Von bloß verschlüsselt zu nachweisbar: E-Mail-Verschlüsselung wird erwachsen

Einhaltung   Verschlüsselungsfunktionen    | 16. Juli 2026

DORA wird bereits durchgesetzt. Die Anforderungen aus NIS2 werden strenger. Und die Sanktionen unter der DSGVO steigen weiter. Für Sicherheitsverantwortliche und Manager in regulierten Institutionen gilt deshalb eine Annahme nicht mehr: Dass eine Nachricht als „verschlüsselt“ zu bezeichnen dasselbe ist, wie nachzuweisen, dass sie kontrolliert und regelkonform gesteuert wurde.

Aufsichtsbehörden verlangen Nachweise — dokumentiert, mit Zeitstempel versehen und jederzeit abrufbar. Jede Nachricht, die Ihr Perimeter verlässt, ist heute ein Kontrollpunkt, den Sie im Audit belastbar verteidigen können müssen. Diese Verschiebung hat sichere Kommunikation auf die Agenda der Führungsebene gehoben — neben operativer Resilienz, Datensouveränität und belastbarer Governance.

Das Echoworx Email Encryption Release vom Juli 2026 wurde für genau dieses Umfeld entwickelt. Es stärkt den Audit Trail, hebt die kryptografische Baseline an und verschärft die operativen Kontrollen, auf die regulierte Institutionen täglich angewiesen sind. Im Folgenden zeigen wir, was das Release leistet — und warum das weit über das Datenblatt hinaus relevant ist.

Der strategische Hintergrund: Compliance ist der Treiber

Für globale Banken, Finanzdienstleister, regulierte Institutionen und Betreiber kritischer Infrastrukturen ist Compliance kein Aspekt unter vielen — sie ist der maßgebliche Treiber hinter jeder Modernisierungsentscheidung. Die Institutionen, die jetzt zügig handeln, teilen eine zentrale Erkenntnis: Legacy-Verschlüsselungstools wurden entwickelt, um Nachrichten unlesbar zu machen — nicht, um nachzuweisen, dass sie regelkonform gesteuert wurden. Sie können einem Auditor oft nicht eindeutig zeigen, wer eine Nachricht erhalten hat, wann sie geöffnet wurde oder was danach passiert ist.

Genau in dieser Lücke wird Compliance-Risiko zu einem Risiko auf Vorstandsebene. Das aktuelle Echoworx Email Encryption Release adressiert diese Herausforderung direkt: mit erweiterter Transparenz für Ihre SIEM-Umgebung und stärkerer Auditierbarkeit über sichere Nachrichtenflüsse hinweg — damit sich Ihre Governance-Aufstellung leichter nachweisen und belastbar verteidigen lässt.

Vollständige Audit-Transparenz — direkt in Ihr SIEM

Eine besonders relevante Neuerung für Sicherheitsteams ist der neue Audit-API-Endpunkt für Web-Portal-Nachrichtenereignisse.

Er überträgt genau die Ereignisse, nach denen Auditoren fragen — Benachrichtigungen, Nachrichtenaufrufe, Download von Anhängen, Antworten und Antivirus-Aktivitäten — direkt in Ihr SIEM. Was bislang ein blinder Fleck in Ihrer Reporting-Kette war, wird zu einem überprüfbaren, mit Zeitstempeln versehenen Nachweispfad.

Das Ergebnis: DORA und NIS2 verlangen eine kontinuierliche und nachweisbare Kontrolle darüber, wie sich sensible Daten bewegen. Wenn Empfängerinteraktionen in Echtzeit erfasst und korreliert werden, wird Audit Readiness zu einem stabilen Betriebszustand — und nicht zu einer hektischen Vorbereitung kurz vor der Prüfung. Compliance-Teams erhalten die Nachweise, die sie benötigen, ohne ihnen hinterherzulaufen. Sicherheitsverantwortliche gewinnen Transparenz in Bereichen, in denen bislang nur eingeschränkte Einblicke möglich waren.

Eine stärkere kryptografische Baseline — ohne zusätzlichen Migrationsaufwand

Mit diesem Update lassen sich die Schlüssellängen für S/MIME und PGP auf Profilebene konfigurieren — mit RSA-Optionen in 2048, 3072 oder 4096 Bit. Der Standardwert wurde dabei von 2048 Bit auf 3072 Bit angehoben.

Das Ergebnis: Ein stärkerer Standard bringt Ihre kryptografische Baseline näher an aktuelle Empfehlungen — ohne ein manuelles Re-Keying-Projekt. Für Institutionen, die sich bereits mit Post-Quanten-Readiness befassen, ist das ein Legacy-Standard weniger, den sie bei der nächsten Prüfung rechtfertigen müssen. Sie heben das Sicherheitsniveau flächendeckend an und behalten zugleich die Flexibilität, die eine richtlinienbasierte Steuerung erfordert.

Den operativen Aufwand der Schlüsselverwaltung in den Griff bekommen

Die Verwaltung von S/MIME und PGP im großen Maßstab verursacht einen realen Aufwand: manueller Schlüsselaustausch, nicht übereinstimmende Lookups und das Risiko, dass ein fehlender Schlüssel einen kritischen Nachrichtenfluss unterbricht. Dieses Release adressiert genau diesen Aufwand.

• Dynamische LDAP-Lookups für Empfängerschlüssel ermöglichen es Ihrem Gateway, PGP-Schlüssel über eine Standard-URI auf der Domain des Empfängers zu finden — und reduzieren damit manuelle Abstimmungen und Rückfragen.
• Separate LDAP-Lookups für S/MIME und PGP geben Ihnen unabhängige Kontrolle über die Erkennung externer Schlüsselserver — sodass Sicherheitsrichtlinien am jeweiligen Protokoll ausgerichtet werden können, statt beide Verfahren in eine einzige Einstellung zu zwingen.
• PGP Sender-Only Signing weist eine Nachricht zurück, wenn das Gateway keinen gültigen Signaturschlüssel für den Absender hat und auch keinen erzeugen kann. Damit wird dieselbe Assurance-Lücke geschlossen, die für S/MIME bereits adressiert ist.
• Self-Service-PGP-Entschlüsselung ermöglicht es Benutzern, legacy-endpunktverschlüsselte Nachrichten über das Gateway zur Entschlüsselung zu leiten — ganz ohne Helpdesk-Ticket.

Das Ergebnis: Governance und Effizienz werden oft als Zielkonflikt dargestellt. Hier entwickeln sie sich in dieselbe Richtung. Mehr automatisierte Schlüsselverwaltung bedeutet weniger fehlgeschlagene Nachrichten, weniger manuelle Eingriffe und mehr Zeit für Sicherheitsteams, sich auf Aufgaben mit höherem Wertbeitrag zu konzentrieren.

Strengere Kontrolle über das Empfängererlebnis

Governance endet nicht mit der Verschlüsselung einer Nachricht. Sie erstreckt sich auch darauf, was Empfänger anschließend mit ihr tun können. Drei Portal-Updates geben Sicherheitsverantwortlichen eine präzisere Kontrolle über die zulässige Nutzung — ohne legitime Benutzer unnötig auszubremsen.

• Reply-All-Kontrollen entfernen bei Antworten automatisch nicht erkannte Domains und halten sensible Konversationen damit innerhalb der freigegebenen Grenzen.
• Sichere Weiterleitung von Portalnachrichten erlaubt das Weiterleiten nur an Domains, für die ein Empfänger bereits autorisiert ist.
• Benachrichtigungssteuerung pro Empfänger ermöglicht registrierten Empfängern, eigene Erinnerungen und abschließende Benachrichtigungen selbst zu verwalten — wodurch unnötige Benachrichtigungsflut reduziert wird, ohne den Audit-Nachweis zu beeinträchtigen.

Das Ergebnis: Für Institutionen, die auf Vertrauen angewiesen sind, kann ein sicheres Nutzungserlebnis, das unnötige Reibung erzeugt, genau das Vertrauen untergraben, das es eigentlich stärken soll. Diese Kontrollen bringen Sicherheit und Benutzerfreundlichkeit in Einklang — die Grenzen bleiben klar definiert, während die Nutzererfahrung sauber und reibungsarm bleibt. Data Loss Prevention wird damit zu einer Frage des Designs — nicht zu einer reinen Kontrollmaßnahme.

Nachweise statt Versprechen

Eine digital ausgerichtete irische Geschäftsbank verzeichnete einen Anstieg der Verschlüsselungsnutzung um 63 %, nachdem die Reibung durch die Kundenregistrierung entfernt wurde. Diese Verbesserung bewegte nicht nur eine Kennzahl — sie unterstützte auch eine kontinuierlichere und belastbar nachweisbare Compliance-Aufstellung im Einklang mit DORA und DSGVO. Eine Kontrolle zählt nur dann, wenn sie auch tatsächlich genutzt wird.

Bei einer der fünf größten Banken Kanadas unterstützte Echoworx die verpflichtende Zwei-Faktor-Authentifizierung für jeden externen Kontakt, indem das

At a Top 5 Canadian bank, Echoworx supported mandatory two-factor authentication for every external contact by leveraging the bank’s bestehende Sinch-Abonnement der Bank für die SMS-Verifikation genutzt wurde — starke Authentifizierung ohne das Technologiebudget zusätzlich zu belasten. Gleichzeitig löste das automatisierte Zertifikats-Lifecycle-Management langjährige operative Probleme im S/MIME-Betrieb. Zwei wesentliche Herausforderungen adressiert. Kein zusätzlicher Investitionsbedarf.

So sieht praktische Governance aus, wenn sie die Kapitaldisziplin respektiert, unter der regulierte Institutionen arbeiten.

Gebaut für das, was regulierte Institutionen tatsächlich brauchen

Verschlüsselung, die nachweisbare Governance unterstützt, entsteht nicht durch ein einzelnes Update. Sie ist das Ergebnis eines Entwicklungsmusters, das unmittelbar durch die Institutionen geprägt wurde, die sie täglich einsetzen. Dieses Release spiegelt wider, was Compliance-Teams, Sicherheitsverantwortliche und Enterprise-Architekten in regulierten Institutionen als praktische Lücken zwischen bestehenden Tools und den heutigen regulatorischen Erwartungen identifiziert haben.

Für regulierte Institutionen lautet die entscheidende Frage nicht mehr, ob Verschlüsselung auf die Compliance-Agenda gehört. Die Frage ist vielmehr, ob Ihre Verschlüsselung mit genau dieser Agenda im Blick entwickelt wurde.

Wenn Sie prüfen möchten, ob Ihre Secure-Communication-Schicht den Standards entspricht, die Ihre Aufsichtsbehörden heute erwarten, sprechen Sie mit einem Echoworx-Experten. Wir helfen Ihnen, Lücken zu identifizieren — bevor Ihr nächstes Audit es tut.