Das geschäftliche Risiko durch die Nutzung persönlicher E-Mail-Konten

Wenn Mitarbeitende geschäftliche Kommunikation in persönliche E-Mail-Konten verlagern, verlieren Unternehmen den Überblick darüber, wo sich Daten befinden, wer darauf zugreifen kann und wie sie geschützt, aufbewahrt oder wiederhergestellt werden können, wenn etwas schiefgeht.

Die wichtigsten Erkenntnisse

• Sie können keine Daten schützen, die Sie nicht sehen. Geschäftsdaten, die in privaten E-Mail-Konten gespeichert sind, liegen außerhalb vieler Security-, Überwachungs- und Governance-Kontrollen von Unternehmen.
• Private E-Mails erhöhen das Geschäftsrisiko über die Cybersecurity hinaus. Neben dem Risiko durch Phishing und Malware können dadurch rechtliche, Compliance-, Aufzeichnungs- und Kontinuitätsprobleme entstehen.
• Sichere geschäftliche Kommunikation erfordert sowohl Richtlinien als auch Technologie. Unternehmen sollten sichere, freigegebene Kommunikationstools bereitstellen und dafür sorgen, dass sie einfacher zu nutzen sind als private Alternativen.

"Wann ist es in Ordnung, eine private E-Mail für geschäftliche Zwecke zu verwenden?"

Wir erhalten seit Jahren verschiedene Varianten dieser Frage. Sie basiert auf der Annahme, dass die Nutzung privater E-Mails manchmal bequemer ist als die Anmeldung bei einem vom Unternehmen kontrollierten Konto. Multifaktor-Authentifizierung (MFA), Standortbeschränkungen und andere Kontrollen können lästig sein, wenn jemand auf Reisen ist oder unter Zeitdruck steht.

Die kurze Antwort auf diese Frage lautet „nie“. Private E-Mail-Konten eröffnen neue Angriffswege in das Unternehmen. Sie liegen außerhalb des Geltungsbereichs von Security-Kontrollen des Unternehmens, was bedeutet, dass das Unternehmen sie nicht auf bösartige Nachrichten, Zugriffs- und Aufbewahrungsrichtlinien, verdächtige Anmeldungen oder Account Takeover (ATO) überwachen kann.

Private E-Mail-Konten sind anfällig für Phishing nach Zugangsdaten, bösartige Nachrichten, Betrug mit technischem Support und viele andere Angriffe. Sie bieten zwar möglicherweise Spam-Filterung und MFA, verfügen jedoch in der Regel nicht über die robusten Funktionen von E-Mail-Sicherheitslösungen für Unternehmen. Untersuchungen von Hudson Rock zu Infostealern bei einer Unternehmensdomäne ergaben Tausende von Infektionen bei Mitarbeitern, die die Authentifizierungsinfrastruktur des Unternehmens und unzählige Zugangsdaten für Verbraucherdienste wie Netflix, Twitter, Dropbox und LinkedIn offenlegten. Dies deutet zwar nicht auf einen kausalen Zusammenhang hin, zeigt aber, dass privat oder gemischt genutzte Rechner sowohl den Zugang zu privaten Konten als auch Unternehmenskonten gefährden können. Eine einzige Infostealer-Infektion kann zu einer massiven Datenschutzverletzung führen.

Welche finanziellen Risiken bestehen bei der Nutzung eines privaten Kontos für Unternehmen?

Daten gehören heute zu den wertvollsten Vermögenswerten eines Unternehmens: Kundendatensätze, Finanzinformationen, geistiges Eigentum, betriebliche Kommunikation, Mitarbeiterdaten und Lieferantenbeziehungen laufen täglich über E-Mail. Wenn diese Daten in Systemen liegen, die Ihr IT-Team nicht kontrolliert, verlieren Sie die Möglichkeit, sie zu schützen, zu verwalten, zu überprüfen oder wiederherzustellen.

Die Untersuchungen von IBM verdeutlichen, wie viel mittlerweile auf dem Spiel steht. Im Jahr 2024 gaben 70 % der von Sicherheitsverletzungen betroffenen Unternehmen an, dass der Vorfall erhebliche oder sehr erhebliche Beeinträchtigungen ihres Betriebs verursachte – und bei denjenigen, die sich davon erholten, dauerte dieser Prozess mehr als 100 Tage. Nur 12 % der von Sicherheitsverletzungen betroffenen Unternehmen waren überhaupt in der Lage, sich vollständig davon zu erholen.

Das ist nur ein Teil des Gesamtbildes. Eine Studie ergab, dass 65 % der Verbraucher nach einer Datenschutzverletzung das Vertrauen in ein Unternehmen verloren und 27 % ihre Beziehung zu dem Unternehmen vollständig beendeten. Eine andere Studie ergab, dass Unternehmen nach einer Datenschutzverletzung gegenüber dem NASDAQ schlechter abschneiden, und zwar in den drei Jahren nach einer Datenschutzverletzung im Durchschnitt um 15,6 %. Diese Art von Forschung zeigt uns, dass eine Datenpanne einem Unternehmen über viele Jahre schaden kann.

Welche rechtlichen Risiken bestehen bei der Nutzung eines privaten Kontos für Unternehmen?

Wenn Sie Ihren Mitarbeitern gestatten, private E-Mail-Konten für geschäftliche Zwecke zu nutzen, bedeutet dies, dass die geschäftlichen Informationen Ihres Unternehmens auf Mailservern gespeichert werden, die sich Ihrer Kontrolle entziehen, und zwar überall auf der Welt. Es gibt keine Möglichkeit, alle Orte zu kennen, an denen Ihre Unternehmensdaten gespeichert sind oder an die sie übermittelt wurden.

Und die Sicherheitsrichtlinien Ihres Unternehmens treffen nicht auf ein privates E-Mail-Konto zu. Ihr Mitarbeiter mag vielleicht den allgemeinen Geschäftsbedingungen von Google Mail zugestimmt haben (die die Suche nach E-Mail-Inhalten erlauben), Ihr Unternehmen jedoch nicht. Sie mögen eine gute Datenschutzrichtlinie haben – aber private E-Mail-Konten können sie mit einem Klick auf „Senden“ umgehen.

Die Risiken und Auswirkungen der Nutzung privater Konten für geschäftliche Zwecke liegen nicht unbedingt klar auf der Hand, bis es zu Anfragen zur Informationsfreiheit, internen Untersuchungen oder eDiscovery kommt.  In all diesen Fällen können diese privaten E-Mail-Konten relevante Informationen enthalten und müssen als solche zur Suche und zum Abruf angeboten werden.

Selbst die Offenlegung gestaltet sich schwierig; private E-Mails können im Rahmen der üblichen juristischen Offenlegungsverfahren nicht offengelegt werden. Google verbietet beispielsweise das externe Scannen der E-Mails von Nutzern (es laufen derzeit mehrere Gerichtsverfahren dazu). Aus diesem Grund muss das Unternehmen den Nutzer anweisen, seine E-Mails selbst zu scannen, womit ein großes Risiko von Beweisvereitelung einhergeht.   Wenn es sich um ein regulatorisches Problem handelt, ist die Compliance des Unternehmens wahrscheinlich nicht gegeben.

Wenn ein Mitarbeiter private E-Mail-Konten nutzt, um mit einem Firmengerät geschäftsbezogene E-Mails zu versenden, bedeutet das nicht unbedingt, dass das Unternehmen das Recht hat, diese E-Mails zu durchsuchen.  Im Verfahren „Stengart vs. Loving Care“ entschied der Oberste Gerichtshof von New Jersey, dass ein Mitarbeiter „vernünftigerweise erwarten konnte, dass die über sein persönliches, passwortgeschütztes, webbasiertes E-Mail-Konto erfolgte E-Mail-Kommunikation mit (seinem) Anwalt privat bleiben würde und dass das Senden und Empfangen mit einem Firmenlaptop das Anwaltsgeheimnis, das sie schützte, nicht aufhob.“

Es könnte sehr schwierig sein, einen Antragsteller oder ein Gericht davon zu überzeugen, dass alle relevanten Informationen offen- und vorgelegt wurden – selbst wenn umfassende (und teure) Maßnahmen ergriffen wurden, wie z. B. das Kopieren der gesamten Mailbox der betreffenden Person auf einen Unternehmensserver zur Suche und zum Abruf.  Und nur wenige Benutzer würden zustimmen, dass eine vollständige Kopie ihrer privaten E-Mails auf den Servern ihres Unternehmens gespeichert wird.

Die Lösung mag auf der Hand liegen, aber die Unternehmen müssen sie durchsetzen

In erster Linie ist die Festlegung strikter Richtlinien gegen die Nutzung privater E-Mail-Accounts für geschäftliche Zwecke die einzige Möglichkeit. Doch trotz aller Gründe, die dafür sprechen, zum Abwickeln von geschäftlichen Angelegenheiten nur Firmen-E-Mails zu verwenden, gehen die Nutzer nach wie vor den Weg des geringsten Widerstands und verwenden die für sie einfachste E-Mail.  Die Verantwortung liegt also beim Unternehmen, dafür zu sorgen, dass der „Weg des geringsten Widerstands“ der richtige Weg ist.

Unternehmen können proaktiv sicherstellen, dass Außendienst- oder externe Mitarbeiter mit ihren eigenen Geräten problemlos auf die E-Mail-Systeme des Unternehmens zugreifen können.  Webmail-Schnittstellen sind einfach einzurichten, und jede Compliance-Erfassung sieht und speichert diese Mails, auch wenn sie von einem Heim-PC, Laptop, Smartphone oder Tablet gesendet werden.  Beim Verfassen einer neuen E-Mail, insbesondere auf Mobiltelefonen, müssen Mitarbeiter daran erinnert werden, immer die Unternehmens-E-Mail-Adresse zu wählen, nicht ihre private.   Für Nicht-Angestellte wie Auftragnehmer und Berater gilt dasselbe.  Wenn der Auftragnehmer oder Berater im Namen des Unternehmens Geschäfte tätigt, empfiehlt es sich dringend, dieser Person eine Firmen-E-Mail-Adresse zur Verfügung zu stellen und strenge Richtlinien für die Nutzung dieser Adresse durchzusetzen, die Teil der Vereinbarung sind.

IT-Abteilungen sollten immer in der Lage sein, die zentrale Kontrolle und den Überblick über alle im Namen des Unternehmens gesendeten oder empfangenen E-Mails zu behalten. Nur so werden Probleme vermieden, die sich aus der Abwicklung von Geschäften über private E-Mail-Konten ergeben.  Das Problem wird zwar nicht komplett beseitigt, aber deutlich verringert.

Barracuda bietet eine Reihe von E-Mail- und Informationsmanagementlösungen, mit denen Unternehmen ihre Geschäftsdaten zentralisieren und kontrollieren sowie unternehmerische und rechtliche Risiken minimieren können.   Erfahren Sie hier auf der Website unseres Unternehmens mehr über die Security- und Data-Protection-Lösungen von Barracuda.