Die Frage taucht in fast jedem Auswahlprozess auf, und sie ist in dieser Form nicht zu beantworten. Die DSGVO kennt keine konformen Programme. Sie kennt Verantwortliche, die angemessene technische und organisatorische Maßnahmen treffen müssen. Ein Mailclient ist eine davon, nie die ganze Antwort.
Trotzdem lohnt die Bestandsaufnahme, denn Thunderbird bringt für den Datenschutz einiges mit und lässt an anderer Stelle eine klar benennbare Lücke.
Was für Thunderbird spricht
Quelloffen und prüfbar. Der Quelltext liegt offen, die Entwicklung findet öffentlich statt. Für Behörden und Häuser mit Anforderungen an digitale Souveränität ist das ein belastbares Argument, das proprietäre Clients nicht bieten.
Keine eigene Cloud. Thunderbird speichert lokal und spricht mit dem Mailserver, den das Unternehmen vorgibt. Es entsteht kein zusätzlicher Datenfluss zu einem Hersteller und damit auch kein zusätzlicher Auftragsverarbeiter, der vertraglich einzubinden wäre.
Verschlüsselung ab Werk. S/MIME und OpenPGP sind eingebaut, ohne Erweiterung und ohne Zusatzlizenz. Damit lässt sich Ende-zu-Ende-Verschlüsselung grundsätzlich abbilden.
Betrieb im eigenen Land. Wo die Postfächer liegen, entscheidet das Unternehmen, nicht der Client. Das ist bei der Frage nach Drittlandtransfers ein spürbarer Unterschied.
Wo die Lücke liegt
Alles Genannte betrifft die Möglichkeit. Die DSGVO fragt nach der Umsetzung, und dort trennt sich der Client von der Anforderung.
Keine Durchsetzung. Art. 32 verlangt angemessene Maßnahmen nach Stand der Technik. Eine Maßnahme, die von der Tagesform einer einzelnen Person abhängt, ist keine. Thunderbird kann Verschlüsselung anbieten, es kann sie nicht verlangen. Ob die Nachricht mit der Gehaltsabrechnung geschützt hinausgeht, entscheidet ein Klick, den jemand auch vergessen kann.
Kein Nachweis. Die Rechenschaftspflicht aus Art. 5 Abs. 2 verlangt, dass sich Maßnahmen belegen lassen. Aus lokal verteilten Thunderbird-Profilen lässt sich nicht ermitteln, welcher Anteil der Kommunikation tatsächlich geschützt war. Bei einer Prüfung ist das die unangenehmste Frage, weil sie sich nicht nachträglich beantworten lässt.
Keine zentrale Schlüsselhoheit. Private Schlüssel liegen auf Endgeräten. Beim Austritt bleiben sie dort, bei einer Vertretung fehlen sie. Warum das ab einer gewissen Größe nicht mehr trägt, haben wir in S/MIME in Thunderbird ausführlich beschrieben.
Keine Archivierung, kein Löschkonzept. Aufbewahrungspflichten und die Löschpflicht aus der DSGVO greifen ineinander. Ein Mailclient leistet dazu nichts. Lokale Kopien in Profilen laufen dem Löschkonzept sogar zuwider.
Was die Aufsicht konkret erwartet
Transportverschlüsselung per TLS gilt für allgemeine Geschäftskorrespondenz in vielen Fällen als ausreichend. Bei besonderen Kategorien personenbezogener Daten nach Art. 9, also etwa Gesundheitsdaten, sowie bei Berufsgeheimnisträgern empfiehlt die Datenschutzkonferenz zusätzlich eine Ende-zu-Ende-Verschlüsselung mit S/MIME oder PGP.
Die Konsequenz für die Praxis ist unbequem: Es genügt nicht, Verschlüsselung zu können. Sie muss für die betroffenen Fälle zuverlässig greifen. Genau an dieser Zuverlässigkeit scheitert der clientseitige Ansatz, und zwar unabhängig davon, welches Programm eingesetzt wird. Für Outlook gilt dieselbe Einschränkung.
Verstöße gegen Art. 32 sind mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bewehrt, je nachdem, welcher Betrag höher ist. Die Einordnung im Detail liefert unser Beitrag DSGVO und E-Mail-Verschlüsselung.
Die pragmatische Antwort
Thunderbird ist ein datenschutzfreundlicher Client. Er wird nicht zum Risiko, wenn das Unternehmen die Maßnahmen dort verankert, wo sie nicht umgangen werden können: im Mailfluss statt am Arbeitsplatz.
Konkret bedeutet das drei Dinge:
- Verschlüsselung als Regel, nicht als Klick. Wer verpflichtend geschützt kommunizieren muss, hinterlegt das als Regel für Absender, Empfänger oder Domain. Was ihr unterliegt, verlässt das Haus nur verschlüsselt oder gar nicht.
- Schlüssel zentral. Beschaffung, Erneuerung und Entzug an einer Stelle, nicht auf achtzig Geräten.
- Nachweisbarkeit. Nachvollziehbar, was wann auf welchem Weg geschützt zugestellt wurde, ohne dass jemand Postfächer durchsuchen muss.
Alle drei sind am Mailgateway zu haben und keines davon im Client. Der angenehme Nebeneffekt: Weil der Schutz nicht am Programm hängt, gilt er auch für Webmail, für das Diensthandy und für gemischte Umgebungen, in denen ein Teil der Belegschaft Outlook nutzt. Auch ein Wechsel des Zugangswegs, wie er vielen Microsoft-365-Kunden mit der EWS-Abschaltung bevorsteht, berührt ihn nicht.
Fazit
Die Frage sollte nicht lauten, ob Thunderbird DSGVO-konform ist, sondern ob die E-Mail-Kommunikation des Unternehmens es ist. Der Client ist dabei selten das Problem und nie allein die Lösung. Wer Verschlüsselung, Schlüsselverwaltung und Nachweis vor das Postfach legt, kann die Wahl des Mailprogramms wieder danach treffen, womit die Anwender am besten arbeiten.
Wie das mit Conbool SecureMail aussieht, lässt sich in einer bestehenden Umgebung ohne Eingriff in die Arbeitsplätze zeigen. Die Kurzfassung für Thunderbird-Häuser steht auf der Lösungsseite E-Mail-Verschlüsselung für Thunderbird. Der Weg dahin führt über die Kontaktseite.
Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung.
