E-Mail-Archivierung (DSGVO)

[bob rooney]

Theoretisch reicht das garnicht, weil die Mails nicht aus einem Postfach abgegriffen werden sollten (denn da kann der User schon eingreifen/verändern/löschen), sondern schon davor (quasi als BCC ein- UND ausgehend - im besten Fall noch bevor sie das eigentliche Postfach erreichen). Daher wäre ein vorgeschaltetes Gateway vorzuziehen....

Client
|
Mailserver
|
Mailgateway -> BCC rein/raus-> Archivsystem
|
Internet

Alternativ wäre es direkt am Mailserver selbst zu konfigurieren (bei Archivierung via Exchange wäre es übrigens das Journalpostfach). Irgendwas aus einem Postfach zu "holen" ist halt eher nach dem Motto "Besser als nichts". Im Zweifel (und für mehr Sorgenfreiheit, weil auch ein Mailarchiv "muss" gesichert werden) lässt man sowas einfach direkt über den Hoster abwickeln, oder über einen externen Dienstleister (wie z.B. den Betreiber vom Forum hier: https://www.21byte.de/loesungen/, da gibt es auch Mailarchivierung *Werbekeule wieder einpack* (hoffe die Werbung ging grade noch so in Ordnung... )).

EDIT: Halt auch mal was anderes, als ständig nur die iDomiX-Links ?

Mail ziehe ich direkt aus dem IMAP Postfach parallel zu Outlook.
Intervall auf 3 Sekunden und Einstellung auf direkte archivierung

anderes machen es Mailstore und Co auch nicht

Durch den kurzen Intervall hätte ich maximal 3 sekunden zeit eine Mail zu löschen bevor Sie ins archiv geht.


Mein Ansatz ist da ein andere als beim Provider direkt.
Wenn ich wirklich 10 Jahre aufheben will, dann am besten bei mir und in meinem Backup.
Bei einem Wechsel vom Provider kommt ja wieder alles durcheinander.....

 

[blurrrr]

Tjo, aber nicht alle Hände sind gesetzlich vorgeschrieben ? Und auch immer dran denken:

Aufgrund der Masse an ein- und ausgehenden Mails werden von einigen Unternehmen einfach alle E-Mails archiviert, um sich die Aussortierung zu sparen. Dies kann jedoch zu Verstößen gegen den Datenschutz führen. Denn private E-Mails der Mitarbeiter dürfen aus Datenschutzgründen nicht aufbewahrt werden – es sei denn, die Mitarbeiter erklären sich ausdrücklich damit einverstanden. Wenn die Arbeitnehmer dies nicht möchten oder ein Unternehmen dies nicht von seinen Angestellten verlangen will, bieten sich noch folgende Optionen: So kann beispielsweise die Nutzung von E-Mails für private Zwecke komplett untersagt werden, was rechtlich die sicherste Variante für ein Unternehmen darstellt.

Und nebst dem nochmal diesen hier: https://www.d-velop.de/blog/compliance/e-mail-archivierung-gesetz/

• Zum frühestmöglichen Zeitpunkt
• Mit Original übereinstimmend und unveränderbar

"Frühstmöglich" ist hier das alles entscheidene Stichwort. Danach folgt noch das "unveränderbar", aber sobald die Mail das Postfach erreicht hat, "ist" die Mail veränderbar. Deswegen sind auch diese Archivierungen (IMAP/POP3) direkt aus den Postfächern nicht so das gelbe vom Ei im Hinblick auf die Anforderungen. Zu bevorzugen wäre hier eben ein Automatismus, welcher die Mails direkt via SMTP an ein Archiv zustellen.

Sicherlich wollen andere "monatlich" was haben, Systeme, Traffic, Ressourcen und vor allem auch redundanten Speicher, welcher auch nochmal gesichert wird... kost' schon eine "Kleinigkeit" ? Auch beim hier benannten EcoMail-Ding muss die Sicherung laufen, funktionstüchtig sein und vor allem muss man sie auch wiederherstellen können, denn ansonsten war das ganze Spielchen völlig für die Katz.

 

[bob rooney]

Danke für den DSGVO Hinweis, bin mir aber sehr sicher was ich tue in dieser Richtung ;-)

Die Mail ist veränderbar ab dem Zeitpunkt wo Sie auf dem Postfach liegt, korrekt.
Aus dem Grund ziehe ich (Auch Mailstore) die Mails in eine kurzen Intervall in ein Archiv ( nicht veränderbar)
Was ich dann in Outlook mit der Mail mache ist nicht relevant.
Die rechtssichere Archivierung ergibt sich aus dem getrennten speichern in der Nas.

(Die Datenbank im NAS liegt im Backupkonzept)
Bitte korrigiere mich, habe Stunden mit dem Thema verbracht...

 

[blurrrr]

anderes machen es Mailstore und Co auch nicht

Dann hast Du wohl nicht richtig gelesen.... diese Optionen werden "zusätzlich" angeboten, sind aber nicht DAS Mittel der Wahl. Bei einem Exchange wird direkt das Journalpostfach benutzt (quasi eine Art Sammelpostfach), alternativ geht es direkt via SMTP ins Archiv. Als "Notnagel" wurden eben noch IMAP/POP3 implementiert, wobei das wirklich das allerletzte Mittel der Wahl sein sollte, ist aber - wenn man sich mal 101%ig an die Richtlinien hält - halt auch nicht ganz so (bis garnicht) konform. Problem fängt ja quasi schon bei der Definition von "frühstmöglich" an. Hier kann man aber immer wieder auf dumm machen und sagen: "Wieso, ich kann doch erst archivieren, wenn ich die Mail habe?", allerdings kann sowas auch ziemlich nach hinten losgehen ??

EDIT:

Bitte korrigiere mich, habe Stunden mit dem Thema verbracht...

Nur? Das ist aber "etwas" wenig... ? (Hier stand es mal als Hosted-Variante zur Debatte, aber die Lösungen auf dem Markt für solche Zwecke... "naja"...). Btw was die Hoster angeht, die müssen übrigens auch noch pro Postfach Lizenzgebühren an den Mailarchivhersteller abdrücken und die komplette Umgebung dafür stellen, die können garnicht "billig" sein ??

 

[bob rooney]

Das würde bedeuten, das es eine GOBD konforme Archivierung nur gegeben ist wenn ich exchange nutze und es keine 101% Lösung für IMAP gibt?

Edit:
Hoster oder Wechsel vom Dienstleister würde bedeuten das dieser die die Daten als Abzug zur Verfügung stellen muss, damit hat sich das Thema "Konform" vollständig erledigt.

akutell sichere ich extern über Mailstore und würde mich 1000x wohler und "konformer" fühlen wenns bei mir im Backup liegt
Soll ja 10 Jahre halten ;-)

 

[blurrrr]

Nein, das bedeutet, dass die Mails halt archiviert sein sollten, BEVOR sie das Zielpostfach erreichen. Bei einem Exchange dient das Journalpostfach quasi nur als Sammelpostfach für alles ein- und ausgehende (daher wird dann auch das archiviert, rumfummeln kann da der User auch nicht). Theoretisch - unter Betrachtung des Mailroutings - könnte sowas halt auch auf einem eigenen Mailserver entsprechend ausgelöst werden, indem einfach eine z.B. entsprechende Weiterleitung (z.B. via always_bcc) zeitgleich oder vor Zustellung ins Benutzerpostfach bzw. vor eigentlichem Versand stattfindet. Da das technisch dann aber ggf. doch etwas aufwändiger sein kann, geht man i.d.R. halt hin und hat entweder noch ein System davor (da müssen die Mails halt durch - ein- und ausgehend) und dieses schickt noch eine Kopie von allem ans Archiv.

Bei intervallbezogenen Abrufen (was ja per se schon schlecht ist, denn das ist "nicht" der "frühstmögliche" Zeitpunkt) hat man halt immer die Verzögerungen drin und theoretisch ermöglicht jeder Sekunde Verzögung eine Veränderung (Mails sind auch schnell gelöscht). Daher schrieb ich vorhin auch, dass dieser IMAP/POP3-Abruf eigentlich auch nur ein "letzter Ausweg" ist. Viele haben halt keine andere Möglichkeit (z.B. bei öffentlichen Hostern) und müssen dann meist zwangsläufig auf die Archivierung vom Hoster zurückgreifen (sofern dieser überhaupt entsprechendes anbietet), oder müssen dann halt auf IMAP/POP3-Archivierung zurückgreifen, wobei das Konstrukt natürlich sehr wackelig ist. Allerdings ist mir auch noch kein Fall bekannt (oder öffentlich geworden), wo Firmen für eine nicht 10001%ige Archivierung belangt wurden.

Zu sehen ist stets auch der Kosten/Nutzen-Faktor... ich mein, man garnicht nicht hingehen und beschliessen, dass jetzt irgendwas gemacht werden "muss", obwohl die Systeme damals noch überhaupt garnicht soweit waren. Klar gab es dann einige Vorreiter wie Mailstore, die sich (mit teils kruden) Lösungen auf den Markt geworden haben und so auch einen gewissen Bekanntheitsgrad erreicht haben, aber irgendwie ist das ganze schon ziemlich bescheiden abgelaufen. 98% aller Unternehmer haben das Thema sowieso schon lange verdrängt (Hosting 10€, Archivierung Hosting 100€ ist einfach kein tragbares Verhältnis). Mails ausdrucken machen auch noch viele, ist aber natürlich auch nicht erlaubt und so wird irgendwas beschlossen (anscheinend juckt das Thema auch irgendwie keinen mehr) und der Unternehmer bleibt jetzt auf einem Haufen Ratlosigkeit sitzen und macht halt erstmal "irgendwie" um eben "irgendwie" den Gesetzesanforderungen nachzukommen. Mögen Peanuts für dicke Unternehmen sein, aber für Firmen unter 20 Mitarbeitern sind das schon wieder ziemliche Hürden (verhält sich halt ähnlich der DSGVO... für die großen kein Problem, die kleinen kommen erstmal ins schwitzen). ??

Ich will damit auch nicht sagen, dass das ein oder andere "schlecht" ist, nur sollte man sich einfach nur der Tatsache bewusst sein, dass so eine IMAP-Archivierung im Zweifelsfall "eventuell" nicht ausreichend ist. Wenn es dann heisst "ja, aber wir können ja garnicht anders...." könnte es ggf. auch von der Gegenseite heissen "Dann hätten sie aber .... müssen". Das ist halt so das einzige, worauf es schlussendlich hinaus läuft. Die revisionssichere Mailarchivierung ist ja nicht in erster Linie für einen selbst (sonst wäre das ja auch alles kein Problem)... Wenn der Staat sagt "Spring!", dann hast Du gefälligst zu springen... wenn der Staat sagt: "Zahl!", dann hast Du zu zahlen.... wenn der Staat sagt: "Archivieren!", dann hast Du gefälligst zu archivieren Prinzip ist doch bekannt?! ?

EDIT1: Meist gehen die Firmen halt einfach hin und kaufen die Archivierung beim vorhandenen Hoster direkt mit ein. Bei z.B. hosted-Exchange-Postfächern kommt man so halt auf ~10-15€/Monat/Postfach (bei meist 50GB Speicher) und darin ist dann schon alles inkl. Archivierung enthalten (als Gimmick on top halt noch die Exchange-Funktionalität, ohne viel Gepopel bei Notizen, Kalendern und Kontakten). Bei den Low-Budget-Varianten gibt es sowas natürlich auch, da bewegt sich das dann meist im Rahmen von X für's Hosting + X für die Archivierung einzelner Postfacher, welche Bestandteil des Hosting-Paketes sind.

EDIT2 (in Bezug auf EDIT1)...: Bei der Auswahl bitte IMMER sehr genau auf das Kleingedruckte achten! Strato meine ich hatte mal was von wegen 2,50€ für x GB und danach "pro GB" 2€ extra, so dass man bei 50GB Postfach dann schnell ziemlich arm geworden wäre ??

 

[bob rooney]

Wahre Worte.

Ich sehe Risiko, Zweckmäßigkeit und Verhältnismäßigkeit in meinem Unternehmen (3 Postfächer welche ins Archiv müssen) mit dem IMAP als angemessen. Ist sicher eine Entscheidung die jeder selber treffen muss.
(Unter der Voraussetzung das ich einen kurzen Intervall zum Abruf habe)

Kann deine Punkte aber auch zu 100% nachvollziehen.
(Alles ist besser als nix zu tun oder einen Ordner anzulegen mit "Archiv")

Wo liegt eigentlich die Beweislast wenn jemand eine Veränderung unterstellt?

BTW: In 95% der Fälle (Also bei mir) sind geschäftlich relevante Unterlagen als Anhang (Verträge, Rechnungen etc.)
Hier wäre ja die Unterstellung das ich eine Eingangsrechnung als pfd öffne, verändere und speichere (in 3 Sekunden Abrufintervall)


Was am Ende bleibt ist die Spruch: Vor Gericht und auf hoher See.......

 

[blurrrr]

Auf hoher See? Najo, da sind die Wasser tief und niemand hört Dich schreien, wenn Du untergehst...

Aber mal ernsthaft: Die Beweislast liegt im Zweifel sowieso immer bei Dir, da Du ja nachweisen können musst, dass die Mails "konform" (also auch unverändert) archiviert wurden. Heisst aber auch: Kommt eine Mail beim Hoster an und es wird im 3 Sekunden-Takt archiviert, hättest Du theoretisch über den Webmailer des Hosters auch 3 Sekunden Zeit, diese Mail einfach "verschwinden" zu lassen.

EDIT: Veränderungen können auch automatisiert werden, dann ist es nicht mehr so langsam wie der Mensch davor

 

[bob rooney]

Über die 3 Sekunden gilt es dann im Falle eines Falles zu reden.

 

[blurrrr]

Ja, aber mal ehrlich... ist irgendwo schon wie Du sagst (Zweckmäßigkeit), auf der anderen Seite kann man aber auch immer sagen: "Nein, einmal gegen den Reifen treten und gucken, ob er abfällt... das reicht nicht." Ich fand es damals schon einfach völlig bescheuert (das muss man einfach mal so sagen), dass irgendwas beschlossen wurde, wo eigentlich noch keine (bis kaum) Systeme gab, die sowas überhaupt erfüllen konnten. Hätte man gesagt: Druck alles aus und leg es in einen SAFE... jou, die gibts schon ewig, wäre kein Problem gewesen. Mailarchivierung als solche gibt es ja auch schon länger, aber die Revisionssicherheit... Etliche haben ihre Produkte ja auch kurze Zeit später wieder eingestellt (Heinlein Mailarchiv gehörte meine ich auch dazu)... Also irgendwie sagt der Staat halt "mach!", aber "vernünftige" Lösungen (grade für die kleineren Unternehmen)... Fehlanzeige. BSI hätte genauso gut hingehen können und vielleicht mal selbst etwas anbieten können, Problem ist dabei einfach die Kosten/Nutzen-Rechnung, denn Mailarchivierung (samt Storage, Backups, etc.) gibt halt einfach nicht für schmales Geld (als gehostete Variante).

Also von daher... solange man sich den Tatsachen (dem Risiko) bewusst ist... alles easy ?

 

[bob rooney]

uns jetzt versuch das mal einen KMU klar zu machen der einfach nur Arbeiten und Geld verdienen muss........
.....der hält dich für bescheuert wenn du mit Archiv kommst

 

[blurrrr]

Jop, so sehen es einige meiner Kunden auch, aber gibt eben auch die, die es "vernünftig" machen wollen und die Archivieren dann eben auch. Mail ist ein Arbeitsmedium. Beim Firmenwagen stellt sich diese Frage überhaupt "nicht", ebenso wenig beim betanken dessen, oder TüV, Reifenwechsel, alles notwendig. Computer-Anschaffung? Klar, muss auch sein! Handy-Vertrag? Sowieso! Schnelles Internet? Auf jeden Fall!.... Merkst schon worauf das hinaus läuft... Persönliche Prioritäten sind eine Sache, gesetzliche Anforderungen eben eine ganz andere... Wer Stress vermeiden will, hält sich an die gesetzlichen Dinge und hat dann noch ein bisschen "Spielgeld" übrig für die persönlichen Prioritäten

 

[bob rooney]

darf ich Fragen wie du Umsetzung beraten würdest?

Würdest du Provider einer Lokalen Sicherung vorziehen?
Was wenn der Provider gewechelt werden soll.
Die wenigsten Domain Betreiber bieten exchange an.
Wenn du hostet exchange Postfach nimmst, hast du ein Problem mit dem Alias und einen weitern Auftragsverarbeiter im Boot (Am Ende o365 ganz toll..)
Vielleicht wäre ein eigenen Exchange die Lösung, dann müsste ich aber eine statische IP habe

Schwanke ab vom Thema.......

 

[ottosykora]

Etwas OT kann ich bieten:

ich war früher Schiffsfunker. Wir haben die ganze Geschäftskorrespondenz offen und ohne jede Verschlüsselung mit der Morsetaste über Kurzwelle übermittelt.
Datenschutz bestand daraus, dass ich auf dem Liberia Konsulat (mein Schiff war unter Liberia) einen Formular unterschreiben musste, dass ich keine fremden Nachrichten abhören werde und falls es mir doch mal unabsichtlich passieren sollte, werde ich weder den Inhalt noch die Existenz solcher Nachrichten an jemanden verraten.

Ja, ich hatte Kopien der Msg in einer Kiste aufbewahrt, aber wenn die voll war wurden halt die älteren Exemplare über Bord geworfen.
Natürlich konnte ich die erst archivieren nachdem ich sie erhalten habe ;-)

Und die Welt war glücklich, wir haben alle unser Geld verdient und davon gelebt.

Was man heute alles anstellt?

 

[NSFH]

Seit meinem letzten Beitrag musste ich mich mit diesem Thema auch auseinander setzen, mit nun naderem Wissenstand. Man lernt ja nie aus.
Lösung 1 bei einem Kunden: Der nutzt Strato Mailpostfächer. Da wurde einfach bei Strato für wenig Geld das DSGVO konforme Mailarchiv dazu gebucht. Einfacher ging es nicht.
Lösung 2: Auf einer 1619xs+ läuft in der VM ein Win Server mit der Mailstore Software. Das klappt absolut problemlos. Die Mailstore DB ist Bestandteil der täglichen Datensicherung.

Grundsätzlich sagen die Vorgaben wie eine Mailarchivierung erfolgen muss nichts über die zu verwendende Technik aus. Da steht nur schnellstmöglich und wenn schnellstmöglich in meinem System 1 Minute ist dann ist das so.

 

[blurrrr]

Für eine eigene Exchange-Lösung braucht man nicht zwangsläufig eine statische IP (Thema Relay-Server), ist aber für Unternehmen in Deiner Größenordnung völlig sinnlos aufgrund der Infrastruktur- und Lizenzierungskosten. Die "meisten" Hoster bieten mittlerweile hosted Exchange (samt Archivierung) an. Bei Providerwechsel wird es natürlich "schwierig", aber i.d.R. kann man ein Archiv auch noch als Export mitnehmen.

Alles selbst zu machen inkl. der Archivierung kostet immer "etliches" Geld (allein die Ressourcen, die Zeit der Bereitstellung, als auch der Aufwand zur Pflege, ggf. noch Lizenzierung). Dazu noch Themen wie Backup und Absicherung. Natürlich sieht "selber machen" erstmal "billiger" aus, kann aber auch ganz schnell anders laufen (Problem taucht auf, Du hast keine Ahnung, also muss wer mit Ahnung bezahlt werden und das wird nicht billig). So kann man für sowas mal schnell ein paar Hunderter lassen (sicherlich, einmalige Geschichte... vorerst...), aber im Gegenzug: Den ganzen Stress, den Zeitaufwand und und und... gegen... Bissken was zahlen und dafür keinerlei Sorgen mehr haben? Man darf auch nicht vergessen, dass man in der Zeit der Pflege und Co. auch einfach nur "Geld verdienen" könnte. Weiss ja nicht, wie eure Abrechnungen so sind, aber i.d.R. ist sowas mit spätestens einer halben Stunde bezahlter Arbeit auch direkt wieder eingespielt. Muss man sich halt einfach nur gut überlegen (auch, was das eigene Know-How angeht).

EDIT: @NSFH Da schlagen wir ja wieder mal in die selbe Kerbe... ?

 

[bob rooney]

Ich will das nicht selber machen um Geld zu sparen (Geld ist kein Faktor und ich werde wohl jetzt 1K in neue Hardware stecken)
Ich will das Zeug bei mir haben. und nicht bei Stratos, Mailstores und Co.
Wie du schon richtig erkannt hast, gibt es beim Wechsel ein export. Das besteht bei Mailstore aus wieder aus einer Outlook Datei welche vollkommen offen ist (So ist zu mindestens mein Backup zu mir gekommen.) Alternativ käme eine Datenbank und ich müsste die SW kaufen welche genutzt wurde um es lesen zu können.
Einen Provider über 10 Jahre+ zu halten, glaube ich nicht, dafür ist das Leben und die IT zu schnell.....

Habe ich eine NAS mit einer VM und einer Software so packe ich Software und Datenbank ins Backup bzw. ziehe am Jahresende einfach eine Platte (Spiegel) und lege Sie auf die Bank. Das kann ich Jederzeit machen und wenn ich NAS, Platte usw. wechsel, dann liegen in Zukunft eben 2 Platten in Bank.
(Reguläres Backupkonzept ist natürlich auch vorhanden, keine Angst ;-))

 

[ottosykora]

ist es eigentlich sicher, dass man die Daten in dem Archiv in 10 Jahren überhaupt noch lesen kann?

 

[blurrrr]

Einen Provider über 10 Jahre+ zu halten, glaube ich nicht, dafür ist das Leben und die IT zu schnell.....

Najo, wenn man zu den Personen gehört, die ständig etwas zu meckern haben und/oder ständig umziehen "wollen"... sicherlich... Ich bin meinem einen Hoster seit gut 30 Jahren treu, der andere hat nu knapp 10 Jahre auf dem Buckel... Ist aber in selfhosted-Mache (allerdings mache ich das eh schon "ein wenig" gewerblich)

 

[bob rooney]

Bei mir hat sich das in den letzten Jahren aus geänderten Parametern ergeben.
Man fängt bei einem an, stellt fest das man mehr braucht usw.....
Mein aktueller ist super und gerne knacke ich auch die 30Jahre (Stopp will vorher in Rente ;-) ) aber ein Wechsel kann und will ich nicht ausschließen.

Aktuell zickt das Unternehmen wo mein Archiv liegt, (Ich mache nie wieder den Fehler und mache was wegen einer persönlichen Beziehung)

Aus dem Grund möchte ich jetzt das Ganze in meine IT Umgebung verlagern.
Das muss aber echt jeder für sicher selber ausmachen.