Vertrauliche Geschäftskorrespondenz: Warum KMU ihr E-Mail-Postfach unterschätzen

Offerten, Verträge, Lohnabrechnungen und Kundendaten – in kleinen und mittleren Unternehmen (KMU) läuft ein Grossteil der vertraulichen Kommunikation noch immer über das E-Mail-Postfach. Gleichzeitig setzen viele Betriebe auf kostenlose Dienste, deren Geschäftsmodell nicht selten auf der Auswertung von Daten beruht. Bleibt die Frage, ob das noch zeitgemäss ist und wie Unternehmen ihre Korrespondenz besser schützen können.

Was verlangt das neue Datenschutzgesetz von KMU?
Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Es verpflichtet Unternehmen jeder Grösse dazu, Personendaten mit geeigneten technischen und organisatorischen Massnahmen zu schützen. Das gilt ausdrücklich auch für den E-Mail-Verkehr. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) informiert ausführlich darüber, was das für Unternehmen bedeutet.

Wer regelmässig vertrauliche Inhalte verschickt, ist mit einer verschlüsselten Email Lösung gut beraten, bei der nicht einmal der Anbieter selbst mitlesen kann.

Spannend ist dabei ein Detail, das viele Geschäftsführer oft gar nicht wirklich beachten: Bei vorsätzlichen Verstössen gegen die Mindestanforderungen an die Datensicherheit drohen Bussen von bis zu 250’000 Franken. Und zwar nicht gegen das Unternehmen, sondern gegen die verantwortlichen Personen.

Warum ist die klassische E-Mail ein Risiko?
Eine herkömmliche E-Mail ist in etwa so sicher wie eine Postkarte. Auf dem Weg vom Absender zum Empfänger kann sie an mehreren Stellen abgefangen und mitgelesen werden. Hinzu kommt, dass viele Gratis-Anbieter die Inhalte der Postfächer automatisiert analysieren.

Für Kriminelle sind KMU dabei ein besonders attraktives Ziel. Grosse Konzerne haben eigene IT-Sicherheitsabteilungen, der Handwerksbetrieb oder das Treuhandbüro mit zwölf Mitarbeitenden in der Regel nicht. Gefälschte Rechnungen, manipulierte Zahlungsanweisungen oder Phishing-Mails im Namen von Banken gehören deshalb längst zum Alltag. Dass viele KMU ihre Cyberrisiken unterschätzen, belegt auch eine aktuelle Studie.

Besonders gefährlich ist der sogenannte CEO-Fraud. Hier geben sich Betrüger per E-Mail als Chef oder Geschäftspartner aus und fordern eine dringende Überweisung. Je mehr die Täter vorher aus abgefangenen E-Mails über interne Abläufe, Namen und laufende Projekte wissen, desto glaubwürdiger wirkt die Masche.

Was macht eine sichere E-Mail-Lösung aus?
Die wichtigsten Kriterien lassen sich auf wenige Punkte herunterbrechen.

Ende-zu-Ende-Verschlüsselung
Die Nachricht wird schon auf dem Gerät des Absenders verschlüsselt und erst beim Empfänger wieder lesbar. Zwischen Nutzern desselben Anbieters passiert das meist automatisch, an externe Empfänger lassen sich Nachrichten zum Beispiel mit einem Passwort geschützt versenden.

Kein Werbetracking
Seriöse Anbieter verdienen ihr Geld mit Abonnements und nicht mit den Daten ihrer Nutzer. Die E-Mails werden also nicht nach werberelevanten Informationen durchsucht.

Zwei-Faktor-Authentifizierung
Selbst wenn ein Passwort in falsche Hände gerät, bleibt das Postfach durch einen zweiten Faktor geschützt.

Ist Datenschutz ein Wettbewerbsvorteil?
Die Antwort lautet: Ja. Gerade Kunden aus dem Treuhandwesen, dem Gesundheitsbereich oder der Rechtsberatung erwarten Diskretion. Wer nachweisen kann, dass er sensible Daten verschlüsselt austauscht, schafft Vertrauen – und das ist in der Schweiz seit jeher ein starkes Verkaufsargument. Der Umstieg auf eine sichere Lösung ist deshalb weniger eine Frage der IT als eine Entscheidung der Geschäftsleitung.

Der Aufwand hält sich dabei in Grenzen. Die eigene Firmendomain lässt sich in aller Regel mitnehmen, sodass sich für Kunden an der Adresse nichts ändert. Wichtig ist allerdings, die Mitarbeitenden mitzunehmen. Die beste Verschlüsselung nützt wenig, wenn auf den Link in der nächsten Phishing-Mail trotzdem geklickt wird.

Deshalb sollte ein wichtiger Punkt im Bereich der regelmässig wiederkehrenden Schulungen für Mitarbeitende das Thema Cybersicherheit sein. So können Unternehmen eines der grössten Einfallstore für Cyberkriminalität deutlich verkleinern – und die damit verbundene Sensibilisierung für das Thema Datenschutz schadet grundsätzlich auch nicht. (mc)