Illustration Absmeier foto freepik

E-Mail ist der Standard in der Geschäftskommunikation, gleichzeitig aber einer der am wenigsten kontrollierten Kommunikationskanäle. 92 Prozent aller E-Mails lassen sich laut Bedrohungsanalysen als Spam klassifizieren, 67 Prozent davon enthalten schädliche Inhalte, Malware, Scam-Versuche, gezielte Täuschung. Doch nicht jede Bedrohung kommt von außen. Ein Großteil sicherheitsrelevanter Vorfälle beginnt intern: ein Empfänger zu viel, ein falscher Anhang, eine automatisch eingefügte Adresse. Alltägliche Flüchtigkeitsfehler wie diese stehen weit oben auf der Liste der häufigsten Ursachen für meldepflichtige Datenschutzvorfälle. Das betrifft nicht nur Inhalte. Schon das bloße Versenden einer Nachricht an den falschen Adressaten reicht aus, um eine regulatorische Reaktion auszulösen.

Mittlerweile gibt es Lösungen, die genau an dieser Stelle ansetzen. Sie arbeiten nicht nach-, sondern vorgelagert. Also nicht als Filter, sondern als eine Art Sicherheitsbremse vor dem Versand. Sie zwingen nicht zu einer Entscheidung, sie erlauben sie.

Erst korrigieren, dann verschicken

Der Unterschied zu klassischen DLP-Systemen liegt im Zeitpunkt des Eingriffs. Wo andere Lösungen erst nach dem Versand analysieren, blockieren oder alarmieren, prüfen Lösungen wie beispielsweise SafeSend von der VIPRE die Nachricht bereits vor dem Absenden. Das Outlook-Add-in überprüft ausgehende E-Mails vor dem Versand, erkennt externe Empfänger, durchsucht E-Mail-Inhalte sowie Anhänge nach definierten Schlüsselbegriffen oder sensiblen Datenstrukturen, warnt bei kritischen Konstellationen und kennzeichnet riskante Domains. Der Klick auf »Senden« öffnet dazu einen interaktiven Prüfdialog, konfigurierbar, skalierbar und auditierbar.

Die Lösung bleibt dabei in der Infrastruktur des Unternehmens verankert. Keine Cloud-Komponente, keine externe Datenübertragung. Alle Einstellungen werden per Gruppenrichtlinie zentral verwaltet, differenziert nach Abteilung, Benutzergruppe oder Standort. Der Versanddialog öffnet sich nur unter den Bedingungen, die vorher definiert wurden, etwa bei mehreren Empfängern, bei Anhängen, bei sensiblen Inhalten oder spezifischen Domänen. Verschlüsselte Dateien, etwa mit Microsoft RMS geschützte Dokumente, werden automatisch gescannt. Neben dem Text der E-Mail selbst werden auch Inhalte innerhalb von Anhängen analysiert, selbst dann, wenn diese verschlüsselt sind.

Nicht blockieren, sondern bewusst machen

Dass diese Methode funktioniert, zeigt sich nicht nur in technischen Kennzahlen, sondern im Verhalten der Nutzenden. In einem Feldversuch eines Finanzdienstleisters verringerte sich die Gesamtmenge sensibler Informationen in ausgehenden Mails um 60 Prozent. Und dies, ohne dass man neue Sperrregeln einführen musste. Der Grund: Die Warnung vor dem Versand führte dazu, dass selbst berechtigte Nutzer auf Anhänge verzichteten oder darauf, Informationen zu verschicken, die nicht zwingend notwendig waren. Das verbessert nicht nur den Sicherheitsstatus eines Unternehmens insgesamt, sondern minimiert auch die Datenspur auf fremden Systemen. Das ist ein Vorteil, wenn es in der Zukunft dort zu Vorfällen kommt.

Es geht bei diesem Ansatz nicht darum, die DLP-Engine zu ersetzen, sondern sie zu entlasten. In mehreren Großunternehmen ließ sich die Zahl der täglich ausgelösten DLP-Events um bis zu 85 Prozent senken, weil viele Vorfälle bereits vor dem Versand korrigiert wurden. Das entlastet IT-Teams und spart so Kosten, senkt die Zahl der Eskalationen und schafft Freiraum, strategische Maßnahmen zu entwickeln. Besonders bei internen DLP-Richtlinien wirken solche Lösungen als Filter zweiter Ordnung. Für das Personalwesen, die Rechtsabteilung oder Bereiche innerhalb der Geschäftsführung kann man eigene Regeln definieren. Das gilt im Übrigen auch für die interne Kommunikation.

Neben der Bestätigung von Empfänger und Anhang kann eine DLP-erweiterte Variante die Inhalte zusätzlich auf Basis von Schlüsselwörtern, regulären Ausdrücken und domänenspezifischen Regeln analysieren. Das ist gerade in stark regulierten Branchen und Bereichen hilfreich, um vertrauliche Inhalte nicht nur in E-Mail-Texten, sondern auch in eingebetteten Formularelementen, Tabellen, verschlüsselten ZIPs oder mehrstufigen Dateistrukturen zuverlässig zu erkennen. Die Regelwerke lassen sich mit Punktesystemen gewichten, kombinieren und testen, inklusive einer Vorschau und simulierten DLP-Auslösungen im Monitoring-Modus. Unternehmen, die bereits klassische DLP-Systeme einsetzen, haben so eine zusätzliche Kontrolleinheit im Frontend zur Verfügung. Sie liefert differenzierte Rückmeldungen, ohne eine Eskalationskette in Gang zu setzen.

Das funktioniert wie gesagt nicht nur für ausgehende Nachrichten. Auch interne Kommunikationsströme, zum Beispiel zwischen Personalabteilung und Fachbereich oder innerhalb von sensiblen Projektgruppen, lassen sich über adressspezifische Prüfregeln überwachen. Besonders in hybriden Arbeitsmodellen mit gemeinsam genutzten Postfächern, verteilten Teams und einer hohen Schlagzahl bei internen Weiterleitungen entstehen Risiken, die außerhalb klassischer DLP-Kategorien liegen. Hier kann man spezifische Trigger definieren, etwa für bestimmte Kombinationen aus Empfängertypen, die Nutzung von BCC oder Domainkontext.

Fehlerkultur etablieren

Die EU-Richtlinie NIS2 (Network and Information Security) fordert explizit Maßnahmen zur Sicherstellung der Adressgenauigkeit und fordert in den Artikeln 21 sowie 23 die Dokumentation ungewollter E-Mail-Leakages. Auch DORA (Digital Operational Resilience Act) adressiert ausdrücklich »unintended email data leakage« als Bestandteil des operationellen Risikomanagements. Für Organisationen, die im Compliance-Bereich operieren, entsteht damit eine Berichtspflicht, die man besser im Vorfeld vermeiden sollte.

Vorgelagerte Lösungen erfüllen eine doppelte Funktion: Erstens verhindern sie, dass überhaupt ein ungewollter Versand stattfindet. Zweitens dokumentieren sie lückenlos bestätigte Aktionen, inklusive von Details zu Inhalt, Anhang und Empfängerkonstellation. Diese Form des kontrollierten Versands senkt das Risiko nicht nur auf der technischen Seite, sondern auch haftungsstrategisch.

Menschen machen Fehler, besonders unter Zeitdruck, bei Routineaufgaben oder weil sie mit Informationen überflutet werden. Wichtig ist es, im Vorfeld zu erkennen, wo diese Fehler passieren können. Gezielte Hinweise, farblich kodierte Warnungen und explizite Bestätigungsschritte schaffen ein Bewusstsein für potenzielle Risiken.

An welchen Stellen solch Fehler passieren, hat auch mit der Unternehmenskultur zu tun. In Firmen mit verteilten Teams, hoher E-Mail-Frequenz oder streng getrennten Mandantenstrukturen entstehen oft keine technischen, sondern kulturelle Lücken. Wer darf mit wem kommunizieren, wann, über welche Kanäle, mit welchen Inhalten? Es geht also weniger um Regeln als um Reflexion.

Die letzte Entscheidung vor dem Versand

KI-generierte Phishing-E-Mails, CEO-Impersonation und Angriffe über SVG-Dateien hebeln immer häufiger klassische Sicherheitslösungen aus. Die letzte Entscheidung über den Versand trifft der Mensch. Vorgelagerte Sicherheitslösungen verschieben diese Entscheidung von einer unbewussten hin zu einer bewussten. Das verhindert nicht den Angriff, aber die möglichen Auswirkungen. Ein falsch adressiertes PDF wird schnell zum regulatorischen Notfall mit allen Konsequenzen. Technische Schutzsysteme geraten durch KI-generierte Inhalte, menschliches Fehlverhalten und regulatorische Komplexität verstärkt unter Druck.

Im Idealfall sorgen E-Mail-Sicherheitslösungen für eine strukturelle Entlastung des Benutzers. Sie schaffen eine zusätzliche Entscheidungsebene an der relevanten Stelle, nämlich unmittelbar vor dem Versand. Es geht dabei nicht darum, bestehende Systeme zu ersetzen, sondern an der entscheidenden Stelle zu ergänzen. Die Kontrolle beim Versenden von E-Mail entscheidet zunehmend über Sicherheit, Haftung und Verlässlichkeit in der digitalen Kommunikation.

Oliver Paterson, VIPRE Security

2886 Artikel zu „E-Mail Sicherheit“

News | IT-Security | Kommentar | Kommunikation | Whitepaper

Haftungsrisiko: Appell an die Geschäftsführungen – E-Mail-Sicherheit jetzt priorisieren

5. Juli 2025

Noch nie war Cybersicherheit ein reines IT-Problem. Leider ist es nach wie vor häufig geübte Praxis, dass dieses Thema an die Technikabteilung delegiert wird und die Geschäftsführung sich nicht in einem angemessenen Maße damit auseinandersetzt. Geschäftsführer und Vorstände konnten sich zumindest seit Inkrafttreten der EU-DSGVO nicht hinter ihren IT-Teams verstecken. Denn sie können unter Umständen…