E-Mails gehören zum Geschäftsalltag wie Telefon und PC. Doch während die meisten Unternehmen selbstverständlich über technische Mindeststandards verfügen, herrscht beim Thema E-Mail-Verschlüsselung häufig Unsicherheit: Was muss ich als Verantwortlicher tun? Wo reicht Transportverschlüsselung aus – und wann wird Ende-zu-Ende-Verschlüsselung zur Pflicht?
Zwei aktuelle Gerichtsentscheidungen zeigen, dass diese Fragen auch für die Rechtsprechung nicht trivial sind. Höchste Zeit für eine fundierte Einordnung.
Die DSGVO gibt keine starren technischen Vorgaben vor. Stattdessen verlangt Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten betroffener Personen.
Diese abstrakte Formulierung hat die Datenschutzkonferenz (DSK) in ihrer Orientierungshilfe „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail” vom 16.06.2021 praxisnah konkretisiert. Die Orientierungshilfe unterscheidet zwischen normalen und hohen Risiken und leitet daraus entsprechende technische Anforderungen ab.
Wichtig: Die DSK-Orientierungshilfe betrachtet ausschließlich Transportrisiken. Risiken ruhender oder weiterverarbeiteter Daten sowie besondere Übermittlungsumstände können zusätzliche Maßnahmen erforderlich machen.
Bei normalen Risiken – also dem alltäglichen Versand personenbezogener Daten ohne besondere Sensibilität – verlangt die DSK mindestens eine obligatorische Transportverschlüsselung.
Konkret bedeutet dies:
Fazit: Die Transportverschlüsselung ist die absolute Untergrenze und sollte in jedem Unternehmen als verbindlicher Standard implementiert sein.
Sobald das Risiko steigt, reicht die einfache Transportverschlüsselung nicht mehr aus. Ein erhöhtes Risiko liegt vor, wenn:
In solchen Fällen empfiehlt die DSK:
Für besondere Szenarien wie den Versand von Sozialdaten verlangen Aufsichtsbehörden zwingend eine Inhaltsverschlüsselung.
Die Frage, wann genau eine Ende-zu-Ende-Verschlüsselung erforderlich ist, wird von deutschen Gerichten unterschiedlich beantwortet.
Das OLG Schleswig entschied im Dezember 2024 (Az.: 12 U 9/24), dass ein Handwerksbetrieb beim Versand einer Rechnung über 15.000 Euro gegen Art. 5, 24 und 32 DSGVO verstoßen habe. Die reine Transportverschlüsselung genüge nicht – das hohe finanzielle Risiko einer Rechnungsmanipulation hätte eine Ende-zu-Ende-Verschlüsselung erfordert. Dem geschädigten Kunden wurde Schadensersatz nach Art. 82 DSGVO zugesprochen.
Anders das LG Karlsruhe im Mai 2026 (Az.: 8 O 266/25): Trotz einer manipulierten Rechnung über rund 109.000 Euro für Goldbarren verneinte das Gericht eine generelle Pflicht zur Ende-zu-Ende-Verschlüsselung. Die Transportverschlüsselung genüge den üblichen Sicherheitserwartungen des Geschäftsverkehrs. Zudem sei der Anwendungsbereich der DSGVO nicht eröffnet, da die manipulierte Bankverbindung keine personenbezogenen Daten der betroffenen Person darstelle.
Das LG Rostock (Az.: 2 O 450/24, November 2024) stellte fest, dass bei einvernehmlicher E-Mail-Kommunikation keine zwingenden Sicherheitsvorgaben bestehen. Allerdings müssen Empfänger auf deutliche Manipulationshinweise achten – etwa Rechtschreibfehler, kryptische Umlaute oder geänderte Bankverbindungen – und Unstimmigkeiten klären.
Die Rechtsprechung ist an dieser Stelle noch nicht gefestigt. Da die Landgerichte in der Instanzenhierarchie unter dem OLG Schleswig stehen und die Entscheidungen zeitlich eng beieinanderliegen, sind weitere – möglicherweise obergerichtliche – Klärungen zu erwarten.
Bis dahin sollten sich verantwortliche Stellen am strengeren Maßstab des OLG Schleswig orientieren, insbesondere beim Versand von Rechnungen mit nennenswerten Beträgen.
Stellen Sie sicher, dass Ihre E-Mail-Infrastruktur ausschließlich verschlüsselte Verbindungen zulässt und den BSI-Vorgaben entspricht.
Führen Sie eine nachvollziehbare Risikobewertung für verschiedene E-Mail-Kategorien durch. Dokumentieren Sie, wann Sie welches Verschlüsselungsniveau einsetzen – und warum.
Schaffen Sie die technischen Voraussetzungen für S/MIME oder OpenPGP, damit Ihre Mitarbeitenden bei Bedarf Ende-zu-Ende-verschlüsselt kommunizieren können.
Erstellen Sie gemeinsam mit Ihrem Datenschutzbeauftragten klare Richtlinien, wann welche Verschlüsselungsmethode zu nutzen ist. Besonders hilfreich sind:
Schulen Sie Ihre Beschäftigten regelmäßig zu den Risiken unverschlüsselter E-Mail-Kommunikation und zu den verfügbaren technischen Lösungen in Ihrem Unternehmen.
Die E-Mail-Verschlüsselung ist kein rein technisches Thema, sondern eine rechtliche Anforderung mit erheblichem Haftungsrisiko. Die aktuelle Rechtsprechung zeigt: Im Streitfall kann fehlende Verschlüsselung teuer werden.
Unsere Empfehlung:
Sie sind unsicher, welche Verschlüsselungsstandards für Ihre Geschäftsprozesse gelten? Als externer Datenschutzbeauftragter unterstützen wir Sie bei der rechtssicheren Ausgestaltung Ihrer E-Mail-Kommunikation – von der Risikobewertung über die technische Umsetzung bis zur Mitarbeiterschulung.
Vereinbaren Sie jetzt ein kostenloses Beratungsgespräch und schaffen Sie Rechtssicherheit für Ihre E-Mail-Kommunikation.
Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.
Input your search keywords and press Enter.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen