BSB B rem er Softw are & Beratungs Gm bh. Technische und organisatorische H erausforderungen bei der rechtskonform en Em ail-a rch ivierung

Transkript

1 BSB B rem er Softw are & Beratungs Gm bh Technische und organisatorische H erausforderungen bei der rechtskonform en Em ail-a rch ivierung

2 Überblick Die BSB Brem er Softw are & Beratungs Gm bh A nforderungen zur Em ail-a rchivierung U m setzung in der Praxis und technische Möglichkeiten C loud basierte Em ail-a rch ivierung O rganisatorische H erausforderungen 2

3 Vorstellung BSB BSB B rem er Softw are & Beratungs Gm bh U nternehm ensstand o rte:b rem en und Ham burg G ründungsjahr: Fokus:Softw are Projektentw icklung und IT-Service Member ofbrevido netw ork web: / en.com 3

4 A nforderungen Em ail-a rch ivierung Was? Die G rundfrage danach,welche M ails archiviert werden müssen, b eantw o rtet mit 147 AO eine V o rschrift aus dem Steuerrecht. Danach müssen alle ein-und ausgehenden Handels-und G eschäftsbriefe d auerhaft gespeichert werden.darunter versteht das Gesetz jegliche Korrespondenz,die "ein Geschäft vorbereitet, abw ickelt,rückg äng ig m acht oder abschließt",also etw a Aufträge, Reklam ationsschreiben,rechnungen,zahlungsbelege oder V erträg e. 4

5 A nforderungen Em ail-a rch ivierung R echtsno rm en und V o rschriften aus z.b.hgb,ao,gdpdu, G obs und seit dem GoBD,fo rd ern u.a.: Wie? Elektronische Dokum ente (E m ails) sind auch elektronisch zu archivieren. Dokum ente sind frühestm öglich zu archivieren. Dokum ente müssen stets vollständig archiviert werden. Über lange Zeiträum e - (sechs,zehn oder sogar 30 Jahre). Nachweislich unveränderte Speicherung der Daten. 5

6 A nforderungen Em ail-a rch ivierung Im Zusammenhang mit Archivsystem en w ird oft der Begriff revisionssicher benutzt. Aber was bedeutet in diesem Zusammenhang revisionssicher? Die VO I(V erb and Organisations-und Inform ationssystem e e.v) hat bzgl.der U m setzung u.a.fo lgende Leitsätze herausgegeben: 6

7 A nforderungen Em ail-a rch ivierung 1. Jedes Dokum ent muss nach M aßgabe der rechtlichen und organisationsinternen A nforderungen ordnungsgem äß aufbew ahrt werden. 2. Die Archivierung hat vollständig zu erfolgen kein Dokum ent darf auf dem W eg ins Archiv oder im Archiv selbst verloren gehen. 3. Jedes Dokum ent ist zum organisatorisch frühestm öglichen Zeitp unkt zu archivieren. 4. Jedes Dokum ent muss mit seinem O riginalübereinstim men und unveränderbar archiviert werden. 5. Jedes Dokum ent darf nur von entsprechend berechtigten Benutzern eingesehen werden. 6. Jedes Dokum ent muss in angem essener Zeit wiedergefunden und rep ro d uziert werden können. 7. Jedes Dokum ent darf frühestens nach Ablauf seiner A ufbew ahrungsfrist vernichtet,d.h.aus dem Archiv gelöscht werden. 8. Jede ändernde Aktion im elektronischen Archivsystem m uss fü r Berechtigte nachvollziehbar protokolliert werden. 9. Das gesam te organisatorische und technische Verfahren der Archivierung kann von einem sachverständ igen Dritten jederzeit geprüft werden. 10. Beiallen M igrationen und Ä nderungen am Archivsystem m uss die Einhaltung aller zuvor aufgeführten G rundsätze sichergestellt sein. 7

8 U m setzung In der Praxis In der Praxis archivieren Unternehm en ihre E-M ails häufig: - auf Papier - auf Mailservern - in persönlichen Ordnern von M itarb eitern - über Backups. Die Daten sind so zw ar gegen Verlust gesichert,die zw ingend geforderte U nveränderbarkeit und Vollständigkeit ist aber nicht gew ährleistet. 8

9 U m setzung In der Praxis 9

10 U m setzung In der Praxis 10

11 U m setzung In der Praxis Positiv: - Archivierung im eigenen N etzw erk - U m setzung nach A nforderung m öglich - Kein externer Provider Negativ: - Kosten - H ardw are - Software - Strom,Service,usw. - Evtl.D ienstleister erforderlich - Interne Aufwände - A uch hier w ird eine Fachanw endung vo rausg esetzt. 11

12 U m setzung In der Praxis 12

13 U m setzung In der Praxis Positiv: - Kosten - Gleichbleibend / Skalierbar - Flexibel - Gering (K eine H ard w are usw.) - Kaum interne Aufwände - H öhere V erfüg b arkeit durch m assive Redundanz - Zusatzfeatures wie A ntispam - Frühe Archivierung Negativ: - Externer Provider - (In der Cloud) 13

14 U m setzung In der Praxis Eigenschaft Lokale Software (Client) Lokale Software (Server) Appliance Cloud Service Anschaffungskosten o ++ Installationsaufwand o o ++ Laufende Betriebskosten o o ++ Skalierbarkeit ++ Zuverlässigkeit o ++ Sicherheit gegen Fehlkonfiguration Transparenz und Durchsetzung zentraler Richtlinien o o Nachweis unveränderter o ++ Speicherung Datenschutz *) ++ *) ++ **) *) Bei Abschluss und Einhaltung entsprechender interner Betriebsvereinbarungen **) Bei Abschluss und Einhaltung einer entsprechenden Vereinbarung über Auftragsdatenverarbeitung gemäß BDSG 14

15 U m setzung In der Praxis Fazit: Für klein-und m ittelständische Unternehm en em pfiehlt sich der Einsatz einer gehosteten (C loud) softw are-as-a-service Variante 15

16 Cloud Em ail-a rch ivierung 100% Archivierung aller ein-und ausgehenden M ails Auf W unsch ist auch die Archivierung interner M ails unter Exchange und Notes möglich Revisionssichere Archivierung über 10 Jahre Zugriffsm ö g lichkeiten fü r die Steuerbehörde:Unm ittelbar (Z 1),mittelbar (Z2),Datenträger (Z 3) Verschlüsselte Archivierung der Daten im U rsprungsform at Einhaltung gesetzlicher Vorgaben M andantenfähigkeit unter Berücksichtigung des Bundesdatenschutzgesetzes Einsicht und Bearbeitung der Mailist dem Besitzer des Em pfängerkontos vorbehalten Zentrale Suchm aske zum Rücksichern einzelner Mails fü r Helpdesk und Adm inistration Stellvertreterreg elung Individuelle Einstellungen auf Dom ain,gruppen und Benutzerebene m öglich Ausschluss der Daten einzelner Nutzer (z.b.betriebsräte möglich) Unterschiedliche A ufbew ahrungsfristen (6 Monate fü r Bew erbungen,30 Jahre fü r Buchhaltung Eigene Verw altung von Revisions-und Audit- Z ug äng en Zeitliche Einschränkung des Kontrollzugangs Schutz vor Missbrauch durch ein 4-Augen Prinzip 16

17 Cloud Em ail-a rch ivierung Wie finden die Em ails den W eg in das Archiv? Eingehender E-M ail-verkehr Um leitung des SM TP-Verkehrs per Ä nderung der MX-Records. (D o m ain) A usgehender E-M ail-verkehr Versand über spezielles Em ailrelay am Archiv Server. Diese Schritte werden einm alig,innerhalb weniger Minuten konfiguriert. Durch diese Vorgehensw eise ist sichergestellt,dass ein-und ausgehende Em ails nicht vor der Speicherung im Archiv manipuliert werden können. 17

18 Cloud Em ail-a rch ivierung Intern Extern Mail Gateway (inkl. AntiSpam & Anti Virus) Eingehende Mails Eingehende Mails CLEAN SPAM BLOCK Annahme verweigert Kopie Quarantäne Interne Mails Kopie ARCHIV Ausgehende Mails Kopie Relay Ausgehende Mails 18

19 Cloud Em ail-a rch ivierung Zustellung der E Mail in die Inbox auf Knopfdruck Suche über den Inhalt aller Mails und Anhänge (Volltextindex) Anzeige der verbrauchten Speicherplatzes Umfangreiche Suchfunktionen nach Absender, Empfänger, Betreff, Anhang, oder Größe einer E Mail Ausgehende und eingehende Mails sind verschieden farblich markiert. Getrennte Suche nach eingehend und ausgehenmails möglich 19

20 Cloud Em ail-a rch ivierung Komfortable Integration in Outlook. Nacharchivierung alter Mails per Knopfdruck Alle Suchfunktionen auch im Outlook Plugin verfügbar. 20

21 Cloud Em ail-a rch ivierung Datensicherheit und D atenschutz: D atenschutzvereinbarung (A uftrag sd atenverarb eitung) nach Bundesdatenschutzgesetz Nach M andanten getrennte D atenhaltung Verschlüsselung des Ü bertragungsw egs zw ischen Archiv und M ailserver Verschlüsselte Ablage im Archiv Mehrfach redundante Datenspeicher,räu m lich getrennt Betrieb in gesicherten Rechenzentren in D eutschland Löschung und schreibender D atenzugriff vor Ablauf der A ufbew ahrungsfrist system seitig ausgeschlossen Kein Zugriff auf Inhalte durch Adm inistratoren möglich Ausschluss der Archivierung von Daten einzelner Nutzer (z.b.betriebsräte möglich) Unterschiedliche A ufbew ahrungsfristen (z.b.6 Monate fü r Bew erbungen) Markierung von Daten als "p rivat" durch Benutzer möglich,dadurch Zugriffssp erre (ko nfigurierbar) 21

22 Cloud Em ail-a rch ivierung O rganisatorische Voraussetzungen: W enn M itarb eitern zudem die N utzung der dienstlichen E-M ail Adresse auch zu privaten Zw ecken gestattet wird,so wird das Unternehm en zum Telekom m unikationsdienstleister im Sinne des Telekom m unikationsgesetzes,mit der Folge,dass eine autom atische Archivierung der E-M ails zunächst nicht erlaubt ist. Der einfachste W eg,dieses Problem zu um gehen,führt über das Verbot der privaten N utzung der b etrieblichen E-M ail-system e. 22

23 Cloud Em ail-a rch ivierung Weitere Inform ationen: Beim Hersteller Consulting/Sales Partner Möglichkeiten: Info-M aterial Webinar (m it/vo m Hersteller) Testzeitraum 23

24 Vielen Dank fü r Ihre Aufm erksam keit. Haben Sie Fragen?