🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

#### 1. Zweck der Richtlinie
Diese Richtlinie legt verbindliche Regeln für den sicheren Umgang mit E-Mails und anderen Kommunikationsmitteln fest, um Risiken wie Phishing, Datenverlust und unbefugten Zugriff zu minimieren. Sie gewährleistet die Vertraulichkeit, Integrität und Verfügbarkeit der geschäftlichen Kommunikation.

#### 2. Geltungsbereich
Die Richtlinie gilt für:
- Alle Mitarbeitenden und externen Partner, die geschäftliche Kommunikationssysteme nutzen.
- Alle Kommunikationssysteme und -geräte der Beispiel-Unternehmen GmbH, einschließlich Webmail, mobiler E-Mail-Zugriff und Collaboration-Tools (z. B. Microsoft Teams, Slack).

---

## 3. Anforderungen

### **3.1 Einrichtung und Nutzung geschäftlicher E-Mail-Konten**
- Geschäftliche E-Mail-Konten werden ausschließlich von der IT-Abteilung eingerichtet, verwaltet und überwacht.
- Die Nutzung geschäftlicher E-Mail-Konten für private Zwecke ist untersagt.
- Mitarbeitende dürfen keine E-Mail-Weiterleitungen zu privaten E-Mail-Adressen einrichten.

### **3.2 Sicherheit beim Zugriff**
- Der Zugriff auf geschäftliche E-Mails muss durch **Multi-Faktor-Authentifizierung (MFA)** gesichert sein.
- Mobile Endgeräte müssen mit einem sicheren Bildschirm-Sperrmechanismus (z. B. PIN oder biometrische Authentifizierung) geschützt sein.
- Die IT-Abteilung stellt regelmäßig sicher, dass alle Sicherheitsmechanismen auf dem aktuellen Stand sind.

### **3.3 Umgang mit verdächtigen E-Mails**
- Verdächtige E-Mails (z. B. Phishing, Spam) dürfen nicht geöffnet oder weitergeleitet werden.
- Solche E-Mails sind unverzüglich an den [[IT-Verantwortliche(r)]] weiterzuleiten und gegebenenfalls mit dem Betreff „Verdächtig“ zu kennzeichnen.
- Mitarbeitende erhalten regelmäßige Updates zu aktuellen Bedrohungen und Beispielen für verdächtige E-Mails.

### **3.4 Umgang mit Anhängen und Links**
- Anhänge und Links dürfen nur geöffnet werden, wenn der Absender vertrauenswürdig ist und die E-Mail authentisch erscheint.
- Bei Unsicherheiten ist Rücksprache mit dem [[IT-Verantwortliche(r)]] zu halten.
- Automatische Downloads von Anhängen werden von der IT-Abteilung deaktiviert, wo dies möglich ist.

### **3.5 Verschlüsselung sensibler Daten**
- E-Mails mit sensiblen oder vertraulichen Informationen müssen verschlüsselt werden. Das Unternehmen stellt geeignete Verschlüsselungstools bereit (z. B. PGP oder S/MIME).
- Die IT-Abteilung bietet Anleitungen zur sicheren Anwendung der Verschlüsselung und steht für Support-Anfragen zur Verfügung.

### **3.6 Archivierung und Löschung**
- Geschäftliche E-Mails werden automatisch archiviert und unterliegen der unternehmensinternen Aufbewahrungsrichtlinie.
- Manuelle Löschung von E-Mails ist nur nach Freigabe durch den [[IT-Verantwortliche(r)]] zulässig.
- Sensible Informationen dürfen nicht lokal auf Endgeräten gespeichert werden.

### **3.7 Nutzung von Collaboration-Tools**
- Für Teamkommunikation und Datenaustausch sind ausschließlich vom Unternehmen genehmigte Collaboration-Tools erlaubt.
- Sicherheitsvorkehrungen wie Zugriffskontrollen und Verschlüsselung müssen in diesen Tools aktiviert sein.
- Persönliche Kommunikation über geschäftliche Collaboration-Tools ist untersagt.

### **3.8 Schulung und Sensibilisierung**
- Alle Mitarbeitenden müssen regelmäßig an Schulungen zu Kommunikationssicherheit teilnehmen.
- Inhalte der Schulungen umfassen:
  - Erkennung und Umgang mit Phishing und Social-Engineering-Angriffen.
  - Sichere Nutzung von E-Mails und Collaboration-Tools.
- Neue Mitarbeitende erhalten im Onboarding-Prozess eine Einführung in die Richtlinie und aktuelle Sicherheitsbedrohungen.

---

🏷️ **Tags:**  
- #Kommunikationssicherheit #E-MailSicherheit #ISMS_Policy_01.53 #ISO_Kontrolle_5_12 #ISO_Kontrolle_5_14
