E-Mail-Compliance in DACH: Gesetze, technische Maßnahmen und belastbare Nachweise

E-Mail-Sicherheit beginnt mit dem tatsächlichen Betrieb

Quellenstand: 27. September 2026. Erfassen Sie zunächst, welche Domains wirklich senden oder empfangen, welche Systeme und Dienstleister beteiligt sind und welche Daten darüber laufen. Eine Rechnungsplattform, ein Newsletterdienst und die persönlichen Postfächer können unterschiedliche Versandwege und Risiken haben.

Ordnen Sie anschließend die Pflichten zu: Geht es um Sicherheit eines gesetzlich erfassten Dienstes, Schutz personenbezogener Daten, einen Finanzbetrieb oder eine vertraglich vereinbarte Anforderung? Dokumentation soll die tatsächliche Umsetzung nachvollziehbar machen. Eine schön gefüllte Belegmappe ersetzt keine wirksame Maßnahme.

Rechtsstand: Inkrafttreten, Anwendung und Folgefristen unterscheiden

Primärgrundlagen: Schweizer DSG, DORA, Art. 64, ISG und Inkrafttretensvermerke zu Art. 74a–h, deutsches Umsetzungsgesetz, Art. 30, § 33 BSIG, NISG 2026, § 51.

NIS2: Deutschland und Österreich nicht zusammenziehen

Für den internationalen Zusammenhang gibt es den NIS2-EU-Einstieg und Länderinformationen mit amtlichen Quellen. Dieser E-Mail-Ratgeber vertieft weiterhin die ausdrücklich genannten Rechtsräume.

Deutschland

§ 28 BSIG und Anlagen 1–2 verbinden konkrete Einrichtungsarten mit Größenmerkmalen und Sonderregeln. Eine beliebige Firma mit 50 Beschäftigten ist nicht automatisch betroffen. Bei der allgemeinen Einstufung als wichtige Einrichtung müssen neben der passenden Tätigkeit mindestens 50 Beschäftigte oder sowohl mehr als 10 Mio. Euro Jahresumsatz als auch mehr als 10 Mio. Euro Jahresbilanzsumme vorliegen. Unternehmensverbindungen können mitzuzählen sein. Bestimmte Anbieter, etwa DNS-Diensteanbieter für Dritte, unterliegen größenunabhängigen Regeln. Eine eigene Domain zu besitzen genügt dafür nicht. § 28, § 2 Nr. 8 BSIG.

Die Registrierung nach § 33 Abs. 1 ist grundsätzlich spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit erforderlich, auch für dort genannte Domain-Name-Registry-Dienstleister. Das bezeichnet insbesondere Registrare und entsprechende Registrierungsdienste, nicht jeden Domaininhaber. Für bestimmte digitale Anbieter gilt zusätzlich § 34. Betreiber kritischer Anlagen beachten die zusätzlichen Angaben und das Übergangsrecht des § 66; der Übergang zur neuen KRITIS-Verordnung beseitigt bestehende Pflichten nicht. §§ 33, 34, 66 BSIG.

§ 30 verlangt Risikomanagement in zehn Bereichen. Eine E-Mail-Konfiguration kann beispielsweise zu sicherer Kommunikation, Kryptografie oder Schwachstellenbearbeitung beitragen. Die gesetzliche Pflicht reicht jedoch über DNS und Transport hinaus. Sonderregeln für bestimmte Energie-, Telekommunikations-, Finanz- und Telematikeinrichtungen nach § 28 Abs. 5–7 sowie vorrangige Anforderungen der DVO (EU) 2024/2690 müssen getrennt geprüft werden. NIS2-Checkliste.

Für erhebliche Vorfälle gelten nach § 32 grundsätzlich frühe Erstmeldung binnen höchstens 24 und Folgemeldung binnen höchstens 72 Stunden, jeweils unverzüglich und ab Kenntnis desselben erheblichen Vorfalls. Eine fehlende Registrierung verschiebt eine bestehende Meldepflicht nicht. Für Vertrauensdiensteanbieter gelten daneben eigene eIDAS-Mitteilungen binnen 24 Stunden; sie betreffen nicht jeden Mail- oder Zertifikatsnutzer. Der Ratgeber zur NIS2-Meldepflicht erklärt Kriterien, Empfänger, weitere Berichte und diese Sonderregeln.

Österreich

Das NISG 2026, BGBl. I Nr. 94/2025, wurde am 23. Dezember 2025 kundgemacht. Seine wesentlichen materiellen Pflichten gelten nach § 51 ab dem 1. Oktober 2026; gleichzeitig treten die §§ 1 bis 31 des NISG 2018 außer Kraft. Vorgänge bis einschließlich 30. September 2026 sind grundsätzlich nach dem bis dahin geltenden NISG 2018 zu beurteilen. Vorbereitungsbestimmungen gelten schon seit 24. Dezember 2025. Besondere Übergänge bleiben zu beachten, etwa für das bisherige nationale CSIRT nach § 51 Abs. 6 und für bisherige qualifizierte Stellen nach § 51 Abs. 7. Kundmachung, NISG 2026, § 51.

§ 29 Abs. 3 sieht für Einrichtungen, die bereits beim Inkrafttreten am 1. Oktober 2026 erfasst sind, die Registrierung innerhalb von drei Monaten ab diesem Inkrafttreten vor; das österreichische Bundesamt für Cybersicherheit (BCS) nennt grundsätzlich den 1. Januar 2027 und wegen § 33 Abs. 2 AVG spätestens den 4. Januar 2027. Später erfasste Einrichtungen registrieren sich ehestmöglich, spätestens binnen drei Monaten nach Erfüllung der Voraussetzungen. § 34 sieht Meldungen an das zuständige sektorspezifische CSIRT, ersatzweise das nationale CSIRT vor, das an die Cybersicherheitsbehörde weiterleitet. Eine deutsche Portaladresse oder Fristenbeschreibung ist deshalb kein vollständiger österreichischer Meldeplan.

Für einen konkreten Fall sind der zum Ereigniszeitpunkt geltende Stand, tatsächliche Dienste und nationale Ausnahmen maßgeblich. So gilt die Bildungsregel des § 24 Abs. 6 NISG 2026 ausdrücklich nicht für Vertrauensdiensteanbieter; die Branchenmatrix unten erläutert diese Grenze.

DSGVO: Risiko, Rechenschaft und Datenschutzverletzung

Art. 32 DSGVO verlangt von Verantwortlichen und Auftragsverarbeitern geeignete technische und organisatorische Maßnahmen. Berücksichtigt werden Stand der Technik, Kosten, Art und Umfang der Verarbeitung sowie Risiken für betroffene Personen. Vertraulichkeit, Integrität, Verfügbarkeit, Wiederherstellung und regelmäßige Wirksamkeitsprüfung sind relevante Schutzziele. Eine feste Liste von E-Mail-Protokollen nennt die Norm nicht. DSGVO, Art. 32.

Art. 5 Abs. 2 und Art. 24 verlangen Rechenschaft beziehungsweise nachvollziehbare Umsetzung. Sichere Übertragung erledigt dabei weder Rechtsgrundlage noch Löschkonzept, Auftragsverarbeitungsvertrag oder Voraussetzungen einer Drittlandübermittlung. Ein Dienstleisterstandort in Europa beweist für sich ebenfalls keine vollständige DSGVO-Erfüllung. Für diese Fragen sind insbesondere Art. 6, gegebenenfalls Art. 9, Art. 28 und Art. 44 ff. eigenständig zu prüfen.

Nicht jede Phishingmail ist eine meldepflichtige Datenschutzverletzung

Ein erfolgloser Phishingversuch ist noch keine Verletzung des Schutzes personenbezogener Daten. Gelangen dagegen Unbefugte in ein Postfach mit personenbezogenen Inhalten, sind tatsächlicher Zugang, Daten, mögliche Folgen und Risiken zu bewerten. Vollständige Gewissheit über jede gelesene Nachricht muss dafür nicht erst hergestellt werden.

Der Verantwortliche meldet eine einschlägige Verletzung nach Art. 33 unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Datenschutzaufsicht, außer wenn voraussichtlich kein Risiko für Rechte und Freiheiten besteht. Ein Auftragsverarbeiter informiert den Verantwortlichen unverzüglich; er erhält dadurch keine eigene allgemeine 72-Stunden-Wartefrist. Verletzungen und die Beurteilung sind nach Art. 33 Abs. 5 zu dokumentieren. Bei voraussichtlich hohem Risiko verlangt Art. 34 zusätzlich grundsätzlich eine unverzügliche Information der betroffenen Personen, vorbehaltlich seiner Ausnahmen. Eine BSI-Meldung ersetzt dies nicht automatisch. DSGVO, Art. 4 Nr. 12 und Art. 33–34.

Schweiz: DSG und ISG haben eigene Schwellen und Empfänger

Das Schweizer DSG gilt nach Art. 2 für die dort erfasste Bearbeitung von Personendaten durch Private und Bundesorgane. Art. 3 erfasst Sachverhalte mit Auswirkungen in der Schweiz. Für kantonale öffentliche Stellen ist deren eigenes Datenschutzrecht gesondert zu beachten. Art. 7 regelt Technikgestaltung und Voreinstellungen, Art. 8 eine angemessene Datensicherheit. Schweizer DSG, Art. 2–3 und 7–8.

Art. 24 DSG verlangt vom Verantwortlichen eine Meldung an den EDÖB so rasch als möglich, wenn eine Datensicherheitsverletzung voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führt. Die Vorschrift enthält keine allgemeine 72-Stunden-Frist. Auftragsbearbeiter informieren den Verantwortlichen so rasch als möglich. Betroffene Personen sind zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt, unter Beachtung der gesetzlichen Ausnahmen. Art. 24 DSG, EDÖB: Datensicherheitsverletzungen.

Eine Weiterleitung der Datenschutzmeldung durch den EDÖB an das BACS ist nach Art. 24 Abs. 5bis mit Einverständnis des Verantwortlichen zur Analyse möglich. Sie ist keine Zusage, dass eine zusätzlich bestehende ISG-Meldepflicht damit fristgerecht erfüllt ist. Prüfen und dokumentieren Sie deren Erfüllung eigenständig. DSG, Art. 24 Abs. 5bis.

Davon getrennt verlangt das ISG bei bestimmten Cyberangriffen eine Meldung an das BACS binnen 24 Stunden nach Entdeckung. Dafür müssen eine erfasste Behörde oder Organisation nach Art. 74b unter Berücksichtigung der Ausnahmen nach Art. 74c und der Cybersicherheitsverordnung sowie ein Angriff nach Art. 74d vorliegen. Erfasst sind etwa Gefährdungen der Funktionsfähigkeit kritischer Infrastruktur, Informationsmanipulation oder -abfluss, länger unentdeckte Angriffe oder Angriffe mit Erpressung, Drohung oder Nötigung. Nicht jeder kleine Betrieb und nicht jede auffällige E-Mail fällt darunter. ISG, Art. 74a–f, BACS: Wer muss melden?.

Die Schweiz setzt NIS2 nicht als EU-Mitgliedstaat um. EU-Kunden können vertragliche Sicherheitsanforderungen begründen; sie lösen aber nicht automatisch jede EU-Pflicht aus. Die DSGVO benötigt ihre Anknüpfung nach Art. 2–3. Für bestimmte digitale Dienste ohne EU-Niederlassung sieht Art. 26 NIS2 eine Vertreter- und Zuständigkeitsregel vor; auch dabei sind Dienst und territorialer Anwendungsbereich konkret zu prüfen. Art. 26 NIS2.

BSI-Richtlinien: Transport und Authentifizierung unterscheiden

Die TR-03108, Version 2.0 vom 1. Juni 2023, behandelt sicheren E-Mail-Transport für E-Mail-Diensteanbieter. Die TR-03182, Version 1.0 vom 24. Januar 2024, behandelt E-Mail-Authentifizierung, insbesondere das Zusammenspiel von SPF, DKIM und DMARC. Transport schützt einen Übertragungsweg; Authentifizierung liefert Empfängern Informationen zur Berechtigung und Zuordnung von Absenderdomains. Das sind verschiedene Aufgaben. TR-03108, TR-03182.

Eine technische Richtlinie wird nicht durch ihre Veröffentlichung zum Gesetz für jede Domain. Ihre Verbindlichkeit und ihr Prüfbereich ergeben sich aus dem einschlägigen Zusammenhang, etwa einem konkreten Zertifizierungsverfahren, Vertrag oder gesetzlichen Bezug. Aus einem DNS-Fund lässt sich die Einhaltung der gesamten Richtlinie nicht ableiten; interne Verarbeitung, Schlüsselverwaltung und Betriebsprozesse bleiben zusätzliche Prüfgegenstände.

DORA: Andere Fristbezüge als beim BSIG

DORA gilt seit 17. Januar 2025 für die in Art. 2 erfassten Finanzunternehmen unter Beachtung der dortigen Ausnahmen. Art. 9 regelt Schutz und Prävention, Art. 17–19 den Umgang mit IKT-bezogenen Vorfällen. Nicht jede Phishingmail ist ein schwerwiegender meldepflichtiger Vorfall. Die Einstufung richtet sich nach den besonderen DORA-Kriterien. Zuständig ist die nach DORA bestimmte Finanzaufsicht; es gibt keinen universellen Meldeweg über das deutsche BSI-Portal. DORA, Art. 2, 9, 17–19, 46 und 64.

Die Delegierte Verordnung (EU) 2025/301, Art. 5, konkretisiert die Fristen:

Anders als bei § 32 BSIG knüpft die 72-Stunden-Frist hier also an die erste Übermittlung an. Für Unmöglichkeit rechtzeitiger Übermittlung verlangt Art. 5 Abs. 3 eine fristgerechte Information der Behörde mit Gründen. Abs. 4–6 enthalten begrenzte Wochenend- und Feiertagsregeln mit wichtigen Ausnahmen, insbesondere für Erst- und Zwischenmeldungen bestimmter Finanzunternehmen; eine allgemeine „Banken melden erst montags“-Regel folgt daraus nicht. Delegierte Verordnung (EU) 2025/301, Art. 5.

Ein Maildienstleister eines Finanzunternehmens ist nicht allein durch diesen Kunden selbst ein DORA-Finanzunternehmen. Vertragsanforderungen nach Art. 28–30 und die Einstufung als kritischer IKT-Drittdienstleister nach Art. 31 sind getrennte Fragen. Auch ein pauschaler DORA-Bußgeldbetrag für fehlendes DMARC wäre irreführend: Art. 50 verweist auf die nationale Sanktionsausgestaltung; aufsichtsrechtliche Zwangsgelder nach Art. 35 betreffen einen anderen Tatbestand.

ISO und PCI DSS: Standards mit eigenem Zweck

ISO/IEC 27001 betrifft ein Informationssicherheitsmanagementsystem. Ein Zertifikat innerhalb seines festgelegten Geltungsbereichs ist weder eine Garantie für jede Nachricht noch eine automatische NIS2-Erfüllung. Ein vorhandenes ISMS kann Risiken, Zuständigkeiten und Wirksamkeitsprüfungen organisieren. Prüfen Sie, ob alle maßgeblichen Maildienste, Lieferanten und Betriebsprozesse tatsächlich erfasst sind. ISO-Originalübersicht, NIS2 und ISO 27001.

PCI DSS dient dem Schutz von Zahlungskartendaten und ist kein allgemeines E-Mail-Gesetz. Ob E-Mail Teil einer erfassten Zahlungsdatenumgebung ist, hängt vom tatsächlichen Datenfluss und dem vereinbarten Nachweisverfahren ab. Ein Newsletter ohne Kartendaten und ein Prozess mit übertragenen Kartendaten sind nicht gleich einzuordnen. Aus PCI DSS folgt weder eine universelle E-Mail-Protokollliste für alle Unternehmen noch Konformität durch einen Domaincheck. PCI SSC: PCI DSS.

Branchenhinweise ersetzen keine Einrichtungsprüfung

Grundlagen: BSIG-Anlage 1, DORA Art. 2, NISG 2026 § 24 Abs. 6, BACS zur Meldepflicht.

Eine Maßnahme kann mehrere Schutzziele unterstützen

Ein gepflegter Versandbestand, angemessene Domainauthentifizierung und sichere Übertragung können für mehrere anwendbare Regelwerke nützlich sein. Der Nutzen entsteht durch die tatsächliche Wirkung im passenden Geltungsbereich. Es gibt keinen gemeinsamen technischen Mittelpunkt, der NIS2, Datenschutz, DORA, PCI DSS und eine BSI-Richtlinie insgesamt erfüllt.

Beispiel: Ein Betrieb führt einen neuen Rechnungsversender ein. Seine Freigabe kann technische Senderprüfung, eine Bewertung des Dienstleisters, datenschutzrechtliche Vertragsfragen und einen Vorfallkontakt verbinden. Ein einziger SPF-Eintrag beantwortet diese unterschiedlichen Fragen nicht. Führen Sie gemeinsame Belege dort zusammen, wo derselbe Sachverhalt geprüft wird, und dokumentieren Sie die verbleibenden Anforderungen je Regelwerk.

Technische Themen in eine brauchbare Nachweiskette einordnen

Diese Zuordnung beschreibt fachliche Teilbeiträge. Sie enthält keine pauschalen Erfüllungsgrade. Für SPF, DKIM und DMARC sind die Standards und reale Nachrichtenwege maßgeblich; die aktuelle DMARC-Spezifikation lässt die Behandlung durch den Empfänger ausdrücklich als eigene Entscheidung bestehen. RFC 9989, insbesondere Abschnitte 4.4, 4.7 und 5.4, BSI TR-03182.

Die Transport- und Berichtsmechanismen beschreiben RFC 8461, Abschnitte 1–3 und RFC 8460, Abschnitte 1 und 3. RFC 8617, Abschnitte 1–2 erläutert ARC; die BIMI Group bestätigt den Entscheidungsspielraum bei der Logoanzeige. Keine dieser Quellen bescheinigt den hier nicht gemessenen Betrieb einer konkreten Domain.

Geschäftsleitung und Sanktionen: den Tatbestand benennen

Für erfasste deutsche Einrichtungen verlangt § 38 die Umsetzung und Überwachung der §-30-Maßnahmen und regelmäßige eigene Schulung der Geschäftsleitung. Abs. 2 betrifft die Haftung gegenüber der eigenen Einrichtung bei schuldhafter Verletzung der Umsetzungs- und Überwachungspflicht; vorrangig gilt das einschlägige Recht der Rechtsform. Das ist keine automatische private Zahlungspflicht nach jeder Phishingmail.

Davon getrennt enthält § 65 BSIG Bußgeldtatbestände. Für bestimmte Maßnahmen- und Meldeverstöße gelten Höchstrahmen bis 10 Mio. Euro bei besonders wichtigen beziehungsweise 7 Mio. Euro bei wichtigen Einrichtungen; bei Unternehmen mit mehr als 500 Mio. Euro weltweitem Gesamtumsatz die geregelten Umsatzvarianten bis 2 % beziehungsweise 1,4 %. Registrierung hat einen eigenen Rahmen bis 500.000 Euro. Verantwortlichkeit, Verschulden und konkreter Verstoß müssen jeweils geprüft werden. Fehlendes DMARC allein beweist keinen dieser Tatbestände. §§ 38, 65 BSIG, vertiefender Haftungsratgeber.

Ein Arbeitsplan nach Dringlichkeit und Abhängigkeiten

Ein Plan über mehrere Monate kann Arbeit organisieren. Er schafft keine Schonfrist für bereits geltende Pflichten und passt nicht als starre DNS-Reihenfolge zu jeder Einrichtung. Ordnen Sie die Arbeit stattdessen in vier zusammenhängende Phasen:

Wie lange die Schritte dauern und was parallel möglich ist, hängt von Größe, Ausgangslage und Risiko ab. Kritische Lücken warten nicht bis „Monat sechs“. Ein Re-Scan prüft nur den wiederholten Messumfang und ersetzt die übrigen Kontrollen nicht.

Was der E-Mail-Security-Check beobachtet

Der Wolf-Agents E-Mail-Security-Check betrachtet öffentlich beobachtbare Domainkonfiguration und ausgewählte SMTP-Eigenschaften. Ein Ergebnis kann technische Ausgangsbefunde dokumentieren. Maßgeblich ist, was im konkreten Bericht tatsächlich gemessen werden konnte.

Eine gefundene DKIM-Konfiguration bestätigt keine vollständige Signierung aller Nachrichten. Eine eingehende SMTP-Probe ist keine ausgehende Zustellprüfung, kein Kontozugriff und kein Lesen von Nachrichten. Fehlende oder nicht erhobene Werte sind weder automatisch bestanden noch automatisch ein kritischer Verstoß. Der Domaincheck ist keine laufende Überwachung und kein vollständiger NIS2-, DSGVO-, ISO- oder BSI-Richtliniennachweis.

Speichern Sie relevante Ergebnisse mit Ziel und Zeitpunkt und verbinden Sie sie mit der Bearbeitung des Befunds. Vergleichen Sie Punktzahlen nur bei nachvollziehbar vergleichbarem Prüfumfang und Bewertungsmodell; wichtiger ist, welche konkrete Beobachtung sich geändert hat.

Eine Belegmappe entsteht aus technischen und organisatorischen Nachweisen

Ein zweckmäßiger Bestand verbindet die begründete Einordnung der Einrichtung mit tatsächlich umgesetzten Maßnahmen. Technische Befunde sind ein Eingang neben internen Kontrollen und Betriebsnachweisen, nicht der alleinige Ausgangspunkt einer vollständigen Compliance-Bewertung.

Ein Auditor, die Datenschutzaufsicht, das BSI und ein interner Datenschutzbeauftragter haben unterschiedliche Aufgaben und Befugnisse. Die Mappe wird nicht automatisch an alle gesendet; Umfang, Empfänger und Schutzbedarf richten sich nach dem konkreten Verfahren. Sie enthält nur erforderliche Informationen, mit geeigneten Zugriffsrechten und begründeter Aufbewahrung. Eine universelle Sieben- oder Zehnjahresfrist oder ein allgemeiner quartalsweiser Scanrhythmus folgt aus dieser Übersicht nicht.