M 2.119 Regelung für den Einsatz von E-Mail
Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement
Verantwortlich für Umsetzung: Benutzer
Sollen zwischen zwei oder mehreren Kommunikationspartnern Daten elektronisch ausgetauscht werden, so müssen diese zum ordnungsgemäßen Austausch folgende Punkte beachten:
- Die Adressierung von E-Mail muss eindeutig erfolgen, um eine fehlerhafte Zustellung zu vermeiden. Innerhalb einer Organisation sollten Adressbücher und Verteilerlisten gepflegt werden, um die Korrektheit der gebräuchlichsten Adressen sicherzustellen. Durch den Versand von Testnachrichten an neue E-Mailadressen ist die korrekte Zustellung von Nachrichten zu prüfen.
- Wenn eine E-Mail an mehrere Empfänger geschickt wird, werden diese oft ins "To"- oder "CC"-Feld eingetragen. Dies hat unter Anderem den Vorteil, dass eine E-Mail nur einmal versendet werden muss und jeder Empfänger sofort sehen kann, wer über den Inhalt informiert wurde. Oft ist es aber nicht sinnvoll, dass jeder Empfänger die komplette Empfängerliste sehen kann. Dies ist nämlich nicht nur für die Empfänger lästig, sondern kann auch aus Datenschutzgründen unerwünscht sein und es könnte dadurch auch Spam verursacht werden.
-
Ersatzweise könnte hierfür die E-Mail-Adressen statt unter "CC" unter "BCC" eingetragen oder auch Verteilerlisten benutzt werden. BCC steht für Blind Carbon Copy; hier eingetragene weitere Empfänger werden den anderen Empfänger nicht angezeigt.
Hinweis: Es sollte überprüft werden, in welcher Form das eigene E-Mail-System diese E-Mails dann an die Empfänger weiterleitet. Bei einigen E-Mail-Systemen führt dies dazu, dass bei den Empfängern deren E-Mail-Adresse nicht im "TO:"-Feld steht, wie es häufig auch bei Spam der Fall ist. Besser ist in diesem Fall ein E-Mail-Programm, das eigene Verteilerlisten unterstützt und dann an jeden Empfänger eine eigene Mail schickt. - Für alle nach außen gehenden E-Mails wird empfohlen, eine Signature zu verwenden. Besonders bei der ersten Kontaktaufnahme sollte nicht auf eine Signature verzichtet werden.
- Die Betreffangabe (Subject) des Kommunikationssystems sollte immer ausgefüllt werden, z. B. entsprechend der Betreffangabe in einem Anschreiben.
- Die Korrektheit der durchgeführten Datenübertragung sollte überprüft werden. Die Empfängerseite sollte den korrekten Empfang überprüfen und der Senderseite bestätigen.
- Verwendung residenter Virenscanner für ein- bzw. ausgehende Dateien. Vor dem Absenden bzw. vor der Dateiübermittlung sind die ausgehenden Dateien explizit auf Computer-Viren zu überprüfen. Siehe auch M 5.109 Einsatz eines E-Mail-Scanners auf dem Mailserver.
-
Erfolgt über die E-Mail noch eine Dateiübertragung, so sollten die folgenden Informationen an den Empfänger zusätzlich übermittelt werden:
- Art der Datei (z. B. Excel-Datei, OpenOffice Text oder ähnliches),
- Kurzbeschreibung des Inhalts der Datei,
- gegebenenfalls Art des verwendeten Packprogramms (z. B. Winzip, gzip)
- gegebenenfalls Art der eingesetzten Software für Verschlüsselung bzw. Digitale Signatur.
- Jedoch sollte nicht vermerkt werden,
- welches Passwort für die eventuell geschützten Informationen vergeben wurde,
- welche Schlüssel für eine Verschlüsselung der Informationen verwendet wurde.
Bei den meisten E-Mail-Systemen werden die Informationen unverschlüsselt über offene Leitungen transportiert und können auf diversen Zwischenrechnern gespeichert werden, bis sie schließlich ihren Empfänger erreichen. Auf diesem Weg können Informationen leicht manipuliert werden. Aber auch der Versender einer E-Mail hat meistens die Möglichkeit, seine Absenderadresse (From) beliebig einzutragen, so dass man sich nur nach Rückfrage oder bei Benutzung von Digitalen Signaturen der Authentizität des Absenders sicher sein kann. In Zweifelsfällen sollte daher die Echtheit des Absenders durch Rückfrage oder - besser noch - durch den Einsatz von Verschlüsselung und/oder Digitalen Signaturen überprüft werden. Grundsätzlich gilt, dass man sich nicht auf die Echtheit der Absenderangabe verlassen kann.
Beim Anschluss an E-Mail-Systeme ist mehrfach täglich zu überprüfen, ob neue E-Mails eingegangen sind. Bei längerer Abwesenheit sollte eine Vertretungsregelung getroffen werden, beispielsweise können eingehende E-Mails an einen Vertreter weitergeleitet werden (siehe auch M 2.274 Vertretungsregelungen bei E-Mail-Nutzung).
Da in vielen Fällen nicht vorhergesagt werden kann, welchen E-Mail-Client ein E-Mail-Empfänger benutzt und welche Software und Betriebssysteme auf dem Transportweg eingesetzt werden, sollten die Benutzer wissen, dass sowohl bei der Übertragung als auch bei der Darstellung von Nachrichten und Anhängen beim Empfänger Probleme auftreten können. Dies tritt kann insbesondere bei der Verwendung ungewöhnlicher Zeichensätze oder Dateiformate, oder auch beim Einsatz veralteter E-Mail-Software auftreten.
Alle Regelungen und Bedienungshinweise zum Einsatz von E-Mail sind schriftlich zu fixieren und sollten den Mitarbeitern jederzeit zur Verfügung stehen. Eine entsprechende Muster-Richtlinie findet sich unter den Hilfsmitteln zum IT-Grundschutz auf den BSI-Webseiten.
Die Benutzer müssen vor dem Einsatz von Kommunikationsdiensten wie E-Mail geschult werden, um Fehlbedienungen zu vermeiden und die Einhaltung der organisationsinternen Richtlinien zu gewährleisten.
Insbesondere müssen sie hinsichtlich möglicher Gefährdungen und einzuhaltender Sicherheitsmaßnahmen beim Versenden bzw. Empfangen von E-Mail sensibilisiert werden.
Zur Vermeidung von Überlastung durch E-Mail sind die Mitarbeiter über potentielles Fehlverhalten zu belehren. Sie sollten dabei ebenso vor der Teilnahme an E-Mail-Kettenbriefen wie vor der Abonnierung umfangreicher Mailinglisten gewarnt werden.
Benutzer müssen darüber informiert werden, dass Dateien, deren Inhalt Anstoß erregen könnte, weder verschickt noch auf Informationsservern eingestellt werden noch nachgefragt werden sollten. Außerdem sollten Benutzer darauf verpflichtet werden, dass bei der Nutzung von Kommunikationsdiensten
- die fahrlässige oder gar vorsätzliche Unterbrechung des laufenden Betriebes unter allen Umständen vermieden werden muss. Zu unterlassen sind insbesondere Versuche, ohne Autorisierung Zugang zu Netzdiensten - welcher Art auch immer - zu erhalten, Informationen, die über die Netze verfügbar sind, zu verändern, in die individuelle Arbeitsumgebung eines Netzbenutzers einzugreifen oder unabsichtlich erhaltene Angaben über Rechner und Personen weiterzugeben.
- die Verbreitung von für die Allgemeinheit irrelevanten Informationen unterlassen werden muss. Die Belastung der Netze durch ungezielte und übermäßige Verbreitung von Informationen sollte vermieden werden.
- die Verbreitung von redundanten Informationen vermieden werden sollte.
Ergänzende Kontrollfragen:
- Sind Regelungen für die Dateiübertragung bzw. den Nachrichtenaustausch mit Externen festgelegt worden?