Wie die EU stärkere E-Mail-Sicherheit vorschreiben kann

Zusammenfassung: Der Artikel untersucht, wie die EU proaktiv Lücken in der E-Mail-Sicherheit schließen kann, indem sie die NIS2-Richtlinie nutzt, um robuste, harmonisierte Standards wie DMARC, DKIM und SPF in allen Mitgliedstaaten vorzuschreiben. Durch jetziges Handeln schützt die EU nicht nur ihr digitales Ökosystem, sondern setzt auch einen globalen Maßstab für Best Practices in der Cybersicherheit.

• Die NIS2-Richtlinie bietet der EU eine entscheidende Chance, die flächendeckende Einführung von E-Mail-Sicherheitsprotokollen (DMARC, DKIM, SPF) verbindlich vorzuschreiben, langjährige Schwachstellen zu beheben und Standards in allen Mitgliedstaaten zu harmonisieren.
• Jüngste Schritte großer Anbieter (Google, Yahoo!) sowie Branchenstandards (PCI DSS 4.0.1) haben Best Practices zur E-Mail-Authentifizierung verbreiteter gemacht, doch bestehende Anforderungen reichen weiterhin nicht aus – was die Notwendigkeit strengerer, durchsetzbarer EU-weiter Vorgaben unterstreicht.
• Ein koordiniertes Vorgehen der EU, angeführt von Institutionen wie ENISA und der NIS-Kooperationsgruppe, kann die Umsetzung robuster E-Mail-Sicherheit vorantreiben, regulatorische Lücken schließen und die EU als globalen Vorreiter für Best Practices in der Cybersicherheit positionieren.

Als digitales Rückgrat moderner Kommunikation bleibt E-Mail für Organisationen in ganz Europa eine kritische Schwachstelle, die häufig aufgrund veralteter oder inkonsistenter Sicherheitsmaßnahmen ausgenutzt wird. Die kommende NIS2-Richtlinie der EU, die auf dem Erbe der DSGVO aufbaut, bietet eine entscheidende Chance, stärkere, harmonisierte E-Mail-Sicherheitsstandards in allen Mitgliedstaaten vorzuschreiben.

Indem sie die Einführung von Protokollen wie DMARC, DKIM und SPF vorschreibt und ihren regulatorischen Einfluss nutzt, kann die EU nicht nur ihr eigenes digitales Ökosystem schützen, sondern auch einen globalen Präzedenzfall für Best Practices in der Cybersicherheit schaffen. Da einige Mitgliedstaaten bereits Vorreiter sind, ist der Zeitpunkt für einen einheitlichen, EU-weiten Ansatz reif, der Lücken schließt und robusten Schutz für alle gewährleistet.

Die Richtlinie über Netz- und Informationssysteme 2 (NIS2) ist der Nachfolger der Richtlinie über Netz- und Informationssysteme (NIS), die 2016 die erste EU-weite Gesetzgebung zur Cybersicherheit wurde und die Mitgliedstaaten der Europäischen Union (EU) verpflichtete, eine Vielzahl von Anforderungen in nationales Recht umzusetzen und mit wesentlichen und digitalen Dienstleistern zusammenzuarbeiten, um die Cybersicherheit zu verbessern. NIS2 enthält strengere Vorgaben dazu, welche Verwaltungsstrafen möglich sein müssen. E-Mail-Sicherheit ist eine von vielen expliziten Anforderungen, die die Richtlinie abdeckt.

Als einer der größten Handelsblöcke der Welt hat die EU die Fähigkeit, ein sichereres Verbraucherökosystem voranzutreiben. Wir haben diesen Impuls bereits bei der Datenschutz-Grundverordnung (DSGVO) und der ePrivacy-Richtlinie (ePD) erlebt, die zu erheblichen Verbesserungen beim Datenschutz und zu rasanter Aufmerksamkeit in der breiten Öffentlichkeit führten.

Darüber hinaus setzt die EU oft einen globalen Präzedenzfall, wenn sie strengere regulatorische Standards einführt, und beeinflusst damit Richtlinien und Praktiken auch außerhalb ihrer Grenzen. Ein gutes Beispiel sind Richtlinien mit extraterritorialer Wirkung, die jede Organisation betreffen, die mit der EU Geschäfte macht oder personenbezogene Daten von EU-Bürgern verarbeitet. Obwohl die DSGVO eine EU-spezifische Verordnung ist, haben viele amerikanische Unternehmen, die die Komplexität der Aufrechterhaltung getrennter Datenrichtlinien erkannt haben, sich dafür entschieden, DSGVO-Standards universell auf alle Nutzer anzuwenden, nicht nur auf EU-Bürger.

Dieser Ansatz vereinfacht nicht nur die Einhaltung von Vorschriften, sondern hebt auch den Datenschutz weltweit an und bringt einen positiven Return on Investment. Ähnlich verhält es sich, wenn die EU strengere Cybersicherheitsstandards durchsetzt, wie sie in der NIS2-Richtlinie festgelegt sind: Es ist wahrscheinlich, dass Unternehmen außerhalb der EU diese höheren Standards übernehmen, um einen nahtlosen Betrieb und Konformität zu gewährleisten – wodurch ein „Trickle-Down“-Effekt entsteht, der die globalen Sicherheitspraktiken verbessert. Dabei werden gleichzeitig Herausforderungen durch Nichteinhaltung, wie Geldstrafen und andere nicht-finanzielle Sanktionen, vermieden.

E-Mail ist standardmäßig unsicher und erfordert weder Authentifizierung, Autorisierung noch überhaupt Verschlüsselung während der Übertragung. Alle diese Aspekte mussten nachträglich entwickelt und hinzugefügt werden. Jeder, der schon einmal einen Dienst konfigurieren musste, der E-Mails versendet, ist auf DomainKeys Identified Mail (DKIM) und Sender Policy Framework (SPF) gestoßen – zwei Mechanismen, die dabei helfen, den Versand von E-Mails zu autorisieren und zu authentifizieren. DKIM insbesondere bietet eine starke kryptografische Autorisierung und Authentifizierung von E-Mails.

Aber was passiert, wenn eine E-Mail nicht als „bestanden“ hinsichtlich DKIM oder SPF verifiziert werden kann? Bisher blieb es dem Empfänger überlassen, selbst zu entscheiden. Dies ist der Hauptzweck von Domain-based Message Authentication, Reporting, and Conformance (DMARC). Es wurde entwickelt, um Domain-Inhabern einen Mechanismus zu bieten, mit dem sie explizit festlegen können, dass E-Mail-Empfänger alle E-Mails ablehnen sollen, die nicht durch DKIM oder SPF autorisiert sind. Dies signalisiert, dass sie alle Dienste, die im Namen der Domain senden dürfen, ordnungsgemäß konfiguriert haben.

Ist Ihre E-Mail sicher?

Kennen Sie Ihren aktuellen DMARC-Status? Jetzt kostenlos prüfen.

Die Unterstützung für DMARC, DKIM und SPF durch alle Teile des E-Mail-Ökosystems, sowohl bei Sendern als auch bei Empfängern, war in einigen Branchen stark, aber uneinheitlich. Erst Anfang 2024 wurden sie de facto zu Branchenvorgaben, unter anderem dank der neuen Bulk-Sender-Anforderungen von Google und Yahoo! sowie der Best-Practice-Empfehlungen des Payment Card Industry Data Security Standard (PCI DSS 4.0.1).

Die Auswirkungen der neuen Anforderungen waren enorm: Bereits nach nur sechs Monaten meldete Google eine Reduzierung um 65 % bei nicht authentifizierten E-Mails, 50 % mehr Massen-E-Mail-Versender, die diese Best Practices befolgten, und 265 Milliarden weniger nicht authentifizierte Nachrichten.

Trotzdem ist die von Google und Yahoo! gesetzte Messlatte noch relativ niedrig, da lediglich eine schwache DMARC-Richtlinie mit dem Wert „none“ verlangt wird – die den Empfänger nicht anweist, nicht autorisierte E-Mails abzulehnen. Organisationen wurden noch nicht dazu gezwungen, ihre gesamten E-Mail-Versandsysteme ordnungsgemäß zu inventarisieren und zu konfigurieren, und Nutzer von E-Mail-Anbietern, die nicht so streng sind wie Google oder Yahoo!, sind anfälliger für Impersonationsangriffe, als es sein müsste. Ebenso empfiehlt der PCI DSS 4.0.1 derzeit lediglich die Nutzung von DMARC, DKIM und SPF für alle Organisationen, die Kreditkartendaten verarbeiten.

Die Durchsetzung von DMARC, bei der Organisationen eine Richtlinie von p=reject erreichen, erfordert erhebliche globale Zusammenarbeit und Regulierung, und die EU ist durch die NIS2-Richtlinie gut aufgestellt, um hier die Führung zu übernehmen – zumindest für Organisationen, die einen überproportionalen Einfluss auf die europäische Gesellschaft haben.

Artikel 21 verpflichtet die Mitgliedstaaten sicherzustellen, dass diese wesentlichen und wichtigen Einrichtungen:

„geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu beherrschen, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, und um die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.

Unter Berücksichtigung des Stands der Technik und, soweit anwendbar, einschlägiger europäischer und internationaler Normen sowie der Kosten der Umsetzung gewährleisten die in Unterabsatz 1 genannten Maßnahmen ein Sicherheitsniveau der Netz- und Informationssysteme, das den bestehenden Risiken angemessen ist. Bei der Bewertung der Verhältnismäßigkeit dieser Maßnahmen sind der Grad der Risikoexposition der Einrichtung, ihre Größe sowie die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schweregrad, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen, angemessen zu berücksichtigen.“

NIS2-Richtlinie – Europäische Union

Obwohl die ursprüngliche Richtlinie E-Mail-Sicherheit nicht explizit erwähnt, tut dies der Anhang eines Durchführungsrechtsakts, der die Richtlinie erweitert und relevante Einrichtungen dazu verpflichtet:

„einen Umsetzungsplan für die Einführung international vereinbarter und interoperabler moderner E-Mail-Kommunikationsstandards zur Sicherung der E-Mail-Kommunikation anzunehmen, um Schwachstellen im Zusammenhang mit E-Mail-bezogenen Bedrohungen zu mindern, und Maßnahmen zur Beschleunigung dieser Einführung festzulegen;

ein vollständiges, genaues, aktuelles und konsistentes Verzeichnis ihrer Vermögenswerte zu entwickeln und zu pflegen. Sie erfassen Änderungen an den Einträgen im Verzeichnis in nachvollziehbarer Weise.“

Europäische Kommission

Auch wenn dies im obigen Text nicht ausdrücklich genannt wird, lässt sich „sichere E-Mail-Kommunikation zur Minderung von Schwachstellen“ am besten durch die Einführung verfügbarer Tools wie DMARC, DKIM und SPF erreichen. DMARC insbesondere stellt die beste proaktive, angemessene Cybersicherheitsmaßnahme dar, die Ihrer Organisation Schutz bietet und mit Best Practices im Einklang steht.

Neben Transport Layer Security (TLS), dem Protokoll, das die Verschlüsselung während der Übertragung für nahezu die gesamte Internetkommunikation einschließlich E-Mail bildet, bietet kein anderer Standard oder Mechanismus die gleiche Einfachheit der Umsetzung und Wirkung. SPF, obwohl ebenfalls weit verbreitet, ist ein deutlich schwächerer Mechanismus als DKIM. S/MIME wird aufgrund der komplizierten Bereitstellung deutlich seltener genutzt. Vielleicht könnte Mail Transfer Agent Strict Transport Security (MTA-STS) ein weiterer Kandidat sein, ist aber in manchen Fällen noch schwierig umzusetzen.

Einige Fortschritte wurden bereits erzielt: Mehrere EU-Mitgliedstaaten haben bereits Vorgaben für DMARC und DKIM, meist zumindest für öffentliche Einrichtungen, wobei die Anforderung teilweise auch auf einige Sektoren kritischer Infrastruktur ausgedehnt wird.

• Tschechien verlangt seit mindestens 2021 von öffentlichen Einrichtungen sowie wesentlichen und wichtigen Einrichtungen die Umsetzung von DMARC und DKIM
• Dänemark verlangt seit mindestens 2022 von Regierungseinrichtungen die Umsetzung von DMARC und DKIM
• Estland verlangt seit mindestens 2023 von öffentlichen Einrichtungen die Umsetzung von DMARC, zusätzlich zu MTA-STS oder DANE
• Irland verlangt seit mindestens 2022 von öffentlichen Dienststellen die Umsetzung von DMARC und DKIM.
• Niederlande verlangt seit mindestens 2018 von öffentlichen Einrichtungen die Umsetzung von DMARC und DKIM
• Polen verlangt seit mindestens 2023 von öffentlichen und einigen privaten Einrichtungen die Umsetzung von DMARC und DKIM
• Das ehemalige Mitgliedsland Vereinigtes Königreich verlangt DMARC für digitale Regierungsdienste seit mindestens 2016

Die übrigen 21 Mitgliedstaaten haben keine nationalen Vorgaben, und nur wenige haben überhaupt eine Art von Leitlinie oder Empfehlung für ihre öffentlichen Einrichtungen oder Unternehmen erstellt.

Die EU mit ihren 27 Mitgliedstaaten kann am wirksamsten sein, wenn alle vereint auftreten, wodurch Reibungsbarrieren beim Vergleich der aktuellen Vorschriften von Land zu Land verringert werden. Tatsächlich werden bereits Fortschritte durch eine NIS-Kooperationsgruppe erzielt, die damit beauftragt ist, den zuständigen Behörden der Mitgliedstaaten Anleitung zur Umsetzung und Anwendung der Richtlinie zu geben.

Bereits 2017 veröffentlichte CERT-EU, das Notfallteam für Cybersicherheit der EU selbst, eine eigene Leitlinie, die die Nutzung von DMARC empfiehlt. CERT-EU ist Mitglied des europäischen CSIRT-Netzwerks, das die NIS-Kooperationsgruppe unterstützt und durch die ursprüngliche NIS-Richtlinie eingerichtet wurde. ENISA, die Agentur der Europäischen Union für Cybersicherheit, ist ebenfalls Mitglied der NIS-Kooperationsgruppe und beauftragt, die Mitgliedstaaten bei der einheitlichen Umsetzung der Unionspolitik und -gesetzgebung im Bereich der Cybersicherheit im Zusammenhang mit der NIS-Richtlinie zu unterstützen. In diesem Sinne haben ENISA und die NIS-Kooperationsgruppe bereits mehrere Leitlinien zum Nutzen aller Europäer erstellt, unter anderem zu Wahlen, 5G-Netzen, Domainnamen-Registern, Vorfallmeldungen und Offenlegung von Schwachstellen.

Weitere Fortschritte sind erforderlich, und obwohl E-Mail standardmäßig unsicher ist, verfügen wir bereits über alle Werkzeuge, sowohl technische als auch regulatorische, um sie sicher zu machen – zumindest in Europa. Es fehlt lediglich an entschlossenem Handeln auf europäischer und nationaler Ebene. Könnte ENISA also dazu beitragen, die Einführung von E-Mail-Sicherheitsvorschriften voranzutreiben? Kurz gesagt: Ja. Wenn ENISA die NIS-Kooperationsgruppe dazu drängen würde, klare, praxisnahe Leitlinien zur Erfüllung der gesetzlichen E-Mail-Sicherheitsanforderungen bereitzustellen, könnte dies ein kooperatives Umfeld über alle Mitgliedstaaten hinweg schaffen, das eine stärkere E-Mail-Sicherheit für alle EU-Bürger gewährleistet. Durch gemeinsames Handeln könnte die EU das erste Staatengebilde sein, das mit gutem Beispiel voranschreitet und den Rahmen für den Rest der Welt setzt, dem zu folgen ist.