Email-kryptering: Krav og løsninger for SMV'er

Når medarbejdere sender e-mails med personfølsomme oplysninger, stiller lovgivningen klare krav om passende tekniske sikkerhedsforanstaltninger. Uden effektiv email-kryptering risikerer jeres virksomhed utilsigtede datalæk og overtrædelser af persondataloven (GDPR).

Datatilsynets krav til email-kryptering i Danmark

Email-kryptering er et krav fra Datatilsynet, når der transmitteres fortrolige eller følsomme personoplysninger via det åbne internet. Dette omfatter blandt andet CPR-numre, helbredsoplysninger, fagforeningsforhold og oplysninger om strafbare forhold.

Kravet gælder både offentlige myndigheder og private virksomheder. Hvis I sender sådanne data som almindelig, ukrypteret tekst, betragtes det som en utilstrækkelig sikkerhedsforanstaltning i tilfælde af et tilsyn eller et databrud.

TLS-transportkryptering vs. end-to-end kryptering

Forskellige krypteringsteknologier løser forskellige sikkerhedsbehov i jeres IT-miljø:

• **Transport Layer Security (TLS):** TLS krypterer forbindelsen mellem mailservere. Datatilsynet forventer som standard minimum TLS 1.2 på udgående og indgående post. Svagheden ved standard-TLS er, at hvis modtagerens server ikke understøtter kryptering, sendes mailen ofte i klar tekst, medmindre man gennemtvinger TLS (forced TLS).
• **End-to-end kryptering (meddelelseskryptering):** Her krypteres selve meddelelsen og eventuelle vedhæftede filer direkte fra afsender til modtager. Indholdet forbliver ulæseligt for mellemliggende servere og systemer, indtil den rette modtager verificerer sin identitet.

Email-kryptering i praksis med Microsoft 365

Virksomheder med Microsoft 365 kan opfylde krypteringskravene uden tunge tredjepartssystemer. Med teknologier som Microsoft Purview Message Encryption kan brugere kryptere e-mails med et enkelt klik direkte i Outlook.

Det er desuden muligt at opsætte automatiske regler (DLP – Data Loss Prevention) i Exchange Online. Systemet scanner automatisk udgående mails for specifikke mønstre, som for eksempel danske CPR-numre, og gennemtvinger kryptering, hvis medarbejderen glemmer det.

Sådan kommer I i gang

1. **Kortlæg jeres dataflows:** Identificér hvilke afdelinger (fx HR, bogholderi eller ledelse), der jævnligt sender personhenførbare eller fortrolige data. 2. **Gennemtving moderne TLS:** Kontrollér, at jeres mailservere eller Microsoft 365-lejer afviser forældede protokoller og som minimum anvender TLS 1.2. 3. **Aktivér meddelelseskryptering:** Konfigurér kryptering i Microsoft 365, så medarbejderne har en integreret knap til sikker afsendelse. 4. **Opret automatiske mailregler:** Opsæt regler for datatab (DLP), der automatisk krypterer mails med CPR-numre eller andre følsomme oplysninger. 5. **Instruér medarbejderne:** Sørg for klare interne retningslinjer for, hvornår og hvordan kryptering skal anvendes i det daglige arbejde.

Ofte stillede spørgsmål

Er almindelig TLS-kryptering altid tilstrækkelig?:

Nej. TLS beskytter kun data i transit mellem servere, og beskyttelsen bortfalder, hvis en mellemliggende server ikke understøtter protokollen. Ved følsomme personoplysninger kræver Datatilsynet som udgangspunkt stærk kryptering hele vejen til modtageren.

Hvad oplever en modtager, der ikke har samme mailsystem?:

I Microsoft 365 modtager en ekstern modtager en sikker notifikationsmail med et link. Modtageren logger herefter sikkert ind via en engangskode sendt til mailen eller via en verificeret konto (fx Google eller Microsoft) for at læse og besvare beskeden krypteret.

Kræver email-kryptering særskilte certifikater til alle brugere?:

Nej. Hvor ældre systemer og S/MIME krævede individuelle certifikater, fungerer moderne cloud-baseret kryptering via identitetsstyring og webportaler, hvilket fjerner behovet for manuel certifikathåndtering.

THINGGAARD IT hjælper SMV'er med at opsætte og tilpasse email-kryptering og DLP-regler i Microsoft 365, så jeres virksomhed overholder gældende sikkerhedskrav uden at forstyrre arbejdsgangene.