Wenn TLS nicht genügt: Warum die E-Mail-Verschlüsselung für Unternehmen zur Rechtsfrage wird
Transportverschlüsselung galt lange als ausreichend, um E-Mails datenschutzkonform zu versenden. Ein Urteil des Oberlandesgerichts Schleswig und die Vorgaben der Datenschutzbehörden zeigen: Bei sensiblen Inhalten – etwa Rechnungen an Privatkunden – kann das zu wenig sein.
Kaum ein Vorgang ist im Geschäftsalltag so selbstverständlich wie der Versand einer E-Mail. Genau diese Selbstverständlichkeit rückt seit einiger Zeit in ein anderes Licht: Wer personenbezogene Daten per Mail verschickt, muss sie angemessen schützen – und was „angemessen“ heißt, ist längst nicht nur eine technische, sondern auch eine rechtliche Frage. Fachbeiträge, die den Zusammenhang von TLS und Datenschutz-Grundverordnung (DSGVO) erklären, greifen damit ein Thema auf, das viele Unternehmen bislang unterschätzt haben.
Zwei Verfahren, ein verbreitetes Missverständnis
Im Kern geht es um den Unterschied zwischen zwei Arten der Verschlüsselung. Die Transportverschlüsselung per TLS sichert eine E-Mail nur auf dem Weg zwischen den beteiligten Servern – also zwischen dem Rechner des Absenders, dessen Mailserver, gegebenenfalls weiteren Zwischenstationen und schließlich dem Server des Empfängers. Auf diesen Servern liegt die Nachricht jeweils im Klartext vor. Die Ende-zu-Ende-Verschlüsselung hingegen verschlüsselt den Inhalt bereits beim Absender so, dass ihn ausschließlich der vorgesehene Empfänger wieder lesbar machen kann. Verbreitet ist die Annahme, TLS reiche in jedem Fall aus. Diese Annahme ist zumindest missverständlich.
Was die Aufsichtsbehörden erwarten
Die Datenschutzkonferenz (DSK), das gemeinsame Gremium der deutschen Aufsichtsbehörden, hat in einer Orientierungshilfe eine Abstufung vorgenommen. Danach gilt eine qualifizierte Transportverschlüsselung – konkret genannt werden TLS in der Version 1.2 oder höher sowie eine korrekte Zertifikatsprüfung – als Mindestanforderung für den Versand von Mails mit personenbezogenen Daten. Für Nachrichten mit besonders schützenswerten Inhalten reicht das nach Auffassung der Behörden jedoch nicht. Bei Daten, deren Offenlegung ein hohes Risiko für die Betroffenen bedeuten würde – etwa Gesundheitsdaten oder andere besondere Kategorien nach Artikel 9 DSGVO – ordnet die DSK die Ende-zu-Ende-Verschlüsselung als Stand der Technik ein. Es handelt sich dabei um eine Auslegung der Behörden, nicht um einen starren Gesetzestext; entscheidend bleibt die Abwägung im Einzelfall.
Ein Urteil, das die Branche aufhorchen ließ
Praktische Brisanz erhielt die Debatte durch eine Entscheidung des Oberlandesgerichts Schleswig vom 18. Dezember 2024 (Aktenzeichen 12 U 9/24). Zugrunde lag ein Fall, wie er alltäglicher kaum sein könnte: Ein Unternehmen hatte einem Privatkunden eine Rechnung per E-Mail geschickt – nur transportverschlüsselt. Unbekannte fingen die Nachricht ab, veränderten die Bankverbindung und leiteten so den Zahlbetrag auf ein fremdes Konto um. Das Gericht wies die Klage des Unternehmens auf erneute Zahlung ab: Der Kunde könne dem Zahlungsverlangen einen eigenen Schadensersatzanspruch entgegenhalten. Nach Lesart des Gerichts hätte das Unternehmen bei einer Rechnung an einen Verbraucher eine sicherere Verschlüsselung wählen müssen, weil das Abfangen von Mails ein vorhersehbares Risiko sei. Das Urteil betrifft einen konkreten Einzelfall und ist nicht ohne Weiteres auf jede Konstellation übertragbar – als Signal an die Wirtschaft wurde es dennoch breit diskutiert.
Was das für den Alltag bedeutet
Für Unternehmen und Selbstständige folgt daraus keine pauschale Pflicht zur Ende-zu-Ende-Verschlüsselung jeder einzelnen Mail. Sinnvoll ist vielmehr, den eigenen Mailverkehr danach zu sortieren, wie sensibel die Inhalte sind: Wo Gesundheits-, Finanz- oder andere heikle Daten übermittelt werden, verdient die Frage nach zusätzlichem Schutz besondere Aufmerksamkeit. Wo lediglich TLS zum Einsatz kommt, lohnt ein Blick darauf, ob die Verbindung tatsächlich verschlüsselt zustande kommt und nicht im Zweifel unverschlüsselt weiterläuft. Am Ende ist gute Verschlüsselung weniger eine einmalige Anschaffung als eine Frage der Routine.
Dieser Beitrag ordnet ein öffentlich diskutiertes Thema redaktionell ein und stellt keine Rechtsberatung dar. Für die Bewertung des eigenen Einzelfalls sollten fachkundige Beraterinnen und Berater hinzugezogen werden.