Wie wir unsere Kunden schützen

Jedes Spamfilter-System steht vor derselben Abwägung. Filtert es zu scharf, gehen echte Nachrichten verloren. Filtert es zu lasch, überfluten Werbung und Betrug das Postfach.

Wir haben uns entschieden, und wir sagen offen, wie: Eine legitime Mail im Ordner für unerwünschte Post wiegt bei uns schwerer als eine Spammail im Posteingang. Das gilt ganz besonders für die Rechnungspost unserer Geschäftskunden. Eine Rechnung, die nicht ankommt, kostet Geld, Vertrauen und im schlimmsten Fall eine Geschäftsbeziehung.

Daraus folgt eine Arbeitsweise, die aufwendiger ist als üblich: Bevor eine neue Erkennungsregel scharf geschaltet wird, prüfen wir ihre Wirkung anhand technischer Merkmale des tatsächlichen Mailverkehrs, ohne dafür Kundenpost zu öffnen. Würde sie legitime Geschäftskorrespondenz treffen, geht sie nicht in Betrieb, sondern zurück auf den Tisch.

Die Regeln, nach denen E-Mail funktioniert, heißen RFC. Das steht für „Request for Comments“ und ist die seit 1969 gepflegte Sammlung technischer Standards des Internets. Viele RFCs sind die maßgebliche technische Beschreibung dessen, wie ein Protokoll zu funktionieren hat. E-Mail selbst ist in RFC 5321 und RFC 5322 beschrieben.

Für die Frage, ob ein Absender echt ist, sind drei jüngere Standards entscheidend. Man kann sie sich wie Gästeliste, Siegel und Hausordnung vorstellen:

• SPF, RFC 7208, die Gästeliste. Der Inhaber einer Domain hinterlegt öffentlich, welche Server für ihn E-Mail versenden dürfen. Kommt eine Nachricht von einem anderen Server, ist sie nicht autorisiert.
• DKIM, RFC 6376, das Siegel. Der versendende Server unterschreibt jede Nachricht kryptografisch. Der Empfänger prüft die Unterschrift. Stimmt sie nicht, wurde die Nachricht unterwegs verändert oder stammt nicht vom angegebenen Absender.
• DMARC, RFC 7489, die Hausordnung. DMARC verbindet beide Verfahren und legt fest, was ein Empfänger tun soll, wenn die Prüfung scheitert. Zusätzlich erhält der Domaininhaber Berichte darüber, wer in seinem Namen Mail versendet.

Drei weitere Standards prägen unseren Betrieb:

• RFC 3834 regelt automatisch erzeugte Antworten. Er verhindert, dass zwei Systeme sich gegenseitig in eine Endlosschleife schicken.
• RFC 8461, MTA-STS, verlangt von sendenden Servern, die den Standard unterstützen, eine verschlüsselte Übertragung. Ohne diesen Standard kann ein Angreifer die Verschlüsselung auf dem Transportweg abschalten, und beide Seiten merken nichts davon.
• RFC 8460, TLS-RPT, liefert Berichte darüber, ob die verschlüsselte Zustellung zu uns tatsächlich funktioniert hat, und zwar von den sendenden Systemen selbst.

Wir stützen uns hier nicht auf Branchenberichte, sondern auf das, was wir im eigenen Betrieb jeden Tag sehen. Das Bild ist eindeutig: Viele Absender bestehen die grundlegenden Echtheitsprüfungen nicht. Viele signieren ihre Post überhaupt nicht. Und nicht wenige haben einen Absendereintrag angelegt, der technisch fehlerhaft ist. Sie glauben, geschützt zu sein, und sind es nicht.

Ein Beispiel, das jeder Praxis und jeder Kanzlei passieren kann: Terminerinnerungen oder Rechnungen werden über einen externen Dienst verschickt, dieser Dienst wurde aber nie im Absendereintrag der eigenen Domain hinterlegt. Für jeden Empfänger sieht diese Post dann genauso aus wie eine Fälschung.

Dahinter steht ein Problem, das die gesamte E-Mail-Landschaft betrifft: Auch bei uns kommt ein spürbarer Teil der Post von Servern, die erkennbar seit Jahren nicht gepflegt wurden. Sie sprechen veraltete Verschlüsselungsverfahren oder gar keine, sie kennen die oben genannten Standards nicht, und sie sind für Angreifer ein offenes Tor. Wer über einen solchen Server sendet, macht es Empfängern schwer, seine Post von einer Fälschung zu unterscheiden. Oft wissen die Betroffenen davon nichts, und genau darauf setzen Betrüger.

Für die Allgemeinheit bedeutet das ein Risiko, das über den einzelnen Absender hinausgeht. Ein übernommener, ungepflegter Mailserver verschickt Phishing im Namen seines legitimen Betreibers, mit dessen Ruf und dessen Kundenkontakten. Der Schaden trifft Dritte, die mit der Nachlässigkeit nichts zu tun hatten.

Wir haben uns entschieden, hier nicht wegzusehen. Post, die sich nicht ausweist, behandeln wir deshalb vorsichtiger als Post, die es tut. Nicht strafend, sondern abwägend: Ein einzelnes fehlendes Merkmal reicht bei uns nicht, um eine Nachricht auszusortieren. Wie wir abwägen, steht in Abschnitt 8.

Der Namensdienst, im Fachjargon DNS, ist die öffentliche Auskunft darüber, wie ein Absender uns erreicht und welche Regeln dabei gelten. Alles Folgende ist öffentlich abfragbar. Wir verraten damit nichts, und Sie müssen uns nichts davon glauben: Jede Angabe lässt sich mit frei verfügbaren Prüfwerkzeugen selbst nachprüfen.

4.1 Erreichbarkeit und Zustellwege

MX   mail.vipmail.app     der Hauptserver
MX   mx2.vipmail.app      der Ausweichserver

Zwei getrennte Server in zwei verschiedenen Rechenzentren. Ist der Hauptserver nicht erreichbar, nimmt der Ausweichserver die Post für existierende Empfänger an, hält sie vor und liefert sie aus, sobald der Hauptserver wieder erreichbar ist. Nachrichten gehen so in aller Regel nicht verloren, und der Absender bemerkt davon nichts.

4.2 Absenderschutz

SPF     v=spf1 a:mail.vipmail.app -all
DMARC   v=DMARC1; p=quarantine

Das -all am Ende des SPF-Eintrags ist die strengstmögliche Einstellung. Es bedeutet: Wer nicht von unserem Server sendet, sendet nicht in unserem Namen. Viele Anbieter verwenden hier ein ~all, das lediglich einen Verdacht ausdrückt. Wir tun das nicht.

4.3 Verschlüsselte Zustellung

MTA-STS      v=STSv1; id=…
Richtlinie   mode: enforce
TLS-RPT   v=TLSRPTv1; rua=…

Der DNS-Eintrag verweist auf eine Richtlinie, die unter mta-sts.vipmail.app öffentlich abrufbar ist. Deren entscheidende Zeile lautet mode: enforce. Ein sendender Server, der MTA-STS unterstützt, muss uns verschlüsselt erreichen. Er darf nicht auf eine unverschlüsselte Verbindung ausweichen, auch dann nicht, wenn ein Angreifer im Netz genau das erzwingen will. Über den zugehörigen Berichtsstandard erhalten wir Berichte darüber, ob das funktioniert hat.

Große Mailanbieter werten diese Einträge aus und stellen verschlüsselt zu. Pflicht sind sie nicht, und viele Mailserver haben sie bis heute nicht.

4.4 Zertifikatskontrolle

CAA   0 issue "letsencrypt.org"
CAA   0 issuewild "letsencrypt.org"

Diese Einträge legen fest, dass nur eine einzige, namentlich genannte Zertifizierungsstelle Zertifikate für unsere Domain ausstellen darf. Jede andere Stelle ist verpflichtet, eine Anfrage abzulehnen. Das erschwert eine ganze Angriffsklasse erheblich, bei der sich ein Angreifer bei einer beliebigen Zertifizierungsstelle ein gültiges Zertifikat auf einen fremden Namen ausstellen lässt.

4.5 Automatische Einrichtung

Einträge für die automatische Einrichtung sorgen dafür, dass ein Mailprogramm die richtigen Einstellungen selbst findet. Das ist bequem und hat zugleich einen Sicherheitsnutzen: Wer nicht von Hand konfiguriert, trägt auch nicht versehentlich einen unverschlüsselten Zugang ein.

Eine Nachricht durchläuft bei uns mehrere voneinander unabhängige Prüfungen. Das ist Absicht. Kein einzelnes Verfahren trägt die Abwehr allein, und der Ausfall eines Verfahrens legt die übrigen nicht lahm. Welche Filtersoftware wir dafür einsetzen und wie die Verfahren zusammenwirken, behalten wir für uns. Warum, steht in Abschnitt 6.

5.1 Wer kommt überhaupt bis zur Tür?

Bevor eine Verbindung unseren Mailserver erreicht, passiert sie zwei Firewalls. Die erste liegt im Netz des Rechenzentrums. Sie ist von einem übernommenen Server aus weder erreichbar noch abschaltbar. Die zweite ist IPServerSec, unsere eigene Firewall auf dem Server (Abschnitt 5.6). Nachweislich angreifende Adressen und Netzbereiche kommen nicht einmal bis zur Begrüßung durch den Mailserver.

5.2 Wer klopft an?

Bevor eine Nachricht angenommen wird, prüfen wir die Gegenstelle. Existiert für ihre Adresse ein gültiger Namenseintrag, und zeigt dieser auf dieselbe Adresse zurück? Ist sie in öffentlichen Verzeichnissen bekannter Spamquellen eingetragen? Dafür fragen wir mehrere voneinander unabhängige Reputationsverzeichnisse ab. Übermittelt wird dabei nur die zu prüfende IP-Adresse oder der zu prüfende Domainname, niemals eine E-Mail-Adresse oder ein Nachrichteninhalt.

Bei Einlieferungen, die bereits an dieser Stelle verdächtig wirken, bitten wir den sendenden Server, es etwas später erneut zu versuchen. Ein ordentlich betriebener Mailserver tut das ohne Weiteres, viele Massenversender nicht.

Zusätzlich betreiben wir Adressen, die an keinem legitimen Geschäftsvorgang beteiligt sind. Wer an eine solche Adresse schreibt, hat sie nicht von einem Kunden, sondern aus einer Sammlung.

5.3 Ist der Absender echt?

Jede Nachricht durchläuft die Echtheitsprüfungen aus Abschnitt 2. Für Absender, die besonders häufig gefälscht werden, etwa Banken, Zahlungsdienste, große Plattformen und Behörden, gilt bei uns eine schärfere Regel: Eine Nachricht, die unter deren Namen auftritt, muss kryptografisch nachweisen, dass sie tatsächlich von dort stammt. Ein bloß plausibel wirkender Absender genügt nicht.

Eine Nachricht „von Ihrer Bank“, die das richtige Logo und die richtige Anrede trägt, aber nicht die kryptografische Unterschrift der Bank, erreicht Ihr Postfach bei uns nicht. Echte, korrekt signierte Post von Banken und Behörden kommt dagegen ganz normal an.

5.4 Was steht drin?

Die Inhaltsanalyse ist das Herz unserer Abwehr. Sie läuft vollständig auf den von uns betriebenen Servern und besteht aus vielen einzeln zuschaltbaren Modulen: Echtheit und Weg einer Nachricht, Struktur, Verweise, Schriftbild, Anhänge, Muster bekannter Kampagnen und ein lernendes statistisches Verfahren. Ein Teil dieser Module ist von uns selbst entwickelt, jedes aus einem konkreten Anlass, den wir im eigenen Betrieb beobachtet haben. Sie erkennen zum Beispiel, wenn sich eine Nachricht im Text als Bank oder Behörde ausgibt, obwohl sie von einer fremden Domain stammt, wenn Rechnungen oder Kundennamen imitiert werden oder wenn Wegwerfadressen im Spiel sind.

Ebenso wichtig sind die Module, die in die andere Richtung arbeiten. Sie sorgen dafür, dass echte Geschäftspost nicht an einer unglücklichen Häufung harmloser Merkmale scheitert. Eindeutige Merkmale von Betrug und Schadsoftware prüfen wir dabei bei jedem Absender, auch bei langjährigen Geschäftspartnern. Denn auch das übernommene Konto eines echten Geschäftspartners kann Betrug versenden.

Einer dieser Schutzmechanismen ist die Antwort auf einen Fehler, den wir selbst gemacht haben. Eine echte Rechnung wurde aussortiert, weil sich mehrere für sich genommen harmlose Auffälligkeiten ungünstig summiert hatten. Jede einzelne war bewusst schwach gewichtet, auf die Summe hatte niemand geachtet. Seitdem hat echte Geschäftspost bei uns einen eigenen Schutz gegen solche Häufungen. Wir schreiben das hier hin, weil es zur Ehrlichkeit gehört.

Das lernende Verfahren schätzt ein, wie wahrscheinlich eine Nachricht unerwünscht ist. Es lernt aus dem, was auf unseren Servern geschieht, und was es lernt, bleibt in unserer Infrastruktur. Ihre Post wird an keinen externen Analysedienst übermittelt, und kein fremder Anbieter liest Ihre Korrespondenz, um sein Modell zu verbessern. Viele moderne Filter übermitteln Nachrichteninhalte an einen Cloud-Dienst, um die Erkennung zu verbessern. Für einen Mailserverbetreiber in Deutschland kann das ein erhebliches datenschutzrechtliches Problem sein, besonders wenn Inhalte in Drittländer gelangen. Für uns kam das nicht infrage.

5.5 Was hängt dran?

Jeder Anhang wird auf Schadsoftware geprüft. Dateitypen, die fast ausschließlich zum Einschleusen von Schadcode dienen, etwa ausführbare Programme, Skripte und Datenträgerabbilder, nehmen wir grundsätzlich nicht an und versenden sie auch nicht. Angehängte HTML-Dateien, eine verbreitete Masche für gefälschte Anmeldeseiten, bewerten wir so streng, dass sie für sich allein zur Nichtzustellung führen können.

5.6 Wer greift an? Unsere Firewall IPServerSec

IPServerSec ist unsere eigene Firewall, und sie tut mehr, als der Begriff vermuten lässt. Sie überwacht die Server rund um die Uhr, wertet fortlaufend die Protokolle aller Dienste aus und sperrt Angreifer automatisch, bevor ein Mensch überhaupt hinsehen könnte: bei Anmeldeversuchen auf existierende und erfundene Konten, beim systematischen Ausspähen gültiger Adressen, bei Protokollverletzungen, beim Versuch, unsere Server als Weiterleitungsstation zu missbrauchen, und bei Angriffen auf Webmail und Verwaltungszugang.

Zwei Eigenschaften unterscheiden IPServerSec von einer gewöhnlichen Sperrliste. Erstens hat sie ein Gedächtnis: Eine Adresse, die nach Ablauf einer Sperre erneut auffällt, wird deutlich länger gesperrt als beim ersten Mal. Zweitens, und das ist der schwierigere Teil, kennt sie den Unterschied zwischen einem Angreifer und einem Kunden mit falsch eingerichtetem Mailprogramm. Ein Kunde, dessen Programm immer wieder mit einem veralteten Passwort anklopft, erzeugt ein ähnliches Muster wie ein Angreifer. Wer hier nicht unterscheidet, sperrt seine eigenen Kunden aus. Für Sie heißt das: Ein vergessenes altes Passwort auf dem Zweitgerät sperrt in aller Regel nicht gleich Ihr ganzes Büro aus.

Für einen Mailserver sind Angriffe kein Ausnahmezustand, sondern Alltag, rund um die Uhr. Unser Ziel ist, dass sie an der Firewall enden, bevor der Mailserver sie überhaupt zu sehen bekommt.

5.7 Was Sie selbst tun können

Das Konto ist nur so sicher wie seine Anmeldung. Die Anmeldeschnittstellen sind bei uns ausschließlich verschlüsselt erreichbar, und jedem Postfach steht die Zwei-Faktor-Anmeldung (2FA) zur Verfügung. Ein paar Dinge liegen bei Ihnen:

• Schalten Sie die Zwei-Faktor-Anmeldung (2FA) ein. Wir helfen gern bei der Einrichtung.
• Verwenden Sie für jedes Konto ein eigenes, langes Passwort. Unser Passwort-Generator erzeugt eines, das sich trotzdem merken lässt.
• Vermissen Sie eine Nachricht, melden Sie sich bei uns.
• Wir fragen Sie niemals per E-Mail nach Ihrem Passwort. Wichtige Mitteilungen an Kunden tragen einen persönlichen Echtheitsnachweis, den Sie selbst prüfen können.

Wir lesen Ihre Post nicht. Sämtliche beschriebenen Prüfungen laufen automatisiert. Niemand bei uns öffnet Kundenpost aus eigenem Antrieb, weder zur Verbesserung der Erkennung noch aus Neugier. Wenn wir eine Erkennungsregel entwickeln, arbeiten wir mit technischen Merkmalen und Kopfzeilen. Die einzige Ausnahme bestimmen Sie: Bitten Sie uns ausdrücklich, ein Fehlurteil zu klären, sehen wir uns genau diesen einen Vorgang an und sonst nichts.

Wir geben keine Inhalte an Dritte weiter. Wo wir öffentliche Verzeichnisse abfragen, übermitteln wir nur die IP-Adresse oder den Domainnamen, um die es geht, niemals Ihren Text, Ihre Anhänge oder Ihre Empfänger.

Wir nennen keine Schwellenwerte und keine Filtersoftware. In diesem Dokument steht nicht, ab welchem Wert eine Nachricht welche Behandlung erfährt und mit welcher Software wir filtern. Wer das weiß, kann seine Sendung genau darunter bauen. Öffentlich geben wir diese Auskunft deshalb nicht. Das schützt auch Sie. Gesetzliche Auskunftsrechte und die Befugnisse der Aufsichtsbehörden bleiben davon unberührt.

Wir sichern mehrstufig: an unterschiedlichen Speicherorten und in unterschiedlichem Takt. Mindestens eine Stufe liegt außerhalb des Mailservers auf einem eigenständigen System und wird in kurzen Abständen fortgeschrieben.

Der Grund für mehrere Stufen ist einfach: Jede einzelne Sicherungsmethode hat einen Fall, in dem sie versagt. Eine Sicherung auf derselben Maschine überlebt keinen Hardwaredefekt. Eine Sicherung, die nur selten läuft, verliert zu viel. Stufen, die sich in ihren Schwächen nicht überschneiden, decken diese Fälle gegenseitig ab.

Wir beschreiben die Verfahren hier bewusst nicht im Detail. Wer weiß, wo und wie ein Betreiber sichert, weiß auch, was er angreifen müsste, um die Wiederherstellung zu verhindern. Genau das ist bei modernen Verschlüsselungsangriffen der erste Schritt: erst die Sicherungen, dann die Daten. Diese Landkarte zeichnen wir nicht.

Was wir sagen können: Ein Sicherungsstand zählt bei uns erst, wenn er vollständig geschrieben und auf Vollständigkeit und Unversehrtheit geprüft ist. Ein Stand ohne diesen Nachweis gilt als ungültig, auch wenn er auf den ersten Blick vollständig aussieht.

Diese Frage stellen Kunden zu Recht, deshalb hier die ehrliche Antwort.

Im Normalfall muss einiges zusammenkommen. Eine Nachricht wird nicht wegen eines einzelnen kleinen Merkmals aussortiert; sie muss mehrere voneinander unabhängige Prüfungen zugleich nicht bestehen.

Es gibt eine bewusste Ausnahme: eindeutige Merkmale von Betrug, Täuschung und Schadsoftware. Eine Nachricht, die sich als Bank, Zahlungsdienst oder Behörde ausgibt, ohne von dort zu kommen, die unter dem Namen eines besonders häufig gefälschten Absenders ohne gültige Signatur auftritt oder die einen gefährlichen Dateityp oder ein angehängtes HTML-Dokument mitbringt, hat im Posteingang nichts zu suchen, auch wenn sonst alles unauffällig ist. Die vollständige Aufzählung dieser Fälle steht in Abschnitt 9 unserer Datenschutzerklärung.

Umgekehrt schützen wir echte Geschäftspost bekannter Absender besonders sorgfältig vor Fehlurteilen. Dafür sorgen die Schutzmodule aus Abschnitt 5.4. Ein Freibrief ist das nicht: Auch das übernommene Konto eines Geschäftspartners kann Betrug versenden, und darauf achten wir. Gefährliche Dateitypen sperren wir auch bei bekannten Absendern.

Vermissen Sie eine Nachricht, melden Sie sich bei uns.

An dieser Stelle möchten wir Sie um zwei Minuten Aufmerksamkeit bitten.

Öffnen Sie gedanklich Ihr eigenes E-Mail-Konto. Nicht den Posteingang von heute, sondern das ganze Konto. Zehn Jahre. Vielleicht zwanzig. Was liegt dort?

Rechnungen, ein- und ausgehend, mit vollständigen Adressen und Beträgen. Kontoauszüge und Zahlungsavise. Verträge. Geburtsdaten, Anschriften, Telefonnummern von Menschen, die Ihnen vertraut haben. Krankmeldungen. Bewerbungen mit Lebensläufen. Fotos. Die Namen und Adressen Ihrer Kunden, oft über viele Jahre gewachsen. Passwörter, die Ihnen jemand per Mail geschickt hat, weil es gerade schnell gehen musste.

Und, weniger offensichtlich und mindestens ebenso wertvoll: Ihre Schreibweise. Ihr Stil, Ihre Grußformeln, die Art, wie Sie mit welchem Kunden sprechen. Genug Material, um in Ihrem Namen eine Nachricht zu schreiben, die niemand hinterfragt.

Dazu kommt der Punkt, den die meisten übersehen: Wer Zugriff auf Ihr E-Mail-Konto hat, kann fast überall sonst das Passwort zurücksetzen. Das Mailkonto ist der Generalschlüssel. Onlinebanking, Warenwirtschaft, Steuerportal, soziale Netzwerke, Domainverwaltung: Überall führt der Weg zurück über eine E-Mail-Adresse.

Jetzt die Folge. Wird Ihr Konto übernommen und sind personenbezogene Daten Dritter betroffen (und das sind sie praktisch immer), greifen die Artikel 33 und 34 der Datenschutz-Grundverordnung: in der Regel eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden und, wenn für die Betroffenen voraussichtlich ein hohes Risiko besteht, deren Benachrichtigung. Bei einem Postfach, das über zehn oder zwanzig Jahre gewachsen ist, können das sehr viele Menschen sein.

Dabei geht es um mehr als die Reputation. Für viele Betriebe kann ein solcher Vorfall existenzbedrohend werden.

Wir haben uns angesehen, welche E-Mail-Dienste Arztpraxen für ihre Kommunikation verwenden. Wir nennen hier weder Anbieter noch Praxen beim Namen. Das Ergebnis hat uns nicht überrascht, aber es hat uns beschäftigt: Viele nutzen kostenlose Postfächer.

Kostenlose Postfächer sind für private Korrespondenz gebaut, nicht für die Anforderungen, die beim Umgang mit Patientendaten gelten. Ob ein solcher Dienst im Einzelfall genügt, muss jede Praxis selbst prüfen. Eine der ersten Fragen lautet: Gibt es überhaupt einen Vertrag zur Auftragsverarbeitung?

In der ärztlichen Kommunikation laufen Überweisungen, Röntgenbilder, Laborberichte, Befunde und Diagnosen. Werden solche Daten abgegriffen, muss die Praxis in der Regel die Aufsichtsbehörde informieren und bei hohem Risiko auch die betroffenen Patientinnen und Patienten. Und im schlimmsten Fall tauchen die Patientendaten später im Darknet auf. Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonderen Kategorien personenbezogener Daten, für die ausdrücklich strengere Regeln gelten.

Was in einem übernommenen Postfach nach zehn Jahren steckt, haben wir im vorigen Abschnitt beschrieben. Bei einer Praxis kommt eine weitere Dimension hinzu: Der Zugriff reicht in aller Regel aus, um andernorts Passwörter zurückzusetzen, private Telefonnummern von Patientinnen, Patienten und Mitarbeitenden zu erfahren, aus dem gewachsenen Schriftverkehr Schreibstil und Ansprache nachzuahmen und mit gesammelten Geburtsdaten gezielte Angriffe auf genau diese Personen vorzubereiten.

Umso wichtiger ist eine Absicherung, die viele unterschätzen: die Zwei-Faktor-Anmeldung (2FA). Sie ist schnell eingerichtet und verhindert, dass ein erbeutetes Passwort allein genügt, um ein Postfach zu übernehmen.

Übrigens: Diese Pflichten gelten nicht nur für Ärzte. Kanzleien, Steuerberatungen, Handwerksbetriebe: Wer personenbezogene Daten verarbeitet, muss eine Datenschutzverletzung in der Regel der Aufsichtsbehörde melden und bei hohem Risiko die Betroffenen benachrichtigen. Das schadet nicht nur dem Ruf. Es spricht sich herum.

Wir sind keine Anwälte und geben keine Rechtsauskunft. Aber wir stellen Fragen in den Raum: Was bedeutet das für mögliche Schadensersatzforderungen? Und wie reagiert eine Betriebs- oder Berufshaftpflichtversicherung, wenn der Schaden auf eine unterlassene, längst übliche Absicherung zurückgeht? Diese Fragen sind es wert, dass jeder sie für sich beantwortet, am besten mit dem eigenen Versicherer oder Rechtsbeistand, und zwar bevor etwas passiert, nicht danach.

Artikel 32 DSGVO verlangt Schutzmaßnahmen, die dem Stand der Technik und dem Risiko angemessen sind. Der Stand der Technik ist nicht das, was vor zehn Jahren üblich war.

Der Aufwand dafür ist heute kleiner, als viele annehmen. Die Zwei-Faktor-Anmeldung (2FA) ist schnell eingerichtet. Mailprogramme lassen sich mit eigenen Anwendungspasswörtern statt mit dem Hauptpasswort betreiben. Veraltete, unverschlüsselte Zugänge lassen sich abschalten. Das sind keine exotischen Maßnahmen. Es sind Grundlagen.

Wer solche naheliegenden Schutzmaßnahmen kennt und bewusst darauf verzichtet, muss im Ernstfall mit unangenehmen Fragen rechnen: von der Aufsichtsbehörde, vom Versicherer und von den Menschen, deren Daten betroffen sind. Überlegen Sie einmal, was das für Sie selbst bedeutet. Nicht für den Anbieter, den Sie nutzen. Für Sie.

• Mailserver und Datensicherung in Rechenzentren innerhalb der EU
• Ein Ausweich-Mailserver in einem zweiten Rechenzentrum innerhalb der EU, der Ihre Post bei einer Störung annimmt und nachliefert
• Mehrere voneinander unabhängige Prüfschichten, vom Netz des Rechenzentrums bis zur Inhaltsanalyse
• Selbst entwickelte Schutzmodule gegen Betrug, Imitation und Schadsoftware
• Ein eigener Schutz für echte Geschäftspost, damit sie nicht wegen harmloser Zufälle aussortiert wird
• Transportverschlüsselung, die wir bei unterstützenden Absendern durchsetzen; Mailprogramme verbinden sich ausschließlich verschlüsselt
• IPServerSec, unsere eigene Firewall, überwacht rund um die Uhr und sperrt Angreifer automatisch
• Zwei-Faktor-Anmeldung (2FA) für jedes Postfach verfügbar
• Mehrstufige Datensicherung, jeder Stand auf Vollständigkeit und Unversehrtheit geprüft
• Niemand liest Ihre Post ohne Ihren ausdrücklichen Auftrag

Wir haben das alles nicht gebaut, um es für uns zu behalten. Wir sind stolz auf das, was wir in den letzten Jahren gelernt und aufgebaut haben, und wir sind überzeugt, dass E-Mail heute so abgesichert sein sollte, wie es in diesem Dokument beschrieben ist.

Deshalb dieses Angebot, ausdrücklich auch an alle, die heute noch nicht bei uns hosten: Wenn Sie bei Ihrer eigenen Kommunikation ein ungutes Gefühl haben, wenn Sie nicht wissen, welche der oben beschriebenen Maßnahmen Ihr jetziger Anbieter umsetzt, oder wenn Sie schlicht eine Zweitmeinung wollen, sprechen Sie uns an. Das gilt für Arztpraxen ebenso wie für Kanzleien, Steuerberatungen, Handwerksbetriebe, den Mittelstand, Vereine und Einzelpersonen.

Wir prüfen bestehende Konfigurationen, übernehmen Ihren laufenden Mailverkehr in aller Regel ohne spürbare Unterbrechung und hosten anschließend in Rechenzentren innerhalb der EU. Ein Angebot kostet nichts und verpflichtet zu nichts. Sollte unser Formular Ihre Anfrage abweisen, schreiben Sie uns einfach an postmaster@vipmail.app.

Wer heute für Dritte E-Mail-Konten anbietet, erbringt einen Telekommunikationsdienst und unterliegt damit besonderen Auflagen und Pflichten. Wir nehmen diese Pflichten ernst und setzen sie um. Dieses Dokument zeigt, wie.

vipmail.app ist ein Dienst der intelligent piXel GmbH, Enzianstraße 4a, 82319 Starnberg, HRB 207679.