“Unsere E-Mails sind verschlüsselt.” Diesen Satz hören wir in Erstgesprächen regelmäßig. Auf Nachfrage stellt sich heraus: Der E-Mail-Provider nutzt TLS. Das war’s.
Das Problem: TLS allein erfüllt nicht in jedem Fall die Anforderungen der DSGVO. Je nach Art der übermittelten Daten kann eine reine Transportverschlüsselung zu wenig sein. Das OLG Schleswig-Holstein hat im Dezember 2024 strenge Maßstäbe angelegt, geklärt ist die Rechtslage aber nicht: Das LG Karlsruhe hat im Mai 2026 eine Pflicht zur Ende-zu-Ende-Verschlüsselung von E-Mail-Rechnungen verneint.
Dieser Artikel zeigt Ihnen, wann welche Verschlüsselung Pflicht ist, was die DSK empfiehlt und wie Sie Ihre E-Mail-Infrastruktur DSGVO-konform aufstellen.
Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der Leitfaden für den deutschen Mittelstand” (200 Seiten, Ausgabe 2026) ausführlich behandelt. Jetzt herunterladen →
Art. 32 DSGVO verpflichtet Verantwortliche, “geeignete technische und organisatorische Maßnahmen” zu treffen. Verschlüsselung wird in Absatz 1 ausdrücklich als Beispiel genannt.
Die DSGVO nennt aber keine konkreten Verfahren. Stattdessen gilt ein risikobasierter Ansatz: Die Maßnahme muss dem Schutzbedarf der Daten angemessen sein. Je sensibler die Daten, desto stärker muss die Verschlüsselung sein.
Konkret bedeutet das:
Die DSK-Orientierungshilfe zur E-Mail-Verschlüsselung beschreibt diese Abstufung seit 2021. Verwenden Sie dabei nur Algorithmen, die das BSI in der Technischen Richtlinie TR-02102-2 empfiehlt – aktuell mindestens TLS 1.2, besser TLS 1.3.
Die Unterschiede sind vielen Unternehmen nicht klar. Diese Tabelle zeigt, was die drei Varianten leisten – und wo die Grenzen liegen.
| Kriterium | Keine Verschlüsselung | Transportverschlüsselung (TLS) | Ende-zu-Ende (S/MIME, PGP) |
|---|---|---|---|
| Schutz auf dem Transportweg | Nein – E-Mail im Klartext lesbar | Ja – Übertragung zwischen Servern verschlüsselt | Ja – durchgehend verschlüsselt |
| Schutz auf dem Server | Nein | Nein – E-Mail liegt unverschlüsselt auf dem Server | Ja – nur Sender und Empfänger können lesen |
| DSGVO-konform bei normalem Risiko | Nein | Ja (DSK-Mindeststandard) | Ja |
| DSGVO-konform bei hohem Risiko | Nein | Nein – reicht nicht aus | Ja |
| Umsetzungsaufwand | Keiner | Gering – meist schon aktiviert | Mittel bis hoch – Zertifikate nötig |
| Empfänger braucht | Nichts | Nichts (automatisch) | Eigenes Zertifikat oder Schlüssel |
Viele Unternehmen verlassen sich auf "opportunistisches TLS" – der Server versucht eine verschlüsselte Verbindung, fällt aber stillschweigend auf Klartext zurück, wenn die Gegenseite kein TLS unterstützt. Prüfen Sie, ob Ihr E-Mail-Server "erzwungenes TLS" (mandatory TLS) für sensible Empfänger konfiguriert hat. Nur so stellen Sie sicher, dass die Verschlüsselung tatsächlich greift.
Die Datenschutzkonferenz (DSK) hat 2021 eine Orientierungshilfe veröffentlicht. Die wichtigsten Punkte:
Für Verantwortliche (also Sie als Unternehmen):
Für empfangende Stellen:
Das OLG Schleswig-Holstein hat im Dezember 2024 entschieden: Unternehmen, die Rechnungen per E-Mail an Privatpersonen senden, können sich nicht pauschal auf TLS berufen. Das Gericht bewertete den Rechnungsversand mit Bankdaten als Vorgang mit erhöhtem Risiko.
Das Urteil hat Signalwirkung. Es zeigt: Gerichte können die Anforderungen aus Art. 32 DSGVO strenger auslegen, als viele Unternehmen erwarten. Einheitlich ist die Rechtsprechung aber nicht: Das LG Karlsruhe (Urteil vom 20. Mai 2026, 8 O 266/25) ist dem OLG Schleswig ausdrücklich nicht gefolgt. Prüfen Sie deshalb genau, welche Daten in Ihren E-Mails stecken – nicht nur im Text, sondern auch in Anhängen.
Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.
Nils OehmichenDatenschutzberater bei frag.hugoDiese Checkliste hilft Ihnen, den aktuellen Stand Ihrer E-Mail-Sicherheit zu bewerten und Lücken zu schließen.
Die Antwort hängt von den Daten ab, die Sie per E-Mail versenden. Eine Risikoeinschätzung liefert die Grundlage.
TLS reicht aus bei:
Ende-zu-Ende ist erforderlich bei:
Wenn Sie unsicher sind, welche Kategorie auf Ihr Unternehmen zutrifft: Starten Sie mit einem kostenlosen Datenschutz-Check. Er zeigt Ihnen in wenigen Minuten, wo Ihre größten Risiken liegen.
Nicht jedes Unternehmen kann sofort S/MIME oder PGP für alle Mitarbeitenden einführen. Diese Zwischenlösungen helfen:
E-Mail-Sicherheit prüfen lassen?
Wir analysieren Ihre E-Mail-Infrastruktur und empfehlen passende Verschlüsselungslösungen.
Jetzt Beratung anfragen →Das OLG Schleswig hat mit seinem Urteil zur E-Mail-Verschlüsselung ein Signal gesetzt. Gerade Hamburger Kanzleien, Steuerberater und Finanzdienstleister versenden täglich Rechnungen und Mandantendaten per E-Mail. Hier reicht TLS allein oft nicht mehr. Unsere IT-Sicherheitsberatung in Hamburg prüft Ihre E-Mail-Infrastruktur und findet eine pragmatische Verschlüsselungslösung.
Die DSGVO schreibt keine bestimmte Verschlüsselungsmethode vor, nennt Verschlüsselung aber explizit als Schutzmaßnahme in Art. 32. Ob TLS oder Ende-zu-Ende erforderlich ist, hängt von der Sensibilität der übertragenen Daten ab.
Für normale Geschäftskorrespondenz ist TLS (Transportverschlüsselung) in der Regel ausreichend. Bei besonders sensiblen Daten wie Gesundheitsdaten oder Bankverbindungen empfehlen Aufsichtsbehörden und Gerichte Ende-zu-Ende-Verschlüsselung.
TLS verschlüsselt den Transportweg zwischen Mailservern – die E-Mail liegt aber unverschlüsselt auf den Servern. Ende-zu-Ende-Verschlüsselung schützt den Inhalt vom Absender bis zum Empfänger, sodass auch der E-Mail-Provider nicht mitlesen kann.
Die DSK fordert mindestens obligatorische Transportverschlüsselung (TLS 1.2 oder höher). Bei Daten mit hohem Schutzbedarf empfiehlt sie zusätzlich Ende-zu-Ende-Verschlüsselung als angemessene Maßnahme nach Art. 32 DSGVO.
Als Mindeststandard sollte TLS 1.2 oder höher auf Ihrem Mailserver aktiv sein. Für den Versand sensibler Daten empfiehlt sich eine Gateway-Lösung oder ein verschlüsselter PDF-Versand als pragmatische Alternative zu S/MIME oder PGP.
Inhaltsverzeichnis
BSI warnt vor der Captcha-Masche TerminalFix, seit 11.9. gilt die 24-h-Meldepflicht des CRA, 403 Mio € Bußgeld gegen Google, BGH öffnet das BGB für Klagen.
Weiterlesen: Datenschutz-Roundup September 2026: TerminalFix, CRA, Google
Windows 10 ist seit Oktober 2025 ohne regulären Support. Warum ungepatchte Rechner Art. 32 DSGVO verletzen und was Sie vor dem 13. Oktober 2026 entscheiden müssen.
Weiterlesen: Windows 10 ohne Updates: Wann alte Systeme zum DSGVO-Verstoß werden
Wir haben 239 Firmen-Websites geprüft: Auf 43 Prozent der WordPress-Seiten läuft mindestens eine Erweiterung mit bekannter Sicherheitslücke. Was Art. 32 DSGVO dazu sagt — und wie Sie Ihre eigene Seite in 60 Sekunden prüfen.
Weiterlesen: Veraltete WordPress-Plugins: Wann ein fehlendes Update zum DSGVO-Verstoß wirdÜber den Autor
Mitgründer & IT-Unternehmer
Jens hat im Dezember 2004 die hagel IT-Services GmbH in Hamburg gegründet, heute 35+ Mitarbeitende. Mitgründer von frag.hugo Informationssicherheit und der SYNAPSE KI-Agentur. Mehrfach als „Deutschlands beste IT-Dienstleister" (statista / brand eins) ausgezeichnet.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
