Datenschutz bei Microsoft 365 – Teil 9: Exchange Online

Was ist Exchange Online?

Microsoft Exchange ist der E-Mail-Server von Microsoft, auf welchem neben dem E-Mail-Postfach u.a. noch der Kalender, Kontakte oder auch Chatverläufe von Teams gespeichert werden. Das Kommunikationsmedium lässt sich im Rahmen von Microsoft 365 als eine von Microsoft gehostete Cloud-Anwendung nutzen und wird dann als „Exchange Online“ bezeichnet. Durch Exchange Online kann der Nutzer bequem von mehreren Clients (z.B. Laptop, Smartphone, Tablet, Webbrowser) auf seine E-Mails und seinen Kalender zugreifen. Exchange bietet unzählige Einstellmöglichkeiten, um die Anwendung datenschutzkonform einsetzen zu können. Der Beitrag greift hier wesentliche Themen auf.

Welche Datenschutzrisiken bestehen beim Einsatz von Exchange Online?

  • Exchange Online übermittelt als Cloud-Anwendung Daten in die USA. Auf die Problematik der Datenübermittlung in die USA wurde in den vorangegangenen Beiträgen bereits vielfach eingegangen. Näheres hierzu können Sie in unserem FAQ zum Aus des Privacy Shield Abkommens nachlesen.
  • Offenlegung von personenbezogenen Daten an Unberechtigte durch Nutzung von freigegebenen E-Mail-Postfächern und öffentlichen Ordnern. Mehrere Nutzer können Zugriff auf freigegebene Postfächer bekommen, damit dieses Postfach von mehreren Personen verwaltet werden kann. Öffentliche Ordner können genutzt werden, um dort E-Mails für andere Nutzer abzulegen. Das Risiko besteht darin, dass dadurch der Zugang zu Daten nicht auf das erforderliche Maß beschränkt wird.
  • Freigabe von Kalendern und Kontaktinformationen an unberechtigte Personen. Kalender und Kontakte können in Exchange Online sowohl internen als auch externen Personen freigegeben werden. Dadurch besteht die Gefahr, dass unberechtigten Personen personenbezogene Daten offengelegt werden.
  • Unrechtmäßige Massenspeicherung von Daten durch Archivierung und Journalregeln. E-Mail-Postfächer, die nicht regelmäßig aufgeräumt werden, sind ein allgegenwärtiges Problem in Unternehmen und stellen regelmäßig einen Verstoß gegen den Grundsatz der Speicherbegrenzung dar.
    Darüber hinaus lässt sich in Exchange Online eine Archivierungs- samt einer zusätzlichen Beweissicherungsfunktion nutzen, die die umfassende Speicherung von E-Mails unterstützt. Ist die Beweissicherung aktiviert, bleiben archivierte E-Mails im Original zur Einsicht durch den Compliance-Officer vorhanden, selbst wenn der Nutzer die E-Mail aus dem Archiv löscht und diese für ihn selbst auch verschwindet.
    Abzugrenzen von der Archivierung ist das Journaling. Mit Journalregeln lässt sich konfigurieren, ob alle oder nur bestimmte ausgehende und eingehende E-Mails in das Journalpostfach als Kopie weitergeleitet werden sollen. Der Endanwender hat hierauf im Gegensatz zum Archivierungspostfach keinen Zugriff.
    Die Speicherung von E-Mails im Archiv oder im Journalpostfach kann nicht nur dem Grundsatz der Speicherbegrenzung widersprechen, sondern ist auch im Umgang mit privaten E-Mails problematisch, die dann ggf. auch unrechtmäßig archiviert werden.
  • Weitere grundlegende Datenschutzrisiken im Umgang mit E-Mails. Der unverschlüsselte Versand von E-Mails mit sensiblen Inhalten, der Versand von E-Mails an die falsche Person oder Mitarbeitende, die durch Anklicken eines dubiosen Links Schadsoftware ins Unternehmensnetzwerk einspeisen, stellen grundlegende Datenschutzrisiken im Unternehmensalltag dar.

Hilfreiche organisatorische Regelungen für Exchange Online

  • Freigegebene E-Mail-Postfächer sollten ausschließlich für allgemeine E-Mail-Adressen wie „info@“ verwendet werden. Bei einer solchen E-Mail-Adresse kann ein Betroffener davon ausgehen, dass diese E-Mail mehrere Personen erreicht. Bei einer personalisierten E-Mail-Adresse ist dies nicht der Fall. Der Versender geht hierbei davon aus, dass eine E-Mail nur einer Person zugeht. Personalisierte E-Mail-Postfächer sollten also auf keinen Fall für mehrere Nutzer freigegeben werden. 
  • Der Einsatz von öffentlichen Ordnern sollte nur auf Basis eines granularen Rollen- und Berechtigungskonzepts stattfinden und nur auf eine erforderliche Anzahl von Personen begrenzt sein, z.B. für die Geschäftsleitung.
  • Um der Gefahr zu entgehen, massenhaft und unrechtmäßig Daten zu archivieren oder im Rahmen des Journaling zu speichern, sind vorab klare Regelungen zu treffen. Zum Beispiel sind E-Mails, die als Handels- und Geschäftsbriefe einzustufen sind, 6 Jahre unverändert aufzubewahren. Es ergibt also Sinn, solche E-Mails als Kopie in das Journalpostfach weiterzuleiten. Andere E-Mails jedoch sind nicht von Bedeutung. Insbesondere wenn es erlaubt ist, private E-Mails zu schreiben, ist hier Vorsicht geboten. Es muss also klar geregelt werden, welche E-Mails wie gespeichert werden dürfen und insbesondere auch wer auf diese E-Mails Zugriff hat. E-Mails, die im Rahmen des Beweissicherungsverfahrens gesichert werden, sollten zum Beispiel nur durch Compliance-Officer oder Datenschutzbeauftragte im Verdachtsfall einer Straftat eingesehen werden dürfen.
  • Exchange bietet die Möglichkeit, E-Mails verschlüsselt zu versenden. Eine versendete E-Mail kann dann nur noch durch den Empfänger gelesen werden. Die Verschlüsselung kann hierbei sowohl durch den Versender als auch zentral durch Transportregeln erfolgen. Bei der Verschlüsselung bestehen zudem die folgenden beiden Einstellmöglichkeiten:
    • „Nicht weiterleiten“: Im Sinne der datenschutzfreundlichen Voreinstellungen ist diese Einstellung standardmäßig aktiviert. Der Empfänger kann die E-Mail dann nur lesen, jedoch nicht weiterleiten, ausdrucken oder Inhalte kopieren.
    • „Verschlüsseln“: Diese Funktion lässt sich alternativ einstellen und gibt dem Empfänger mehr Berechtigungen. Das Kopieren von Inhalten sowie das Drucken oder das Weiterleiten der E-Mail sind dann möglich.
  • Alternativ unterstützt Exchange auch die Verschlüsselungstechnik S/MIME. Diese Technik ist als sicherer einzustufen, hat aber den Nachteil, dass dies nur funktioniert, wenn der Empfänger ebenfalls S/MIME nutzt.

    Folgende Fragen sollten zur Umsetzung von organisatorischen Regelungen für verschlüsselten E-Mail Nachrichten geklärt werden:
  1. Welche Technik soll eingesetzt werden?
  2. Welche E-Mails sind zu verschlüsseln und welche nicht?
  3. Erfolgt die Konfiguration der Verschlüsselung durch die Nutzer oder zentral durch die IT?

Datenschutzfreundliche Voreinstellungen für Exchange Online

  • Das Rollen- und Berechtigungskonzept ist technisch umzusetzen. Dabei gilt, dass standardmäßig alle Berechtigungen entzogen sind. Diese müssen dann nach Erforderlichkeit aktiv verteilt und jedem Nutzer individuell zugeordnet werden.
  • Administratoren können Freigaberichtlinien festlegen, die regeln, inwieweit freigegebene Kalender Daten preisgeben. Möchten Mitarbeiter beispielsweise Kalender mit externen Geschäftspartnern teilen, so ist es für die externe Person wahrscheinlich nur relevant zu wissen, wann jemand zeitlich verfügbar ist. Die Freigaberichtlinie ist so voreinzustellen, dass lediglich diese Information ohne jegliche Details preisgegeben wird. Intern können wiederum weitere Informationen relevant sein. Die Freigaberichtlinie kann beispielsweise so konfiguriert werden, dass zusätzlich der Betreff oder der Ort eines Termins angezeigt wird. Die Kalenderfreigaben können entweder zentral oder durch jeden Nutzer selbst konfiguriert werden.
  • Regeln zur Archivierung und zum Journaling sind voreinzustellen.
  • E-Mail-Infos sind Informationen, die sich einstellen und konfigurieren lassen, um dem Ersteller Hinweise und Warnungen anzuzeigen. Bevor man eine E-Mail versendet, werden die Empfänger analysiert. Der Verfasser der E-Mail erhält dann eine Nachricht, dass die E-Mail z.B. das Unternehmen verlässt und einem externen Empfänger zugeht oder dass die Verteilergruppe sehr groß ist. Dadurch kann sich der Verfasser nochmal vorab überlegen, ob die E-Mail an den oder die richtigen Empfänger geht und ggf. Anpassungen vornehmen.
  • Zum Schutz vor Spam, Schadcode und Phishing sind in Exchange Filter im Einsatz, die Spam und Schadcode abfangen und aussortieren. Um das Schutzniveau zu erhöhen kann man den voreingestellten Schutz um das Modul Advanced Threat Protecion (ATP) erweitern. ATP überprüft eine eingehende E-Mail zunächst in einer cloudbasierten Sandbox und stuft die Gefährlichkeit der E-Mail ein. Ein hilfreiches Feature von ATP ist, dass angehängte Links umgeschrieben werden. Klickt ein Anwender auf den Link, analysiert ATP zunächst, ob das Ziel des Links schädlich ist und warnt anschließend den Anwender.
  • In Outlook lassen sich zahlreiche Add-Ins einbinden, die oftmals von Drittanbietern stammen. Grundsätzlich kann jeder Nutzer selbst Add-Ins installieren und entfernen. Um hier nicht die Kontrolle zu verlieren, ist es notwendig, diese Möglichkeit für alle Nutzer zu deaktivieren. Add-Ins dürfen nur nach datenschutzrechtlicher Überprüfung durch die Administratoren den Nutzern zur Verfügung gestellt werden.

Sollten Sie noch Fragen zum Datenschutz, Microsoft 365 oder Exchange Online haben, so wenden Sie sich gerne an uns. Schauen Sie demnächst gerne wieder vorbei für den nächsten Teil unserer Microsoft 365-Reihe.

Sie benötigen professionelle Unterstützung zum Thema Datenschutz bei Microsoft 365? Lassen Sie sich jetzt von erfahrenen Datenschutzexperten bei ENSECUR beraten!
Zur Office 365 Datenschutz Beratung

Links zu weiteren Beiträgen der Reihe:

Teil 1: Grundlagen
Teil 2: Microsoft Forms
Teil 3: Microsoft Teams
Teil 4: Delve, MyAnalytics und Produktivitätsbewertung
Teil 5: Compliance
Teil 6: Yammer
Teil 7: OneDrive
Teil 8: Office Online – Word, Excel, PowerPoint, OneNote
Teil 10: Intune
Teil 11: Admin Center

Link zu unserem White Paper Microsoft 365

Hilfreiche Links:

https://docs.microsoft.com/de-at/exchange/exchange-online

Autor: Bastian Maute, 14.12.2020
Bild von geralt auf Pixabay

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.