Die vertrauliche Mail ist selten der Fließtext. Vertraulich ist der Vertragsentwurf, die Gehaltsliste, der Befund, die Kalkulation — und das alles reist als Anhang. Trotzdem entscheiden die meisten Verschlüsselungslösungen ausschließlich danach, wer die Mail bekommt, nie danach, was in ihr steckt.
Warum das Verfahren am Empfänger allein nicht reicht
Die übliche Logik lautet: hat der Empfänger ein Zertifikat, wird S/MIME verwendet; hat er einen PGP-Schlüssel, wird PGP verwendet; hat er nichts, greift ein Portal oder ein passwortgeschütztes PDF. Das ist richtig und deckt den Normalfall ab.
Nur beschreibt es PDF als Notlösung. In der Praxis ist es oft die bessere Lösung — nämlich immer dann, wenn eine Datei mitreist. Ein PDF mit Passwort lässt sich weiterleiten, ablegen und Monate später öffnen, ohne dass jemand ein Zertifikat pflegen muss. Für eine dreizeilige Terminbestätigung ist dasselbe PDF dagegen eine Zumutung.
Der Merksatz: eine Regel, eine Methode
Die Lösung ist unspektakulär und genau deshalb belastbar: eine Regel trägt genau eine Methode. Wer zwei Methoden will, baut zwei Regeln und unterscheidet sie an der Bedingung.
| Priorität | Bedingung | Verfahren |
|---|---|---|
| 10 | Mit Anhang | PDF mit Passwort |
| 0 | — | S/MIME |
Es greift die erste Regel, deren Adressaten und Bedingung passen. Eine Mail ohne Anhang fällt an Regel 10 vorbei und landet bei S/MIME. Eine Mail mit Anhang wird zum PDF. Niemand muss beim Schreiben daran denken, niemand muss geschult werden, und es gibt keinen Knopf, den man vergessen kann.
Woran erkennt ein Gateway einen Anhang?
An dieser Stelle scheitern naive Umsetzungen. Ein Mailprogramm meldet auch das Logo aus der HTML-Signatur als Anhang. Wer darauf eine Regel baut, verschickt jede einzelne Mail seines Vertriebs als PDF.
Gezählt werden deshalb nur echte Anhänge. Eingebettete Bilder, die über eine Content-ID im Nachrichtenkörper referenziert werden, bleiben außen vor.
Zwei weitere Stellschrauben verfeinern die Regel:
- Anhangsarten — Office-Dokumente, PDF, Archive, Bilder und weitere. Erkannt wird am Dateiinhalt, nicht an der Endung. Eine in
.pdfumbenannte ZIP-Datei fällt damit nicht durch. - Größe — eine Obergrenze für die gesamte Nachricht. Oberhalb davon ist ohnehin ein Download-Link der bessere Weg.
Drei Regeln, die sich in der Praxis bewähren
Verträge und Angebote als PDF. Bedingung: mit Anhang, Anhangsart Office und PDF. Alles andere bleibt S/MIME. Das ist der Standardfall in Kanzleien, Steuerberatung und Vertrieb.
Archive grundsätzlich ins Portal. Bedingung: Anhangsart Archive. ZIP-Dateien sind der häufigste Träger für alles, was niemand per Mail sehen möchte, und im Portal bleibt der Zugriff protokolliert.
Große Mails aussortieren. Bedingung: Größe höchstens 10 MB auf der PDF-Regel. Darüber greift die nächste Regel, und der Anhang geht als sicherer Download-Link raus, statt ein 40-MB-PDF zu erzeugen, das an jeder Empfängergrenze scheitert.
Was das für die DSGVO bedeutet
Artikel 32 verlangt Maßnahmen nach dem Stand der Technik, angemessen zum Risiko. Genau diese Angemessenheit lässt sich mit einer Regel am Nachrichteninhalt sauberer begründen als mit einer pauschalen Einstellung: die Mail mit der Gehaltsliste wird nachweislich anders behandelt als die Terminbestätigung, und zwar automatisch, nicht nach Tagesform des Absenders.
Wie das im Zusammenspiel mit S/MIME und PGP aussieht, haben wir im Vergleich S/MIME vs PGP ausführlich beschrieben. Welche Pflichten die DSGVO konkret auslöst, steht in unserem Beitrag zur DSGVO und E-Mail-Verschlüsselung.
Häufige Fragen
Zählt das Logo in meiner Signatur als Anhang? Nein. Nur echte Anhänge werden gezählt, eingebettete Bilder mit Content-ID nicht.
Was passiert, wenn keine Regel passt? Dann geht die Nachricht den Weg, den sie vorher gegangen wäre. Eine Bedingung engt eine Regel ein, sie schaltet keine andere ab.
Muss ich bestehende Regeln anfassen? Nein. Ohne Angabe greift eine Regel wie bisher immer.
Fazit
Die Frage ist nicht, welches Verschlüsselungsverfahren das beste ist. Die Frage ist, welches zu dieser Nachricht passt — und die Antwort steht in der Nachricht selbst. Zwei Regeln genügen, um sie zu automatisieren.
Wie das in Conbool SecureMail eingerichtet wird, zeigt die Seite zur PDF-Verschlüsselung.
