Verschlüsselung per Mail - Wie handhaben andere Kanzleien das?

[#1]

Empfänger erhält eine Mail mit einem "Klick mich"

Genau das ist lt. DATEV und allgemeiner Empfehlungen ein NoGo!

Frage:
Wie soll Mandant erkennen, ob es eine echte- oder eine Fake- Mail mit einem bösen "Klick mich" ist?

Wer haftet, wenn StB dieses verfahren anbietet und Mandant fremden Mist anklickt, weil er dachte, das sei vom StB?

Wieso ist diese Mail an den Mandanten nicht signiert? Oder habe ich eine Einstellung übersehen?

[#2]

Bei mir ist die Signatur auch in Verbindung mit der Datev Mailverschlüsselung möglich. Aber ich zahle (im ASP) einen hohen Preis dafür: JEDE Ausgangsmail habe 2 Mal im Postausgang. Man kann dann eine davon wegklicken, aber es nervt. Jeden Tag. JEDE Mail. Immer das gleiche Theater.

Ich habe es aufgegeben, den Support weiter an dem Problem basteln zu lassen. Die waren Stunden um Stunden beschäftigt und sind nicht weiter gekommen. Die Datev meinte, das Problem läge am Systempartner, der Systempartner meinte es läge an der Datev....

[#3]

Empfänger erhält eine Mail mit einem "Klick mich"

Genau das ist lt. DATEV und allgemeiner Empfehlungen ein NoGo!

Frage:
Wie soll Mandant erkennen, ob es eine echte- oder eine Fake- Mail mit einem bösen "Klick mich" ist?

Wer haftet, wenn StB dieses verfahren anbietet und Mandant fremden Mist anklickt, weil er dachte, das sei vom StB?

Wieso ist diese Mail an den Mandanten nicht signiert? Oder habe ich eine Einstellung übersehen?

Mandanten, die dieses sicher erkennen können auch selber mit eigenen Signaturen umgehen.

Problematisch sind doch die Mandanten, die keine Ahnung haben und - wenn der StB es sagt - alles, was sich "DATEV" nennt anklicken und alle Meldungen abnicken.

[#4]

Meine Frage war ja, ob es auch bei Nutzung des Outlook-Addon möglich ist, daß der Mandant die "Klick mich Mail" mit Signatur erhalten kann.

Bei mir (ohne ASP) klappt das bis dato nicht . . .

[#5]

Dann haben die Jungs vom Support ja wirklich hart an meiner Konfiguration gearbeitet. Ich habe auch wirklich sehr genervt . Wie gesagt, Signatur und Outlook addin funktionieren unter der Nebenbedingung, dass ich jeweils 2 Mails im Postausgang habe.

Bevor ich im ASP war, hatte ich  mein Outlook i.V.m. Datevnet selbst konfiguriert, da haben Signatur & Verschlüsselung problemlos zusammen gearbeitet. Es war damals aber noch die alte Version der Mailverschlüsselung.

[#6]

Das mit den 2 Mails: kann es sein, dass man den Haken rausnehmen muss, der den Postausgang auch noch mal "an sich selbst versendet"?

Habe das nur "schemenhaft" bildlich vor mir, aber mir schwante es gerade so....

[#7]

Ich fürchte, die Variante, die Sie meinen, funktioniert nicht.

Dann müsste ja die Signatur von der Ausgangsmail aus dem Postausgang auf die Trägermail an den Mandanten übertragen werden. Technisch möglich müsste das sein. Weil es sich ja um eine Datevsignatur handelt, die bei der Datev hinterlegt ist. Es müsste ein Signaturabgleich gemacht werden und die Trägermail automatisch im Portal neu signiert werden.  Das ist aber sicherlich nicht unaufwendig zu programmieren. Vor allem, weil immer noch viele Kollegen die Signatur nicht nutzen und nicht genügend Druck bei der Datev gemacht wird, dass  Manpower in die Lösung des Problems gesteckt wird.

[#8]

Nein. Jede Mail ist 2 im Postausgang. Eine Version wird verschickt. Eine bleibt hängen und muss weggeklickt werden.

[#9]

Grundsätzlich würde es ja für einen ersten Schritt ausreichen, wenn eine allgemeine Datevsignatur aus dem Portal auf der  Trägermail an den Mandanten ist.  Damit wäre die Echtheit "das ist von Datev" gewährleistet. Und das müsste recht einfach zu implementieren sein.

[#10]

Könnte die DATEV dies bitte bis zur "Deadline DSGVO" umsetzen?! Danke...

[#11]

Kennt jemand die E-Mail SPX-Verschlüsselung von Sophos? Ich habe die gerade mal getestet und bin angetan von der Einfachheit.  Nach Installation eines kleinen Outlook Add-Ins kann der Versender mit [secure:password] in der Betreffzeile ein Passwort für den Empfänger festlegen.  Die E-Mail wird automatisch in ein PDF-Anhang umgewandelt, den der Empfänger mit dem Passwort aus der eckigen Klammer öffnen kann. Auch Anhänge sind dadurch verschlüsselt.  Die eckige Klammer mit dem Passwort verschwindet selbstverständlich nach dem Versenden aus der E-Mail. Der Empfänger kann die E-Mail dann auch verschlüsselt beantworten. Als alternative Verschlüsselungsoption kann man auch festlegen, dass der Empfänger über ein Portal, das auf dem kanzleieigenen Sophos-Router gehostet wird, das Passwort bestimmen kann, das dann automatisch immer verwendet wird wenn an diese Adresse eine E-Mail gesendet wird.

[#12]

Naja das ist so ungefähr die alte und die neue DATEVnet E-Mail-Verschlüsselung nur in einem Produkt. Kann vermutlich, wie jede andere Gateway Lösung, entsprechende Anforderungen abdecken.

[#13]

Naja das ist so ungefähr die alte und die neue DATEVnet E-Mail-Verschlüsselung nur in einem Produkt. Kann vermutlich, wie jede andere Gateway Lösung, entsprechende Anforderungen abdecken.

Habe ich auch gerade gedacht.

Ich glaube irgendwie, dass es die "perfekte" Lösung nicht gibt. Zumindest liefert DATEV ja schon mal eine aus. Wenn auch nur für DATEVnet. Aber immerhin. Und preislich durchaus überschaubar.

[#14]

Selbstverständlich sind Steuerberater zur Verschwiegenheit verpflichtet.

Ob dieser Verpflichtung mit dem Versenden einer unverschlüsselten Mail an den (ja rechtmäßigen) Empfänger per sé nicht nachgekommen wurde, erschließt sich mir allerdings nicht. Die Kammer spricht von einer Empfehlung. Das es schlichtweg verboten ist, unverschlüsselte Mails zu versenden, kann ich den gesetzlichen Regelungen nicht so ganz eindeutig entnehmen.

In erster Linie hat nur der Empfänger die vertraulichen Daten bekommen (natürlich nur wenn die richtige Mailadresse genutzt wurde). Hier gibt es meines Erachtens zunächst keinen Unterschied zur Briefpost, auch diese ist an den richtigen Empfänger adressiert. Wurde der Brief an einen unrichtigen Empfänger / unberechtigte Dritte (absichtlich oder versehentlich) versendet sieht die Sache natürlich schon anders aus. Dies ist aber eine Frage der innerbetrieblichen Organisation.

Das "unberechtigte" Lesen einer Mail ist zunächst ein Problem des Empfängers (weil dort unzureichende Sicherheitsvorkehrungen getroffen wurden oder unberechtigten Personen Zugang zu diesen Informationen gemacht wurde). Natürlich gibt es auch technische Szenarien, bei denen die Mails direkt "abgefangen" werden, ob dies ein Verschulden des Absenders ist, muss geprüft werden.

Alle diese Vorgänge können sich auch (und noch viel leichter) beim Briefverkehr oder Telefax abspielen. Nicht nur dass sich diese Briefe während des Postweges in unendlich vielen Händen befindet, auch der Zugang zu Postbriefkästen, Hausbriefkästen oder das "Wegnehmen" des Briefes beim Empfänger (oder ein Foto mit dem Smartphone) gestaltet sich insgesamt wesentlich leichter (und ist von nahezu jeder Person ausführbar) als bei den elektronischen Mails, da diese ja entsprechendes und spezielles Fachwissen bedarf. Eine Postkarte (mit der die Mail verglichen wird) ist natürlich noch leichter als ein Brief zu lesen, aber auch der Aufwand einen Brief zu öffnen ist vergleichsweise einfach. Ist der Brief einmal offen und kursiert durch die Welt ist es noch einfacher.

Sollte die Email mit vertraulichem Inhalt tatsächlich, unzweifelbar und notwendigerweise immer zu verschlüsseln sein (gibt es da schon Rechtsprechung?), muss dies dann konsequenter Weise auch für den guten alten Brief gelten. Fazit daraus wäre auch, dass JEDE Mail zu verschlüsseln ist, denn "vertraulich" ist ja schon die Nennung des Namens.

Die Konsequente Umsetzung, nur noch mit verschlüsselten Mails zu arbeiten wird zu massiven Problemen, z.B. bei Erstmandaten, ESt-Mandaten (eben Privatleute) führen oder bei anderen Mandanten, die einfach technisch überfordert wären. Die Kommunikation wird erschwert und die Laufzeiten durch Briefpost deutlich verlängert. Bei den "Privaten" ein Verschlüsselungssystem einzuführen halte ich daher für vollkommen realitätsfremd.

Durchatmen, Kirche im Dorf lassen und soweit es geht regelmäßige Auswertungen an den Mandanten zumindest mit einem Dateipasswort verschlüsseln. Die "normale" Kommunikation technisch nicht überfrachten und hoch vertrauliche Dinge per Post versenden oder persönlich besprechen.

[#15]

Am Privataccount gerade einmal die "Volksverschlüsselung" durchgetestet.

Fazit: Nach 5 Minuten habe ich für meine E-Mail- Accounts aus Outlook usw. eine funktionierende Signatur zur Verschlüsselung aller Mails, wenn mir die Signatur vom Partner vorliegt. (eine SC- signierte Mail aus der Kanzlei reicht).

Fragen:

1. Was spricht dagegen, daß DATEV für die Mandanten so etwas parallel zur Smartcard anbietet?
2. Was sagt die Erfahrung:
   Ist die "Volksverschlüsselung" ein brauchbares Instrument, um mit dem Mandanten sicheren Email- Verkehr zu betreiben?
3. Wie ist es technisch zu handhaben, wenn der Mandant eine Email verschlüsselt hat und der Mittarbeiter in der Kanzlei, der vielleicht nicht einmal merkt, daß die email verschlüsselt ist, diese Mail ordnungsgemäß in der Dokumentenablage endlagerte.
   Wie kann nun ein Kollege vielleicht nach Jahren diese email öffnen und lesen, um z.B. die Anlage: "Inventur" nochmals zu sichten?
4. Gibt es Planungen, daß Kanzlei- Signaturen vergeben werden, so daß jeder Kanzlei- Mitarbeiter alle Kanzlei- Mails lesen kann, auch dann wenn diese individualisiert wurden? Stichwort: "Neue Option von Datevnet als Verkaufsargument"

Wunsch:

• Weiterhin einfache E-Mail- Kommunikation mit dem Mandant über die gewohnten Anwendungen (Outlook, usw.)
• Außer einer kurzen technischen Anpassung keinerlei Mehraufwand für die Nutzung
• Innerhalb der Aufbewahrungsfrist ist diese verschlüsselte email in der Kanzlei von allen Mitarbeitern lesbar, so daß auch eine Kündigung eines Mitarbeiters mit Deaktivierung und Vernichtung der Smartcard nicht die komplette Korrespondenz killt.

Gibt es hier funktionierende Lösungen, Empfehlungen?

[#16]

Gute, praxisnahe Argumente, Herr Dostal! Ob/wie diese datenschutzrechtlichen Prüfungen standhalten könnten, ist fraglich. Doch hoffen wir mal, dass es so ist, wie hier mal jemand gemutmaßt hat: Dass die DS-Behörden erstmal auf die wirklich großen Firmen und auf "Komplettverweigerer" ihre Augen werfen. Wir versuchen ja immerhin das Beste, bemühen uns - und dürfen bzw. müssen wohl aber auch den Maßstab der Verhältnismäßigkeit beachten. Würde Ende Mai ein DS-Prüfer bei mir beanstanden, dass dies oder jenes nicht in Ordnung sei, dann würde ich ihn bitten, mir eine gute, praktikable, kostenlose/-günstige Lösung vorzuschlagen (ich bin Kleinkanzleiinhaberin und schon die Zeit, die ich mit dem Firlefanz verbrate, ist teuer genug), die ich dann gerne implementiere. Kommt keiner, können wir sehen, wie sich alles entwickelt und was sich bewährt. Eine gewisse Grundbasis an Datenschutz beachte ich ja (meine ausgehenden Emails sind zertifiziert, "echte" vertrauliche Inhalte packe ich in einen Anhang mit Passwort, Mandanten schicke ich eine Info, wie es laufen soll und lass mir diese unterzeichnen...)

Immerhin schreibt die Bayer. Datenschutzbehörde in ihrem Flyer als ersten Punkt ihrer Aufgaben: "Beratung der Datenschutzbeauftragten und Unternehmen" - also kann gerne jemand kommen und mich beraten.

[#17]

Doch hoffen wir mal, dass es so ist, wie hier mal jemand gemutmaßt hat: Dass die DS-Behörden erstmal auf die wirklich großen Firmen und auf "Komplettverweigerer" ihre Augen werfen.

Was die Behörden machen ist ja erstmal das Eine. Das Andere sind diese "findigen" Anwälte, die mit Sicherheit schon für den 25.05. vorbereitet sind und Ihre Schreiben nur noch einwerfen müssen.

Alles Weitere hat dann ja leider die damalige "Redtube-Abmahnwelle" gezeigt.

[#18]

Sowohl "jan" also auch "0815" haben leider Recht - "Schuld", Verantwortung... und v.a. diese fiesen Anwälte - die sind gefährlicher als die DS-Behörde - und leider ist denen diese Art von "Gemeinheit" wohl egal...Hauptsache, sie wittern Beute??? Wo bleibt deren "Gewissen" und die Würde des Berufsstands?

[#19]

Hallo Herr Dostal,

ob dies ein Verschulden des Absenders ist, muss geprüft werden

usw. - Soweit ich das verstehe, geht es hier nicht um irgendjemandes Schuld. Das Fukushima von einer Flutwelle getroffen wurde, war auch niemandes Schuld. Kein Mensch hat diese Welle "angeschubst". Und dennoch gibt es Sicherheitsvorschriften, bis zu welchem Grad AKWs Naturkatastrophen standhalten müssen. Nur so als Beispiel, wie ich es verstehe.

Alle diese Vorgänge können sich auch (und noch viel leichter) beim Briefverkehr oder Telefax abspielen.

Ganz meine Meinung. Nur leider sehen das (fachunkundige???) Richter anders.

anderen Mandanten, die einfach technisch überfordert wären

Das taucht auch bei uns oft als Hemmnis auf. Aber manche haben sogar Probleme mit E-Mails an sich ... Fürchte, darauf kann man nur bis zu einem bestimmten Punkt Rücksicht nehmen - Auto fahren darf auch nur, wer einen Führerschein hat. Und den Führerschein schafft auch keiner ab, weil manche wenige keinen haben, ihn nicht bestehen oder ihn verlieren. Und das Passwort in das aufploppende Feld bei einer geschützten PDF-Datei einzugeben, sollte nun wirklich jeder hinbekommen.

_______________________________________________________________________

• Weiterhin einfache E-Mail- Kommunikation mit dem Mandant über die gewohnten Anwendungen (Outlook, usw.)
• Außer einer kurzen technischen Anpassung keinerlei Mehraufwand für die Nutzung
• Innerhalb der Aufbewahrungsfrist ist diese verschlüsselte email in der Kanzlei von allen Mitarbeitern lesbar, so daß auch eine Kündigung eines Mitarbeiters mit Deaktivierung und Vernichtung der Smartcard nicht die komplette Korrespondenz killt.

Sagen Sie Bescheid, wenn Sie's gefunden haben 🙂 Das ist bestens beschrieben, was das Optimum wäre. Ich weiß nur, dass sich IS-FOX Encrypt eignen soll. Es soll, so unser Systempartner, automatisch vor dem Versand mit einem hinterlegten Passwort verschlüsseln (und ein Versand des PW per SMS ist möglich). Mal sehen, wie das funktioniert, sollte es bei uns eingeführt werden.

VG

[#20]

Es geht schon um eigenes Verschulden (Verstoß des Steuerberaters gegen seine Verschwiegenheit), ich lasse mich nicht zum Sündenbock für kriminellen Machenschaften Dritter machen, und das ist meines Erachtens das unrechtmäßigen Mitlesen von Emails auf dem Abfangwege (aus meiner Sicht das Hauptproblem bei diesem Thema). Was beim Empfänger direkt passiert (es guckt einer über die Schulter) kann ich nicht verhindern.

Mit dieser strikten Auslegung wird das Opfer zum Täter gemacht.

Ganz klar, die Dinge die "normal" und auch technisch umsetzbar sind müssen auch umgesetzt werden (also das was an Datenschutz durchschnittlich möglich ist), ansonsten geht es eben um Verschulden und Schuld. Nach meinem Empfinden urteilen Richter oft am Maßstab der Lebenswirklichkeit, ob das hier auch so sein wird, bleibt abzuwarten.

Das Drama liegt auch nicht darin, bei wichtigen Dokumenten diese zu Verschlüsseln, ggf. nur eine leichte Verschlüsselung (pdf-Kennwort) bei technisch unversierten Empfängern vorzunehmen. Bei größeren Mandanten kann und wird dies zudem auch über UO realisiert. Ich schicke auch generell keine Buchführungsdaten bei Mandatsübernahmen durch die Gegend, wie einige das durchaus gerne praktizieren.

Das Drama liegt darin, dass bei der aktuellen, sehr strengen Auslegung der Rechtslage keine einzige Mail an irgendwen unverschlüsselt gesendet werden darf, in dem nur "Sehr geehrter Herr Müller (oops, sorry Herr Müller)" steht (personenbezogene Daten zum Geschlecht und der Nachname = Identifizierung des Empfängers). Die Mail mit dem verschlüsselten Anhang (wenn dies überhaupt reicht??) dürfte dann nur lauten: Sehr geehrter Empfänger/in....

Das ist man dann als Steuerberater schon per sé kriminell, wenn man nur personalisierte Geburtstagsglückwünsche sendet....

[#21]

vertrauliche Daten versenden wir nur in Dokumenten als Anhang zur E-Mail, diese werden mit einem dem Mandanten bekannten Kennwort von uns verschlüsselt.

[#22]

Hallo, hat sich schon jemand mit der Outlook-Lösung beschäftigt. Ich würde diese gerne präferieren, da ich bereits über Outlook-Exchange-Konten arbeite, NICHT auf DATEV-Net wechseln möchte und ansonsten auch nicht den größtmöglichen Bohei veranstalten möchte:

https://windowsarea.de/2018/04/microsoft-testet-verschluesselung-in-outlook-com-beta/

[#23]

Hier geht es um outlook.com, also gehostete Lösung bei Microsoft

[#24]

Hier geht es um outlook.com, also gehostete Lösung bei Microsoft

Stimmt ja

[#25]

Jetzt ist sie also da, die DSGVO. Die ersten Kollegen haben mitgeteilt, dass sie keine Lust auf Mailverschlüsselung haben und deshalb gar nichts in diese Richtung machen. Eine Anwaltskanzlei, mit der wir zusammenarbeiten hat mir bereits den Vogel gezeigt und die ersten Mandanten haben erklärt sie pfeifen auf die Verschlüsselung und wir sollen uns doch bloß nicht so anstellen.

Wie sind denn jetzt hier im Forum die ersten Erfahrungen?

IS Fox klingt gut, aber ich habe leider unseren ASP-Partner nicht erreicht.

Hat jemand Erfahrung mit "Email made in Germany"?

Angeblich eine Initiative der deutschen Mail-Provider, dass Mails zwischen deren Server und dem Empfänger/Versender der Mail standardmäßig mit SSL verschlüsselt werden. Allerdings greift diese Lösung nicht für Email-Anbieter aus Drittstaaten (Yahoo, Outlook.com, usw.)  und man kann die Aktivierung nicht rückgängig machen.

Bevor ich deshalb den Haken setze, die Frage hier im Forum, ob schon jemand Erfahrung damit hat?

[#26]

Fragen:

• Gab es in der vergangenheit Pannen, die durch ein höeres Sicherheitsniveau zu vermeiden gewesen wären? finanzielle Auswirkungen?
• Gab es in der verganhenheit Pannen, in der Form, daß eine Verschlüsselung verhinderte, daß ein Empfänger ein Dokument lesen konnte?
• Gab es in der Vergangenheit Pannen in der Form, daß wichtige Dokumente aufgrund einer Verschlüsselung im Archiv nicht mehr lesbar waren?

[#27]

Wir hatten die Testversion von IS-Fox und haben uns letztendlich dagegen entschieden. Zwei einfache Gründe:

1. Nicht mobilfähig = genervte Kunden
2. nicht bidirektional nutzbar. Da wir auch unseren Mandanten die Möglichkeit bieten wollen, einfach - und sicherer als mit der Briefpost - Dateien mit uns auszutauschen, kommt IS-Fox allenfalls als Ergänzung infrage.

Wir haben uns stattdessen für den CP-Datenspeicher entschieden, den ich hier jedem nur ans Herz legen kann, für 40,-€ im Monat 20 GB sicherer Speicher zum Austausch mit den Mandanten. Um mich nicht zu wiederholen, verweise ich auf meinen Post unter Re: Workflow dig. Personalakte

[#28]

speicher.. irgendwie revisionssicher? wird der mandant und der sachbearbeiter informiert, wenn was neues das ist? gibs da eine art vertreterstellung?

[#29]

Nicht revisionssicher, ist nur als Transportmedium gedacht.

Angeblich sollen Benachrichtigungen funktionieren, aktuell tun sie das bei uns aber noch nicht- Montag ist Fernbetreuung mit Techniker.

Vertreterstellung? Man kann auf jeden Fall immer zwei Sachbearbeiter anschreiben oder die Benachrichtigung einfach forwarden. Mehr bei dem, der das verkauft: Andree Kühnel (Andree.Kuehnel@comp-pro.de), ich bin auch nur einfacher Neuanwender. 

[#30]

Erfahrungsbericht DATEV-email-Verschlüsselung (neues System mit "Passwort-Portal"):

DATEVnet ist bei uns sowieso bereits seit Jahren im Einsatz. Daher lag es auch aus Kostengründen nahe, die email-Verschlüsselung zusätzlich zu buchen. Aus Sicht der Kanzlei kann ich nur sagen, dass die Lösung nahezu perfekt ist, da die Kanzlei praktisch nichts machen muss. Die mails werden voreingestellt verschlüsselt verschickt. Wenn im Einzelfall gewünscht, kann mit einem Klick auf "unverschlüsselt" umgestellt werden. Der Mandant kümmert sich selbst um Kennwortvergabe bzw. (und nur wenn er dies kann und wünscht) um die Hinterlegung des Schlüssels / des Zertifikats selbst. Daher kein weiterer Zeitaufwand für die Kanzlei nach erfolgter Umstellung. Kein Passwortmanagement, weil sich der Mandant ja eben selbst darum kümmert. Der workflow in der Kanzlei bleibt somit unverändert.

Jeder Mandant wird mit Versand der ersten verschlüsselten email kurz angerufen und das Verfahren wird erklärt. Jeder bisher angerufene Mandant hatte von der DSGVO zumindest schon mal gehört. Mit dem "Argument", dass die verschlüsselte email selbst nicht diskutabel ist, weil Gesetz, wird zwar vereinzelt gemotzt, aber es wird hingenommen. Bei einer größeren Firma, die selbst teilweise verschlüsselte emails versendet, funktioniert jedoch das optionale "Schlüssel / Zertifikat hinterlegen" nicht. Ich hoffe aber, dass wir das noch hinbekommen.

Zwei Fragen habe ich daher dann auch noch:

Besagter Mandant hat US-amerikanische bzw. NATO-Schlüssel/Zertifikate, die er einsetzen will.

1. Wo/wie kann ich denn im System "DATEVnet, DATEV-email-Verschlüsselung, Outlook" diese fremden Schlüssel/Zertifikate hinterlegen, um seine emails zu entschlüsseln?

Und/oder

2. Wie kommt der Mandant (ohne Smartcard) an einen DATEV-Schlüssel/Zertifikat? Denn er hat es bisher nicht geschafft, über das DATEV-Portal einen Schlüssel/Zertifikat zu hinterlegen, um meine mails auch ohne Passwort automatisch zu entschlüsseln. Worauf muss hier geachtet werden?

Gruß,

FB