Benutzerhandbuch für Empfänger und Absender · dsgvogateway.de
In den allermeisten Fällen müssen Sie nichts tun. Ihre E-Mails werden verschlüsselt übertragen und kommen ganz normal im Postfach des Empfängers an – nur eben auf gesichertem Weg. Manchmal steht im Betreff ein kleines Schloss 🔒. Das bedeutet einfach: „Diese Nachricht wurde verschlüsselt übertragen.“ Mehr ist nicht nötig.
Dieses System sorgt im Hintergrund dafür, dass E-Mails verschlüsselt übertragen werden. Anders als bei manch anderem Verschlüsselungs-Produkt brauchen Sie dafür kein zusätzliches Programm, kein Konto und kein Zertifikat. Nur in seltenen Fällen – wenn der sichere Weg nicht garantiert werden konnte – wird eine Nachricht besonders geschützt zugestellt. Wie das aussieht und was dann zu tun ist, erklären wir hier.
Wenn Sie eine geschützte Nachricht verschickt haben und das System das Passwort automatisch erzeugt hat, erhalten Sie als Absender dieses Passwort per E-Mail. Sie sieht so aus:
Ihre Nachricht an cm@beispiel.de wurde als Passwortcontainer bereitgestellt (sichere Zustellung).
Das automatisch erzeugte Passwort lautet:
SANesQ6iEh
Bitte teilen Sie dieses Passwort dem Empfänger auf einem anderen Weg mit (z. B. telefonisch). Den Abruf-Link hat der Empfänger bereits separat erhalten.
Wichtig: Klicken Sie den Abruf-Link nicht selbst an – ein Einmal-Abruf würde die Nachricht für den Empfänger unzustellbar machen.
Was ist zu tun?
Wenn Sie das Passwort selbst festgelegt haben (siehe Marker
##= unten), bekommen Sie keine solche Benachrichtigung – Sie
kennen das Passwort ja bereits.
Konnte eine Nachricht nicht garantiert sicher in Ihr Postfach zugestellt werden, legt der Absender sie stattdessen in einem passwortgeschützten Container ab. Sie bekommen dann nicht den Inhalt direkt, sondern eine kurze Benachrichtigung mit einem Abruf-Link. Sie sieht etwa so aus:
Sie haben eine vertrauliche Nachricht erhalten.
Von: christian.mueller@cynfo.com
Betreff: Nachricht über ein Systemupdate
Aus Sicherheitsgründen (eine ausreichend TLS-verschlüsselte Zustellung war nicht möglich) wurde sie als Passwortcontainer bereitgestellt.
🔒 Nachricht jetzt sicher abrufen
Das Passwort haben Sie vom Absender erhalten.
nachricht.eml) geladen und lässt sich in
Ihrem E-Mail-Programm öffnen.Hinweis: Manche Container sind einmalig abrufbar oder laufen nach einiger Zeit ab. Rufen Sie die Nachricht daher zeitnah ab und speichern Sie sie bei Bedarf lokal. Den Abruf-Link und das Passwort erhalten Sie bewusst auf zwei getrennten Wegen – das ist gewollt und macht den Zugang sicher.
Ein vorangestelltes Schloss-Symbol im Betreff bedeutet: Die Nachricht wurde gesichert übertragen (verschlüsselte Verbindung zum Empfänger-Server). Es ist ein reiner Hinweis – Sie müssen nichts weiter tun und die Nachricht liegt ganz normal in Ihrem Postfach.
Als Absender können Sie jede einzelne E-Mail über kurze Marker im Betreff steuern. Das Gateway erkennt sie, entfernt sie vor der Zustellung wieder aus dem Betreff und handelt entsprechend. Schreiben Sie den Marker einfach an eine beliebige Stelle im Betreff – am übersichtlichsten ans Ende. Groß-/Kleinschreibung egal.
| Marker | Bedeutung | Was es bewirkt |
|---|---|---|
##!Container erzwingen |
Diese Mail soll auf jeden Fall als verschlüsselter Passwortcontainer zugestellt werden. | Statt der Nachricht erhält der Empfänger eine Benachrichtigung mit Abhol-Link; der Inhalt liegt passwortgeschützt im Container. |
##+Neues Passwort |
Wie ##!, aber es wird ein frisches Passwort erzeugt (auch wenn für den Empfänger schon eines gespeichert wäre). |
Container mit neu generiertem Passwort. Das Passwort wird – je nach Passwort-Policy – automatisch an Sie als Absender zugestellt. |
##=PASSWORTPasswort festlegen |
Container mit einem von Ihnen selbst vorgegebenen Passwort. Direkt an den Marker anhängen, z. B. ##=Sommer2026. |
Container wird mit genau diesem Passwort verschlüsselt. Sie kennen es bereits, daher bekommen Sie keine Passwort-Benachrichtigung. |
##-Nur analysieren |
Bewusst ohne zusätzlichen Inhaltsschutz senden – die Mail wird nur bewertet, aber normal zugestellt. | Zustellung wie üblich; es wird kein Container gebaut und die TLS-Policy erzwingt keine Ablehnung. |
##TLSTLS verlangen |
Nur senden, wenn die Gegenstelle mindestens normales TLS bietet. | Reicht das TLS nicht (No/Weak oder unbekannt), wird die Mail abgelehnt statt unsicher zugestellt. |
##QTLSQualified-TLS verlangen |
Strenger als ##TLS: nur senden bei qualifiziertem TLS (starke Cipher, gültiges Zertifikat). |
Ist die Verbindung nur „normal“ oder schlechter, wird abgelehnt. |
##NOSECUnsicher erlauben |
Ausdrücklich erlauben, dass diese Mail auch ohne ausreichende Sicherung rausgeht. | Hebt die TLS-Anforderungen für diese eine Mail auf – wird immer zugestellt. Mit Bedacht einsetzen. |
Beispiele: Rechnung 2026-0815 ##! (garantiert als Container) ·
Vertrag ##=Muster2026 (Container mit eigenem Passwort) ·
Angebot ##QTLS (nur bei qualifiziertem TLS senden).
Welche Marker für Sie aktiv sind, legt die Policy Ihres Mandanten fest;
deaktivierte Marker bleiben wirkungslos im Betreff stehen.
Die Benachrichtigungsmails enthalten am Ende einen Block „Technische Details für Ihre IT“. Er dokumentiert nachvollziehbar, warum eine Nachricht geschützt zugestellt wurde – z. B. welcher Mailserver geantwortet hat, welche TLS-Version und Cipher beobachtet wurden und wie das Zertifikat der Gegenstelle bewertet wurde.
Das ist kein Fehler, sondern gewollte Transparenz: Ziel ist, dass E-Mails nur dann ungeschützt das Haus verlassen, wenn die Verbindung nachweislich sicher genug ist. War sie es nicht (z. B. abgelaufenes Zertifikat, schwache oder fehlende Verschlüsselung), greift automatisch der Passwortcontainer. So bleibt der Inhalt auch dann geschützt, wenn der Transportweg es nicht garantiert.
Berechtigte Frage. Solche Benachrichtigungen sind ein beliebtes Phishing-Muster, daher prüfen Sie im Zweifel:
Geben Sie das Container-Passwort niemals auf einer anderen Seite ein und leiten Sie es nicht zusammen mit dem Abruf-Link weiter.