Empfehlung für Mail-End-to-End Verschlüsselung bzw. vollautom. Dokumentenaustausch

[#1]

Moin aus Hamburg,

ich bitte um Unterstützung in Sachen End-to-End Verschlüsselung von Mails und Dokumentenaustausch. Ich habe vor, mich mit den Firmen Dracoon und Kanzlei-Land auszutauschen und eine für unsere Kanzlei auszuwählen. Wie ist Eure Erfahrung mit den beiden Firmen?

Vielen Dank im Voraus.

Viele Grüße Claudia

[#2]

Ich glaube das ist @metalposaunist ein sehr guter Ansprechpartner😀 

[#3]

Merci😀

[#4]

Kanzlei.land fand ich super (war in einer anderen Kanzlei). Glaub die Meine Steuern Integration machte damals Probleme, ansonsten top. Kann man auch als Whitelabel-Lösung beziehen u. dann in Kanzlei-Farben/Logo aussehen lassen. 

[#5]

Hallo @Gelöschter Nutzer,

---

@Gelöschter Nutzer schrieb:

Ich habe vor, mich mit den Firmen Dracoon und Kanzlei-Land auszutauschen und eine für unsere Kanzlei auszuwählen.

---

Ich nehme an, Du möchtest nur 1 von 2 Lösungen bezahlen und nutzen? Dann darfst Du uns sagen, was Dein großes Ziel 🏁 sein soll, weil beide Lösungen nicht grundsätzlich verschieden sind aber sich doch im Funktionsumfang unterscheiden und unterschiedliche Kernziele verfolgen. 

kanzlei.land ist ein Mandantenportal. Damit kannst Du ähnlich wie bei WhatsApp Nachrichten verschlüsselt austauschen; man kann Dokumente austauschen (allerdings ohne "AddOn" der digitalbar nur manuell von Hand); man kann Belege einsammeln und automatisiert im Hintergrund für den Mandanten nicht sichtbar nach DUO weitergeben; man kann Aufgaben stellen; man kann einen Newsletter an alle Mandanten verteilen; man könnte sich streng genommen fastdocs sparen, weil kanzlei.land auch eine TXT importfähige Datei für LODAS und LuG bereitstellt; man kann interne Notizen zum Mandaten verfassen - eben ein Mandantenportal mit vielen einzelnen Funktionen. 

Kauft man sich das "AddOn" der digitalbar zu, gibt's auch eine direkte DATEV DMS Schnittstelle. Ob Mandanten dann die Dokumente gleich digital unterschreiben können, weiß ich adhoc nicht. Ich meine aber zu 80%, dass man dazu noch FP-Sign nochmal on top braucht. Sonst lädt man Dokumente hoch und bittet das Mandat zu unterschreiben und das Mandat sagt am Ende: Und nu? Soll ich also herunterladen, ausdrucken, unterschreiben, einscannen und Euch hochladen? Ihr seid ja lustig 😜.

Das wiederum kann man mit www.milia.io smart mit DocuSign abbilden.

DRACOON ist in erster Linie ein Dateiaustausch mit dem Mandanten und hat eine direkte DATEV DMS Schnittstelle im Bauch. Da braucht's kein "AddOn". Ob DRACOON mittlerweile mehr Funktionen hat, kann ich mangels Nutzung nicht sagen. 

Ich werfe allerdings nochmal 5FSoftware | Plattform für Datenaustausch und Kommunikation in den Ring. Diese haben z.B. eine Schnittstelle zu @Emmy_Kraemer_Fastdocs, falls das schon bei Euch zum Einsatz kommt oder kommen soll. 

Es gibt nicht 1 Anbieter, der alles smart kann. Irgendeine Kröte muss man aktuell immer schlucken und die Argumente gut abwägen. 

Daher: Was ist Euer gestecktes Ziel bzw. welche Vorteile wollt Ihr neben einer nicht benötigen E-Mail Verschlüsselung mitnehmen? Eine mobile App dürfte es in allen Fällen geben. Nur von DATEV gibt's keine. 

[#6]

Hallo @metalposaunist,

Vielen Dank für Deine Info.

In der Tat, weiß ich nur, dass ich zurzeit Äpfel und Birnen vergleiche. Bei uns ist es bis März so gewesen, dass wir ein kostenfreies Tool (das ich nicht nennen möchte, weil es schlecht war) genutzt haben, um Mails inkl. Anhang zu verschlüsseln. Seit Juni sind wir mit den Daten in der Cloud und haben auf Datev DMS upgegradet und haben für Outlook derzeit kein DSGVO-konformes Verschlüsselungstool. Bei den Mandanten, die Datev UO nutzen, können wir ja die Auswertungen einstellen. Aber wir haben ja auch diverse Mandanten, die Datev UO nicht nutzen. Somit geht es mir schwerpunktmäßig um eine sichere End-to-End Verschlüsselung von Mails. Die Outlook-Verschlüsselung kommt nicht in Frage, weil die Anlagen für den Mandanten dann nur zum Anschauen sind. Das Schlimme ist, dass eine End-to-End Verschlüsselung eine DMS-Schnittstelle haben muss und ich forste jetzt die Leistungsbeschreibungen durch und verstehe einiges nicht. Ich habe aktuell nicht vor einen "LKW an Tools" einzukaufen, die wir nicht nutzen werden. Unsere Kanzlei ist ganz am Anfang der Digitalisierung, die ich initiiert hatte, daher ich muss ganz langsam vorgehen. Kennst Du eine Software zur Mail-End-to-End Verschlüsselung, die eine DMS-Schnittstelle hat? Und auch funktioniert?

Viele Grüße

Claudia

[#7]

---

@Gelöschter Nutzer schrieb:

Kennst Du eine Software zur Mail-End-to-End Verschlüsselung, die eine DMS-Schnittstelle hat?

---

Von der E-Mail aus 1971 würde ich dann perspektivisch Abstand nehmen. Die E-Mail fungiert dann dazu, dass die E-Mail sagt: Lieber Mandant, schaue doch mal ins Portal deiner Kanzlei. Da gibt's was Neues. Das ist dann eine größere Umstellung im Verständnis, weil die Nachrichten nicht mehr sofort im E-Mail Programm lesbar sind (weshalb es ja rechtlich diese nervige Verschlüsselung bräuchte). 

Es gibt aber auch immer Apps für die mobile Nutzung, wo man auch WhatsApp aufruft, um Nachrichten zu lesen. Und auch sonst nutzt man den Browser, also das Mandantenportal, wie alle anderen aktuellen Programme auch: lexOffice, sevDesk, pleo, M365 - auch das ist ein größeres Verständnisproblem beim Mandanten bzw. kann es sein. 

Auch bei kanzlei.land oder DRACOON loggt sich das Mandat im Browser ein und kann dort auf die Daten aus Eurem DATEV DMS zugreifen. DATEV DMS, Verschlüsselung und E-Mail vertragen sich so direkt nicht. 

Und wenn Ihr am Anfang steht, würde ich dringend zu einer größeren Beratung raten, die Eure Prozesse kennt; die die Prozesse dann ändert und auch überwacht, dass sie angewandt werden und nicht wie bisher auch gearbeitet wird, damit kein Chaos entsteht - auch auf Mandantenseite. Wenn man als Kanzlei "verkauft" auf die E-Mail zu verzichten und dann gibt's doch wieder E-Mails - schafft zumindest kein Vertrauen.  

Wie ich gelernt habe, ist das ein Fall für Euren DATEV KV. Da gerne auf den mal zugehen. 

[#8]

@metalposaunist,

Vielen Dank für Deine Einschätzung. So werde ich das meinem Chef empfehlen, denn ich möchte nicht "irgendwas" bestellen, dass dann auch noch viel Geld kostet und nicht genutzt wird. Denn gerade mein Chef ist ein fleißiger Sender von Mails.

Ich wünsche Dir ein angenehmes Wochenende.

Viele Grüße

Claudia

[#9]

Moin Moin

(auch aus Hamburg 😉)

Sofern es um einen Datenaustausch geht:

Alles in eine verschlüsselte Zip-Datei packen und z.B. bei We Transfer hochladen.

Sofern es um Nachrichtenaustausch geht;

Prüfen Sie doch einmal, ob nicht die Transportverschlüsselung von Mailserver zu Mailserver durchgängig gegeben ist. Es ist inzwischen vom BGH bestätigt worden, dass die durchgehende Transportverschlüsselung ausreichend ist.

Wie prüfen Sie, ob die Transportverschlüsselung durchgehend ist?

Öffnen Sie eine Email vom Mandaten.

(outlook) Unter Datei -> Informationen -> Eigenschaften öffnet sich ein (m.E. zu kleines) Fenster. Dort unter Internetkopfzeilen schauen Sie von unten(!) nach oben was steht unter den Keywords "Received" Dies beschreibt den Weg von Mailserver zu Mailserver übers Internet. Steht dort irgendwo http, ist die Transportverschlüsselung nicht durchgängig. Ist nach meiner Erfahrung das wesentlich Kriterium (sonst müsste ich irre lange etwas über den Email-Header erklären). Google oder Yahoo (als Beispiele) sind natürlich außen vor, die lesen immer mit.

QJ

[#10]

---

@quantenjoe  schrieb:

Wie prüfen Sie, ob die Transportverschlüsselung durchgehend ist?

Öffnen Sie eine Email vom Mandaten.

(outlook) Unter Datei -> Informationen -> Eigenschaften öffnet sich ein (m.E. zu kleines) Fenster. Dort unter Internetkopfzeilen schauen Sie von unten(!) nach oben was steht unter den Keywords "Received" Dies beschreibt den Weg von Mailserver zu Mailserver übers Internet. Steht dort irgendwo http, ist die Transportverschlüsselung nicht durchgängig. Ist nach meiner Erfahrung das wesentlich Kriterium (sonst müsste ich irre lange etwas über den Email-Header erklären). Google oder Yahoo (als Beispiele) sind natürlich außen vor, die lesen immer mit.

Da dieses http dort nie auftaucht, erübrigt sich die suche hiernach.

[#11]

Das Problem mit der Transportverschlüsselung ist, dass man sich als Absender nicht darauf verlassen kann. Wenn irgendein Mailserver plötzlich keine Transportverschlüsselung mehr unterstützt (warum auch immer) platzt das Konstrukt.

Mails an z.B. gmail werden von Google auf Inhalt gescannt (obendrein in einem Drittland) - also ist dort auch keinerlei Vertraulichkeit gegeben.

Und in dem oft zitierten BGH-Urteil wurde über das baA und Notwendigkeit von echter Ende zu Ende Verschlüsselung geurteilt. Das beA ist ein geschlossenes System und kein e-mail Versand. Dort kann man sich auf Transportverschlüsselung verlassen.

MfG, F.Lange

[#12]

Es ist wohl smtp v/s esmtp gemeint.

Hier kann aber eh nur der Empfänger den Weg der Mail sehen.

Die Pflicht zur gesicherten Übermittlung gilt aber für den Sender.

MfG, F.Lange

[#13]

---

@flange  schrieb:

Das Problem mit der Transportverschlüsselung ist, dass man sich als Absender nicht darauf verlassen kann. Wenn irgendein Mailserver plötzlich keine Transportverschlüsselung mehr unterstützt (warum auch immer) platzt das Konstrukt.

---

Natürlich kann man sich bei richtiger Implementierung darauf verlassen. Wie sollte auch irgendein Mailserver ohne Transportverschlüsselung involviert sein.

[#14]

---

@MBehrens schrieb:

Natürlich kann man sich bei richtiger Implementierung darauf verlassen.

---

Korrekt 👍. Ich habe dunkel im Hinterkopf, dass Microsoft Exchange online nur noch als Standard verschlüsselt Kontakt mit anderen E-Mail-Servern herstellt und meldet sich ein Server, der das nicht tun will, es keine E-Mail von A nach B gibt. Zur Not kann man das als Administrator sicher auch selbst so festlegen. 

Stimmt das @janm? 🤔

[#15]

---

@MBehrens  schrieb:

---

@flange  schrieb:

Das Problem mit der Transportverschlüsselung ist, dass man sich als Absender nicht darauf verlassen kann. Wenn irgendein Mailserver plötzlich keine Transportverschlüsselung mehr unterstützt (warum auch immer) platzt das Konstrukt.

---

Natürlich kann man sich bei richtiger Implementierung darauf verlassen. Wie sollte auch irgendein Mailserver ohne Transportverschlüsselung involviert sein.

---

Z.B. indem

• die Organisation des Empfängers einen Mailserver an Standort A hat, der alle Mails für die Organisation (also auch den Empfänger) von außen entgegennimmt
• und diese dann an einen Mailserver an Standort B (wo der Empfänger sitzt) über das Internet weiterleitet.
• Leider ist der Mailserver an Standort B auf dem Stand von 2005 und damit die Mailzustellung weiter funktioniert, läuft die Anbindung von A nach B über SMTP ohne Verschlüsselung.

Wer sagt "natürlich kann man sich auf die Transportverschlüsselung verlassen" muss auch bereit sein zu sagen "eine derartige Konfiguration gibt es heute auf der ganzen Welt nicht mehr" - würde ich für 'gewagt' halten.

[#16]

---

@metalposaunist  schrieb:Korrekt 👍. Ich habe dunkel im Hinterkopf, dass Microsoft Exchange online nur noch als Standard verschlüsselt Kontakt mit anderen E-Mail-Servern herstellt und meldet sich ein Server, der das nicht tun will, es keine E-Mail von A nach B gibt. Zur Not kann man das als Administrator sicher auch selbst so festlegen. 
Stimmt das @janm? 🤔

---

Nein: How Exchange Online uses TLS to secure email connections | Microsoft Learn

Use TLS in situations where you want to set up a secure channel of correspondence between Microsoft and your on-premises organization or another organization, such as a partner. Exchange Online always attempts to use TLS first to secure your email but can't if the other party does not offer TLS security. Keep reading to find out how you can secure all mail to your on-premises servers or important partners by using connectors.

Um TLS zu (Partner Organisationen zu) erzwingen: How Exchange Online uses TLS to secure email connections | Microsoft Learn

For Exchange Online customers, in order for forced TLS to work to secure all of your sent and received email, you need to set up more than one connector that requires TLS. You'll need one connector for messages sent to user mailboxes and another connector for messages sent from user mailboxes. Create these connectors in the Exchange admin center in Office 365. For instructions, see Configure mail flow using connectors in Office 365.

[#17]

---

@cwes  schrieb:

---

@MBehrens  schrieb:

---

@flange  schrieb:

Das Problem mit der Transportverschlüsselung ist, dass man sich als Absender nicht darauf verlassen kann. Wenn irgendein Mailserver plötzlich keine Transportverschlüsselung mehr unterstützt (warum auch immer) platzt das Konstrukt.

---

Natürlich kann man sich bei richtiger Implementierung darauf verlassen. Wie sollte auch irgendein Mailserver ohne Transportverschlüsselung involviert sein.

---

Z.B. indem

• die Organisation des Empfängers einen Mailserver an Standort A hat, der alle Mails für die Organisation (also auch den Empfänger) von außen entgegennimmt
• und diese dann an einen Mailserver an Standort B (wo der Empfänger sitzt) über das Internet weiterleitet.
• Leider ist der Mailserver an Standort B auf dem Stand von 2005 und damit die Mailzustellung weiter funktioniert, läuft die Anbindung von A nach B über SMTP ohne Verschlüsselung.

---

An der Stelle würde ich allerdings sagen, dass das dann Problem des Empfängers ist, da die Mail bereits beim ersten Mailserver in dessen Verantwortungsbereich übergeht. Der eigene Mailserver (oder auch die ausliefernden DATEVnet Mailserver) haben dann ja ein "SMTP 250 Ok" im Log wo auch TLS genutzt wurde.

Man könnte ein solches Konstrukt allerdings bei einem (schlampigen) Provider finden. Da wäre dann aber auch die Frage, ob es nicht vom Empfänger "hingenommen" wird und somit dessen Problem / Risiko ist.

Meine Meinung: Wenn bis zum letzten Hop unter meiner Kontroller alles per Transportwegverschlüsselung gelaufen ist, dann ist das nicht meine Baustelle. "Notfalls" - sofern es in meiner Macht liegt - erzwinge ich einfach TLS aus- und eingehend. Dann kann auch aus Versehen nichts ohne Transportwegverschlüsselung raus- / reingehen.

[#18]

---

@janm  schrieb:

---

@cwes  schrieb:

---

@MBehrens  schrieb:

---

@flange  schrieb:

Das Problem mit der Transportverschlüsselung ist, dass man sich als Absender nicht darauf verlassen kann. Wenn irgendein Mailserver plötzlich keine Transportverschlüsselung mehr unterstützt (warum auch immer) platzt das Konstrukt.

---

Natürlich kann man sich bei richtiger Implementierung darauf verlassen. Wie sollte auch irgendein Mailserver ohne Transportverschlüsselung involviert sein.

---

Z.B. indem

• die Organisation des Empfängers einen Mailserver an Standort A hat, der alle Mails für die Organisation (also auch den Empfänger) von außen entgegennimmt
• und diese dann an einen Mailserver an Standort B (wo der Empfänger sitzt) über das Internet weiterleitet.
• Leider ist der Mailserver an Standort B auf dem Stand von 2005 und damit die Mailzustellung weiter funktioniert, läuft die Anbindung von A nach B über SMTP ohne Verschlüsselung.

---

An der Stelle würde ich allerdings sagen, dass das dann Problem des Empfängers ist, da die Mail bereits beim ersten Mailserver in dessen Verantwortungsbereich übergeht. Der eigene Mailserver (oder auch die ausliefernden DATEVnet Mailserver) haben dann ja ein "SMTP 250 Ok" im Log wo auch TLS genutzt wurde.

Man könnte ein solches Konstrukt allerdings bei einem (schlampigen) Provider finden. Da wäre dann aber auch die Frage, ob es nicht vom Empfänger "hingenommen" wird und somit dessen Problem / Risiko ist.

Meine Meinung: Wenn bis zum letzten Hop unter meiner Kontroller alles per Transportwegverschlüsselung gelaufen ist, dann ist das nicht meine Baustelle. "Notfalls" - sofern es in meiner Macht liegt - erzwinge ich einfach TLS aus- und eingehend. Dann kann auch aus Versehen nichts ohne Transportwegverschlüsselung raus- / reingehen.

---

Früher oder später wird das ausgeurteilt werden, ob der StB damit die Verschwiegenheitspflicht verletzt (immerhin eine Straftat), oder ob es das Problem des Empfängers ist.

Ich sehe eine Chance, dass dann differenziert wird zwischen "Empfänger kannte/hatte Einfluss auf die Konfiguration" und "Empfänger ist Anwender ohne Kenntnis, wie Mails durchs Internet wandern."

Good luck.

[#19]

---

@cwes  schrieb:
Ich sehe eine Chance, dass dann differenziert wird zwischen "Empfänger kannte/hatte Einfluss auf die Konfiguration" und "Empfänger ist Anwender ohne Kenntnis, wie Mails durchs Internet wandern."

• Und dann schützt Unwissenheit vor Strafe?
• Der Steuerberater und sein Personal sind (ausgebildete) Techniker?

[#20]

Liebe Datev-Community,

Vielen Dank für die ganzen Infos. Da im Netz nichts garantiert ist, werde ich meinem Chef den Dokumentenaustausch über Dracoon oder Kanzlei-Land empfehlen. Selbst wenn unsere Kanzlei noch nicht alle angebotenen Tools sofort nutzen wird, ist meine Devise: safety first😉.

Ich wünsche allen eine angenehme Woche.

Viele Grüße

Claudia

[#21]

---

@Gelöschter Nutzer schrieb:

ist meine Devise: safety first😉

---

Hm, ein bisschen schade. Es braucht mehr Mut 💪. Man kann auch mit 60km/h über die Autobahn 🙈. Im Notfall hilft immer ein #Backup aka der Sicherheitsgurt 🤓 .

Und der Chef soll dann selbst A oder B wählen, wobei beide genannten Produkte völlig unterschiedliche Ansätze haben? Bisschen so, als wenn man ihm die Wahl zwischen Tesla Cybertruck und Fiat Punto lässt 😋.  

Du bist jetzt die Expertin würde ich behaupten 😊. Sonst hätte er ja auch selber sich umschauen können und das Projekt erst gar nicht abgegeben, wenn man's selbst lösen hätte können. 

[#22]

Ich weiß...

Ich habe zwar mehr "IT-Wissen" als die anderen Kollegen, aber es ist halt auch nur gefährliches Halbwissen. Hier ist der Wunsch der Bequemlichkeit beherrschend, aus diesem Grund bin ich auch nur noch bis zum 18.12.23 dabei. Ab Januar gehe ich wieder in den Bereich, den ich seit über 20 Jahren ausübe: Assistentin der Geschäftsführung als Office Managerin bei ETL-SCS inkl. Projektmanagement. Ich habe meinen Dienst erfüllt und diese Kanzlei digitalisiert, d.h. den Booster eingeschaltet. Das die Reise in die digitale Welt damit noch nicht zuende ist, wird hier leider nicht so gesehen. Ich gehe auch davon aus, dass die Entscheidung erst in 2024 getroffen wird. Wenn es hier eine Vision gäbe, hätte ich meinen Entschluss möglicherweise nicht getroffen.

Viele Grüße

Claudia

[#23]

Hallo @MBehrens ,

ganz einfach: wenn Sie an Firma XY eine Mail schicken, wird die an den MX von xy.de gesendet. Wenn dieser keine Transportverschlüsselung unterstützt, wird halt unverschlüsselt geschickt.

Ihr versendender Mailserver kann natürlichTransportverschlüsselung als obligatorisch voraussetzen - dann können Sie aber nix an XY schicken.

Das ist das grundsätzliche Problem am e-mail-System.

MfG, F.Lange

[#24]

Genau deshalb sollte man sich als zur Geheimhaltung Verpflichteter nicht auf Transportverschlüsselung zwischen Mailservern, die nicht der eigenen Kontrolle  untersten verlassen.

MfG, F.Lange

[#25]

Klar! Man kann mit nem Tanklaster voller giftiger Chemikalien mit 80 durch ne 30er Zone brettern, weil man ja so ne Menge Zeit spart. Zu 99% wird nix schlimmes passieren. Ist das trotzdem ne gute Idee?

MfG, F.Lange

[#26]

Hä 🤔? In der 30er Zone ist die Höchstgeschwindigkeit: 30. Auf der Autobahn gibt es oftmals: keine. Nur eine Mindestgeschwindigkeit. Ich verstehe Deinen Vergleich nicht? 

[#27]

---

@metalposaunist  schrieb:

Hä 🤔? In der 30er Zone ist die Höchstgeschwindigkeit: 30. Auf der Autobahn gibt es oftmals: keine. Nur eine Mindestgeschwindigkeit. Ich verstehe Deinen Vergleich nicht? 

---

Gemeint ist, dass wir total gerne mit 60 auf der Autobahn fahren, wenn dadurch ausgeschlossen wird, dass es einen Unfall gibt. 

[#28]

---

@cwes  schrieb:

Z.B. indem

• die Organisation des Empfängers einen Mailserver an Standort A hat, der alle Mails für die Organisation (also auch den Empfänger) von außen entgegennimmt
• und diese dann an einen Mailserver an Standort B (wo der Empfänger sitzt) über das Internet weiterleitet.
• Leider ist der Mailserver an Standort B auf dem Stand von 2005 und damit die Mailzustellung weiter funktioniert, läuft die Anbindung von A nach B über SMTP ohne Verschlüsselung.

Da man auf die "interne" Strukturen des Empfängers nie Einfluss hat, spielt dies bei P2PE keine Rolle. Zwischen den beiden beteiligten MTA Systemen findet eine nicht zu unterbindende Verschlüsselung statt. Wenn die beiden Kommunikationspartner dies als ausreichend vereinbaren, ist dies ausreichend. Wenn der Empfänger es dann ausdruckt, aushängt oder auf Postkarten weiterschickt, ist dies seine Sache 😉

[#29]

---

@flange  schrieb:

ganz einfach: wenn Sie an Firma XY eine Mail schicken, wird die an den MX von xy.de gesendet. Wenn dieser keine Transportverschlüsselung unterstützt, wird halt unverschlüsselt geschickt.

Nein, denn P2PE wurde ja zwischen den Kommunikationspartnern vereinbart.

---

Ihr versendender Mailserver kann natürlichTransportverschlüsselung als obligatorisch voraussetzen - dann können Sie aber nix an XY schicken.

Genau so sollte es auch sein.

[#30]

Hallo @MBehrens 

Genau so sollte es auch sein.

Stimmt. Ist aber leider nur Wunschdenken.

Fragen Sie doch mal Ihren Provider, ob der ESMTP erzwingt.

Als normaler Endkunde hat man eben keinen Einfluss darauf wie die Mailserver der Provider von Absender und Empfänger miteinander kommunizieren.

MfG, F.Lange