La digitalización avanza y con ella la importancia de la comunicación segura. Un reciente fallo judicial hace patente cuán importante son las medidas de seguridad adecuadas al enviar correos electrónicos, especialmente cuando se trata de transacciones financieras. ¿Qué significa eso para las empresas? Y qué métodos de cifrado son realmente seguros?
Sentencia judicial: La inseguridad puede ser cara
Un negocio fue recientemente demandado en juicio porque una factura enviada fue manipulada por un ataque de hacker. El cliente se negó a pagar la factura falsificada y el tribunal le dio la razón! La causa: El negocio no había tomado medidas de seguridad adecuadas al enviar la factura.
La sentencia del Tribunal Superior de Schleswig-Holstein (OLG) de 18.12.2024 (Núm. 12 U 9/24) establece claramente: Las empresas son responsables ante la Regulación General de Protección de Datos (RGPD), si no protegen adecuadamente los datos sensibles. El mero uso de cifrado en transporte no es suficiente, especialmente cuando se trata de altos riesgos financieros. Se ha admitido la revisión del fallo.
Un otro tribunal ha decidido lo contrario, al menos para las autoridades: El OVG Münster El día 20 de febrero de 2025 se decidió (Núm. 16 B 288/23), que las autoridades no están obligadas a enviar correos electrónicos con cifrado de fin a fin.
Las decisiones judiciales tienen las siguientes consecuencias en el tráfico de correo electrónico seguro:
La importancia de la cifratura para correos electrónicos seguros
La base para correos electrónicos seguros es la cifrado. Esta tecnología sirve para proteger información sensible durante el envío y preservarla de acceso no autorizado.
Imagínese que su correo electrónico es como una carta que pasa por diferentes manos antes de llegar a su destinatario. Sin encriptación, el contenido de la carta estaría accesible para cualquier persona que la tenga en sus manos. La encriptación, por otro lado, garantiza que el contenido de su correo electrónico solo pueda ser leído por el remitente y el destinatario.
Los correos electrónicos pueden ser leídos en Internet, por lo que la cifrado de extremo a extremo protege los datos sensibles. Los métodos de cifrado híbridos combinan procedimientos para comunicaciones seguras. Las firmas digitales garantizan la integridad de los correos electrónicos.
Hay dos tipos principales de cifrado: cifrado de transporte y cifrado de extremo a extremo. Las e-mails se cifran normalmente durante el transporte, pero no se cifran de extremo a extremo.
La transportación cifrada protege sus correos electrónicos durante el transporte entre su programa de correo electrónico y el servidor de su proveedor. Muchos proveedores de servicios de correo electrónico apoyan este tipo de cifrado para proteger sus datos desde el principio.
La cifrado de extremo a extremo ofrece un mayor protección. Esta tecnología cifra sus correos electrónicos de tal manera que solo el remitente y el destinatario pueden descifrarlos. Incluso su proveedor de correo electrónico no puede ver el contenido de sus mensajes.
En relación con la sentencia esto significa:
- La cifrado de transporte: protege los datos durante la transmisión de A a B. Imagínese un sobre cerrado que está protegido en el camino a la oficina de correos. Pero eso no es suficiente para el tribunal, porque el proveedor de servicios de transporte oficialmente no es tan confiable como la Deutsche Post.
- Cifrado de extremo a extremo: Cifra los datos de manera que solo el emisor y el destinatario puedan leerlos. El emisor cifra los datos, y solo el destinatario puede descifrarlos con una clave. El proveedor de correo electrónico no tiene acceso al contenido. El tribunal enfatizó que al enviar facturas con potenciales riesgos financieros significativos la encriptación de extremo a extremo es el adecuado protección. La encriptación del transporte, si bien es mejor que ninguna encriptación, no ofrece una protección completa contra ataques dirigidos.
Para una cifrado de extremo a extremo es necesario que emisor y receptor lleguen a un acuerdo individual. Por lo común, esto se hace mediante el intercambio de claves o certificados electrónicos.
La comunicación entre usted y el destinatario es absolutamente segura con cifrado de extremo a extremo. Hay varios plugins para clientes de correo electrónico con los que puede activar esta forma de cifrado. La utilización del cifrado de extremo a extremo es especialmente importante cuando intercambia información sensible como contraseñas, datos financieros o asuntos personales por correo electrónico.
Firmas Digitales: Seguridad a través de Autenticación
Además de la cifratura, la firma digital ofrece otro mecanismo importante de protección para sus correos electrónicos.
Una firma digital es como una firma electrónica que puede adjuntar a sus correos electrónicos. Esta firma confirma que la noticia proviene realmente de usted y ha permanecido inalterada. El destinatario puede comprobar esta firma para asegurarse de que el correo electrónico sea auténtico y no haya sido manipulado.
Las firmas digitales son especialmente útiles para comunicaciones comerciales importantes o cuando se desea asegurar que los mensajes no han sido modificados.
La elección correcta: Cifrado vs. firma digital
La cifratura y las firmas digitales contribuyen a la seguridad de sus correos electrónicos, pero cumplen funciones diferentes.
La cifratura protege el contenido de sus correos electrónicos contra acceso no autorizado, mientras que la firma digital confirma la autenticidad del mensaje. En muchos casos es razonable combinar ambas tecnologías para garantizar un completo protección de su comunicación.
La carga de la prueba recae en el empresario
Es importante también: las empresas deben demostrar que han tomado todas las medidas de seguridad necesarias. Si los datos se ven comprometidos debido a medidas de seguridad insuficientes, la empresa debe demostrar que ha cumplido con sus obligaciones de diligencia debida.
¿Qué significa esto para las empresas?
En contraste con las autoridades, ahora las empresas tienen prácticamente más tareas escolares que realizar:
- Evaluación de riesgos: Considerar el riesgo concreto y el daño potencial al elegir la método de cifrado.
- Cifrado de extremo a extremo: Utilice cifrado de extremo a extremo para datos sensibles, especialmente facturas y solicitudes de pago.
- Documentación: Documente todas las medidas de seguridad para poder demostrar en caso de un incidente que ha cumplido con sus deberes de cuidado.
- Capacitación: Capacite a sus empleados en el manejo de datos sensibles y métodos de comunicación seguros.
El siguiente diagrama muestra las consecuencias de los juicios presentados al enviar correos electrónicos:
Este diagrama también fue creado con el apoyo de IA (inteligencia artificial local).
Conclusión
Es esfrecilla a menudo, demostrar los antecedentes exactos de un ataque informático y probar la conexión entre el incumplimiento del emisor y el daño causado.
La Transportverschiffung no ofrece un adecuado protección contra riesgos financieros altos, la End-to-End Verschiffung es recomendable. La End-to-End es complicada y debe ser acordada individualmente. La Compatibilidad de los servicios de cifrado varía según el programa de correo electrónico o proveedor de correo (por ejemplo Gmail, Outlook, Yahoo).
Las empresas deben considerar el riesgo concreto y el potencial daño al elegir el método de cifrado. La cifratura impide que se pueda leer el contenido de un correo electrónico sin la clave correspondiente. Esto es especialmente importante en datos personales sensibles.
¿Qué son los datos personales sensibles?
- Datos de los que surgen la ascendencia racial o étnica, las opiniones políticas, las creencias religiosas o filosóficas de una persona
- Afiliación a un sindicato
- Datos genéticos, datos biométricos que se procesan únicamente para la identificación única de una persona natural
- Datos de salud
- Información sobre la vida sexual o la orientación sexual de una persona
Fuente: Comisión Europea
La carga de la prueba para el cumplimiento de las disposiciones de protección de datos recae en el responsable.
Muchas pólizas de seguro contra ataques cibernéticos no cubren automáticamente los daños causados por hackers o ofrecen un seguro limitado.
Recomendaciones
Utilizar siempre que sea posible una encriptación de extremo a extremo, especialmente cuando se comunica regularmente entre departamentos.
Solo en caso de necesidad se debería preguntar a la persona afectada si está de acuerdo con el envío cifrado de sus datos, pero eso podría despertar a los perros dormidos.
En lugar de una correo electrónico no cifrado, se puede elegir el envío postal como método seguro de transmisión. Alternativamente, ofrecen procedimientos como S/MIME o PGP. También parecen buenos archivos protegidos por contraseña. La contraseña debería entonces transmitirse a través de otro medio de transmisión, como un mensaje de texto. Debería cambiarse al menos con regularidad, siempre que se produzca una comunicación más frecuente (protegida).
Empresas y particulares deben ser cautelosos al realizar transferencias de dinero y no pagar a cuentas desconocidas o sospechosas.
Los defensores de protección de datos deberían informar a sus clientes adecuadamente para limitar su propia responsabilidad.
Me llamo Klaus Meffert. Soy doctor en informática y llevo más de 30 años dedicándome profesional y prácticamente a las tecnologías de la información. También trabajo como experto en informática y protección de datos. Obtengo mis resultados analizando la tecnología y el Derecho. Esto me parece absolutamente esencial cuando se trata de protección de datos digitales.
