Fünf Veränderungen, die neu definieren, wie regulierte Institutionen E-Mail-Verschlüsselung angehen

Einhaltung   Verschlüsselungsfunktionen    | 25. August 2026

In den Compliance-Abteilungen großer globaler Banken baut sich ein vertrauter Druck auf. Im Rahmen des Digital Operational Resilience Act müssen Institutionen nachweisen, dass jedes Drittanbieter-Kommunikationssystem dokumentiert, prüfbar und verteidigbar ist – nicht zum Jahresende, sondern auf Abruf. E-Mail-Verschlüsselung, die lange als Hintergrundkontrolle behandelt wurde, ist nun Teil dieser Geschichte.

Diese Neupositionierung ist graduell, aber unverkennbar, und sie veranlasst Sicherheitsverantwortliche, Entscheidungen zu überdenken, die sie für abgeschlossen hielten. Welche Art von Plattform unterstützt das Tempo des regulatorischen Wandels? Wo schafft das Zertifikatsmanagement verborgene Risiken? Was bedeutet „audit-ready“ tatsächlich, Tag für Tag?

Derek Christiansen, Engagement Manager bei Echoworx, arbeitet direkt mit Sicherheits- und Compliance-Teams einiger der am stärksten regulierten Finanzinstitutionen der Welt zusammen. Mit neun Jahren bei Echoworx und mehr als zwei Jahrzehnten Erfahrung in verwalteter IT und Cloud-Infrastruktur erkennt er dieselben Muster in verschiedenen Sektoren und Regionen. „Diese Themen tauchen in unserem gesamten Kundenstamm auf,“ sagt er, „in verschiedenen Sektoren, verschiedenen Projekten. Immer wieder dieselben Signale.“ Fünf dieser Signale stechen hervor.

Trend 1: Cloud-native Verschlüsselung und DLP – gemeinsam im Einsatz

Legacy-Verschlüsselungsinfrastruktur wurde nicht für das Compliance-Umfeld entwickelt, das DORA und NIS2 schaffen. On-Premise-Systeme tragen das Gewicht des Change-Managements – Patch-Zyklen, Genehmigungsketten, geplante Wartungsfenster. Wenn sich eine regulatorische Anforderung ändert, kann die Lücke zwischen der Identifizierung des Bedarfs und der Umsetzung der Lösung Wochen oder Monate in Anspruch nehmen.

„Bei On-Premise-Lösungen ist es üblich, dass die Übernahme bestimmter Änderungen Monate, Wochen oder sogar Jahre dauern kann,“ beobachtet Christiansen. „Das ist der Overhead, die Bürokratie, das Change-Management.“ Cloud-native Plattformen verkürzen diesen Zeitraum und fügen sich nahtlos in die DLP- und E-Mail-Hygiene-Tools ein, die Institutionen bereits betreiben – anstatt neben ihnen als separate, unverbundene Schicht zu stehen.

Die operativen Belege sind konkret. Eine der fünf größten kanadischen Banken migrierte Tausende von Nutzern auf ein Cloud-natives AWS-Fundament ohne einen einzigen Tag Unterbrechung, wobei Live-Audit-Daten direkt in ihr Splunk SIEM eingespeist wurden. Die Verschlüsselung wurde Teil der Echtzeit-Compliance-Transparenz der Institution, anstatt ein blinder Fleck außerhalb davon zu sein.

Trend 2: Plattformunabhängigkeit – Zusammenarbeit mit bestehender Infrastruktur

Regulierte Institutionen modernisieren selten von einer sauberen Ausgangslage aus. Sie tragen vorhandene DLP-Tools, etablierte E-Mail-Hygiene-Dienste und gut dokumentierte Prozesse mit sich, die Prüfer bereits kennen. Eine Verschlüsselungsplattform, die das Ersetzen dieses Stacks erfordert, führt Integrationsrisiken genau in dem Moment ein, in dem Institutionen Kontrolle nachweisen müssen.

Die Alternative – eine Verschlüsselungsschicht, die neben dem bereits Vorhandenen läuft – reduziert dieses Risiko erheblich. Migrationen und Upgrades erfolgen nach dem Zeitplan der Institution, und Sicherheitsteams sind nicht gezwungen, Tools abzulösen, die bereits durch ihre Compliance- und Beschaffungsprüfungen freigegeben sind.

Christiansen verweist auf ein großes deutsches Finanzinstitut, das zwei souveräne Geschäftsbereiche mit wirklich unterschiedlichen Anforderungen verwaltete. Eine Einheit benötigte die portallose Zustellung über gemeinsame Passphrase; die andere erforderte S/MIME über ihr eigenes DigiCert-Abonnement, mit Daten, die unter strengen Datensouveränitätsmandaten innerhalb Deutschlands gespeichert werden. „Unsere Aufgabe war es, beide zu berücksichtigen, die Daten jeder Einheit in ihrer eigenen Region zu halten und die fragmentierte Verschlüsselung unter einem Dach zu vereinen – ohne dass eines der Teams seine gewohnte Arbeitsweise verliert,“ sagt er. Das Ergebnis war eine zentralisierte Governance über separate AWS-Regionen hinweg, wobei jede Einheit die Autonomie beibehielt, die ihre Compliance-Position erforderte.

Trend 3: Obligatorische Verifizierung wird zum Standard

Die Empfängerverifizierung war historisch gesehen eine konfigurierbare Option – etwas, das Institutionen aktivieren konnten, wenn sie es wählten. Diese Flexibilität nimmt ab. Im Rahmen von DSGVO und DORA entwickelt sich der Nachweis, dass nur der autorisierte Empfänger auf geschützte Inhalte zugegriffen hat, von einer Best Practice zur Basiserwartung.

„Der Trend geht dahin, es verpflichtend zu machen,“ stellt Christiansen fest. „Das bedeutet, dass Organisationen Sicherheit sehr ernst nehmen.“ Die Logik ist einfach: Ein zweiter Authentifizierungsfaktor erstellt einen dokumentierten, unveränderlichen Datensatz, dass die richtige Person – und nur die richtige Person – eine bestimmte Nachricht geöffnet hat. Dieser Datensatz hat in einem Prüfungskontext direkten Wert.

Die praktische Umsetzung ist hier entscheidend. Ein Verifizierungsmandat funktioniert nur, wenn jeder Empfänger es tatsächlich erfüllen kann. Das bedeutet, TOTP-Authenticatoren, SMS-Codes über Netzbetreiber, die Institutionen bereits nutzen, sowie sprachbasierte Verifizierung für Empfänger in Gebieten mit eingeschränkter Konnektivität oder mit Barrierefreiheitsanforderungen zu unterstützen. Eine führende Bank setzte für alle externen Kontakte eine obligatorische Zwei-Faktor-Authentifizierung durch und nutzte dabei ihr bestehendes Sinch-Abonnement für SMS-Verifizierungscodes. Starke Authentifizierung wurde ohne eine neue Anbieterbeziehung oder eine neue Budgetposition bereitgestellt.

Trend 4: Zertifikatsverschlüsselung, modernisiert

S/MIME und PGP bleiben der Standard für Institutionen, die die sensibelste Kommunikation austauschen – rechtliche Korrespondenz, regulierte Finanzdaten, Patientenakten. Die zugrunde liegenden Protokolle haben sich nicht geändert. Was sich geändert hat, ist die Governance-Belastung rund um sie. Das manuelle Lebenszyklus-Management von Zertifikaten und Schlüsseln ist operativ fragil, und die Fehlerszenarien sind folgenreich: Ein abgelaufenes Zertifikat unterbricht die sichere Kommunikation genau dann, wenn es am wichtigsten ist, und die Lücke ist für Regulatoren sichtbar.

Drei Fähigkeiten adressieren dies direkt:

• Automatisiertes Zertifikats-Lebenszyklusmanagement durch DigiCert- und SwissSign-Integrationen, unter Verwendung von Zertifikatsabonnements, die Institutionen bereits besitzen, sodass Genehmigungen bereits vorliegen.
• Konfigurierbare Schlüsselgrößen auf Profilebene, mit auf 3072-Bit-RSA angehobenen Standard-Schlüssellängen, um sich an aktuellen kryptografischen Standards auszurichten.
• Self-Service-PGP-Entschlüsselung über das Gateway, wodurch ältere endpunktverschlüsselte Nachrichten zugänglich und prüfbar bleiben, ohne manuelle Eingriffe zu erfordern.

Eine führende Magic-Circle-Kanzlei veranschaulicht, wie dies in der Praxis aussieht. Die Kanzlei ersetzte ein veraltetes PGP-Universal-Gerät durch eine Cloud-native Plattform, die jeden bestehenden PGP- und S/MIME-Workflow bewahrte – die genauen Zertifikatsprozesse, auf die ihre anspruchsvollsten Mandanten angewiesen waren. Jede Funktion wurde sauber übertragen; keine Mandantenbeziehung spürte den Übergang. Effizienz wird in diesem Kontext nicht in eingesparten Verwaltungsstunden gemessen. Sie wird in beseitigten Fehlerquellen in einem System gemessen, in dem sich Reputations- und Regulierungsrisiken konzentrieren.

Trend 5: Vom Konzept zur Inbetriebnahme – den Compliance-Pfad managen

Für größere multinationale Institutionen ist der Weg von der Auswahl einer Verschlüsselungsplattform zu ihrer Bereitstellung selten geradlinig. Regulatoren prüfen nicht nur die Plattform selbst, sondern auch die Nachweiskette: Architekturdokumentation, Sicherheitszertifizierungen, Audit-Protokolle und Nachweise der Governance auf jeder Ebene. Der Prozess kann ins Stocken geraten, wenn einem Anbieter die Tiefe fehlt, um dieser Prüfung standzuhalten.

„Unsere größeren Kunden – multinationale Unternehmen, Finanzinstitutionen, Versicherer – werden von ihren eigenen Regulatoren stark unter die Lupe genommen,“ sagt Christiansen. „Sie suchen nach Anbietern mit der Expertise, all diese Anfragen nach Compliance, nach Nachweisen, nach Dokumentation zu managen und ihnen zu helfen, vom Konzept zur Inbetriebnahme zu gelangen.“ Die Navigation dieses Pfades erfordert mehr als ein leistungsfähiges Produkt. Es erfordert einen Partner, der die Nachweise liefern kann, die Beschaffungs- und Sicherheitsüberprüfungsgremien benötigen, im Tempo, das diese Überprüfungen verlangen.

Die Ergebnisse sind messbar. Eine führende irische Geschäftsbank, die unter DORA und DSGVO operiert, verzeichnete nach ihrem Plattformwechsel einen Anstieg der Verschlüsselungsnutzung um 63 % – ein Wachstum, das durch Vertrauen in das System getrieben wurde, nicht durch Mandate. Jede verschlüsselte Nachricht wurde protokolliert, jeder Richtlinienauslöser aufgezeichnet, jeder Zustellungsstatus erfasst. Compliance wandelte sich von reaktivem Management zu einer kontinuierlichen, nachweisbaren Dauerposition.

Validierung durch Dritte unterstützt diese Position von außen. Jährliche SOC-2– und PCI-DSS-Zertifizierung sowie FSQS-Registrierung geben Compliance-Teams, Sicherheitsarchitekten und Beschaffungsprüfern die unabhängigen Nachweise, die sie für eine Genehmigung benötigen. Diese Zertifizierungen sind nicht als Marketingsignale wichtig, sondern als dokumentierte Nachweise, die Institutionen ihren eigenen Regulatoren vorlegen müssen.

Das Muster hinter allen fünf

Die fünf Veränderungen sind unterschiedlich, aber sie zeigen in die gleiche Richtung. Cloud-native Infrastruktur, Plattformflexibilität, obligatorische Verifizierung, modernisiertes Zertifikatsmanagement und audit-bereite Governance adressieren jeweils einen anderen Druckpunkt – aber alle fünf sind Reaktionen auf dieselbe grundlegende Veränderung: Regulatoren behandeln sichere Kommunikation nun als eine prüfbare Disziplin, nicht als ein Anbieter-Kontrollkästchen.

Für Sicherheitsverantwortliche in regulierten Institutionen hat diese Rahmung praktische Implikationen. Verschlüsselungsentscheidungen, die einst auf IT-Ebene verwaltet wurden, sind zunehmend auf Vorstands- und Compliance-Ebene sichtbar. Die gestellten Fragen – Können Sie Kontrolle nachweisen? Können Sie Datensouveränität demonstrieren? Können Sie den Audit-Trail vorlegen? – erfordern Antworten, die tiefer gehen als eine Produktfunktionsliste.

Christiansens Perspektive aus dem gesamten Echoworx-Kundenstamm ist, dass die Institutionen, die diesen Übergang am effektivsten managen, diejenigen sind, die früher damit begonnen haben, Verschlüsselung als Infrastruktur zu behandeln – nicht später. Der Zeitplan für den regulatorischen Wandel ist nicht vorhersehbar, aber die Richtung ist es.

Um zu verstehen, wie Ihre aktuelle Verschlüsselungsposition den Anforderungen von DORA, NIS2 und DSGVO entspricht, sprechen Sie mit einem Echoworx-Spezialisten.