Tutao GmbH

Was war passiert?

Das OLG Schleswig-Holstein hat sich mit dem Fall eines Bauunternehmers befasst und durch sein Urteil eine neue Diskussion um die Sicherheit von E-Mails entfacht. Aber was genau war passiert?

Ein Bauunternehmer hat eine Schlussrechnung in Höhe von 15.000€ als Anlage einer E-Mail mit Transportverschlüsselung (TLS) an einen privaten Auftraggeber versendet. Die Rechnung wurde auf dem Weg zum Auftraggeber von einem Angreifer abgefangen, der wiederum dann die Kontonnummer zu seinen Gunsten manipuliert hat. Der Auftraggeber hat die Manipulation nicht bemerkt und den Betrag auf das Konto des Kriminellen anstatt das des Bauunternehmers überwiesen. Und diese Art von Vorfall ist leider kein Einzelfall, und sie verlaufen in der Regel immer nach demselben Muster: Es wird eine Rechnung per E-Mail ohne Ende-zu-Ende-Verschlüsselung verschickt, die E-Mail wird dadurch von unbefugten Dritten abgefangen und die Rechnung von den Kriminellen manipuliert.

Das Urteil des OLG

Das Urteil des Gerichts fiel wie folgt aus: Die reine Transportverschlüsselung, mit der die Rechnung versendet wurde, ist nicht ausreichend. Vielmehr ist eine Ende-zu-Ende-Verschlüsselung notwendig, um eine ausreichende Sicherheit zu gewährleisten. Wenn das Unternehmen diesem nicht nachkommt, steht dem Kunden ein Schadensersatzanspruch in Höhe des Rechnungsbetrages zu. Das Gericht argumentierte weiter, dass angesichts des hohen Rechnungsbetrages eine Ende-zu-Ende-Verschlüsselung erforderlich gewesen wäre, um eine Manipulation durch unbefugte Dritte zu verhindern. Denn der Vorteil bei Ende-zu-Ende-Verschlüsselung ist, dass weder die beteiligten E-Mail-Anbieter die E-Mails lesen können, noch können potentielle Angreifer die E-Mails unterwegs lesen oder manipulieren.

Das Gericht beruft sich in seiner Begründung auf die DSGVO. Diese schreibt gemäß Artikel 32 einen risikobasierten Ansatz vor. Konkret bedeutet das: Je höher das potenzielle Risiko für die betroffenen Personen ist, desto strenger müssen die Schutzmaßnahmen sein.

Im Fall des geschadeten Bauunternehmers wurde die fehlende Ende-zu-Ende-Verschlüsselung als unzureichend erachtet, was dann dazu führte, dass der Unternehmer haften und für den entstandenen Schaden aufkommen musste.

Was bedeutet das für Sie?

E-Mails sind aus unserem Arbeitsalltag nicht mehr wegzudenken und gehören dazu. Doch was die Sicherheit dieser angeht, sendet das OLG mit seinem Urteil ein klares Signal: Um die Sicherheit von E-Mails zu gewährleisten, müssen diese Ende-zu-Ende-verschlüsselt sein. Denn die IT-Bedrohungslage verändert sich kontinuierlich und rasant. Was heute vielleicht als sicher gilt, kann in zwei oder drei Jahren ganz anders aussehen.

Es gilt also: Gerade bei sensiblen Daten, wie bei Rechnungen mit hohen Beträgen oder Bankinformationen etc., sollten zusätzliche Sicherheitsmaßnahmen eingesetzt werden. Dazu zählt Ende-zu-Ende-Verschlüsselung zu verwenden. Unternehmen unterschätzen häufig, welche Haftungsrisiken bestehen, wenn Rechnungen gezielt manipuliert werden und dadurch ein Schaden für diese entsteht.

Dabei zeigt das Urteil des OLG eine Sache: Sensible Informationen müssen geschützt werden! Dazu gehört es auch eine ausreichende Sicherheitsstrategie zu entwickeln, und Ende-zu-Ende-Verschlüsselung ist ein Teil davon, da man sich nur dadurch sicher sein kann, dass niemand anderes mitliest.

Das Urteil des OLG zeigt aber auch noch eine andere Sache: Unternehmen, aber auch Behörden und Kommunen, brauchen eine ausreichende Sicherheitsstrategie, um für die Bedrohungen für heute und auch für morgen gewappnet zu sein.

Ist Ihre Behörde oder Kommune schon bereit? Wir von Tuta Mail helfen Ihnen gerne, Ihre Kommunikation abzusichern – und das ganz einfach und kostengünstig.