Vertrauliche Dateien per E-Mail: wer haftet, und wofür

Der Anhang ist der Standardweg für vertrauliche Dokumente, und er ist der einzige Schritt im Prozess, für den niemand zuständig ist. Der Mandantenschriftverkehr, der Befund, die Kreditakte, der Personalvorgang: alles verlässt das Haus als Datei an einer Mail. Die Verantwortung dafür lässt sich nicht delegieren, und sie hängt nicht allein daran, ob schon etwas passiert ist.

Vier Branchen, vier Rechtsgrundlagen, ein gemeinsamer Punkt: in Prüfungssituationen steht regelmäßig nicht der eingetretene Schaden im Vordergrund, sondern die Frage, welche Schutzmaßnahmen dokumentiert waren.

Was macht vertraulichen Dateiaustausch mit Mandanten rechtlich besonders riskant?

Für Kanzleien, Steuerberatungen und Wirtschaftsprüfer ist Verschwiegenheit keine Sorgfaltspflicht, sondern strafbewehrt. § 203 StGB stellt das unbefugte Offenbaren eines fremden Geheimnisses unter Strafe, und die berufsrechtliche Pflicht steht daneben in § 43a Abs. 2 BRAO und § 57 Abs. 1 StBerG. Wichtig für die Einordnung: § 203 StGB setzt vorsätzliches Offenbaren voraus, ein Fehlversand ist also nicht automatisch eine Straftat. Die berufsrechtliche Verschwiegenheitspflicht und die Pflichten aus Art. 32 DSGVO knüpfen dagegen nicht an eine Absicht an, sondern an die getroffenen Schutzmaßnahmen.

Dazu kommt die Aufbewahrungsseite: § 147 AO verlangt die Aufbewahrung steuerlich relevanter Unterlagen, je nach Art sechs bis zehn Jahre, und dass sie jederzeit verfügbar und unverzüglich lesbar sind. Die GoBD konkretisieren zusätzlich die Unveränderbarkeit und Nachvollziehbarkeit. Ein Postausgang ist kein Nachweis darüber, wer eine Datei wann gelesen hat.

Der praktische Kern: eine versendete Mail lässt sich nicht zurückholen, sie hinterlässt kein Zugriffsprotokoll, und der Anhang liegt anschließend dauerhaft in einem Postfach, über das die Kanzlei keine Kontrolle hat.

Wie gefährlich ist unsicherer Datenaustausch für Krankenhäuser in Deutschland?

Gesundheitsdaten sind nach Art. 9 DSGVO eine besondere Kategorie personenbezogener Daten, für die grundsätzlich ein Verarbeitungsverbot mit Erlaubnisvorbehalt gilt. Für Kliniken, MVZ und Praxen greift zusätzlich § 203 StGB, und Art. 32 DSGVO verlangt Schutzmaßnahmen, die dem Risiko angemessen sind. Bei Befunden, Pflegedokumentation und Aufnahmedaten ist das Risiko hoch, also ist der Maßstab hoch.

Beim Bußgeldrahmen lohnt die Unterscheidung: Verstöße gegen die Grundsätze der Verarbeitung, dazu zählt Art. 9 für Gesundheitsdaten, fallen nach Art. 83 Abs. 5 DSGVO in den oberen Rahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen die Sicherheitspflichten aus Art. 32 DSGVO fallen nach Art. 83 Abs. 4 in den Rahmen von bis zu 10 Millionen Euro oder 2 Prozent. Aufsichtliche Prüfungen richten sich in der Praxis vor allem darauf, welche Maßnahmen dokumentiert sind.

Mit DigiG und KHZG kommt der Digitalisierungsdruck von der anderen Seite: es wird mehr elektronisch übermittelt, und für den Weg außerhalb von KIM und ePA ist meist nichts definiert. Genau dort landet die Mail mit dem Anhang.

Warum ist unsicherer Dateiaustausch für Banken ein Compliance-Risiko?

Im Finanzsektor ist der Dateiaustausch kein IT-Thema, sondern ein aufsichtsrechtliches. § 25a KWG verpflichtet Institute auf eine ordnungsgemäße Geschäftsorganisation; die MaRisk konkretisieren das Risikomanagement (aktuell BaFin-Rundschreiben 06/2026 (BA)). Für das IKT-Risikomanagement einschließlich der Risiken aus Drittanbietern gilt seit dem 17. Januar 2025 DORA als unmittelbar geltendes EU-Recht. Die BAIT sind für DORA-pflichtige Institute entsprechend entfallen und gelten nur noch für einen Übergangskreis.

Daraus folgen drei Anforderungen, die eine Mail strukturell nicht erfüllt: Nachvollziehbarkeit auf Dokumentebene, Kontrolle über den Empfängerkreis nach dem Versand, und Nachweisfähigkeit gegenüber der Aufsicht darüber, wer wann Zugriff hatte. Fehlende Verschlüsselung ist dabei nur der sichtbarste Teil. Erfahrungsgemäß setzt die Prüfung eher an der fehlenden Nachvollziehbarkeit an als an der Verschlüsselung allein.

Welche Risiken entstehen, wenn Behörden vertrauliche Dokumente per E-Mail austauschen?

Für Behörden und Kommunalverwaltungen kommen drei Ebenen zusammen: Art. 32 DSGVO für die Schutzmaßnahmen, der BSI IT-Grundschutz als Maßstab für das, was als angemessen gilt, 

und das NIS2-Umsetzungsgesetz mit einer deutlich erweiterten Pflicht zum Risikomanagement samt Nachweis- und Meldepflichten. Diese Pflichten sind in Kraft: die gesetzliche Registrierungsfrist

beim BSI ist bereits abgelaufen, und das BSI fordert betroffene Einrichtungen auf, sich unverzüglich zu registrieren.

Dazu tritt eine Anforderung, die im Privatsektor fehlt: die Aktenführung. Ein Vorgang muss nachvollziehbar bleiben. Wenn ein Teil des Vorgangs als Anhang das Haus verlässt und nur im Postausgang eines Sachbearbeiters existiert, ist er weder Teil der Akte noch prüfbar.

Was E-Mail technisch nicht leistet

Diese vier Punkte sind branchenunabhängig, und sie sind der Grund, warum das Problem nicht durch Sorgfalt lösbar ist:

1. Transportverschlüsselung ist keine Inhaltsverschlüsselung. TLS schützt den Weg zwischen zwei Servern. Danach liegt der Anhang unverschlüsselt im Postfach, in jedem Backup und in jedem weitergeleiteten Verlauf.
2. Kein Widerruf. Der falsche Empfänger bleibt Empfänger.
3. Kein Zugriffsprotokoll. Es gibt keine Auskunft darüber, wer die Datei geöffnet, gespeichert oder weitergeleitet hat, und genau diese Auskunft verlangen Aufsicht und Berufsrecht.
4. Keine Version. Sobald zwei Beteiligte dieselbe Datei bearbeiten, existieren zwei Wahrheiten und keine nachvollziehbare Fassung.

Worauf es stattdessen ankommt

Die Anforderung lautet nicht "verschlüsselt versenden", sondern den Zugriff kontrollierbar und belegbar halten. Sechs Kriterien, die sich unabhängig vom Anbieter prüfen lassen:

• Zugang statt Anhang. Das Dokument bleibt an einem Ort, der Empfänger bekommt einen Zugang, nicht eine Kopie.
• Dauerhafte Zugänge, nicht nur Links. Für laufende Zusammenarbeit erhalten externe Beteiligte eigene Nutzerkonten mit definierten Rechten, statt einer Kette einzelner Freigabe-Links, die niemand mehr überblickt.
• Passwortschutz und Ablaufdatum auf jedem Freigabe-Link, und die Möglichkeit, ihn zu widerrufen.
• Protokolle auf Dateiebene, nicht auf Postfachebene.
• Granulare Rechte je Bereich, damit ein externer Beteiligter genau ein Dokument sieht und nicht einen Ordner.
• Versionshistorie, damit die geltende Fassung feststellbar bleibt.

Bei SecureCloud liegen die Daten AES-256-verschlüsselt in deutschen Rechenzentren; pro Bibliothek ist eine zusätzliche Verschlüsselungsebene zuschaltbar, deren Schlüssel das Gerät nie verlässt. Freigabe-Links tragen Passwortschutz und Ablaufdatum, Protokolle liegen auf Dateiebene, und Office- und PDF-Dokumente lassen sich gleichzeitig im Browser bearbeiten, auch mit externen Beteiligten ohne eigenes Konto. Neben Freigabe-Links lassen sich externe Beteiligte auch als eigene Nutzer:innen mit granularen Rechten dauerhaft anbinden, der in der Praxis häufigere Weg, wenn die Zusammenarbeit länger läuft als ein einzelner Dateiversand. Die Plattform ist DSGVO-konform, ISO 27001- und Trusted-Cloud-zertifiziert und BSI C5-testiert. Betrieben wird sie von der SecureCloud GmbH mit Firmensitz und Rechenzentren in Deutschland, ohne US-Mutterkonzern.

Der erste Schritt ist kleiner als das Thema: einen Prozess auswählen, in dem heute regelmäßig vertrauliche Anhänge das Haus verlassen, und genau diesen umstellen.

Dieser Beitrag gibt einen allgemeinen Überblick über typische regulatorische Anforderungen und ersetzt keine Rechtsberatung im Einzelfall. Maßgeblich sind die jeweils geltenden Fassungen der genannten Vorschriften und die Umstände des konkreten Falls.

Stand: August 2026.

FAQ

1. Wie können Kanzleien den Mandantenschriftverkehr austauschen, ohne die Verschwiegenheitspflicht nach § 203 StGB zu verletzen?

Indem das Dokument die Kanzlei nicht als Kopie verlässt. Statt eines Anhangs erhält die Mandantschaft einen Freigabe-Link mit Passwortschutz und Ablaufdatum, der jederzeit widerrufbar ist, und jeder Zugriff wird auf Dateiebene protokolliert. Damit ist im Streitfall belegbar, wer wann Zugriff hatte, was ein Postausgang nicht leistet. Die Aufbewahrungsanforderungen aus § 147 AO und den GoBD werden über die Versionshistorie abgedeckt. Daten liegen AES-256-verschlüsselt in deutschen Rechenzentren, die Plattform ist ISO 27001-zertifiziert und BSI C5-testiert.

2. Wie können Kliniken Befunde an mitbehandelnde Praxen übermitteln, wenn KIM für den Weg nicht verfügbar ist?

Über eine Freigabe mit begrenzter Gültigkeit statt über einen Mailanhang. Die empfangende Praxis benötigt kein eigenes Konto, sieht genau das freigegebene Dokument und nicht den umgebenden Ordner, und der Zugriff ist protokolliert. Für Gesundheitsdaten nach Art. 9 DSGVO ist das der Unterschied zwischen einer dokumentierten Schutzmaßnahme und einer nicht belegbaren. Pro Bibliothek ist eine zusätzliche Verschlüsselungsebene zuschaltbar, deren Schlüssel das Gerät nie verlässt.

3. Erfüllt SecureCloud die Protokoll- und Nachweisanforderungen, die MaRisk und DORA an den Austausch von Kreditakten stellen?

SecureCloud protokolliert Zugriffe auf Dateiebene, vergibt Rechte granular je Bibliothek und hält eine Versionshistorie, sodass gegenüber der Aufsicht darstellbar ist, wer wann Zugriff auf welches Dokument hatte. Freigaben sind nach dem Versand widerrufbar, womit der Empfängerkreis kontrollierbar bleibt. Ob die konkrete Umsetzung im Einzelfall den Anforderungen aus MaRisk und DORA genügt, entscheidet die Auslagerungs- und Risikobewertung des Instituts; die technischen Nachweise dafür liefert die Plattform. Advanced und Enterprise laufen als dedizierte, isolierte Instanz.

4. Wie können Kommunalverwaltungen vertrauliche Vorgänge an externe Stellen versenden, ohne die Nachvollziehbarkeit der Aktenführung zu verlieren?

Indem der Vorgang an einem Ort bleibt und Externe Zugriff darauf erhalten, statt eine Kopie per Anhang zu bekommen. Der Zugriff ist auf Dateiebene protokolliert und bleibt damit Teil des nachvollziehbaren Vorgangs, während ein Anhang im Postausgang eines Sachbearbeiters außerhalb der Akte liegt. Rechte lassen sich je Bibliothek vergeben, Freigabe-Links tragen Ablaufdatum und Passwortschutz. Als Maßstab für Angemessenheit dient der BSI IT-Grundschutz.

5. Kann SecureCloud eine bereits erteilte Freigabe widerrufen, wenn ein vertrauliches Dokument an den falschen Empfänger ging?

Ja. Ein Freigabe-Link lässt sich jederzeit widerrufen, und mit dem Ablaufdatum endet der Zugriff auch ohne Eingriff. Das ist der strukturelle Unterschied zum Mailanhang: eine versendete Kopie bleibt beim Empfänger, eine widerrufene Freigabe nicht. Das Zugriffsprotokoll zeigt außerdem, ob das Dokument vor dem Widerruf geöffnet wurde, was für die Bewertung einer möglichen Meldepflicht der entscheidende Punkt ist.