CCPA-Konformität erklärt: Warum E-Mail-Sicherheit und DMARC wichtig sind
von
Zuletzt aktualisiert: 8 Lesezeit: 8 Minuten
Wichtigste Erkenntnisse
- Der CCPA verlangt „angemessene Sicherheitsvorkehrungen“ zum Schutz personenbezogener Daten, darunter E-Mail-Adressen, Rechnungen und Kontodaten, die per E-Mail übermittelt werden.
- E-Mails sind ein risikoreicher Kanal für Verstöße gegen den CCPA, da Spoofing, Phishing und Business E-Mail Compromise zu einer unbefugten Offenlegung von Daten führen können.
- DMARC verhindert Domain-Identitätsdiebstahl, indem es Mailserver anweist, nicht authentifizierte Nachrichten abzulehnen oder unter Quarantäne zu stellen.
- DMARC-Berichte bieten Transparenz über alle E-Mail-Quellen und helfen dabei, nicht autorisierte Anbieter zu identifizieren und Compliance-Lücken zu reduzieren.
- Die Durchsetzung von DMARC auf der Stufe „p=reject“ blockiert gefälschte E-Mails und demonstriert proaktive Sicherheit im Einklang mit den CCPA-Compliance-Standards.
Personenbezogene Daten sind die wichtigste Währung in der modernen digitalen Wirtschaft. Für Unternehmen, die in Kalifornien tätig sind oder die Daten seiner Einwohner verwalten, gilt der California Consumer Privacy Act (CCPA) den Goldstandard für den Datenschutz.
Während sich viele Diskussionen über den CCPA auf Website-Cookies oder „Nicht verkaufen“-Buttons konzentrieren, übersehen viele Unternehmen ihren anfälligsten Datenkanal: E-Mails.
E-Mails sind nach wie vor das wichtigste Mittel für den Austausch personenbezogener Daten. Dazu gehören Rechnungen, Support-Tickets und Links zur Kontowiederherstellung. Wenn Ihre E-Mail-Infrastruktur nicht ausreichend gegen Identitätsdiebstahl geschützt ist, können Sie nicht wirklich behaupten, dass Sie die CCPA-Vorschriften einhalten. In diesem Leitfaden wird erläutert, wie E-Mail-Sicherheit und DMARC als grundlegende technische Kontrollen dienen, um die gesetzlichen Anforderungen an „angemessene Sicherheit“ zu erfüllen.
Was ist CCPA-Konformität?
CCPA-Konformität bedeutet die Einhaltung der Anforderungen des California Consumer Privacy Act, der den Einwohnern Kaliforniens das Recht einräumt, ihre von Unternehmen gesammelten personenbezogenen Daten einzusehen, darauf zuzugreifen, sie zu löschen und deren Verkauf zu untersagen.
Dies ist ein wichtiger Schritt für den Datenschutz. Damit erhalten die Menschen in Kalifornien viel mehr Mitspracherecht darüber, wie Unternehmen ihre persönlichen Daten verwenden. Einfach ausgedrückt handelt es sich um eine Reihe von Vorschriften, die Unternehmen zu Transparenz und Sorgfalt verpflichten.
Das haben Verbraucher laut Gesetz:
- Das Recht auf Auskunft: Sie können einsehen, welche Daten Sie über sie gespeichert haben.
- Das Recht auf Löschung: Sie können verlangen, dass ihre Daten gelöscht werden.
- Das Recht auf Ablehnung: Sie können Ihnen den Verkauf ihrer Daten verweigern.
- Faire Behandlung: Sie dürfen sie nicht dafür bestrafen, dass sie diese Rechte in Anspruch nehmen.
Die „angemessene Sicherheitsregel“
Das Gesetz schreibt außerdem vor, dassSieüber „angemessene Sicherheitsvorkehrungen“verfügen müssen.Es geht nicht nur darum, ehrlich zu sein, sondern auch darum, sicher zu sein. Wenn es aufgrund Ihrer nachlässigen Sicherheitsvorkehrungen zu einer Datenschutzverletzung kommt, können Sie mit gesetzlichen Schadenersatzforderungen konfrontiert werden. Das bedeutet, dass Sie möglicherweise Geld zahlen müssen, auch wenn der Kunde keinen Cent verloren hat.
Wie E-Mails ein CCPA-Risiko darstellen
E-Mails dienen sowohl als Datenspeicher als auch als Übermittlungskanal. Dadurch stellen sie ein enormes Risiko für Verstöße gegen den CCPA dar.
- E-Mail-Adressen als personenbezogene Daten: Gemäß dem CCPA gelten E-Mail-Adressen selbst als personenbezogene Daten (Personal Identifiable Information, PII).
- Sensible Inhalte: E-Mails enthalten oft Namen, physische Adressen, Kaufhistorien und sogar Support-Protokolle. All diese Daten fallen unter den Schutz des CCPA.
- Das Lieferrisiko: Wenn ein Angreifer sich als Ihre Marke ausgibt, um eine Rechnungsaktualisierung zu versenden, nutzt er die Reputation Ihrer Domain, um Verbraucherdaten zu stehlen. Wenn Ihre mangelnden Sicherheitsprotokolle eine Identitätsfälschung ermöglichen, können Sie für die Nichtgewährung angemessener Sicherheit haftbar gemacht werden.
E-Mail-basierte Bedrohungen, die Verstöße gegen den CCPA auslösen
Der CCPA definiert einen Verstoß als unbefugten Zugriff, Zerstörung, Verwendung, Änderung oder Offenlegung personenbezogener Daten. Hier sind einige spezifische E-Mail-basierte Angriffe, die direkt zu diesen Ergebnissen führen.
E-Mail-Spoofing
Angreifer fälschen die Absenderadresse, damit eine E-Mail so aussieht, als käme sie von Ihrem Unternehmen. Mit diesem Trick können sie Anmeldedaten oder Sozialversicherungsnummern stehlen.
Kompromittierung von Geschäfts-E-Mails
Wenn ein Angreifer sich als Führungskraft ausgibt, um von einem Mitarbeiter sensible Kundendateien anzufordern, stellt die daraus resultierende Offenlegung von Daten einen meldepflichtigen CCPA-Vorfall dar.
Phishing
Gefälschte E-Mails zum Datenschutz-Update können genau die Informationen sammeln, die der CCPA zu schützen versucht.
Was der CCPA erwartet: Der angemessene Sicherheitsstandard
Der CCPA enthält keine starre Checkliste mit Technologien. Stattdessen erwartet er „angemessene Sicherheit“. Die Leitlinien des kalifornischen Generalstaatsanwalts legen nahe, dass angemessene Sicherheit oft mit etablierten Rahmenwerken wie den CIS Controls oder NIST übereinstimmt.
Identitäts- und Zugriffsmanagement ist eine grundlegende Kontrollmaßnahme in diesen Rahmenwerken. Dazu gehört auch die Überprüfung, ob ein Absender tatsächlich der ist, für den er sich ausgibt. Domain-Spoofing zu ignorieren, ist ein Compliance-Blindspot. Wenn ein Unternehmen zulässt, dass seine Domain von unbefugten Dritten zur Täuschung von Kunden genutzt wird, besteht es wahrscheinlich den Test für angemessene Sicherheit nicht.
Wie DMARC die Einhaltung des CCPA unterstützt
DMARC ist eine technische Richtlinie, mit der Domaininhaber ihre Domain vor unbefugter Nutzung schützen können. Sie arbeitet mit SPF und DKIM zusammen, um ein umfassendes Authentifizierungsframework zu schaffen. Im Folgenden wird detailliert beschrieben, wie ihre Kernfunktionen direkt mit den CCPA-Anforderungen übereinstimmen.
Erweiterte Prävention von Identitätsdiebstahl
Der CCPA verpflichtet Unternehmen, unbefugten Zugriff auf personenbezogene Daten zu verhindern. DMARC hilft Ihnen dabei, diese Anforderung zu erfüllen, indem es Ihnen die Kontrolle darüber gibt, wie Ihre Domain in der „Header From“-Adresse verwendet wird, also dem Namen, den Benutzer tatsächlich in ihrem Posteingang sehen.
- Durchsetzung von Richtlinien: Mit DMARC können Sie über die einfache Überwachung hinausgehen. Mit einem p=reject weisen Sie die empfangenden Mailserver an, alle E-Mails, die die Authentifizierung nicht bestehen, vollständig zu blockieren. Dadurch wird Spoofing an der Quelle unterbunden.
- Phishing neutralisieren: Die meisten Datenverstöße gemäß CCPA beginnen mit einer Phishing-E-Mail, die so aussieht, als stamme sie von einer vertrauenswürdigen Marke. Durch das Blockieren dieser Fälschungen beseitigen Sie einen Hauptvektor für die „unbefugte Offenlegung” von Verbraucherdaten.
- Sicherheit für automatisierte E-Mails: DMARC schützt risikoreiche E-Mails, die die meisten personenbezogenen Daten enthalten, wie z. B. Passwortzurücksetzungen, Versandbenachrichtigungen und Rechnungsbelege.
Detaillierte Transparenz und Überwachung
Einer der schwierigsten Aspekte des CCPA ist das „Recht auf Information“, das von Ihnen verlangt, genau zu verstehen, wie Verbraucherdaten durch Ihre Systeme fließen. DMARC bietet die erforderliche Transparenz, um diese Datenflüsse abzubilden.
- Identifizierung von „Shadow IT“: DMARC-Aggregat -RUA-Berichte zeigen alle Drittanbieter-Dienste auf, die in Ihrem Namen E-Mails versenden. So können Sie nicht autorisierte Marketing-Tools oder alte Support-Plattformen aufspüren, die möglicherweise Kundendaten ohne ordnungsgemäße Datenverarbeitungsvereinbarung verarbeiten.
- Forensische Nachweise: Die forensischen RUF-Berichte liefern detaillierte Informationen auf Nachrichtenebene darüber, warum die Authentifizierung einer E-Mail fehlgeschlagen ist. Im Falle eines Angriffs dienen diese Berichte als wichtiger Prüfpfad. Sie ermöglichen es Ihnen, den Aufsichtsbehörden genau darzulegen, was geschehen ist und wie Ihre Sicherheitsmaßnahmen den Angriff erfolgreich abgewehrt haben.
- Lieferantenmanagement: Der CCPA schreibt vor, dass Sie Ihre Dienstleister überwachen müssen. DMARC-Berichte bieten Ihnen eine Möglichkeit, kontinuierlich zu überprüfen, ob Ihre Lieferanten die Sicherheitsprotokolle einhalten, die Sie für Ihre Domain festgelegt haben.
Wie PowerDMARC dabei hilft, CCPA-Risiken zu reduzieren
Die Einrichtung von DMARC ist für große Teams, die mehrere Anbieter nutzen, eine Herausforderung. PowerDMARC bietet eine automatisierte Suite, die den Weg zu einer p=reject-Richtlinie vereinfacht, dem Goldstandard für CCPA-konformen Domainschutz.
1. Gehostetes SPF und PowerSPF
Der CCPA schreibt vor, dass Unternehmen ihre Sicherheitsmaßnahmen auf dem neuesten Stand halten müssen. Manuelle DNS-Aktualisierungen sind langsam und anfällig für menschliche Fehler, was zu Sicherheitslücken führt.
- Cloud Control: Verwalten Sie Ihre SPF-, DKIM- und DMARC-Einträge über ein einziges Dashboard. Fügen Sie Anbieter mit einem Klick hinzu oder entfernen Sie sie, ohne Ihren DNS-Code zu verändern.
- Aufhebung der Beschränkung auf 10 Lookups: Die meisten Unternehmen verletzen unbeabsichtigt ihre Sicherheitsvorschriften, indem sie zu viele Anbieter autorisieren und damit die Beschränkung auf 10 DNS-Lookups überschreiten. Dies löst einen „PermError“ aus, wodurch Ihr Schutz effektiv deaktiviert wird. PowerSPF „glättet“ Ihre Datensätze automatisch und stellt so sicher, dass Ihre legitimen E-Mails immer authentifiziert werden und den Posteingang erreichen.
2. KI-gestützte Erkennung von Bedrohungen
Um die Erwartungen des CCPA hinsichtlich proaktiver Schutzmaßnahmen zu erfüllen, nutzt PowerDMARC eine KI-basierte Bedrohungs-Engine, um den globalen E-Mail-Verkehr in Echtzeit zu überwachen.
- Missbrauch erkennen: Die KI erkennt Muster von Domain-Missbrauch und ordnet genau zu, woher Angriffe stammen.
- Echtzeit-Warnmeldungen: Erhalten Sie sofortige Benachrichtigungen, wenn ein Betrüger versucht, Ihre Domain zu fälschen, sodass Sie Betrugsversuche stoppen können, bevor Kundendaten kompromittiert werden.
3. Für Menschen lesbare forensische Berichte
Standard-DMARC-Berichte sind roher XML-Code, der für einen nicht-technisch versierten Datenschutzbeauftragten unbrauchbar ist. Der Report Analyzer von PowerDMARC übersetzt diese Daten in umsetzbare Erkenntnisse.
- Audit-fähige Daten: Sehen Sie genau, was ein Hacker zu senden versucht hat. Dies ist ein wichtiger Beweis für die „angemessene Sicherheit“ während eines CCPA-Audits.
- Verschlüsselte Privatsphäre: Sie können forensische Berichte verschlüsseln, sodass nur Ihr autorisiertes Team sensible Nachrichtenausschnitte sehen kann, wodurch Sie die allgemeinen Datenschutzgesetze einhalten.
4. Transparenz über „Schatten-IT“
Nicht autorisierte „Shadow IT“-Dienste stellen eine erhebliche CCPA-Haftungsrisikobereich dar. PowerDMARC bietet eine zentralisierte Übersicht über alle Dienste, die Ihre Domain nutzen.
- Lieferantenaudit: Identifizieren Sie, welche Tools von Drittanbietern Ihre Daten verarbeiten, und stellen Sie sicher, dass diese ordnungsgemäß authentifiziert sind. Wenn ein Tool Ihren Sicherheitsstandards nicht entspricht, können Sie dessen Zugriff sofort widerrufen.
5. BIMI: Das visuelle Vertrauenssiegel
Sobald Sie die DMARC-Durchsetzung erreicht haben, können Sie BIMI implementieren.
- Verbrauchervertrauen: Ihr Markenlogo erscheint im Posteingang und fungiert als „Verifiziert“-Siegel, das den Kunden signalisiert, dass die E-Mail sicher geöffnet werden kann.
- Compliance-Nachweis: Für Regulierungsbehörden dient BIMI als sichtbarer Indikator dafür, dass Ihr Unternehmen die höchste Stufe der E-Mail-Sicherheit implementiert hat.
Bewährte Verfahren für CCPA-konforme E-Mail-Aktivitäten
Um die Bestimmungen des CCPA einzuhalten, müssen Sie proaktiv handeln. Nutzen Sie diese Checkliste, um Ihre Sicherheitsvorkehrungen zu verstärken:
- Verpflichten Sie sich zur Durchsetzung von DMARC. Begnügen Sie sich nicht damit, Ihre E-Mails nur zu überwachen. Eine Richtlinie von p=none ist wie eine Überwachungskamera, bei der die Türen unverschlossen bleiben. Sie müssen die DMARC-Durchsetzung auf einer Stufe von p=reject erreichen, um tatsächlich zu verhindern, dass gefälschte E-Mails in den Posteingang gelangen.
- Sichern Sie Ihre automatisierten Systeme. Ihre sensibelsten Daten werden oft über automatisierte Tools übertragen. Stellen Sie sicher, dass Links zum Zurücksetzen von Passwörtern und digitale Rechnungen vollständig authentifiziert sind. Wenn diese Nachrichten gefälscht sind, entsteht für Ihr Unternehmen eine erhebliche Haftung gemäß CCPA.
- Minimieren Sie Daten. Halten Sie sensible Daten nach Möglichkeit aus Ihrem Posteingang fern. Versenden Sie keine risikobehafteten Informationen wie unverschlüsselte Passwörter oder vollständige Kreditkartennummern über normale E-Mails im Klartext. Wenn Sie diese Daten weitergeben müssen, verwenden Sie ein sicheres Portal oder eine starke Verschlüsselung.
- Überprüfen Sie Ihre Berichte regelmäßig. Lassen Sie Ihre DMARC-Daten nicht ungenutzt liegen. Überprüfen Sie diese Berichte, um festzustellen, ob Hacker versuchen, sich als Ihr Unternehmen auszugeben. Diese Daten dienen als Frühwarnsystem für Phishing-Kampagnen.
- Schulen Sie Ihre Mitarbeiter. Selbst die beste Technologie kann nicht jede einzelne Bedrohung abwehren. Führen Sie regelmäßig Schulungen durch, damit Ihr Team die subtilen Anzeichen einer gefälschten E-Mail erkennen kann, die möglicherweise an einem herkömmlichen Filter vorbeigekommen ist.
Resümee
Datenschutz bedeutet mehr, als nur ein Kästchen auf einem Formular anzukreuzen oder ein Handbuch abzuheften. Es ist ein zentrales Versprechen an Ihre Kunden, dass ihre privaten Daten sicher sind. Wenn Sie eine E-Mail-Domain für Spoofing offen lassen, brechen Sie dieses Versprechen und setzen Ihr Unternehmen massiven CCPA-Haftungsrisiken aus.
Echte CCPA-Konformität bedeutet, eine proaktive Haltung in Bezug auf Sicherheit einzunehmen. Rechtliche Formalitäten sind zwar ein Anfang, aber technische Tools wie DMARC bieten den tatsächlichen Schutz, der personenbezogene Daten vor böswilligen Akteuren schützt. Durch die Absicherung Ihrer E-Mail-Infrastruktur tun Sie mehr, als nur ein staatliches Gesetz zu befolgen. Sie schaffen eine Vertrauensbasis, die gleichzeitig den Ruf Ihrer Marke und Ihre Kunden schützt. Warten Sie nicht auf einen schwerwiegenden Datenverstoß oder eine rechtliche Prüfung, um festzustellen, dass Ihre Domain nicht über die richtigen Sicherheitsvorkehrungen verfügt.
Sichern Sie Ihre Domain und vereinfachen Sie noch heute Ihre Compliance-Prozesse mit PowerDMARC!
Häufig gestellte Fragen
Gilt der CCPA auch für die Kommunikation per E-Mail?
Auf jeden Fall. Der CCPA gilt für alle personenbezogenen Daten, mit denen ein Unternehmen umgeht, und da wir E-Mails für fast alles nutzen, sind sie ein wichtiger Knotenpunkt für diese Daten. Ob es sich nun um die E-Mail-Adresse eines Kunden selbst oder um die in einer Nachricht enthaltenen Details handelt, alles fällt unter den Geltungsbereich des CCPA.
Ist eine E-Mail-Sicherheitsverletzung ein Verstoß gegen den CCPA?
Das kann sein. Wenn eine Sicherheitsverletzung auftritt, weil ein Unternehmen „angemessene“ Sicherheitsmaßnahmen unterlassen hat, könnte dies als Verstoß angesehen werden. Kurz gesagt: Wenn die Tür unverschlossen geblieben ist, kann das Unternehmen gesetzlich zur Verantwortung gezogen werden.
Hilft DMARC bei der Einhaltung der CCPA-Vorschriften?
DMARC ist zwar keine direkte Vorschrift für die Einhaltung des CCPA (das Wort „DMARC“ kommt im Gesetzestext nicht vor), unterstützt diesen jedoch. Der CCPA verlangt „angemessene Sicherheit“, und DMARC ist der Industriestandard zur Verhinderung von direktem Domain-Spoofing. Es dient als wichtiger technischer Schutz, der zeigt, dass Sie den Datenschutz ernst nehmen.
Inhaltsspezialist bei PowerDMARC
Milena ist eine erfahrene Autorin und Inhaltserstellerin mit mehr als 7 Jahren Erfahrung in der Erstellung ansprechender Inhalte über IT, Cybersicherheit, virtuelle Veranstaltungen und mehr. Sie hat eine nachgewiesene Erfolgsbilanz bei der Erstellung hochwertiger Arbeiten für internationale Magazine und ist Absolventin renommierter Institutionen wie der New York University Abu Dhabi, UWC China und dem College of Europe.
Neueste Beiträge von Milena Baghdasaryan (alle anzeigen)
