Ein Mitarbeiter öffnet am Montagmorgen sein Zimbra-Postfach und stößt auf eine verdächtige Nachricht. Sie wurde von einer internen Adresse versendet, ist aber in fehlerhaftem Französisch verfasst. Der übliche Reflex: die E-Mail löschen und weitermachen.
Das Problem: Diese Nachricht hätte im Falle eines Sicherheitsvorfalls als Beweismittel dienen können, ist nun aber spurlos und ohne verwertbare Nachweise verschwunden. Beim Zimbra-Maildienst des CD66 (ehemals CG66) hängt es von einigen Einstellungen ab, die die meisten Nutzer noch nie angepasst haben, ob eine E-Mail harmlos ist oder aufbewahrt werden muss.
Unterschied zwischen Backup und Archivierung bei Zimbra CD66
Die beiden Begriffe werden oft verwechselt, und diese Verwechslung schafft Sicherheitslücken. Ein Backup stellt ein System nach einem Vorfall wieder her: Es versetzt das Postfach in den Zustand zu einem bestimmten Zeitpunkt zurück. Es gewährleistet weder die Nachvollziehbarkeit noch die Einhaltung gesetzlicher Vorgaben für eine Nachricht, die über mehrere Jahre aufbewahrt wird.
Die Archivierung verfolgt ein anderes Ziel. Dabei wird eine Nachricht aus der aktiven Datenbank herausgelöst und in einem separaten Bereich mit eingeschränkten Zugriffsrechten gespeichert. Die CNIL empfiehlt diese Trennung, damit archivierte Daten nicht wie gewöhnliche E-Mails weiterhin abrufbar sind.
In Zimbra verschiebt der im Webmail integrierte Ordner „Archive“ Nachrichten in eine lokale Ordnerstruktur, stellt aber keine Archivierung im rechtlichen Sinne dar. Um auf Zimbra CD66 oder CG66 zuzugreifen und diesen Unterschied richtig zu berücksichtigen, muss man verstehen, dass das bloße Verschieben einer E-Mail in einen Unterordner weder ihre Zugriffsrechte noch ihre Aufbewahrungsdauer ändert.
E-Mail-Kommunikation sichern: Diese Zimbra-Einstellungen sollten aktiviert sein
Die Sicherheit eines beruflichen E-Mail-Kontos hängt nicht allein vom Passwort ab. Zimbra bietet mehrere Schutzebenen, die Mitarbeiter des Départements direkt über die Weboberfläche konfigurieren können.
Digitale Signatur von Nachrichten
Eine Nachricht mit einem persönlichen Zertifikat zu signieren, garantiert dem Empfänger, dass der Absender tatsächlich derjenige ist, für den er sich ausgibt. Das Verfahren basiert auf einem Schlüsselpaar: Der private Schlüssel signiert die Nachricht, während der öffentliche Schlüssel (in die E-Mail eingebettet) dem Empfänger ermöglicht, die Echtheit zu überprüfen. Diese Signatur stellt keine Anforderungen an den Empfänger, der selbst kein Zertifikat besitzen muss.
Das Zertifikat wird über die Kontoeinstellungen im Bereich „Sicherheit“ in Zimbra importiert. Sobald die .p12-Datei hochgeladen ist, kann jede neue Nachricht automatisch signiert werden.
Sitzungen und Passwörter verwalten
Ein Browser, der eine frühere Sitzung gespeichert hat, kann die Anmeldung blockieren – selbst wenn das Passwort korrekt ist. Bevor man den Support kontaktiert, sollte man zwei Punkte überprüfen:
- Den Cache und die Cookies des für den Webmail-Zugriff verwendeten Browsers löschen und anschließend eine neue Sitzung starten.
- Prüfen, ob die Sicherheitseinstellungen des Kontos nicht von einem Administrator verschärft wurden (z. B. Aktivierung der Zwei-Faktor-Authentifizierung, ohne dass der Mitarbeiter darüber informiert wurde).
- Die Anmeldung in einem anderen Browser oder im privaten Modus testen, um ein lokales Konfigurationsproblem auszuschließen.
Diese Prüfungen dauern weniger als zwei Minuten und beheben die meisten gemeldeten Zugriffsprobleme.
E-Mails in Zimbra archivieren: praktische Vorgehensweise und Aufbewahrungsdauer
Die DSGVO legt keine einheitliche Aufbewahrungsdauer für alle Nachrichten fest. Sie schreibt vor, die Aufbewahrungsdauer entsprechend dem Zweck der Verarbeitung festzulegen. In einer Gebietskörperschaft wie dem CD66 unterscheidet man in der Praxis drei Kategorien.
- Nachrichten zur laufenden Arbeit (Absprachen zur Einsatzplanung, interne Anfragen ohne rechtliche Bedeutung): Sie werden so lange aufbewahrt, wie sie für den operativen Betrieb benötigt werden, und anschließend gelöscht.
- Nachrichten mit Beweiswert (vertragliche Kommunikation, offizielle Mitteilungen, Schriftverkehr mit Bürgern): Sie werden in einem separaten Bereich mit eingeschränktem Zugriff archiviert – und zwar für die Dauer, die für die jeweilige Dokumentenart gesetzlich vorgeschrieben ist.
- Nachrichten mit historischem oder kulturellem Wert: Sie werden gemäß den geltenden Verfahren an das Départementarchiv übergeben.
Mit der Exportfunktion von Zimbra lässt sich ein vollständiger Ordner im .tgz-Format herunterladen. Diese Datei kann anschließend auf einem separaten Archivierungsserver außerhalb der aktiven Maildatenbank gespeichert werden. Dadurch werden Archive physisch von den laufenden E-Mails getrennt, wie von der CNIL empfohlen.
Kompromittierte E-Mail-Konten in Gebietskörperschaften: ein unterschätztes Risiko
E-Mail ist nach wie vor der wichtigste Angriffsvektor gegen Gebietskörperschaften. Ein kompromittiertes Konto ermöglicht den Zugriff auf die gesamte im Postfach gespeicherte Kommunikation – einschließlich Anhängen mit personenbezogenen Daten von Bürgern.
Das typische Szenario beginnt mit einer gezielten Phishing-Mail. Der Mitarbeiter klickt auf einen Link und gibt seine Zugangsdaten auf einer gefälschten Seite ein. Damit erhält der Angreifer vollständigen Zugriff. Enthält das Postfach mehrere Jahre nicht archivierter Nachrichten, steigt das Ausmaß der Datengefährdung proportional zur gespeicherten Datenmenge.
Regelmäßiges Archivieren und Leeren des aktiven Postfachs verringert die Angriffsfläche unmittelbar. Ein Konto, in dem nur die Nachrichten der letzten Wochen gespeichert sind, begrenzt den Schaden im Falle eines Einbruchs. Ein überfülltes Postfach mit mehreren Tausend E-Mails bietet einem Angreifer dagegen ein beträchtliches Feld zur Erkundung.
In der Zimbra-Konfiguration des CD66 lassen sich für bestimmte Ordner Regeln zur automatischen Löschung einrichten. Werden diese Regeln mit einem regelmäßigen Export in einen separaten Archivierungsbereich kombiniert, entsteht eine einfache, aber wirksame Schutzmaßnahme, für die kein zusätzliches Tool erforderlich ist.
Das Zimbra-Postfach sauber zu halten und Archive getrennt aufzubewahren, ist nicht spektakulär. Doch genau das macht den Unterschied zwischen einem Sicherheitsvorfall, der innerhalb weniger Stunden eingedämmt wird, und einem Datenleck, das ein ganzes Département wochenlang beschäftigt.
