Der Bundestag hat das De-Mail-Gesetz Ende Mai aufgehoben, der letzte verbliebene Anbieter stellt den Dienst zum 31. Dezember 2026 ein. Bestehende Postfächer lassen sich Anfang 2027 noch drei Monate lesen, danach werden die Inhalte gelöscht. Die Auswirkungen dürften sich in Grenzen halten. Bundesbehörden verschickten zwischen 2016 und 2019 rund 6.000 Nachrichten, ein Tausendstel des erwarteten Aufkommens. In den meisten Rathäusern lag der Zugang brach, in der Bundesverwaltung endete der Betrieb schon 2024. Vertrauliche Unterlagen gehen weiterhin täglich an Stellen außerhalb der Verwaltung, an Anwaltskanzleien, Planungsbüros, Gutachter, Sozialleistungsträger und Wirtschaftsprüfer. Für den Verkehr mit Bürgern steht das Postfach der BundID zur Verfügung, für den mit Gerichten das elektronische Gerichts- und Verwaltungspostfach. Für alles dazwischen gibt es keine vorgegebene Lösung. Die Anforderungen des Datenschutzes gelten trotzdem. Meist läuft das über E-Mail. Der Ordner wandert in ein passwortgeschütztes Archiv, das Passwort geht per Telefon durch, größere Dateien über einen kostenlosen Downloaddienst. Fragt eine Bürgerin nach Artikel 15 der Datenschutz-Grundverordnung, an welche Empfänger ihre Daten gegangen sind, oder muss ein Datenleck binnen 72 Stunden gemeldet werden, fehlt der Nachweis, wer wann welche Datei erhalten hat. Sozialdaten fallen in jeder Verwaltung an, im Jugendamt, im Sozialamt, in der Wohngeldstelle. Für ihre Übermittlung gilt das Sozialgeheimnis nach § 35 des Ersten Sozialgesetzbuchs, die §§ 67 ff. des Zehnten Sozialgesetzbuchs verlangen Maßnahmen gegen unbefugte Kenntnisnahme. Wer darüber hinaus eine Klinik, ein medizinisches Versorgungszentrum oder eine Pflegeeinrichtung in eigener Trägerschaft betreibt, unterliegt seit Juli 2025 einer zusätzlichen Anforderung. Nach § 393 des Fünften Sozialgesetzbuchs dürfen Gesundheits- und Sozialdaten dort nur noch über Cloud-Dienste laufen, deren Sicherheitsmaßnahmen ein Wirtschaftsprüfer über einen Zeitraum von sechs bis zwölf Monaten geprüft hat. Dieselbe Anforderung gilt für die digitale Übermittlung von Passbildern an die Ausweisbehörde. Für den Versand vertraulicher Dateien haben sich eigene Lösungen etabliert. FTAPI aus München bindet den verschlüsselten Versand in das vorhandene Mailprogramm ein, die Gegenseite antwortet ohne eigenes Konto, jeder Zugriff wird protokolliert. Das Unternehmen betreut mehr als 2.000 Organisationen und hat sein Testat nach dem Sicherheitskatalog des BSI im Sommer erneuert, bezogen auf das Unternehmen und das in Deutschland entwickelte Produkt. Der Zuschnitt des Testats entscheidet über die Verwendbarkeit. Ein Nachweis des Rechenzentrumsbetreibers deckt die Infrastruktur ab, nicht die Software, die dort läuft. Verarbeitet die Anwendung selbst Sozial- oder Gesundheitsdaten, wird nach überwiegender Auslegung ein eigenes Testat des Softwareanbieters benötigt. Fehlt es, bleibt die Einrichtung in eigener Trägerschaft außen vor. Digitale Souveränität ist inzwischen ein Vergabekriterium. Den Auftrag für seine Verwaltungscloud hat der Bund im April an SAP und die Deutsche Telekom vergeben und dabei erstmals die Unabhängigkeit von einzelnen Konzernen über den Preis gestellt. Der Serverstandort allein trägt dabei nicht, sagt FTAPI-Geschäftsführer Ari Albertini. Wer dem amerikanischen CLOUD Act unterliegt, muss Daten an US-Behörden herausgeben, auch wenn die Rechner in Deutschland stehen. Betroffen sind Tochtergesellschaften amerikanischer Konzerne unabhängig davon, wo sie ihre Rechenzentren betreiben. Ob eine Lösung im Alltag benutzt wird, hängt an der Gegenseite. Verlangt sie vom Anwaltsbüro oder vom Handwerksbetrieb erst eine Anmeldung, wählt der Empfänger den bequemeren Weg und schickt seine Antwort als Anhang an einer gewöhnlichen Mail zurück. (DEKOM, 17.08.2026) Mehr Infos hier…
