Wie NIS2 und HIPAA die Sicherheitsstandards für E-Mail und Zusammenarbeit für CISOs neu gestalten

Die regulatorischen Bestrebungen

Die Aufsichtsbehörden reagieren auf diesen Wandel. Die Datenschutz- und Sicherheitsvorschriften des HIPAA, die sich lange Zeit auf den Schutz von PHI in E-Mails konzentrierten, gelten nun in gleichem Maße auch für Daten, die über Chats, Videokonferenzen und Cloud-Dateispeicher ausgetauscht werden.

In Europa legt die NIS2-Richtlinie die Messlatte in kritischen Sektoren höher und verpflichtet Organisationen dazu, ihre Widerstandsfähigkeit nachzuweisen, Cybervorfälle umgehend zu melden und die Überwachung ihrer Lieferanten sicherzustellen. Auch außerhalb regulierter Branchen gibt PCI DSS v4.0 den Ton an, indem es die Durchsetzung von DMARC zur Pflicht macht und Unternehmen dazu zwingt, jeden Absender zu authentifizieren, bevor die Fristen für die Umsetzung in Kraft treten.

„Auch wenn Slack oder Teams in den Vorschriften nicht ausdrücklich genannt werden, ist die Botschaft klar“, sagt Andrew Williams, Principal Product Marketing Manager bei Mimecast. „Sie müssen sensible Daten überall dort schützen, wo sie übertragen werden – sei es in einer E-Mail, einer Chat-Nachricht oder einer freigegebenen Datei.“

Der Übergang zu unified Steuerungssystemen

Vor fünf Jahren betrachteten die meisten Sicherheitsteams Kollaborationsplattformen als interne Bereiche mit relativ geringem Risiko. Das ist nicht mehr zu rechtfertigen. Angreifer nutzen gestohlene Anmeldedaten und OAuth-Token aus, um sich dauerhaften Zugriff zu verschaffen.

Zukunftsorientierte CISOs führen ihre Kontrollmaßnahmen zusammen:

• Telemetrie: Verknüpfung von E-Mail- und Kollaborationsdaten zur Erkennung von risikobehaftetem Verhalten über verschiedene Kanäle hinweg.
• Identität: Konsequente Durchsetzung von MFA und dem Prinzip der geringsten Berechtigungen für alle E-Mail-Postfächer sowie Teams- und Slack-Identitäten.
• KI-gestützte Erkennung: Identifizierung von Anomalien in Chats, Links und Dateifreigaben, bevor diese zu Vorfällen eskalieren.

Dieser Wandel ist ebenso kultureller wie technischer Natur. SOC-Analysten, Compliance-Teams und IT-Administratoren müssen Phishing-Versuche und Versuche der Datenexfiltration über eine single Übersicht einsehen können und nicht über separate Tools, die eine manuelle Korrelation erfordern.

Was ist derzeit erforderlich?

HIPAA

Die HIPAA schreibt bereits Risikoanalysen, Zugriffskontrollen, Verschlüsselung, Protokollierung von Prüfvorgängen sowie Schulungen für die Mitarbeiter vor. Da die Daten mittlerweile auf mehrere Plattformen verteilt sind, müssen diese Kontrollmaßnahmen durchgängig gelten.

NIS2

NIS2 schreibt ein unternehmensweites Risikomanagement, Pläne zur Aufrechterhaltung des Geschäftsbetriebs, die Überwachung von Lieferantenrisiken sowie die Meldung von Vorfällen nahezu in Echtzeit vor. Die Anforderungen an CISOs liegen auf der Hand: Sie müssen in der Lage sein, Widerstandsfähigkeit unter Beweis zu stellen und auf Sicherheitsvorfälle über alle Kommunikationskanäle hinweg zu reagieren, ohne den Geschäftsbetrieb zu beeinträchtigen.

Gemeinsam veranlassen HIPAA und NIS2 die CISOs dazu, einen single, unified Ansatz zu verfolgen, der E-Mail-, Chat- und Kollaborationsumgebungen umfasst.

Prioritäten des CISO für das Jahr 2025

1. human risk management erstreckt sich kanalübergreifend

Der „State of Human Risk Report 2025“ von Mimecast ergab, dass lediglich 8 % der Nutzer für 80 % der Sicherheitsvorfälle verantwortlich sind.

Die Lösung besteht nicht darin, alles abzuriegeln, sondern in risikobasierten Maßnahmen.

Die Plattform von Mimecast wertet das Nutzerverhalten in E-Mail, Slack, Teams und SharePoint aus und wendet anschließend adaptive Richtlinien sowie Mikro-Schulungen an, um Nutzer vor Fehlern zu „schützen“, ohne dabei die Produktivität zu beeinträchtigen.

2. KI-gestützte Abwehrmaßnahmen vor der Zustellung und während des Datenflusses

Phishing beschränkt sich nicht nur auf E-Mails. Teams-Chats, OneDrive-Links und sogar Zoom-Einladungen werden missbraucht. Die KI-Engine von Mimecast überprüft Nachrichten, URLs und Anhänge, bevor diese den Nutzer erreichen, wodurch Bedrohungen frühzeitig erkannt werden und der Aufwand für aufwendige Bereinigungsmaßnahmen nach der Zustellung reduziert wird.

3. Behandeln Sie Kollaborationsplattformen als gleichberechtigte Akteure

Angreifern ist es egal, ob sich eine Nachricht im Posteingang oder in einem Chat-Verlauf befindet – und das sollte auch für Ihre Sicherheitsmaßnahmen gelten. CISOs sind heute:

• Anwendung von DLP und Scans in Slack, Teams, SharePoint und OneDrive.
• Durchsetzung von Richtlinien zur Kontrolle der Weitergabe sensibler Dateien und nicht genehmigter Uploads.
• Zentralisierung der Aufbewahrung und Protokollierung zur Beschleunigung der Compliance-Berichterstattung und des eDiscovery-Prozesses.

Mimecast Collaboration Security vereint all dies unter einem Dach und bietet Unternehmen damit eine einheitliche Schutzebene über alle Kanäle hinweg.

4. Beugen Sie Insiderrisiken und Datenexfiltration vor

Insiderrisiken sind nicht immer böswillig, aber sie sind fast immer mit hohen Kosten verbunden. Im Jahr 2025 gehen die größten Risiken nicht nur von unzufriedenen Mitarbeitern aus, sondern auch von versehentlicher Datenpreisgabe und „Shadow-IT“ – also jenen nicht genehmigten Apps und KI-Tools, die Mitarbeiter ohne Sicherheitsprüfung mit den Unternehmenssystemen verbinden.

Untersuchungen von Mimecast zeigen, dass selbst wohlmeinende Mitarbeiter versehentlich sensible Daten preisgeben können, indem sie Dateien in ihren persönlichen Cloud-Speicher hochladen oder generativen KI-Tools zu weitreichende Zugriffsrechte gewähren.

Diese Sicherheitslücken machen es Angreifern leicht, Daten abzuzweigen, sobald sie sich Zugang verschafft haben.

Was CISOs als Nächstes tun sollten:

• Erkennen Sie risikobehaftete Verhaltensweisen in Echtzeit: Überwachen Sie ungewöhnliche Dateiübertragungen, Massen-Downloads oder die Weiterleitung vertraulicher Dokumente durch Mitarbeiter an externe Konten.
• Nicht genehmigte App-Verbindungen kennzeichnen: OAuth-Zugriffsberechtigungen für risikobehaftete Apps von Drittanbietern automatisch identifizieren und widerrufen, bevor Daten offengelegt werden.
• Stellen Sie einen sicheren Offboarding-Prozess sicher: Sorgen Sie dafür, dass Konten unverzüglich deaktiviert, freigegebene Links widerrufen und Zugriffsschlüssel bei Ausscheiden von Mitarbeitern regelmäßig ausgetauscht werden.

Automatisierung spielt hier eine entscheidende Rolle. Werden verdächtige Aktivitäten festgestellt, kann die Plattform von Mimecast Dateien automatisch unter Quarantäne stellen, Berechtigungen widerrufen und Sicherheitsteams benachrichtigen, wobei ein nachverfolgbarer Nachweis für die Compliance-Berichterstattung gewährleistet bleibt. Dieser Prüfpfad dient nicht nur den Aufsichtsbehörden; er hilft auch den Rechts- und Personalabteilungen, die Hintergründe eines Vorfalls zu verstehen und angemessen darauf zu reagieren.

5. Ausgereifte Datenverwaltung und eDiscovery

Wenn eine Aufsichtsbehörde oder eine Rechtsabteilung Beweismittel anfordert, ist die Zeit nicht auf Ihrer Seite. Gemäß HIPAA und NIS2 wird von Organisationen erwartet, dass sie E-Mail- und Kollaborationsdaten schnell, einheitlich und in einer rechtlich vertretbaren Weise bereitstellen.

Hier kommt eine ausgereifte Datenverwaltung ins Spiel. Aufbewahrungsrichtlinien müssen kanalunabhängig sein und nicht nur E-Mails, sondern auch Slack-Nachrichten, Teams-Chatprotokolle sowie auf SharePoint und OneDrive freigegebene Dateien umfassen. Sind Daten über verschiedene Silos verstreut oder werden sie – schlimmer noch – vorzeitig gelöscht, riskieren Unternehmen Geldstrafen, Rechtsstreitigkeiten und Reputationsschäden.

Mimecast Archiving bietet einen unveränderlichen, manipulationssicheren Speicher mit schnellen, verteilten Suchfunktionen.

Dadurch können Rechtsabteilungen und Mitarbeiter des Vorfallmanagements:

• Legen Sie sofort rechtliche Aufbewahrungspflichten über mehrere Kommunikationskanäle hinweg fest.
• Führen Sie in Sekundenschnelle komplexe Suchvorgänge in Milliarden von Nachrichten und Dateien durch.
• Erstellen Sie für Wirtschaftsprüfer, Aufsichtsbehörden oder Gerichte aussagekräftige Unterlagen, wobei die chains of custody gewahrt bleibt.

Der eigentliche Vorteil liegt nicht nur in der Einhaltung der Vorschriften, sondern vor allem in der Geschwindigkeit. Mitten in einer Untersuchung eines Sicherheitsvorfalls führt die bei der Erkundung gewonnene Zeit direkt zu einer schnelleren Eindämmung und geringeren Auswirkungen auf den Geschäftsbetrieb.

6. Setzen Sie DMARC und die Authentifizierung durch

DMARC war früher optional. Das ist nicht mehr der Fall. Angesichts der Einführung von PCI DSS v4.0 und der zunehmend strengeren Durchsetzung durch E-Mail-Anbieter ist DMARC mittlerweile sowohl für die Einhaltung der Vorschriften als auch für die Zustellbarkeit unverzichtbar.

DMARC (Domain-based Message Authentication, Reporting & Conformance) arbeitet mit SPF und DKIM zusammen, um jede von Ihrer Domain versendete Nachricht zu authentifizieren. Durch die Umstellung von „p=none“ (nur Überwachung) auf „p=reject“ wird sichergestellt, dass gefälschte E-Mails blockiert werden, bevor sie Ihre Kunden, Partner oder Mitarbeiter erreichen.

Bei DMARC geht es jedoch nicht nur darum, die Vortäuschung einer Markenidentität zu verhindern, sondern es handelt sich dabei um ein Vertrauenssignal. Führungskräfte fordern CISOs zunehmend dazu auf, DMARC-Kennzahlen in geschäftliche Ergebnisse umzusetzen:

• Weniger BEC-Vorfälle: Durch die Eindämmung gefälschter E-Mails von Führungskräften lassen sich Versuche von Finanzbetrug reduzieren.
• Höhere Zustellbarkeit: Marketing- und Personalmitteilungen landen seltener im Spam-Ordner.
• Vertrauen in die Regulierung: Der Nachweis eines authentifizierten E-Mail-Verkehrs überzeugt die Prüfer und verringert das Risiko im Rahmen von NIS2 und HIPAA (sofern Patienten- oder Kundendaten betroffen sind).

Der DMARC Analyzer von Mimecast automatisiert die Erkennung von Absendern, gleicht SPF-/DKIM-/DMARC-Einträge ab und bietet detaillierte Berichte, um Unternehmen bei der Durchsetzung zu unterstützen, ohne dabei den legitimen E-Mail-Verkehr zu beeinträchtigen.

Wie lässt sich dies umsetzen?

Die ersten 90 Tage

• Erstellen Sie eine Bestandsaufnahme aller E-Mail- und Kollaborations-Tenants, Konnektoren und Datenflüsse.
• Erfassen Sie risikobehaftete Verhaltensweisen und veröffentlichen Sie DMARC im Überwachungsmodus.
• Sorgen Sie für Transparenz in Teams, Slack und SharePoint, um unbefugte Zugriffe frühzeitig zu erkennen.

90–180 Tage

• Fortschritte bei der Durchsetzung von DMARC.
• Erweitern Sie die Datei- und URL-Prüfung in Kollaborationswerkzeugen.
• Führen Sie Maßnahmen zur Erkennung von Insider-Risiken und automatisierte Reaktionsabläufe ein.

180+ Tage

• Vereinheitlichen Sie die Richtlinien zur Aufbewahrung und zur rechtlichen Sperrung plattformübergreifend.
• Üben Sie die Meldung von Vorfällen, um die strengen Fristen der NIS2 einzuhalten.
• Führen Sie auf der Grundlage von Telemetriedaten und Beinaheunfällen wiederholte Trainingsläufe und adaptive Strategien durch.

Die Gesprächsgrundlage für den Vorstand festlegen

Wenn CISOs die Führungskräfte informieren, muss die Botschaft klar und einfach sein: unified Kontrollmaßnahmen für E-Mail und Zusammenarbeit sind kein optionales Extra, sondern unerlässlich für die Einhaltung gesetzlicher Vorschriften, die Geschäftskontinuität und das Vertrauen in die Marke.

Vorstände verlangen Kennzahlen: weniger durch Phishing verursachte Vorfälle, schnellere Reaktionszeiten und ein geringeres regulatorisches Risiko. Eine konsolidierte Plattform verringert zudem die Vielzahl an Tools und verbessert die Mitarbeitererfahrung – ein Vorteil, der auch über das SOC hinaus Wirkung zeigt.

Immer einen Schritt voraus sein

Die Sicherheit im E-Mail-Verkehr und bei der Zusammenarbeit verschmelzen zunehmend miteinander – ebenso wie die damit verbundenen Risiken. HIPAA, NIS2 und PCI DSS v4.0 machen aus Empfehlungen verbindliche Vorschriften.

Mimecast bietet CISOs eine single Plattform zur Verwaltung von KI-gestützter Erkennung, Risikobewertung durch Menschen und Governance für E-Mail, Teams, Slack, SharePoint und weitere Anwendungen.

Vereinbaren Sie noch heute einen Termin für eine Demo und erfahren Sie, wie Mimecast Ihrem Unternehmen dabei helfen kann, Vorschriften einzuhalten, widerstandsfähig zu bleiben und Bedrohungen zu stoppen, bevor sie sich ausbreiten.

Entdecken Sie die E-Mail- und Kollaborations-Sicherheitsplattform von Mimecast →