Email Sicherung rechtskonform

[koshop]

Wir nutzen mailstore, das ist nicht besonders teuer, läuft im Hintergrund und archiviert, muss mich um nix kümmern und kann E-mails ganz normal benutzen.
Bevor man anfängt von Hand irgendwelches Zeug zu sichern und damit Zeit zu verplempern ist das gut investiertes Geld.

[xMerchant]

Kommt eines Tages der Betriebsprüfer und will einen Nachweis sehen, zeigt man ihm die eml-Datei, berechnet von dieser eml-Datei den Hashwert, zeigt, dass dieser Hashwert auf der Hashwertliste steht, berechnet von dieser Liste den Hashwert und zeigt den Zeitstempel für genau diesen Hashwert.

Jo, und der Prüfer glaubt an deinen Algorithmus zur Berechnung des Hashwerts. Da darfst Du gleich mal eine Rückstellung für den Gutachter bilden, der dem Prüfer dann bescheinigt, dass der Hash-Algorithmus über alle Jahre unverändert ist und dass er eindeutige Ergebnisse liefert (was Hash-Algorithmen in der Regel nicht machen)

Auf Deutsch: Mit dieser Methode ist die Steuerschätzung sehr wahrscheinlich.

Du sparst nicht mal was dabei. Du hast Kosten von ca. 22 Euro im Jahr, d.h. in 10 Jahren ca. 250 Euro. Die Mailarchiv-Lizenz von ecoDMS kostet einmalig 49 Euro und man muss nichts täglich, wöchentlich oder sonst wann machen nach der Installation.

[fuzzy]

Jo, und der Prüfer glaubt an deinen Algorithmus zur Berechnung des Hashwerts. Da darfst Du gleich mal eine Rückstellung für den Gutachter bilden, der dem Prüfer dann bescheinigt, dass der Hash-Algorithmus über alle Jahre unverändert ist und dass er eindeutige Ergebnisse liefert (was Hash-Algorithmen in der Regel nicht machen)

Das ist, mit Verlaub, einfach Blödsinn. Natürlich erfindet man keine eigene Hashfunktion, sondern verwendet von der Bundesnetzagentur empfohlene Standardverfahren (https://www.bundesnetzagentur.de/Shared ... en2018.pdf) mit quelloffener Implementierung.
Bis 2016 war ein entsprechender Katalog auch im Bundesanzeiger veröffentlicht und jährlich aktualisiert worden.

Das ist alles komplett wasserdicht, da wird gar nichts geschätzt. Jedenfalls 1000x wasserdichter als "Wir speichern bei irgendeinem Anbieter und die versprechen, nichts zu verändern, Indianerehrenwort!"

[koshop]

Das ist alles komplett wasserdicht, da wird gar nichts geschätzt. Jedenfalls 1000x wasserdichter als "Wir speichern bei irgendeinem Anbieter und die versprechen, nichts zu verändern, Indianerehrenwort!"

Das ist aber genau das, was ein Prüfer will. Dem ist doch die Realität der Speicherung völlig Wumpe, der will irgendeinen Zettel sehen, wo irgendjemand bescheinigt, dass das Konform ist und fertig.

[heja]

Mailstore werd ich mir mal anschauen. Hatte heute schon Kontakt dort.
Irgendwas mit Hashwert, wohl eher nicht

[fonprofi]

Also ich verstehe euer Problem nicht.
G-Suite ist Rechtssicher nach Gobd.
Es funktioniert genauso wie lokale Software, bloß ohne Ausfall, weil bei Eco-DMS mal ein Dienst ausfällt.
Gemäß DSGVO sind die Server in Europa.

Man kann im G-Suite Tresor keine Mails löschen. Geht nicht. Alles was drin ist, bleibt drin. Mit Zeitstempel, mit Historie.

Genauso wie man lokal das System austricksen kann, kann man die Sicherung anhalten, dann wird nichts gesichert, steht aber such im Logbuch drin.

Genauso wie lokal kann man den Tresor abschalten, dann ist die Komplette Sicherung weg, und man muss von vorne anfangen.

Klar kann man alles löschen durch abschalten, Remote dann böse Mails löschen und dann wieder abschalten und neue Sicherung anfangen, aber dann stimmt der Zeitstempel nicht mehr und steht im kurzen Hemd da.

G-Suite ist das Gleiche wie eco-DMS oder Mailstore, außer das es keinen Strom kostet, keine Festplatte abrauchen kann, gemäß der DSGVO Toms die Daten wieder herstellbar sind nach Diebstahl, Feuer, Wasser.

Das man bei lokaler Sicherung nix machen muss ist Blödsinn. Man muss sich um eine Verfahrenswirksame Datensicherung kümmern damit im Katastrophenfall ein Restore gemacht werden kann.

Genauso kannst übrigens lokal die Mailstore Datenbanken manipulieren. Da gibt es Cracks für.

Bei Google ist für 10 Euro alles vollautomatisch. Ich kann außer Tricksen nichts manipulieren, brauche keine Hardwarepflege, keinen Strom.

Und wenn Google abrennt, na dann geht die Welt eeh unter.

Probiert es aus. 30 Tage Test für Umme.

[fuzzy]

Ich behaupte ja auch nicht, dass das die einzig seligmachende Option ist. Aber so muss ich mich gar nicht darauf verlassen, was der Prüfer meint oder denkt, das ist alles im ehemaligen Signaturgesetz und jetzt in der entsprechenden EU-Richtlinie gesetzlich verankert - im Gegensatz zu irgendeinem Wisch von irgendwem.

Wer davon ausgeht, dass der Prüfer sich mit "gut genug" zufrieden gibt, kann die Hashwerte auch jeden Tag auf einem eigenen Twitter-Account veröffentlichen und vielleicht spaßhalber noch jeden Monat einen richtigen Zeitstempel für 6 Cent machen lassen.

Muss ja niemand so machen, ich will nur zeigen, dass man mit einigen Skripten und Hausmittelchen auch ziemlich weit kommen kann.

[heja]

Fuzzy das glaub ich Dir, aber da müsste ich mich auf jeden Fall einarbeiten und bin mir dann nicht sicher ob es stimmt.
Bestimmt eine super Lösung wenn man das drauf hat

[xMerchant]

Gemäß DSGVO sind die Server in Europa.

Hatte ich mir auch angesehen, aber dagegen sprach, dass es Google ist. Ich habe nichts gegen Google und nutze die Dienste auch privat, aber in die Firma kommen die mir nicht.

Hauptgrund ist, dass ich die Nutzung von Google Diensten in der Datenschutzerklärung angeben muss und da kommt mit Sicherheit irgendwann ein Spinner des Weges und will mit mir eine Brieffreundschaft anfangen, weil ich seine Daten in einem Mailarchiv von Google gespeichert habe.

Dem ist es egal, ob die Daten in Deutschland liegen oder sonst wo. Da hat er etwas mit den amerikanischen Gerichten gemein, denen ist es auch egal. Die zwingen dann Google auf Herausgabe und Google muss die Daten auch heraus geben, auch wenn die Daten bei einer deutschen Tochtergesellschaft liegen.

[fonprofi]

Dafür das G-Suite deiner Meinung nach so schlecht und Datenschutzfeindlich ist, liest sich die Referenzliste aber sehr nach große deutsche Unternehmen.

Und wenn du Probleme hat das die Amis die Daten einklagen, darfst Du aber von EBay über Amazon oder Paypal nichts nutzen.

[xMerchant]

Wo schreibe ich dass G Suite schlecht und Datenschutzfeindlich ist?

Ich will nur Brieffreundschaften aus dem Weg gehen. Ich habe keine Lust den DSGVO-Folterfragebogen zu beantworten, nur weil in meiner Datenschutzerklärung der Name Google auftaucht. Deshalb läuft bei mir auch kein Analytics. Es gibt nun mal Leute, für die sind Google und Co Hassobjekte.

Wie soll sich bitte ein Kunde darüber beschweren, dass ich Amazon oder eBay nutze? Bevor er bei mir landet, muss er ja erst mal bei Amazon oder eBay eines meiner Produkte gekauft haben. Da wird er sich wohl kaum dann bei mir beschweren. Wobei natürlich nichts unmöglich ist.

[heja]

Koshop
Hast Du Mailstore bei Dir lokal auf einem PC installiert? Separater PC??

Wie hast Du das mit dem Zertifikat gemacht? Ich scheitere gerade dabei wie ich das mit LetsEncrypt hinbekomme. Muss ich da irgendwelche Ports öffnen, ist mein Rechner dann noch sicher.

Mit diesem "Testzertifikat", läuft das mit der Archivierung echt gut.
Ich brauche aber für den produktiven Einsatz ein anderes Zertifikat.

[koshop]

Also ich hab Mailstore Server bei mir auf meinem lokalen Domänen-Server installiert, der ja sowieso die ganze Zeit läuft. Wenn man nur einen PC hat, dann reicht es natürlich auch einfach das ganze auf dem lokalen PC zu installieren.
Ehrlich gesagt hab ich die Details der Installation gar nicht mehr so im Kopf, ich hab das vor zwei Jahren installiert und seitdem läufts halt. Wenn man es auf einem PC im Netzwerk installiert muss man ggf. in der Windows Firewall Einstellungen vornehmen. Sicherheitsrelvant ist das aber nicht, wenn man es korrekt macht.

Guck mal auf Youtube, die haben ganz gute Videos bezüglich Auswahl der richtigen Software Variante und Installation:
https://www.youtube.com/user/MailStoreSoftware/videos

[heja]

Danke für den Link. Allerdings fehlt da die Installation mit Lets Encrypt und auf deren Seite werde ich da auch nicht schlau.
Aber die können bestimmt weiterhelfen, sie loben ihren Support ja selber

[AndreM93]

Wie läuft das denn mit dem Vault ab? Muss die Domain für die E-Mails da zu Google übertragen werden, oder wie läuft das? Irgendwie blicke ich da nicht ganz durch.

[fonprofi]

Es gibt zwei Möglichkeiten:
1. die normale - Du erstellst Deinen Benutzer bei Google - bei uns die Info - und leitest Deinen Mailserver mit einem MX-Eintrag zu google, ähnlich wie Du deine Domain zu Deinem Shop leitest. IMAP und SMTP ist dann bei Google.

2. die einfache: Du erstellst einen Benutzer, zb. archiv@domain.googlemail.com und leitest eine Kopie aller Mails zu dem Googlemail Konto.

Für beide Versionen gilt, das Du das Vault aktivierst für die Dienste Die du willst. Bei uns Mail und Drive. Löschdatum nicht vor 3655 Tagen.
Dann läuft das vollautomatisch. Du aktivierst noch Gobd und Dsgvo und Server in Europa, druckst Die die AVV Daten aus und fertig.

Nach einer Woche schaust Du nach ob alle Daten auf dem Server sind.

Eigentlich easy, ausser die Maileinrichtung war ein wenig tricky mit den DNS-Einstellungen und dem Zertifikat. Aber nach 2 Stunden Recherche hats dann geklappt.

Dann noch überlegen wie Du Drive einbindest. Bei uns nachts per sftp Passwortverschlüsselt als 7z-Datei.

[knoge]

Wir haben auch vor ein paar Monaten auf G Suite umgestellt. Würde es jederzeit wieder machen.
Wir arbeiten auch weiterhin mit unseren lokalen Thunderbird clients, da haben wir z.b. um die 60 Filter die die eingehenden Email automatisch sortieren, darauf wollte ich nicht verzichten. Genauso unsere Schlagworte (Farben) im Posteingang, daran sind wir nach 15 Jahren so gewöhnt das ich das ungern aufgeben wollte.

Die Gsuite ist einfach als IMAP Konto angebunden, wir arbeiten praktisch so wie vorher auch.

[heja]

Hi,

kurze Rückmeldung, habe mir jetzt Mailstore noch mal etwas detaillierter angeschaut und ein paar Tests gemacht. Das läuft wirklich sehr "entspannt" im Hintergrund, Backups können auch automatisch weggesichert werden.
Als Zertfikat habe ich das eigene genommen, kein Lets Encrypt, reicht lt. Hotline aus, da ich es nur lokal auf einem Rechner installiert habe.

Ich will hier keine Diskussion anstoßen was evtl. besser ist Gsuite oder Mailstore, sondern nur eine kurze Rückmeldung geben. Sicherlich führen beide Wege zum Ziel. Ich persönlich habe meine Daten lieber bei mir und nicht bei Google, aber das muss jeder für sich entscheiden.

Zur weiteren Sicherung kann man sich ja auch ein Backup von Mailstore noch zusätzlich in eine Cloud stecken.

Schönes Wochenende