Dateien sicher versenden: Optionen und Checkliste
E-Mail, Links, Transferdienste und Portale im Vergleich, von beiden Seiten des Schreibtischs betrachtet, dazu eine Checkliste für den Moment vor dem Senden.
Die Autovervollständigung schlägt die andere Frau Berger vor. Ein Link von 2023 öffnet sich immer noch. Das Passwort steht in derselben E-Mail wie das ZIP, das es schützen soll. Eingebrochen ist dafür niemand, es war einfach ein voller Dienstag. Wer Dateien sicher versenden will, braucht vor allem ein paar Gewohnheiten, die solche Momente abfangen, und einen Weg, den die Mandanten auch wirklich nutzen.
Für jede Datei stellen sich dieselben Fragen: Wer kann sie öffnen, wer kann unterwegs und beim Speichern mitlesen, wie lange gilt der Zugriff, und können Sie später zeigen, was Sie geschickt haben? Die üblichen Wege beantworten sie sehr unterschiedlich.
| Weg | Eignet sich für | Worauf Sie achten sollten |
|---|---|---|
| E-Mail-Anhang | Routineunterlagen und kleine Dateien | Auf den Mailservern unterwegs lesbar; Kopien in jedem Postfach; ein falsch ergänzter Name genügt |
| Passwortgeschütztes PDF oder ZIP | Gelegentliche vertrauliche Dateien per E-Mail | Nur so stark wie das Passwort, das auf anderem Weg reisen muss; Dateinamen im ZIP bleiben oft lesbar |
| Cloud-Link | Große Dateien und gemeinsame Ordner | Für wen der Link offen ist, ob er abläuft und ob der Anbieter die Dateien lesen kann |
| Transferdienst | Einmalige große Lieferungen | Wer den Link hat, kann bis zum Ablauf herunterladen |
| Messenger | Schnelle, informelle Rückfragen | Geschäftliche Dateien landen auf privaten Smartphones und in Chatverläufen, die sich nicht ablegen lassen |
| Mandantenportal oder verschlüsselter Arbeitsbereich | Laufende Mandate und vertrauliche Unterlagen | Mandanten melden sich einmal an; wählen Sie eine Lösung mit einfachem Einstieg |
Wer mit denselben Mandanten das ganze Jahr vertrauliche Unterlagen austauscht, ist mit einem Portal oder einem verschlüsselten Arbeitsbereich besser bedient als mit E-Mail und allerlei Zusatzwerkzeugen. Für die gelegentliche Datei kann ein gut geschützter Anhang oder Link genügen.
Für sich genommen meist nicht. Zwischen den Servern reisen die meisten E-Mails heute mit Transportverschlüsselung (TLS), und die schützt die Leitung. SMTP, das Protokoll, das E-Mails transportiert, ist aber kein Ende-zu-Ende-Verfahren (öffnet in neuem Tab): Jeder Server unterwegs entschlüsselt die Nachricht, hat sie lesbar vor sich und speichert oder leitet sie weiter. Ende-zu-Ende-Verschlüsselung mit S/MIME oder OpenPGP schließt diese Lücke, aber nur, wenn beide Seiten sie eingerichtet haben. Bei vielen Mandanten ist das nicht der Fall.
Für mich ist eine normale E-Mail eine Postkarte. Für eine Terminbestätigung reicht das, für einen unterschriebenen Vertrag, eine Lohnabrechnung oder eine Ausweiskopie nicht. Ob die DSGVO Verschlüsselung tatsächlich verlangt, ist eine eigene Frage.
Inhalt einordnen.
Routinepost, vertraulich oder vom Berufsgeheimnis erfasst? Davon hängt der Weg ab.
Empfänger prüfen, und dann noch einmal.
Kontrollieren Sie die vollständige Adresse und ob diese Person das Dokument überhaupt sehen soll: Geschäftsführung und Buchhaltung desselben Unternehmens sind nicht austauschbar. Der Europäische Datenschutzausschuss empfiehlt (öffnet in neuem Tab) unter anderem, die automatische Adressergänzung abzuschalten und E-Mails mit kurzer Verzögerung zu versenden, damit man sie noch stoppen kann.
Den Schlüssel getrennt schicken.
Ein Passwort in derselben E-Mail wie die Datei schützt nichts. Sagen Sie es am Telefon durch oder schicken Sie es per SMS.
Zugriff befristen.
Setzen Sie ein Ablaufdatum, wo das Werkzeug es erlaubt, und räumen Sie alte Freigaben auf, wenn das Mandat endet. Ein Ordnerlink zeigt auch jede Datei, die später dazukommt; teilen Sie also die Datei selbst oder einen Ordner nur für dieses Mandat.
Weglassen, was niemand braucht.
Frühere Entwürfe, fremde Seiten und die versteckten Angaben in der Datei selbst: Autor, Gerät, der Ort, an dem ein Foto entstand.
Nachweis behalten.
Legen Sie die gesendete Fassung und die Bestätigung beim Mandat ab, damit es auf die Frage im nächsten Jahr eine Antwort gibt.
Der sicherste Weg schützt nichts, wenn Ihre Mandantin am Anmeldebildschirm aufgibt und die Ausweiskopie dann doch per E-Mail schickt. Aus Sicht der Mandanten entscheiden ein paar Dinge. Mandanten wollen einen Kanal pro Kanzlei und kein Ratespiel, welches Dokument auf welchem Weg kam. Ein weiteres Passwort zum Merken wollen sie auch nicht; ein Passkey nutzt den Fingerabdruck, das Gesicht oder die PIN, mit denen sie ihr Smartphone ohnehin entsperren. Und das Ganze muss am Smartphone funktionieren, sonst wartet die Datei bis zum Wochenende.
Sagen Sie Ihren Mandanten dann einmal schriftlich, auf welchem Weg Sie Dateien teilen und auf welchem Sie nie danach fragen. „Ein Dokument wurde für Sie freigegeben“ ist ein beliebter Phishing-Köder, und wer weiß, dass Ihre Dateien immer auf demselben Weg kommen, fällt darauf deutlich schwerer herein.
Wir haben Encloq für genau diesen Austausch gebaut. Lesen Sie diesen Abschnitt also mit der gebotenen Skepsis.
- Dateien und Nachrichten werden standardmäßig Ende-zu-Ende verschlüsselt, und zwar auf Ihrem Gerät, bevor sie es verlassen. Sie und die Personen in der Unterhaltung können sie lesen, Encloq nicht.
- Sie laden Mandanten per E-Mail-Adresse ein. Encloq sendet die Einladung ohne Zugangsschlüssel; den geben Sie getrennt weiter, etwa am Telefon, oder als sicheren Link oder QR-Code, der ihn enthält. Die Anleitung zu Gasteinladungen zeigt jeden Schritt.
- Eine Einladung gilt 30 Tage, und Sie können sie jederzeit widerrufen. Was jemand bereits erhalten hat, holt ein Widerruf allerdings nicht zurück.
- Bei unterstützten Fotos, Videos, Audiodateien, PDFs und Office-Dokumenten entfernt Encloq versteckte Angaben wie Autor oder Aufnahmeort noch auf Ihrem Gerät, vor dem Hochladen.
- Als Nachweis fordern Sie eine signierte Lesebestätigung (ab Encloq One) oder eine Unterschrift auf einem Dokument (Encloq Pro) an. Beides ist keine qualifizierte elektronische Signatur; was das bedeutet, erklärt der Beitrag zu Signaturarten.
Was Verschlüsselung nicht leisten kann
Ende-zu-Ende-Verschlüsselung schützt Dateien unterwegs und beim Speichern. Sie verhindert nicht, dass jemand, der eine Datei rechtmäßig bekommen hat, sie speichert, weiterleitet oder abfotografiert. Und Encloq verarbeitet weiterhin Konto- und Abrechnungsdaten sowie bestimmte Betriebsmetadaten. Wählen Sie also mit Bedacht, wem Sie etwas schicken.
Wie versende ich vertrauliche Dokumente am sichersten?
Über einen Kanal, der den Inhalt Ende-zu-Ende verschlüsselt und nur eingeladene Personen hineinlässt, deren Zugriff Sie wieder beenden können. Muss es eine E-Mail sein, verschlüsseln Sie die Datei mit einem langen Passwort und sagen Sie es telefonisch durch oder schicken Sie es per SMS.
Ist ein passwortgeschütztes PDF sicher genug?
Für eine gelegentliche Datei kann es reichen, wenn das Passwort zum Öffnen nötig ist, lang ist und getrennt verschickt wird. Ein Passwort, das nur Drucken oder Bearbeiten einschränkt, hindert niemanden am Öffnen.
Brauchen meine Mandanten ein Konto, um Dateien in Encloq zu erhalten?
Ja, ein kostenloses. Ihre Mandanten nehmen die Gasteinladung an und melden sich mit einem Passkey an oder nutzen ein bestehendes Konto. Mit Encloq Pro können Sie den Speicher der Unterhaltungen übernehmen, die Sie beginnen.
So sieht der Austausch in Encloq aus
Einladung, Dateien, Rückfragen und die Bestätigung Ihrer Mandanten in einer Ende-zu-Ende-verschlüsselten Unterhaltung. Die interaktiven Beispiele laufen direkt in Ihrem Browser.