, die für die dauerhafte Speicherung bestimmt sind, mit nutzerkontrollierten Schlüsseln zu entschlüsseln und erneut zu verschlüsseln, idealerweise in verschlüsselten Dateisystemen, um maximale Sicherheit zu gewährleisten. Obwohl Mailbird keine native Ende-zu-Ende-Verschlüsselung bietet, weist die Anleitung auf die Kombination mit externen PGP-Tools oder datenschutzorientierten Anbietern hin, was Organisationen einen Weg zur Inhaltsverschlüsselung durch ergänzende Lösungen eröffnet.

Überwachung und Protokollierung müssen unter Berücksichtigung rechtlicher Grenzen gestaltet werden. Organisationen sollten den Zugriff auf persönliche Konten auf gemeinsam genutzten Geräten vermeiden, da dies im irischen DPC-Fall zu GDPR-Verstößen führte. Stattdessen sollten Überwachungsbemühungen sich auf Firmenkonten und Server konzentrieren, zum Beispiel durch den Einsatz von DLP zur Erkennung anomaler Exfiltrationsversuche, sowie auf Gerätekonformitätsmetriken wie Patch-Status und Antivirus-Schutz.

Bei Untersuchungen, die Zugriff auf Mitarbeiter-E-Mails erfordern, sollten Organisationen auf rechtmäßige Grundlagen wie berechtigte Interessen oder gesetzliche Ausnahmen (z. B. PIPEDAs Ausnahmen für Untersuchungen) setzen und sicherstellen, dass die Einwilligung nicht missbräuchlich als generelle Rechtfertigung verwendet wird, wobei der Schwerpunkt auf Spezifität und Freiwilligkeit liegt. Überwachungsrichtlinien sollten transparent sein, wie von ICO- und PIPEDA-Anleitungen hervorgehoben, um Vertrauensverlust zu vermeiden.

Reaktion auf DSARs, Zugriffsanfragen und Untersuchungen im Kontext von Schatten-E-Mail

Angesichts der Unvermeidbarkeit von DSARs und Untersuchungen müssen Organisationen Prozesse entwickeln, die Schatten-E-Mails adressieren, ohne unangemessen in personenbezogene Daten einzugreifen. Die SAR-Anleitung des ICO stellt klar, dass Arbeitgeber verpflichtet sein können, persönliche Informationen bereitzustellen, die auf persönlichen Geräten der Mitarbeitenden gespeichert sind, wenn sie weiterhin die Datenverantwortlichen für diese Daten sind. Regulierungsbehörden erwarten jedoch keine generellen Anweisungen zur Durchsuchung persönlicher Geräte, sofern kein begründeter Verdacht auf relevante Daten vorliegt.

Dies legt nahe, dass Organisationen dokumentieren sollten, wann und warum Mitarbeitende persönliche Konten für die Arbeit genutzt haben – z. B. in Notfallsituationen – und diese Dokumentation nutzen, um zu entscheiden, ob persönliche Konten bei der Beantwortung bestimmter DSARs berücksichtigt werden müssen. Die Diskussion bei Lexology hebt hervor, dass das Recht in vielen Aspekten noch ungetestet ist, Arbeitgeber sollte die ICO-Richtlinien jedoch ernst nehmen und vermeiden, persönliche Konten entweder zu ignorieren oder Mitarbeitende unangemessen zu durchsuchen.

In Fällen wie bei Mapei, wo Arbeits-E-Mail nach Ende des Beschäftigungsverhältnisses aufbewahrt wird, erfordert die Beantwortung von Zugriffsanfragen sorgfältigen Umgang mit Kontostatus, Weiterleitungspraktiken und Aufbewahrungsrichtlinien. Organisationen sollten sicherstellen, dass ehemalige Mitarbeiterkonten deaktiviert oder anonymisiert werden, wie es die GDPR-Prinzipien vorsehen, und dass alle Weiterleitungen oder Aliase transparent und dokumentiert sind.

Parallel zeigen Vorfälle wie der DPC-Fall, dass Mitarbeitende Zugang zu Daten verlangen können, die aus ihren persönlichen E-Mail-Konten verarbeitet wurden, und die Rechtmäßigkeit dieser Verarbeitung in Frage stellen, was klare Aufzeichnungen darüber erfordert, wie und warum persönliche E-Mails eingesehen wurden und wie anschließend Sicherheitsmaßnahmen aktualisiert wurden. Die Betonung von PIPEDA auf Einwilligung und gesetzliche Ausnahmen zeigt, dass Organisationen ihre Handlungen bei Zugriffen auf persönliche Konten im Rahmen von Untersuchungen schlüssig begründen müssen und bereit sein sollten, ihre Begründungen gegenüber Regulierungsbehörden darzulegen.

Für Organisationen, die Mailbird verwenden, müssen DSAR- und Untersuchungsprozesse die Rolle des Clients im Datenfluss berücksichtigen. Während Mailbird keine E-Mail-Inhalte speichert, hält es betriebliche Metadaten und Konto-Informationen, die unter GDPR und ähnlichen Gesetzen als personenbezogene Daten gelten können, was Nutzern Rechte auf Zugang und Berichtigung dieser Daten einräumt.

Die Datenschutzrichtlinie von Mailbird beschreibt, wie Nutzer Rechte wie Zugang, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch und Widerruf der Einwilligung durch Kontaktaufnahme mit support@mailbird.io ausüben können, und verspricht eine Antwort innerhalb von 30 Tagen, was illustriert, wie das Unternehmen selbst mit DSARs im Rahmen seiner eigenen Verarbeitung umgeht. Organisationen, die Mailbird intern einsetzen, müssen sicherstellen, dass ihre eigenen Datenschutzprozesse ebenfalls regeln, wie Kontometadaten, Protokolle und Konfigurationsdaten verarbeitet und den Mitarbeiterinnen und Mitarbeitern auf Anfrage zugänglich gemacht werden.

Unter Berücksichtigung arbeitsrechtlicher Fälle wie der WRC-Entscheidung sollten Organisationen auch bedenken, wie DSARs mit disziplinarischen Verfahren zusammentreffen, die E-Mail-Daten involvieren. Fordern Mitarbeitende Kopien von E-Mails an, die in Disziplinarverfahren genutzt wurden, insbesondere von persönlichen Konten, müssen Organisationen die Datenschutzrechte gegen Geschäftsinteressen und rechtliche Beschränkungen abwägen und sicherstellen, dass relevante Daten nicht zurückgehalten oder über rechtmäßige Grundlagen hinaus verarbeitet werden. Schatten-E-Mail erschwert dieses Gleichgewicht, weshalb klare und dokumentierte Praktiken wichtig sind.

Häufig gestellte Fragen