Klicken Sie hier um zur Suchseite zu gelangen
Klicken Sie hier um zum Warenkorb zu gelangen
Wie sollten E-Mails verschlüsselt werden?
Ein Urteil des OLG Schleswig-Holstein zum E-Mailversand von Rechnungen legt Pflichten fest.
16.07.2025Müssen E-Mails verschlüsselt werden? Diese Frage diskutieren Datenschützer mit durchaus unterschiedlichen Ergebnissen. Aus Sicht der Datensicherheit ist die Verschlüsselung selbstverständlich zu bevorzugen, doch ist sie auch notwendig? Anlass für diesen Beitrag ist ein aktuelles Urteil des OLG Schleswig-Holstein (Urteil vom 18.12.2024, Az. 12 U 9/24). Dieses Urteil hat weitreichende Auswirkungen auf den sicheren Versand von Rechnungen per E-Mail. Das Gericht entschied, dass Unternehmen keine (erneute) Zahlung verlangen können, wenn eine Rechnung ohne ausreichende Sicherheitsvorkehrungen per E-Mail verschickt wurde.
Sachverhalt:
Im konkreten Fall hatte ein Handwerksunternehmen einer privaten Auftraggeberin eine Schlussrechnung in Höhe von 15.000 Euro als PDF-Anhang per E-Mail zugeschickt. Die E-Mail wurde mit reiner Transportverschlüsselung versandt. Unbekannte Dritte fingen diese E-Mail ab, manipulierten die in der Rechnung enthalten Kontodaten und leiteten anschließend diese an die Kundin weiter.
Die Kundin überwies den Betrag auf das manipulierte Konto. Als das Unternehmen die Kundin aufforderte, den Betrag (erneut) zu zahlen, verweigerte sie dies und argumentierte, dass die Rechnung ohne ausreichende Sicherheitsvorkehrung versendet worden sei. Wenn sie doch zahlen müsse, so die Kundin, hätte sie ihrerseits einen Schadenersatzanspruch nach Art. 82 DSGVO in Höhe der an den Dritten geleisteten Zahlung.
Die Frage war also: Reicht eine Transportverschlüsselung aus oder muss die E-Mail Ende-zu-Ende verschlüsselt sein, wenn E-Rechnungen oder Rechnungen per E-Mail versandt werden.
Entscheidung des OLG Schleswig-Holstein
Das Gericht entschied zu Gunsten der Kundin, denn der Verantwortliche (das Unternehmen) ist verpflichtet, die Sicherheit der personenbezogenen Daten zu gewährleiten und nachzuweisen, dass die getroffenen Sicherheitsmaßnahmen ausreichend waren. Dabei spielt es keine Rolle, dass der Schaden durch das Verhalten eines Dritten verursacht wurde. Die Kundin musste den Betrag daher nicht an das Handwerksunternehmen zahlen, denn dieser Zahlung stand der Schadensersatzanspruch in derselben Höhe entgegen.
Was dieses Urteil für die Praxis tatsächlich bedeutet
Da Unternehmen als Verantwortliche nach der DSGVO der Rechenschaftspflicht unterliegen, müssen Sie auch nachweisen können, dass angemessene Sicherheitsmaßnahmen getroffen wurden, um personenbezogene Daten vor unbefugtem Zugriff zu schützen.
Das bedeutet nach der nunmehr vorliegenden Rechtsprechung, dass Verantwortliche jedenfalls beim Versand von geschäftlichen E-Mails, die ein hohes finanzielles Risiko beinhalten, ihr Verfahren zur E-Mail-Verschlüsselung überprüfen und gegebenenfalls dahingehend anpassen sollten, eine Ende-zu-Ende-Verschlüsselung zu implementieren. Alternativ können Rechnungen auf anderen sicheren Kommunikationskanälen versendet werden; neben dem klassischen Postweg existiert insofern auch die Möglichkeit der Kommunikation über Rechnungsportale. Zudem empfehlen wir, Ihre Kunden zu sensibilisieren und auf mögliche Betrugsversuche hinzuweisen sowie Bankverbindungen regelmäßig zu überprüfen.
Autorinnen: Katharina Gündel und Shabnam Safi, GROSS Rechtsanwaltsgesellschaft mbH
Bildnachweis: Pexels
Wenn Sie gar nicht wissen, worum es in dem Beitrag ging,
folgt hier eine KI-erstellte Erklärung zu den verschiedenen Verschlüsselungsarten:
Transportverschlüsselung vs. Ende-zu-Ende-Verschlüsselung
Der Unterschied zwischen Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung (E2EE) liegt hauptsächlich darin, wer die Daten während der Übertragung lesen kann und wo die Daten entschlüsselt werden:
🔐 Transportverschlüsselung
• Was ist das?
Die Daten werden auf dem Weg zwischen zwei Punkten (z. B. Ihrem Browser und einem Server) verschlüsselt.
• Beispiel: HTTPS (also eine verschlüsselte Verbindung zu einer Website).
• Wie funktioniert es?
Die Daten werden beim Sender verschlüsselt und beim Empfänger (z. B. dem Server) wieder entschlüsselt.
• Wer kann mitlesen?
Niemand auf dem Transportweg (z. B. Internetprovider), aber der Server kann die Daten im Klartext sehen.
• Sicherheitsniveau: Gut gegen Abhören auf dem Transportweg, aber nicht gegen Einsicht durch den Serverbetreiber.
🔐🔐 Ende-zu-Ende-Verschlüsselung (E2EE)
• Was ist das?
Die Daten werden vom Absender bis zum Empfänger durchgehend verschlüsselt.
• Beispiel: Signal, WhatsApp, Threema.
• Wie funktioniert es?
Nur der Absender und der Empfänger haben die Schlüssel zum Ver- und Entschlüsseln. Nicht einmal der Server dazwischen kann die Daten lesen.
• Wer kann mitlesen?
Nur der Empfänger – niemand sonst, auch nicht der Anbieter des Dienstes.
• Sicherheitsniveau: Sehr hoch – schützt auch vor neugierigen Serverbetreibern oder Behördenzugriffen (sofern keine Hintertüren existieren).
📧 Beispiel: E-Mail-Kommunikation
1. Transportverschlüsselung (z. B. TLS bei E-Mail-Servern)
• Wenn Sie eine E-Mail über Ihren Anbieter (z. B. Gmail, GMX, Outlook) versenden, wird die Verbindung zwischen Ihrem Gerät und dem Mailserver per TLS verschlüsselt.
• Auch die Verbindung zwischen den Mailservern (z. B. von Gmail zu GMX) kann TLS-verschlüsselt sein.
• Aber: Die E-Mail liegt auf dem Server im Klartext vor. Der Anbieter kann sie theoretisch lesen oder scannen (z. B. für Werbung oder Sicherheitsanalysen).
2. Ende-zu-Ende-Verschlüsselung (z. B. mit PGP oder S/MIME)
• Hier wird die E-Mail bereits auf Ihrem Gerät verschlüsselt, bevor sie versendet wird.
• Nur der Empfänger mit dem passenden privaten Schlüssel kann sie wieder entschlüsseln.
• Selbst der Mailserver sieht nur verschlüsselten Text – er kann den Inhalt nicht lesen.
🔍 Vergleich anhand eines Beispiels:
Situation
Transportverschlüsselung (TLS)
Ende-zu-Ende-Verschlüsselung (PGP)
Alice schreibt Bob eine E-Mail
Die Verbindung zu Gmail ist verschlüsselt, aber Gmail kann die Mail lesen.
Alice verschlüsselt die Mail mit Bobs öffentlichem Schlüssel – nur Bob kann sie lesen.
Hacker im WLAN
Kann die Mail nicht mitlesen (TLS schützt).
Kann die Mail nicht mitlesen (PGP schützt zusätzlich).
Mailanbieter wird gehackt
Mails könnten im Klartext gestohlen werden.
Mails sind nutzlos ohne privaten Schlüssel.