E-Mail-Souveränität auf dem Prüfstand
Viele Unternehmen glauben, ihre E-Mail-Kommunikation im Griff zu haben. Eine aktuelle Studie belegt eine deutliche Lücke zwischen gefühlter und nachweisbarer Kontrolle.
Autor: Oliver Paetz, Head of Product Management Secure Email bei Retarus/dcg
Die NIS2-Richtlinie verlangt von Unternehmen, die Wirksamkeit ihrer Sicherheitsmaßnahmen im Bedarfsfall zu belegen, etwa gegenüber Aufsichtsbehörden oder im Rahmen eines Audits. Eine aktuelle Retarus-Studie unter 149 IT-Führungskräften in Deutschland, Frankreich und Spanien zeigt, wie groß die Lücke zwischen Anspruch und Praxis dabei ausfällt: 80 Prozent der Unternehmen glauben, ihre E-Mail-Kommunikation weitgehend unter Kontrolle zu haben. Nur 41 Prozent könnten jedoch binnen weniger Tage vollständige Nachweise zu einem konkreten Audit liefern: etwa dokumentieren, welchen Weg eine E-Mail genommen hat, wer wann worauf zugegriffen hat und ob die eigenen Sicherheitsrichtlinien tatsächlich eingehalten wurden. Die übrigen Unternehmen benötigen dafür eine aufwendige Vorbereitung. Sie müssen Abläufe erst rekonstruieren und die notwendigen Informationen aus unterschiedlichen Systemen zusammenführen.
Zwischen Recht und Betrieb
Ein verbreiteter Irrtum lautet, das Hosting der Daten in Europa reiche für Datenschutz und Kontrolle bereits aus. Es kommt jedoch darauf an, welchem Rechtsrahmen der Anbieter unterliegt. Denn davon hängt ab, wer Zugriff auf die Daten verlangen kann. Auch wenn 56 Prozent der Unternehmen befürchten, dass ihre Daten extraterritorialen Gesetzen wie dem US-amerikanischen Cloud Act unterliegen könnten, setzen weiterhin 45 Prozent auf Lösungen außerhalb Europas. 77 Prozent verfügen nach eigenen Angaben über zertifizierte vertragliche Garantien zu Speicherort und Zugangsbedingungen. 22 Prozent der Befragten räumen jedoch ein, dass diese nur teilweise greifen.
Neben der rechtlichen Lage zeigt sich echte Kontrolle daran, wie unabhängig ein Unternehmen operativ von seinem Anbieter agieren kann. Im laufenden Betrieb setzen 61 Prozent der Unternehmen ihre Sicherheitsrichtlinien eigenständig um, etwa das Sperren verdächtiger Absender oder das Anpassen von Filterregeln. Sobald es jedoch um tiefere Eingriffe wie das Verwalten oder Migrieren von E-Mail-Konten geht, sinkt der Anteil auf 49 Prozent, weil viele Unternehmen dabei von ihrem Dienstleister abhängen. Diese Abhängigkeit fällt oft erst auf, wenn sie zum Problem wird: etwa wenn nach einem Sicherheitsvorfall Postfächer kurzfristig umgezogen werden müssen, im Zuge einer Fusion ganze Abteilungen samt ihrer E-Mail-Infrastruktur zusammengeführt werden sollen, oder sich schlicht zeigt, dass eine gewünschte Änderung nicht ohne Unterstützung des Anbieters gelingt. IT-Verantwortliche sollten deshalb rechtzeitig prüfen, welche Anpassungen sie selbst vornehmen können und welche vertraglich oder technisch an den Dienstleister gebunden sind.
Nachweis und Support im Ernstfall
Die NIS2-Richtlinie verschärft zusätzlich die Anforderungen an die Dokumentation. Diesen Anspruch teilen die Unternehmen selbst: 92 Prozent halten ein umfassendes Reporting für unverzichtbar. 52 Prozent geben an, dass sie drei- bis fünfmal jährlich auf ihre Daten zugreifen oder diese für Prüfzwecke aufbereiten müssen, etwa im Rahmen behördlicher Kontrollen, interner Revisionen oder Audits durch eigene Kunden. Fehlt eine durchgängige Nachweiskette, wird aus einer Routineanfrage rasch ein Kraftakt. Wer sein Reporting von vornherein zentral bündelt und exportierbar anlegt, meistert diesen Moment ohne zusätzlichen Zeitdruck und ohne wertvolle Ressourcen in der IT-Abteilung zu binden.
Ebenso stark wirkt sich im Ernstfall die Erreichbarkeit des Anbieters aus. 84 Prozent der Unternehmen halten lokalen Support für unverzichtbar oder sehr wichtig. 83 Prozent erwarten darüber hinaus einen grundsätzlich erreichbaren und reaktionsschnellen Dienstleister. Für nahezu die Hälfte der Befragten wäre ein fehlender lokaler Support ein Grund für einen Anbieterwechsel. Sind an einer Störung mehrere Teams, Hierarchieebenen oder gar unterschiedliche Zeitzonen beteiligt, verlängert sich die Reaktionszeit spürbar. Ein Ansprechpartner in der eigenen Sprache und Zeitzone verkürzt dagegen die Zeit zwischen dem Erkennen eines Problems und seiner Behebung und verhindert damit, dass aus einer kleinen Störung ein teurer Ausfall wird.
Vom Wissen zum Handeln
94 Prozent der Unternehmen geben an, dass Souveränität ihre Anbieterwahl maßgeblich beeinflusst. Das Problembewusstsein besteht damit längst. Jetzt kommt es darauf an, daraus konkrete Schritte abzuleiten. Wer Kontrolle über die E-Mail-Kommunikation tatsächlich behalten will, sollte den Rechtsrahmen seines Anbieters sowie dessen Mutterkonzerns kennen. Souveräne Unternehmen können Richtlinien und Zugriffsrechte selbst anpassen und im Audit-Fall innerhalb weniger Tage vollständige, nachvollziehbare Nachweise vorlegen. IT-Verantwortliche, die diesen Anspruch in der Praxis umsetzen wollen, sollten gezielt europäische Anbieter prüfen, die Rechtssicherheit, operative Unabhängigkeit und lokalen Support nachweisbar miteinander verbinden.
Direkter Link zu Retarus: Aus Daten werden vertrauenswürdige Prozesse – Retarus
