Die DSK hat in ihrer Orientierungshilfe zur E-Mail-Verschlüßelung (2021) konkrete Anforderungen an die sichere E-Mail-Kommunikation festgelegt.
Transportverschlüßelung als Mindestmass
TLS-Verschlüßelung ist für die E-Mail-Kommunikation der Mindeststandard (Basis-Schutz bei normalen Risiken). Alle Mailserver müßen TLS unterstützen.
Ende-zu-Ende-Verschlüßelung bei hohem Risiko
Bei hohen Risiken - insbesondere bei Gesundheitsdaten, Anwaltskommunikation, Finanzdaten und anderen Berufsgeheimnissen (Paragraph 203 StGB) - ist eine Ende-zu-Ende-Verschlüßelung (S/MIME oder OpenPGP) PFLICHT. Wenn sichere E-Mail-Übermittlung nicht möglich ist, muss ein anderer Kommunikationskanal gewählt werden (z.B. Webportal).
Weitere Maßnahmen
- DKIM-Signaturen und SPF konfigurieren (Integritätsschutz)
- E-Mail-Diensteanbieter auf BSI-TR-03108-1-Konformität prüfen
- Risiköinstufung der E-Mail-Kommunikation vornehmen und dokumentieren