Sie sind hier: Home » Fachartikel » Hintergrund

Erfassung interner und externer Mails

Mit E-Mail-Recording die Compliance sichern: Eine Blackbox für die Kommunikation
Für die sichere Einhaltung der Compliance-Vorschriften sollten E-Mails archiviert werden, bevor eine unbewusste oder bewusste Änderung vorgenommen werden kann

(03.09.09) - Nach einem Urteil des Oberlandesgerichts Karlsruhe von 2005 erfüllt schon das Löschen und Ausfiltern von E-Mails den Tatbestand des Unterdrückens gemäß §206 StGB. Daher müssen Unternehmen zur Gewährleistung der Compliance sämtliche elektronischen Nachrichten im Originalformat archivieren, selbst Spam- und vireninfizierte E-Mails. Entsprechend bieten manche herkömmliche E-Mail-Archivierungssysteme nur eine unzureichende juristische Absicherung. Denn sie erfassen und speichern eingehende Mails erst, nachdem sie von Antiviren- oder Spam-Filtern aussortiert wurden. Zusätzlich können bei Systemabstürzen einzelne Mails verloren gehen, wenn sie nicht zuvor vom Archivsystem gesichert wurden.

Groupware wie E-Mail-Clients wandelt häufig die Formate empfangener Nachrichten um. Dadurch können Inhalte verändert oder gelöscht werden, zum Beispiel wenn der Anhang ein nicht kompatibles Format besitzt. Deduplizierung und Single Instancing zur Entfernung doppelter Inhalte entsprechen ebenfalls nicht der Compliance.

Im Vergleich zu Server-basierten Archivsystemen besitzen Client-seitige Lösungen sogar noch größere Risiken für die Compliance. Bei der manuellen Auswahl weiß jedoch kaum ein Mitarbeiter genau, welche E-Mails aufzubewahren sind und welche gelöscht werden dürfen. Diese Unsicherheit kann zum Verlust geschäftsrelevanter Informationen führen. Doch auch bei der automatischen Verschiebung können durch das manuelle Löschen durch den Mitarbeiter sowie bei Fehlfunktionen oder fehlerhaften Konfigurationen Botschaften verloren gehen. Für die sichere Einhaltung der Compliance-Vorschriften sollten daher E-Mails archiviert werden, bevor eine solche unbewusste oder bewusste Änderung vorgenommen werden kann.

Unternehmensprüfer fordern dabei nicht nur die Archivierung und Auffindbarkeit aller externen E-Mails, sondern auch den Nachweis der internen Korrespondenz zu den entsprechenden Geschäftsvorfällen. Aufgrund empfindlicher Strafen bei Missachtung der Vorschriften sind Unternehmen daher auf eine zuverlässige Archivierungslösung für vollständig der Compliance entsprechendes E-Mail-Management angewiesen.

Eine solche bieten leistungsfähige Mail-Recording-Systeme, die nach dem Black-Box-Prinzip, ähnlich wie ein Flugschreiber, arbeiten. Sie zeichnen zuverlässig sämtliche ein- und ausgehenden externen und internen E-Mails vor möglichen Manipulationen durch Server, Client oder Nutzer rechtssicher auf. Damit keine E-Mail verloren geht, werden sie allen im System vorhandenen Filtern vorgeschaltet. Anschließend werden die Nachrichten unveränderbar in einen Speicher geschrieben und nur im Notfall wieder herausgeholt. So brauchen sich die Compliance-Verantwortlichen keine Gedanken mehr über das revisionssichere E-Mail-Management zu machen, weil alles automatisch erledigt wird. Dabei ist der Administrationsaufwand gering, wenn auf störanfällige Funktionen verzichtet wird.

Zugriff auf das Archiv
Ein endgültiges Löschen der Daten vor Ablauf der eingestellten Fristen darf aus Compliance-Gründen nicht möglich sein. Für die schnelle Recherche sollte jedoch eine leistungsfähige Volltext- und Metadatensuche zur Verfügung stehen, mit einem Datenzugriff über jeden Standardwebbrowser. Die Lese- und Schreibrechte sind dabei sehr restriktiv zu vergeben, denn auch wenn sich die E-Mails bereits im Archiv befinden, können sie von Mitarbeitern oder anderen Personen manipuliert oder entfernt werden.

Ist auf die Daten im Falle einer Prüfung wieder zuzugreifen, sollte sich das Archiv daher nur nach dem Vier-Augen-Prinzip öffnen lassen. Dann können nur zwei Personen mit unterschiedlichen Passwörtern den Zugriff freigeben. Die gefundenen E-Mails sollten sich dann als Kopie in vielen Formaten abspeichern lassen. Zudem ist es empfehlenswert, dass der Mailrecorder eine plattform-unabhängige Architektur besitzt, die auf allen gängigen Betriebssystem-Plattformen lauffähig sowie beliebig skalierbar ist. (Comidd: Karsten Renz, Optimal Systems: ra)

Optimal Systems: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Comidd: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>

Meldungen: Hintergrund

Wer ist von der CSRD betroffen?
Für Unternehmen ist der eigene ökologische Fußabdruck mittlerweile eine entscheidende erfolgsrelevante Steuerungsgröße geworden. Welche Investitionen und wirtschaftlichen Tätigkeiten sind ökologisch nachhaltig und ermöglichen es, sich am Markt positiv zu differenzieren? Die Erstellung einer Nachhaltigkeitsberichtserstattung nimmt darüber hinaus auch seitens der Aufsichtsbehörden und Regulatoren einen immer größeren Raum ein. Das Jahr 2023 startete bereits mit einem wichtigen Meilenstein für das ESG-Reporting – der Berichterstattung für die Bereiche Umwelt (Environmental), Soziales (Social) und verantwortungsvolle Unternehmensführung (Governance). Am 5. Januar 2023 ist die EU-Richtlinie über die Nachhaltigkeitsberichterstattung der Corporate-Sustainability-Reporting-Direktive (CSRD) in Kraft getreten. Diese führt zu einer umfangreichen und verbindlichen Nachhaltigkeitsberichterstattung.
Data Act könnte schon 2024 in Kraft treten
Wir erleben es jeden Tag: Datenmengen steigen ins Unermessliche. Die Prognose der EU-Kommission erwartet allein in der EU zwischen 2020 und 2030 einen Anstieg des Datenflusses in Cloud- und Edge-Rechenzentren um 1500 Prozent - kein Tippfehler. Entsprechend riesig ist das wirtschaftliche Potential, denn Daten sind der zentrale Rohstoff etwa für das Internet of Things. Das wiederum wird von der EU im Jahr 2030 (1) auf eine wirtschaftliche Gesamtleistung auf bis zu elf Billionen Euro geschätzt. Somit ist der EU Data Act, der in einem ersten Entwurf im Frühjahr 2022 von der EU-Kommission vorgestellt wurde, in seiner Bedeutung für die Datenökonomie nicht zu unterschätzen. Es geht nämlich um die Rahmenbedingungen für den Austausch von Daten: Das heißt, alle Geschäftsmodelle, die auf vernetzten Produkten und Dienstleistungen beruhen, sind betroffen. Und die Zeit steht nicht still. Der Data Act könnte schon 2024 in Kraft treten.
Aufsichtsbehörden machen Ernst
Der Datenschutz wurde durch die im Mai 2018 in Kraft getretene EU-Datenschutz-Grundverordnung (DSGVO) europaweit geschärft und die Rechte der Betroffenen gestärkt. Die Aufsichtsbehörden sind mittlerweile aktiv geworden und verhängen teils empfindliche Strafen, wenn Unternehmen und Konzerne mit dem Schutz der User- und Kundendaten zu lax umgehen. Unternehmen, die online Leads und Kunden generieren, sollten deswegen ein Auge auf die Details haben und nur mit seriösen Partnern zusammenarbeiten, die eine DSGVO-konforme Verarbeitung von Daten nachweisen können. Das Inkrafttreten der DSGVO im Mai 2018 rollte wie eine Schockwelle durch die Welt des Online-Business und der Leadgenerierung. Denn die europäische Datenschutzgrundverordnung hat den Schutz personenbezogener Daten ausgeweitet und verschärft. Ziel war es, ein europaweit gleich hohes Schutzniveau zu erreichen, die Verfahren gegen Verstöße zu vereinfachen und den Datenschutz dem technischen Fortschritt der Digitalisierung anzupassen.
Audit-Druck ebnet Weg hin zu Abo-Modellen
Beim Thema Software-Audit kommen zwei historisch signifikante Zustände zusammen: Einerseits hat sich Europa insbesondere von US-Softwareanbietern stark abhängig gemacht und ist andererseits durch den omnipräsenten Digitalisierungsdruck bereit, die Situation trotz gelegentlicher gegenteiliger Verlautbarungen offenbar noch zu verschlimmern. Lesen Sie hier, was die Erfindung des Software-Audits damit zu tun hat.
Digitale Verwaltungsdienste ohne Datengrundlage?
Deutsche Behörden tun sich schwer, ihre Angebote für Bürger und Bürgerinnen digital anzubieten. Das aktuelle Onlinezugangsgesetz (OZG) macht aber Bund, Ländern und Kommunen jetzt kräftig Druck. Geht es nach dem Gesetzgeber, sollen bis Jahresende rund 600 Verwaltungsdienstleistungen in digitaler Form bereitstehen - und zwar bundesweit.

E-Mail und die digitale Steuerprüfung Compliance und ECM ergänzen sich gegenseitig