Cyfryzacja postępuje szybko, a z nią wzrasta znaczenie bezpiecznej komunikacji. Ostatnie orzeczenie sądu pokazuje, jak ważne są odpowiednie środki ostrożności przy wysyłaniu wiadomości e-mail – zwłaszcza w przypadku transakcji finansowych. Co to oznacza dla firm? A które metody szyfrowania są naprawdę bezpieczne?
Wyrok sądowy: Brak wystarczającej bezpieczeństwa może być kosztowny
Firma została niedawno postawiona przed sądem, ponieważ faktura wysłana przez nią została manipulowana przez atakera komputerowego. Klient odmówił zapłaty za podrobioną fakturę i sąd mu dał rację! Powód: Firma nie podjęła wystarczających środków bezpieczeństwa przy wysyłaniu faktury.
Wyrok Sąd Okręgowy w Szlezwiku-Holsztynie z dnia 18 grudnia 2024 r. (sygnatura 12 U 9/24) jasno określa: Firmy odpowiadają za przepisy o ochronie danych osobowych (RODO), jeśli nie chronią wystarczająco wrażliwych danych. Po prostu korzystanie z szyfrowania transportowego nie jest wystarczające, zwłaszcza gdy chodzi o wysokie ryzyko finansowe. Zażalenie na wyrok zostało dopuszczone.
Inny sąd wydał odwrotny wyrok, przynajmniej wobec urzędów: OVG Münster W dniu 20 lutego 2025 roku (nr sprawy 16 B 288/23), postanowiono, że urzędy nie są zobowiązane do wysyłania wiadomości e-mail z szyfrowaniem od początku do końca.
Sądowe orzeczenia mają następujące skutki dla bezpiecznego przesyłania e-maili:
Znaczenie szyfrowania dla bezpiecznych e-maili
Podstawą bezpiecznych e-maili jest szyfrowanie. Ta technologia służy do ochrony wrażliwych informacji podczas transmisji i chronienia ich przed nieuprawnionym dostępem.
Przykrocie sobie, że Twoja e-mail jest jak list, który przechodzi przez różne ręce przed dotarciem do odbiorcy. Bez szyfrowania zawartość listu byłaby dostępna dla każdego, kto go trzymał w swoich rękach. Szyfrowanie zaś zapewnia, że zawartość Twojej e-mail może być czytana tylko przez nadawcę i odbiorcę.
E-maile mogą być czytane w internecie, dlatego ochrona danych przy użyciu szyfrowania od punku A do punku B chroni dane wrażliwe. Metody hybrydowe łączą procedury komunikacji bezpiecznej. Certyfikaty cyfrowe zapewniają integralność e-maili.
Są dwa podstawowe rodzaje szyfrowania: transportowy i od krawędzi do krawędzi. E-maile są obecnie zwykle szyfrowane w trakcie transportu, ale nie są one szyfrowane od krawędzi do krawędzi.
Transportowa szyfrowanie chroni Twoje e-maile podczas transportu między programem pocztowym a serwerem dostawcy usług. Wiele dostawców usług pocztowych wspiera tę metodę szyfrowania, aby chronić Twoje dane już na tym etapie.
Kodowanie od początku do końca zapewnia jeszcze wyższy poziom ochrony. Ta technologia szyfruje Twoje e-maile tak, aby tylko nadawca i odbiorca mogli je odszyfrować. Nie możesz nawet zobaczyć treści swoich wiadomości przez Twojego dostawcę usług pocztowych.
W związku z orzeczeniem oznacza to:
- Transportowe szyfrowanie: Chroni dane podczas transmisji z A do B. Można sobie wyobrazić to jak zamknięty pudełek, które jest chronione w drodze do poczty. Jednakże dla sądu to nie wystarcza, ponieważ operator transportowy oficjalnie nie jest tak wiarygodny jak Deutsche Post.
- Kodowanie od początku do końca: Zabezpiecza dane tak, aby tylko nadawca i odbiorca mogli je przeczytać. Nadawca koduje dane, a jedynie odbiorca może je zdekodować przy pomocy klucza. Dostawca poczty elektronicznej nie ma dostępu do treści. Sąd podkreślił, że w przypadku przesyłania faktur z potencjalnie wysokimi ryzykami finansowymi End-to-End-Verschlüsselung jest odpowiednim ochroną. Transportowe szyfrowanie jest lepsze niż brak szyfrowania, ale nie zapewnia pełnego ochrony przed celowo skierowanym atakiem.
Aby uzyskać szyfrowanie od początku do końca, nadawca i odbiorca muszą indywidualnie ustalić porozumienie. Zwykle to następuje poprzez wymianę kluczy lub elektronicznych certyfikatów.
Zakończenie do zakończenia szyfrowanie jest absolutnie bezpieczne komunikowanie się pomiędzy Państwem a odbiorcą. Istnieją różne rozszerzenia dla klientów pocztowych, które umożliwiają aktywację tej metody szyfrowania. Używanie zakończenie do zakończenia szyfrowanie jest szczególnie ważne wtedy, gdy wymienia się poufne informacje takie jak hasła, dane finansowe lub prywatne sprawy pocztą elektroniczną.
Certyfikaty cyfrowe: bezpieczeństwo przez autoryzację
Poza szyfrowaniem, cyfrowa podpis oferuje kolejny istotny mechanizm ochrony dla Twoich e-maili.
Cyfrowa sygnatura jest jak elektroniczna podpis, którą można dołączyć do swoich e-maili. Ta sygnatura potwierdza, że wiadomość faktycznie pochodzi od Ciebie i nie została zmieniona. Odbiorca może sprawdzić tę sygnaturę, aby upewnić się, że e-mail jest autentyczny i nie został manipulowany.
Dokumenty elektroniczne są szczególnie przydatne dla ważnych komunikacji biznesowych lub gdy chcesz się upewnić, że Twoje wiadomości nie zostały zmienione.
Poprawna wybór: Szyfrowanie vs. cyfrowa podpis elektroniczny
Obie szyfrowanie oraz cyfrowe podpisy przyczyniają się do bezpieczeństwa swoich e-maili, pełnią jednak różne funkcje.
Szyfrowanie chroni treść Twoich e-mail przed nieuprawnionym dostępem, podczas gdy cyfrowa sygnatura potwierdza autentyczność wiadomości. W wielu przypadkach jest sensowne łączenie obu technologii, aby zapewnić pełny ochronę Twojej komunikacji.
Obowiązek udowodnienia leży u przedsiębiorcy
Ważne jest również: przedsiębiorstwa ponoszą odpowiedzialność za udowodnienie, że wzięły wymagane środki bezpieczeństwa. Gdy dane zostaną kompromitowane z powodu niewystarczających środków bezpieczeństwa, przedsiębiorstwo musi wykazać, że spełniło swoje obowiązki dotyczące ostrożności.
Co to oznacza dla firm?
W przeciwieństwie do władz, przedsiębiorstwa mają teraz faktycznie więcej pracy domowej do wykonania:
- Ocena ryzyka: Rozważaj przy wyborze metody szyfrowania konkretne ryzyko i potencjalny szkodliwy wpływ.
- Kryptografia końcówka do końca: Używaj kryptografii końcówki do końca dla danych wrażliwych, zwłaszcza rachunków i wezwań do zapłaty.
- Dokumentacja: Dokumentuj wszystkie środki ostrożności, aby w przypadku wypadku móc udowodnić, że spełniłeś obowiązki dotyczące bezpieczeństwa.
- Szkolenie: Szkolcie swoich pracowników w obsłudze danych poufnych i metod bezpiecznej komunikacji.
Poniższe diagram przedstawia konsekwencje wyroków dotyczących wysyłania e-mail:
Również to diagram zostało stworzone z pomocą AI (lokalna inteligencja artficyalna).
Wynik
Często jest trudno ustalić dokładne przyczyny ataku hakerskiego i udowodnić związek między naruszeniem obowiązku nadawcy a powstałym szkodzie.
Transportowe szyfrowanie nie zapewnia wystarczającego ochrony w przypadku wysokiego ryzyka finansowego, zaleca się end-to-end szyfrowanie. End-to-End jest skomplikowanym i musi być indywidualnie uzgodniony. Kompatybilność usług szyfrowania różni się w zależności od programu pocztowego lub dostawcy poczty elektronicznej (np. Gmail, Outlook, Yahoo).
Przedsiębiorstwa muszą wziąć pod uwagę konkretny ryzyko i potencjalny szkodliwy użycie przy wyborze metody szyfrowania. Szyfrowanie zapobiega odczytaniu treści mejla bez odpowiedniego klucza. Jest to szczególnie ważne w przypadku wrażliwych danych osobowych.
Czy są to dane osobowe wrażliwe?
- Dane, z których wynika pochodzenie rasy lub etniczne, przekonania polityczne, religijne czy światopoglądowe danej osoby
- Związki zawodowe
- Dane genetyczne, dane biometryczne, które są przetwarzane wyłącznie do jednoznacznego zidentyfikowania jednostki naturalnej
- Dane zdrowotne
- Dane dotyczące życia seksualnego lub orientacji seksualnej osoby
Źródło: Komisja Europejska
Obowiązek udowodnienia spełniania przepisów o ochronie danych osobowych spoczywa na podmiocie obowiązku.
Wiele ubezpieczeń cyfrowych nie obejmuje automatycznie szkód spowodowanych przez ataki hakera lub oferuje ograniczoną ochronę ubezpieczeniową.
Zalecenia
Jeśli to możliwe, używaj zawsze szyfrowania od początku do końca, szczególnie gdy często komunikujesz się z różnymi osobami w jednej firmie.
Nur w razie potrzeby powinna osoba dotknięta zostać poproszona, czy jest zgodna na przesyłanie swoich danych poświadczonego transportem. Ale tym samym mogą być budzone psy spałe.
Zamiast niezabezpieczonej wiadomości e-mail można wybrać przesyłkę pocztową jako metodę bezpiecznego przesyłania. Alternatywnie można zastosować procedury takie jak S/MIME lub PGP. Również dobrze sprawiają się pliki chronione hasłem. Hasło powinno być jednak przesłane za pomocą innego kanału, np. przez SMS. Powinno ono być zmieniane co najmniej regularnie, jeśli odbywa się częstsza (zabezpieczona) komunikacja.
Przedsiębiorstwa i osoby prywatne powinny być ostrożne przy przesyłaniu płatności i nigdy nie wypłacać pieniędzy na nieznaną lub podejrzane konto.
Uprawnieni do ochrony danych osobowych powinni poinformować swoich klientów w odpowiedni sposób, aby ograniczyć własną odpowiedzialność.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
