E-Mails gehören zu den wichtigsten Werkzeugen für Kommunikation und Zusammenarbeit in Unternehmen und enthalten häufig große Mengen vertraulicher Geschäftsdaten. Mit der anhaltenden Bedeutung der E-Mail im Arbeitsalltag wächst gleichzeitig die Notwendigkeit, sensible Informationen angemessen zu schützen. Deshalb setzen Unternehmen neben den Sicherheits- und Verwaltungsfunktionen von Outlook und Gmail teilweise zusätzliche Lösungen zur Überwachung geschäftlicher Aktivitäten ein. Dieser Leitfaden erklärt, wie Mitarbeiter-E-Mails überwacht werden können, welche Tools zur Verfügung stehen und welche rechtlichen, sicherheitsbezogenen und ethischen Aspekte berücksichtigt werden sollten.
So überwachen Sie Mitarbeiter-E-Mails transparent
Transparenz ist eine der wichtigsten Voraussetzungen für einen verantwortungsvollen Umgang mit der Überwachung geschäftlicher E-Mails. Beschäftigte sollten wissen, warum ein Monitoring eingesetzt wird, welche Daten verarbeitet werden und zu welchem Zweck dies geschieht. Klare Grenzen helfen dabei, Sicherheitsinteressen des Unternehmens mit dem Schutz der Privatsphäre der Beschäftigten in Einklang zu bringen.
Die deutschen Datenschutzaufsichtsbehörden haben eine eigene Orientierungshilfe zur datenschutzgerechten Nutzung von E-Mail und anderen Internetdiensten am Arbeitsplatz veröffentlicht. Sie behandelt unter anderem die Nutzung dienstlicher E-Mail-Konten, Kontrollmöglichkeiten des Arbeitgebers und den Umgang mit privater Kommunikation.
Für ein transparentes Monitoring sollten Unternehmen einige grundlegende Prinzipien beachten:
- klare und schriftliche Richtlinien entwickeln
- die geeignete Rechtsgrundlage prüfen und Beschäftigte transparent informieren
- den Zweck der Überwachung eindeutig erklären
- das Monitoring auf arbeitsbezogene Kommunikation und notwendige Daten beschränken
- Monitoring-Tools verantwortungsvoll und verhältnismäßig einsetzen
- Beschäftigte über Änderungen der Richtlinien informieren
- die Einhaltung der geltenden Datenschutz- und arbeitsrechtlichen Anforderungen sicherstellen
- Notwendigkeit und Wirksamkeit des Monitorings regelmäßig überprüfen
Wie lassen sich Mitarbeiter-E-Mails in Outlook überwachen?
Outlook und Microsoft 365 bieten verschiedene integrierte Möglichkeiten zur Verwaltung und Kontrolle geschäftlicher E-Mails. Abhängig von der eingesetzten Umgebung können Administratoren unter anderem Nachrichtenverfolgung, Zustellungsinformationen und Audit-Protokolle verwenden.
In Microsoft Exchange und Microsoft 365 lassen sich bestimmte Aktionen im Zusammenhang mit Postfächern und Benutzerkonten protokollieren. Welche Ereignisse verfügbar sind und wie lange sie gespeichert werden, hängt unter anderem von Lizenz, Konfiguration und Administratorrechten ab.
Für einen erweiterten Schutz sensibler Informationen stellt Microsoft mit Microsoft Purview zusätzliche Compliance- und Sicherheitsfunktionen bereit. Dazu gehören Richtlinien zur Verhinderung von Datenverlust, kurz Data Loss Prevention oder DLP.
In manchen Fällen reichen integrierte Funktionen nicht aus, um alle Anforderungen einer Organisation abzudecken. Unternehmen können dann zusätzliche Software zur Mitarbeiterüberwachung einsetzen, um einen umfassenderen Überblick über arbeitsbezogene digitale Aktivitäten zu erhalten.
Abhängig von Produkt und Konfiguration kann solche Software beispielsweise geschäftliche E-Mail-Aktivitäten, die Nutzung von Anwendungen und Websites sowie weitere Aktivitäten auf firmeneigenen Geräten erfassen.
Für den Schutz vertraulicher Daten beschreibt Microsoft Learn auf Deutsch die Data-Loss-Prevention-Funktionen von Microsoft Purview. DLP-Richtlinien können vertrauliche Inhalte in Microsoft-365-Anwendungen und E-Mails identifizieren, überwachen und automatisch schützen und dazu beitragen, eine unbeabsichtigte oder unzulässige Weitergabe zu verhindern.
Wie lassen sich Mitarbeiter-E-Mails in Google Workspace (Gmail) überwachen?
G Suite heißt heute Google Workspace, und Gmail gehört weiterhin zu den zentralen E-Mail-Diensten der Plattform. Für die Verwaltung geschäftlicher E-Mail-Konten sollten Unternehmen in erster Linie auf die administrativen, Sicherheits- und Compliance-Funktionen von Google Workspace zurückgreifen.
Dabei stellen sich insbesondere zwei Fragen:
- welche integrierten Funktionen für die Verwaltung und Prüfung von E-Mail-Aktivitäten verfügbar sind
- wann zusätzliche Monitoring- oder Sicherheitslösungen erforderlich sein können
Google Workspace stellt eine Admin-Konsole sowie verschiedene Reporting-, Audit- und Sicherheitsfunktionen bereit. Welche Daten und Ereignisse Administratoren einsehen können, hängt vom verwendeten Google-Workspace-Abo und den zugewiesenen Berechtigungen ab.
Mithilfe der administrativen Werkzeuge können Unternehmen unter anderem E-Mail-Zustellungsprobleme untersuchen, bestimmte protokollierte Ereignisse überprüfen und die Nutzung der geschäftlichen Google-Workspace-Umgebung analysieren.
| Funktion | Beschreibung |
|---|---|
| Administratorzugriff | Autorisierte Administratoren können über die Google Workspace Admin-Konsole Unternehmenskonten verwalten und auf die für ihre Organisation verfügbaren Berichte und Sicherheitsfunktionen zugreifen. |
| E-Mail-Protokolle und Analyse | Administrative Funktionen können dabei helfen, die Zustellung von Nachrichten zu untersuchen und bestimmte E-Mail-bezogene Ereignisse und Probleme nachzuvollziehen. |
| Audit-Funktionen | Je nach Lizenz und Berechtigung können Audit-Protokolle und Berichte genutzt werden, um ausgewählte Aktivitäten innerhalb der Google-Workspace-Umgebung zu analysieren. |
Für Aufbewahrung und E-Discovery bietet Google außerdem Google Vault an. Laut der offiziellen deutschsprachigen Google-Workspace-Seite können Unternehmen mit Vault Daten aus unterstützten Workspace-Anwendungen aufbewahren, durchsuchen und exportieren. Außerdem können Aufbewahrungsregeln und Holds für ausgewählte Daten eingerichtet werden.
Google Vault kann insbesondere bei internen Untersuchungen, rechtlichen Verfahren und Compliance-Anforderungen hilfreich sein. Google weist außerdem darauf hin, dass Audit-Trails beispielsweise Suchvorgänge, Nachrichtenaufrufe und Exporte in Vault nachvollziehbar machen können.
Die integrierten Werkzeuge von Google Workspace decken zahlreiche administrative und sicherheitsbezogene Aufgaben ab. Dennoch können Unternehmen je nach Zielsetzung zusätzliche Lösungen benötigen, beispielsweise für Produktivitätsanalysen oder die zentrale Auswertung verschiedener Arbeitssysteme.
Eine universelle Monitoring-Lösung gibt es nicht. Die Auswahl der eingesetzten Werkzeuge sollte sich am konkreten Zweck, an Sicherheitsrisiken, gesetzlichen Anforderungen und der notwendigen Wahrung der Beschäftigtenrechte orientieren.
5 Gründe für die Überwachung geschäftlicher E-Mail-Aktivitäten
Die Überwachung geschäftlicher E-Mails sollte nicht ausschließlich als Kontrollinstrument verstanden werden. Wenn sie rechtmäßig, transparent und verhältnismäßig erfolgt, kann sie Unternehmen dabei unterstützen, sensible Informationen zu schützen, Sicherheitsrisiken zu erkennen und interne Prozesse zu verbessern.
E-Mails sind ein zentraler Übertragungskanal für sensible Informationen. Finanzberichte, Kundendaten, Produktinformationen und andere vertrauliche Dokumente können versehentlich oder absichtlich an nicht autorisierte persönliche oder externe Konten versendet werden. DLP- und andere Sicherheitslösungen können dazu beitragen, solche Risiken zu erkennen und einzuschränken.
Bereits ein einziger Klick auf einen schädlichen Link oder Anhang kann eine Organisation einem erheblichen Sicherheitsrisiko aussetzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass Phishing-E-Mails immer schwerer zu erkennen sind und Angreifer unter anderem persönliche Informationen und KI nutzen können, um Nachrichten glaubwürdiger zu gestalten. Verdächtige Links und Anhänge sollten daher besonders sorgfältig geprüft werden.
Unternehmen können klare Standards für geschäftliche Kommunikation festlegen und sicherstellen, dass externe Nachrichten mit internen Richtlinien und gegebenenfalls regulatorischen Anforderungen übereinstimmen. In bestimmten Branchen können Audit-Protokolle und Archive zusätzlich erforderlich sein, um Kommunikation nachträglich nachvollziehen zu können.
Die Analyse geschäftlicher E-Mail-Abläufe kann Hinweise auf ineffiziente Prozesse liefern. Bleiben Kundenanfragen zu lange unbeantwortet? Benötigen interne Teams ungewöhnlich viel Zeit für wichtige Rückmeldungen? Entsprechende Daten können helfen, Engpässe zu erkennen und Arbeitsabläufe zu verbessern.
Bei internen Konflikten, Verstößen gegen Unternehmensrichtlinien oder anderen HR-Fällen kann geschäftliche E-Mail-Kommunikation relevante Aufzeichnungen enthalten. Voraussetzung ist jedoch, dass der Zugriff auf diese Informationen rechtlich zulässig, erforderlich und verhältnismäßig ist.
Was sollten Sie vor der Überwachung von Mitarbeiter-E-Mails wissen?
Bevor ein Unternehmen Monitoring-Software einsetzt, sollte es den konkreten Zweck, die Erforderlichkeit und den Umfang der Datenverarbeitung prüfen. In Deutschland gelten dabei insbesondere die Datenschutz-Grundverordnung und die Vorschriften zum Beschäftigtendatenschutz.
Nach § 26 Bundesdatenschutzgesetz (BDSG) dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für dessen Durchführung oder Beendigung beziehungsweise für die Erfüllung entsprechender Rechte und Pflichten erforderlich ist. Bei Maßnahmen zur Aufdeckung von Straftaten gelten zusätzliche Voraussetzungen, darunter konkrete dokumentierte Verdachtsmomente und die Verhältnismäßigkeit der Datenverarbeitung.
Auch eine Einwilligung ist im Arbeitsverhältnis nicht automatisch unproblematisch. § 26 BDSG verlangt bei der Beurteilung der Freiwilligkeit ausdrücklich, die Abhängigkeit der beschäftigten Person vom Arbeitgeber sowie die konkreten Umstände der Einwilligung zu berücksichtigen.
Die Orientierungshilfe der Datenschutzaufsichtsbehörden zur Nutzung von E-Mail und Internet am Arbeitsplatz macht außerdem deutlich, dass Unternehmen klare Regeln zur dienstlichen und gegebenenfalls privaten Nutzung von E-Mail-Konten festlegen sollten. Wird private Kommunikation über ein betriebliches Konto zugelassen, entstehen zusätzliche Datenschutzfragen und Einschränkungen für den Zugriff des Arbeitgebers.
Monitoring sollte deshalb möglichst auf die Informationen beschränkt werden, die für den festgelegten Zweck tatsächlich erforderlich sind. Metadaten über geschäftliche Nutzung zu analysieren ist nicht dasselbe wie systematisch den Inhalt sämtlicher Nachrichten zu lesen. Je stärker eine Maßnahme in die Privatsphäre der Beschäftigten eingreift, desto sorgfältiger müssen Erforderlichkeit, Rechtsgrundlage und Verhältnismäßigkeit geprüft werden.
Berücksichtigen Sie bei der Einführung von Monitoring außerdem die Auswirkungen auf die Unternehmenskultur. Begrenzen Sie die Datenerfassung, schützen Sie den Zugriff auf die gespeicherten Informationen, legen Sie angemessene Aufbewahrungsfristen fest und überprüfen Sie regelmäßig, ob die Maßnahme weiterhin notwendig ist. Transparente Kommunikation und Schulungen für Führungskräfte zu rechtlichen und ethischen Anforderungen können dazu beitragen, Vertrauen und einen verantwortungsvollen Umgang mit den Daten zu fördern.
Fazit
Der Schutz geschäftlicher E-Mail-Kommunikation ist ein wichtiger Bestandteil moderner Informationssicherheit. Outlook und Gmail bieten zahlreiche integrierte Verwaltungs-, Sicherheits- und Compliance-Funktionen. Spezialisierte Lösungen wie CleverControl können darüber hinaus zusätzliche Einblicke in arbeitsbezogene digitale Aktivitäten ermöglichen.
Erfolgreiches Monitoring setzt jedoch klare Grenzen voraus: Definieren Sie einen legitimen Zweck, prüfen Sie die Rechtsgrundlage, schaffen Sie transparente interne Regeln und informieren Sie die Beschäftigten. Die gewonnenen Daten sollten zum Schutz des Unternehmens und zur Verbesserung von Prozessen eingesetzt werden – nicht für unnötige oder unverhältnismäßige Überwachung.
Schützen Sie Ihre geschäftliche Kommunikation besser. Testen Sie CleverControl kostenlos und lernen Sie die Möglichkeiten selbst kennen.
