Versand von personenbezogenen Daten per E-Mail: Sicherheits- und Compliance-Überlegungen
Wenn Ihr Unternehmen personenbezogene Daten (PII) von Kunden, Auftragnehmern oder anderen Personen per E-Mail erhält, gibt es strenge Vorschriften, die Sie befolgen müssen, um hohe Bußgelder zu vermeiden.
Ist es sicher, PII per E-Mail zu senden? Nein, Sie sollten niemals PII über E-Mail senden. Wenn Sie jedoch PII per E-Mail senden müssen, muss sie verschlüsselt sein und bestimmte Sicherheitsprotokolle müssen eingehalten werden, um sicherzustellen, dass die PII im Falle eines Abfangens nicht lesbar ist.
Was ist personenbezogene Information (PII)?
Vereinfacht ausgedrückt, ist personenbezogene Information (PII) jede Information, die es jemandem ermöglicht, direkt oder indirekt auf die Identität einer anderen Person zu “schließen”. “Schließen” kann in diesem Fall alles bedeuten, was die Identität einer Person bestimmbar macht.
Obwohl dies selbstverständlich erscheint, ist PII in den USA eher schlecht definiert. Daher kann es schwierig sein zu unterscheiden, was PII ausmacht und was nicht – besonders wenn unterschiedliche Kontexte die Bedeutung der Offenlegung vertraulicher Informationen verändern können.
NIST SP 800-122 Richtlinien zur Kategorisierung von PII
Das National Institute of Standards and Technology (NIST) teilt PII in zwei Kategorien ein: verknüpfte und unverknüpfte. Verknüpfte Informationen können jemandem ermöglichen, direkt eine Identität festzustellen. Beispiele für PII in dieser Kategorie umfassen:
- Vor- und Nachname
- Privatadresse
- Arbeitsadresse
- Sozialversicherungsnummer (SSN)
- Telefonnummer (Arbeit, Privat oder Mobil)
- Informationen über persönliches Eigentum (Fahrzeugidentifikationsnummern usw.)
- Geburtsdatum
- Kredit- oder Debitkartennummern
- E-Mail-Adressen
- IT-bezogene Informationen (gerätespezifische MAC-Adressen, IP-Adressen, Seriennummern usw.)
Unverknüpfte Informationen sind weniger direkt und erfordern eine externe Partei, um zwei oder mehr Informationsstücke zu kombinieren, um jemanden zu identifizieren. Unverknüpfte Informationen umfassen:
- Gängige Vor- und Nachnamen
- Rassen- und Geschlechtskategorien
- Alter
- Jobbezeichnung
- Allgemeinere Adressangaben (Stadt, Bundesland, Land oder Postleitzahl)
Unverknüpfte personenbezogene Daten erscheinen möglicherweise „sicherer“ als verknüpfte personenbezogene Daten; jedoch weiß man nicht, welche Kombination von unverknüpften personenbezogenen Daten versehentlich die Identität einer Person offenlegen könnte. Daher ist es wichtig, Plattformen, Tools und Prozesse zu verwenden, die Daten in Ihren spezifischen Geschäftsfällen schützen.
In diesem Sinne wird personenbezogene Information unter verschiedenen Datenschutzbestimmungen leicht unterschiedlich definiert und behandelt:
- Unter dem Health Insurance Portability and Accountability Act (HIPAA) wird PII besser als geschützte Gesundheitsinformationen (Protected Health Information, PHI) verstanden. HIPAA definiert PHI im Rahmen der Datenschutzregeln als jegliche Informationen bezüglich der Gesundheit eines Patienten, der Gesundheitsversorgung oder Behandlung oder der Abrechnung und Zahlung im Zusammenhang mit Gesundheit und Behandlung.
- Der Payment Card Industry Data Security Standard (PCI DSS) legt den Fokus auf Kartenzahlungsdaten. Daher wird per E-Mail gesendete PII fast ausschließlich auf Kreditkartennummern sowie jegliche Kombination von Namen, Adresse, Telefonnummer oder E-Mail-Adresse, die einen Kunden identifizieren können, bezogen.
- FedRAMP ist in drei Schutzstufen (niedrig, moderat, hoch) unterteilt, und die Arten von PII unterscheiden sich je nach Stufe. Viele Systeme mit niedriger Schutzstufe enthalten beispielsweise möglicherweise keine PII außerhalb von Anmeldeinformationen (Benutzername und Passwort), während Systeme mit hoher Schutzstufe Daten wie PHI verarbeiten können. Das Versenden von PII per E-Mail ist unter FedRAMP verboten, es sei denn, es ist verschlüsselt.
Unterscheidet sich PII von personenbezogenen Daten?
Obwohl PII in den Vereinigten Staaten etwas unscharf definiert ist, hat die Europäische Union Schritte unternommen, um die Definition konkreter zu gestalten. Deshalb ist das Konzept der „personenbezogenen Daten“, wie im Rahmen der Datenschutz-Grundverordnung (DSGVO) definiert, im rechtlichen Rahmenwerk festgelegt und wird wiederholt in rechtlichen Dokumentationen und Anforderungen erwähnt.
Was ist PII unter der Datenschutz-Grundverordnung (DSGVO)?
Gemäß der DSGVO bezieht sich personenbezogene Daten speziell auf alle Informationen, die sich auf eine “identifizierte oder identifizierbare natürliche Person (betroffene Person) … direkt oder indirekt” beziehen. Die DSGVO führt auch allgemeine Punkte auf, die unter personenbezogene Daten fallen, einschließlich jeglicher Name, Identifikationsnummer, Online-Kennung oder “ein oder mehrere spezifische Faktoren der physischen, physiologischen, genetischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person.”
Obwohl sich PII und personenbezogene Daten nur geringfügig unterscheiden, sind die rechtlichen Konsequenzen weitaus vielfältiger. Alles, was zur Identifizierung einer Person verwendet werden kann, gilt als personenbezogene Daten und muss sicher, privat und vertraulich bleiben. Dazu gehören Elemente wie Sicherheitsprotokolle, Einwilligungsformulare, Cookies und jegliche Tags oder Token, die verwendet werden, um die Präsenz oder das Erlebnis eines Kunden auf einer Online-Plattform aufrechtzuerhalten.
Dies bedeutet auch, dass Sie mit hohen Strafen rechnen könnten – wie bis zu 4 % Ihres Gesamtumsatzes – für das Versenden von PII unter der Jurisdiktion der DSGVO.
Verschlüsselungstechniken zum Schutz von PII
Verschlüsselung ist eine weit verbreitete Methode, um personenbezogene Daten (PII) vor dem Versenden per E-Mail zu sichern. Der Schutz von PII ist entscheidend, da er sensible Informationen enthält, die Schaden anrichten können, wenn sie in falsche Hände geraten, wie Identitätsdiebstahl, Kreditkartenbetrug und andere bösartige Aktivitäten. Verschlüsselung bietet eine zusätzliche Sicherheitsebene für E-Mails, die PII enthalten, und stellt sicher, dass die Informationen vertraulich und sicher bleiben. Sie ist ein wesentliches Instrument für Organisationen, um die vertraulichen Informationen ihrer Kunden während der Übertragung zu schützen. Durch die Verschlüsselung von PII stellen Organisationen sicher, dass die Informationen sicher und für Unbefugte unzugänglich sind. Hier sind einige gängige Methoden zur Verschlüsselung von PII:
Symmetrische Verschlüsselung zum Schutz personenbezogener Daten
Die symmetrische Verschlüsselung verwendet einen einzigen geheimen Schlüssel sowohl zum Ver- als auch zum Entschlüsseln von Inhalten. Diese Methode eignet sich ideal zum Schutz personenbezogener Daten, da sie die Vertraulichkeit und Authentizität der Inhalte gewährleistet. Der Schlüssel wird geheim gehalten und nur autorisierte Nutzer können darauf zugreifen.
Asymmetrische Verschlüsselung zum Schutz personenbezogener Daten
Die asymmetrische Verschlüsselung nutzt zwei Schlüssel – einen zum Verschlüsseln von Inhalten und einen anderen zum Entschlüsseln. Der Sender verschlüsselt Inhalte mit dem öffentlichen Schlüssel des Empfängers und der Empfänger entschlüsselt Inhalte mit seinem privaten Schlüssel. Diese Technik ist besonders nützlich, um personenbezogene Daten während der Übertragung zu sichern.
Hashing zum Schutz personenbezogener Daten
Beim Hashing wird ein einzigartiger digitaler Fingerabdruck des Inhalts personenbezogener Daten erstellt, der nicht umkehrbar ist. Es ist besonders nützlich für die Sicherung personenbezogener Daten, da es einem Angreifer, selbst wenn er Zugang zum gehashten Inhalt erlangt, praktisch unmöglich ist, den ursprünglichen Inhalt daraus abzuleiten.
Tokenisierung zum Schutz personenbezogener Daten
Die Tokenisierung ersetzt sensible Inhalte durch einen einzigartigen Identifikator oder Token, der außerhalb des Systems, in dem er verwendet wird, keinen Wert oder keine Bedeutung hat. Diese Technik ist besonders nützlich für die Sicherung personenbezogener Daten bei der Speicherung oder während Transaktionen, da sie sicherstellt, dass die sensiblen Inhalte auch dann geschützt bleiben, wenn das System kompromittiert wird. Tokenisierung ermöglicht außerdem eine effizientere Abwicklung von Transaktionen und verringert das Potenzial für Datenlecks.
Schlüsselverwaltung für die Verschlüsselung zum Schutz personenbezogener Daten
Eine korrekte Verwaltung von Verschlüsselungsschlüsseln ist entscheidend, um die Sicherheit von verschlüsselten Inhalten zu gewährleisten. Schlüssel müssen sicher gespeichert und nur autorisierten Parteien zur Verfügung gestellt werden. Auch die Rotation und Widerrufung von Schlüsseln sind wichtig, um sicherzustellen, dass kompromittierte Schlüssel nicht die Sicherheit der verschlüsselten Daten gefährden.
Obwohl die Implementierung einer Kombination dieser Verschlüsselungstechniken eine starke und umfassende Sicherheitsstrategie zum Schutz von personenbezogenen Daten darstellen kann, ist es wichtig, Verschlüsselungsmethoden regelmäßig zu überprüfen und zu aktualisieren, um sicherzustellen, dass sie auf dem neuesten Stand sind und effektiv gegen aufkommende Bedrohungen schützen.
Personenbezogene Daten und das Versenden von Informationen per E-Mail
Enthaltsamkeit ist das beste Mittel, um personenbezogene Daten in E-Mails zu schützen.
Denken Sie darüber nach, was es bedeutet, personenbezogene Daten zu handhaben: sichere Server, Verschlüsselung, Richtlinien, Verfahren, Audits und mehr. Ihre E-Mail-Plattform muss daher strengen Sicherheitsanforderungen genügen. Das Versenden von personenbezogenen Daten über öffentliche E-Mails wird keinerlei Datenschutzvorschriften erfüllen, geschweige denn die Privatsphäre der Kunden wahren.
Zusätzlich zur Verschlüsselung (siehe oben) sollten Organisationen diese Datenschutzfunktionen in Betracht ziehen, um die oben aufgeführten Vorschriften einzuhalten.
Vermeidung von E-Mails für SFTP oder andere Dateiübertragungen
SFTP, richtig konfiguriert, kann eine sichere und konforme Methode zum Teilen und Übertragen von Daten bieten. Allerdings riskieren Sie damit, den Empfänger zu verprellen. Kein Kunde wird ein SFTP-Programm zur Datenverarbeitung nutzen (es sei denn, sie arbeiten in einer Branche, in der SFTP der Standard ist).
Sichere E-Mail-Links
Sichere E-Mail Links vereinen das Beste aus sicheren Servern und E-Mails in einem Paket. Anstatt verschlüsselte Daten zu senden, verschicken Organisationen einen sicheren E-Mail-Link zu einem verschlüsselten Server, der die Nachricht in einem einfachen E-Mail-Postfach enthält. Der Benutzer muss sich authentifizieren, um Zugang zu diesem Server und der Nachricht mit personenbezogenen Daten zu erhalten.
Diese letzte Option ist der einfachste und am besten zu verwaltende Weg, um personenbezogene Daten über E-Mail zu schützen. Sie entlastet nicht nur die Benutzer davon, neue Technologien erlernen oder anwenden zu müssen, sondern verlagert auch die Verantwortung vom Benutzer auf die IT-Infrastruktur. Mit sicheren E-Mail-Links können Sie sicherstellen, dass Sie auch andere Anforderungen an die E-Mail-Konformität wie Audit-Protokollierung und Benutzerzugriffsverwaltung erfüllen.
Rechtliche und konformitätsbezogene Probleme beim Senden von personenbezogenen Daten über E-Mail
Das Senden von personenbezogenen Daten über E-Mail kann unsicher sein und zu unbefugtem Zugriff auf private und vertrauliche Daten führen. Die meisten E-Mail-Dienste sind nicht verschlüsselt und können daher auf dem Übertragungsweg abgefangen werden, was Hackern den Zugriff auf sensible Daten ermöglicht. Es gibt weitere Risiken, denen Organisationen beim Senden von personenbezogenen Daten über E-Mail gegenüberstehen, einschließlich:
- Datenschutz: Das Senden von personenbezogenen Daten per E-Mail kann Datenschutzgesetze in der Gerichtsbarkeit verletzen, in der der Sender die Daten empfängt. Datenschutzgesetze können zusätzliche Maßnahmen vom Sender verlangen, um sicherzustellen, dass die E-Mail sicher ist und die Daten nicht unangemessen offenbart werden.
- Privatsphäre und Einwilligung: Das Senden von personenbezogenen Daten per E-Mail kann die Gesetze zum Schutz der Privatsphäre und zur Einwilligung in der Gerichtsbarkeit verletzen, in der der Sender die Daten empfängt. In einigen Fällen muss die Erlaubnis des Benutzers eingeholt werden, bevor persönliche Daten gesendet werden können.
- Anti-Spam-Gesetze: Das Senden von personenbezogenen Daten per E-Mail kann Anti-Spam-Gesetze in der Gerichtsbarkeit verletzen, in der der Sender die Daten empfängt. Unerwünschte E-Mails können verboten sein und alle E-Mails mit personenbezogenen Daten müssen gemäß dem Gesetz gesendet werden.
- Internationale Übertragungen: Das Senden von personenbezogenen Daten per E-Mail kann auch die Übertragung von Daten zwischen Ländern beinhalten, was zusätzliche rechtliche und Compliance-Verpflichtungen auslöst, wie beispielsweise die EU-Datenschutzgrundverordnung (DSGVO).
NIST-Standards zum Schutz personenbezogener Daten
Das Cybersecurity Framework des National Institute of Standards and Technology (NIST CSF) sowie das NIST Privacy Framework bieten Standards zum Schutz der personenbezogenen Daten von Individuen. Das Framework bietet Organisationen Leitlinien zur Gestaltung und Implementierung eines Informationssicherheitsprogramms. Die Standards zum Schutz personenbezogener Daten enthalten Kontrollen in Bereichen wie Datenerfassung, Datenspeicherung, Datenübertragung, Softwareentwicklung, physische Zugangskontrolle, Zugriffskontrolllisten und Verschlüsselung. Die Standards spezifizieren auch Anforderungen an Audits und Berichterstattung.
Organisationen sollten die Implementierung der PII-Standards des NIST CSF in Betracht ziehen, um personenbezogene Daten zu schützen, da es sich um umfassende und handlungsorientierte Richtlinien handelt, die von einer vertrauenswürdigen und autoritativen Quelle etabliert wurden. Sie bieten eine solide Grundlage, um die sichere und verantwortungsbewusste Handhabung sensibler Kundendaten zu gewährleisten. Die Einhaltung dieser Standards kann Organisationen vor potenziellen Sicherheitsrisiken und Datenschutzverletzungen schützen. Darüber hinaus nutzen Datenschutzvorschriften wie HIPAA die PII-Standards des NIST CSF als Mindestsicherheitsanforderungen für Organisationen, die personenbezogene Daten verarbeiten, sodass die Konformität mit den PII-Standards des NIST CSF Organisationen dabei helfen kann, hohe Strafen für Verstöße gegen diese Vorschriften zu vermeiden.
Sichere E-Mails mit Kiteworks versenden
Das Private Content Network (PCN) von Kiteworks bietet fortschrittlichen Schutz und Compliance für sensible Inhalte, wie personenbezogene Daten, und andere vertrauliche Informationen, die Unternehmen mit vertrauenswürdigen Partnern über verschiedene Kommunikationskanäle teilen.
Das Kiteworks PCN bietet Dienste für sichere E-Mails und sicheres Filesharing, die mehrere wichtige Datenschutzanforderungen erfüllen, ohne dabei Benutzerfreundlichkeit oder Unternehmensfunktionalität zu opfern. Es kombiniert eine virtuelle gehärtete Appliance, Ende-zu-Ende-Verschlüsselung und Audit-Protokollierung, um sicherzustellen, dass Mitarbeiter vertrauliche Informationen sicher teilen, zusammenarbeiten und verwalten können, unabhängig vom Gerät oder Standort.
Zusätzlich bietet das KiteworksEmail Protection Gateway automatisiert den Schutz von E-Mails mit Ende-zu-Ende-Verschlüsselung, um vertrauliche E-Mail-Inhalte vor Cloud-Dienstanbietern und Malware-Angriffen zu schützen.
Kiteworks bietet außerdem detaillierte Einblicke und Prüfpfade, um sicherzustellen, dass Dokumente konform mit Branchenregulierungen und Standards, wie der DSGVO, HIPAA, der Cybersecurity Maturity Model Certification (CMMC) und vielen anderen, bleiben. Das macht Kiteworks zu einem unschätzbaren Werkzeug für Organisationen, die personenbezogene Daten schützen und die Einhaltung relevanter Vorschriften nachweisen müssen.
FAQs zum E-Mail-Versand personenbezogener Daten für DSGVO-Compliance
Die DSGVO verbietet den Versand personenbezogener Daten per E-Mail nicht ausdrücklich, verlangt jedoch angemessene Sicherheitsmaßnahmen für alle Methoden der Übermittlung personenbezogener Daten. Standardmäßig unverschlüsselte E-Mails erfüllen diese Anforderungen in den meisten Fällen nicht. Unternehmen müssen technische Schutzmaßnahmen wie Ende-zu-Ende-Verschlüsselung, sichere Portallösungen oder andere Schutzmechanismen implementieren, um beim Versand personenbezogener Daten per E-Mail DSGVO-konform zu handeln.
Die DSGVO schreibt keine spezifischen E-Mail-Verschlüsselungsstandards vor, fordert jedoch „angemessene“ Sicherheit auf Basis einer Risikobewertung. Best Practices umfassen TLS 1.2+ für die Übertragungssicherheit, AES-256-Verschlüsselung für Anhänge sowie zusätzliche Maßnahmen wie Passwortschutz, zeitlich begrenzte Links oder sichere Portale für besonders sensible Daten. Das Sicherheitsniveau sollte sich an der Sensibilität der per E-Mail versendeten personenbezogenen Daten orientieren.
Unternehmen, die personenbezogene Daten in E-Mails nicht ausreichend schützen, riskieren Bußgelder nach DSGVO von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. E-Mail-Sicherheitsverletzungen fallen in der Regel unter Artikel 32 (Versäumnis angemessener Sicherheitsmaßnahmen). Zusätzlich entstehen Kosten durch verpflichtende Meldungen, Schadensbehebung, Reputationsverlust und mögliche zivilrechtliche Klagen betroffener Personen.
Ja, aber nur mit strengen zusätzlichen Schutzmaßnahmen. Vor dem Versand von Daten von EU-Betroffenen an Empfänger außerhalb der EU müssen Unternehmen geeignete rechtliche Mechanismen wie Standardvertragsklauseln umsetzen, Transfer-Folgenabschätzungen durchführen, die Sicherheitsmaßnahmen des Empfängers prüfen und erweiterte E-Mail-Sicherheitsmaßnahmen nutzen. Der Datenverantwortliche bleibt für die DSGVO-konforme Verarbeitung in der gesamten Prozesskette verantwortlich.
Sichere Alternativen zum klassischen E-Mail-Versand für den Austausch personenbezogener Daten sind verschlüsselte Messaging-Plattformen, SFTP/FTPS-Dateitransfers, sichere Web-Portale mit Zugriffskontrollen, verschlüsselte Cloud-Collaboration-Tools und virtuelle Datenräume. Diese Alternativen bieten in der Regel höhere Sicherheit, bessere Zugriffskontrollen, umfassende Prüfprotokolle und verbesserte Compliance-Funktionen im Vergleich zu herkömmlichen E-Mail-Systemen.
Zusätzliche Ressourcen