Datenschutz: Rechtskonforme Spam-Filterung
Das Filtern von Spam darf nicht dazu führen, dass Administratoren die Inhalte von Mails einsehen, wenn die private Nutzung erlaubt oder geduldet wird.
Spam-Mails sollten nicht nur als unerwünschte E-Mails gesehen werden, sondern als Teil eines möglichen Angriffs. So rechnet das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit einer gleichbleibend hohen Gefährdung durch Spam und weist im Fokus IT-Sicherheit 2013 insbesondere auf die Verteilung von Schadprogrammen über Spam-Mails hin.
Unternehmen tun also gut daran, eine interne Spam-Abwehr zu nutzen. Welches Verfahren für die Spam-Filterung jedoch eingesetzt wird, muss auch aus Datenschutz-Sicht untersucht werden. Je nach Art der E-Mail-Nutzung gibt es rechtliche Beschränkungen bei der Spam-Filterung.
Spam-Erkennung ist von kritischer Bedeutung
Ob E-Mails oder andere elektronische Nachrichten wie Instant Messages als Spam eingestuft werden oder nicht, hat gleich mehrere Auswirkungen: Wird eine echte E-Mail oder Chat-Nachricht fälschlich als Spam gewertet, können sich wichtige Informationen zeitlich verzögern oder sogar ganz verloren gehen. Wird jedoch eine Spam-Nachricht nicht erkannt und ohne Warnung dem Empfänger zugestellt, kann dieser Opfer eines Angriffs werden, beispielsweise durch verseuchte Dateianhänge oder enthaltene Links zu verseuchten Webseiten. Zumindest aber senken nicht erkannte Spam-Mails die Produktivität der Empfänger und füllen unnötig den Posteingang im Mail- oder Chat-Client.
Spam-Erkennung wird auf vielen Wegen versucht
Das Lösungsspektrum für die Erkennung von Spam-Nachrichten ist breit gefächert: So gibt es
- Zentrale Spam-Filter, die die Absender mit den Schwarzen Listen/Black Lists der bekannten Spammer abgleichen-
- Inhaltsbasierte Spam-Filter, die automatisch nach typischen Spam-Begriffen in den Mails und Chats suchen.
- Lokale Spam-Filter in den Clients.
- Spam-Teergruben, die Spam-Mails über eine Zeitverzögerung bei der Entgegennahme von Nachrichten ausbremsen sollen.
- Verfahren zur Authentifizierung von Absendern, um gefälschte Absenderangaben automatisch erkennen zu können.
Spam-Erkennung kann aber auch kritisch werden
Selbst eine Lösung zur Spam-Erkennung mit einer niedrigen Zahl an als False Negatives und False Positives fälschlich eingestuften E-Mails kann zum Problem werden, wenn die private Nutzung von E-Mail oder Chat-Dienst erlaubt oder zumindest nicht verboten wird. Dann kann ein Unternehmen nicht ohne weiteres auf die Suche nach Spam innerhalb der Nachrichten gehen.
Die Spam-Filterung könnte mit dem Fernmeldegeheimnis kollidieren, da eine erlaubte oder geduldete Privatnutzung elektronischer Kommunikationsdienste den Arbeitgeber zum Diensteanbieter macht, der die Datenschutz-Vorgaben aus dem Telekommunikationsgesetz (§ 88 TKG) beachten muss.
Spam-Filterung kann Fernmeldegeheimnis betreffen
Wie ein Urteil des Bundesgerichtshofs klarstellt, betrifft das Fernmeldegeheimnis nur den eigentlichen Kommunikationsvorgang, also den Eingang der elektronischen Nachrichten, nicht aber bereits gespeicherte E-Mails oder Chats. Spam-Filterverfahren werden allerdings genau während des Kommunikationsvorgangs, also während des Eintreffens der E-Mail oder Chat-Nachricht aktiv.
Spam-Mails müssen dem Empfänger zugänglich sein
Wenn zum Beispiel eine E-Mail durch den Mailserver des Unternehmens angenommen und dann als Spam eingestuft wurde, darf die Nachricht nicht einfach vollkommen unterdrückt, zentral gelöscht und dem Empfänger nicht zur Kenntnis gegeben werden.
Vielmehr sollte das Spam-Filter-Verfahren die erkannten oder als solche eingestuften Spam-Mails durch Markierung und Verschiebung in einen Spam-Ordner bearbeiten und den Empfänger über den Eingang von Spam-Mails informieren. Ein zentrales Löschen von Spam-Mails sollte also unterbleiben. Vielmehr ist der Empfänger gefragt, die Spam-Mails zu überprüfen und dann gegebenenfalls selbst zu löschen.
Es versteht sich, dass der Empfänger so unterwiesen werden sollte, dass sie oder er nicht einfach mögliche Anhänge öffnet, Links anklickt oder dem Spam-Versender antwortet. Mail-Empfänger sollten also nur die Bewertung als Spam kontrollieren, nicht aber die möglichen Gefahren in der Nachricht.
Spam-Filterung mit Betriebsvereinbarung, Mitarbeitervertretung und Datenschutzbeauftragten
Die Spam-Filterung bringt es also mit sich, dass die Privatnutzung von E-Mail und Chat geregelt werden sollte. Zudem sollte auch die mögliche Protokollierung der Spam-Filter-Lösung betrachtet werden, damit dort nicht personenbezogene Daten gesammelt werden, die nichts mit dem Schutz gegen Spam zu tun haben. Auswertungen zur Leistung und dem Verhalten der Mitarbeiter sollten also nicht möglich sein, wenn die Spam-Filterung nicht zum Gegenstand der Mitbestimmungsrechte von Betriebs- oder Personalrat werden soll.
Generell gilt: In einer Betriebsvereinbarung sollten die betroffenen Nutzer über die Spam-Filterung informiert werden, über das konkrete Verfahren und über das richtige Verhalten bei Verdacht auf Spam. Zudem empfiehlt es sich, die Spam-Filterung immer mit der Mitarbeitervertretung und dem Datenschutzbeauftragten abzustimmen, damit die Spam-Mails in die Falle gehen und nicht etwa der Datenschutz.
