Wozu ein Sicherheitsprotokoll für E-Mails dient
- Eine Entscheidung verstehen. Ein Kunde beschwert sich, dass eine Nachricht nie angekommen ist: Das Protokoll sagt, ob sie abgewiesen, unter Quarantäne gestellt oder zugestellt wurde, und aus welchem Grund.
- Nachweisen, dass eine Nachricht gestoppt wurde. Nach einem Betrugsversuch kann das Unternehmen zeigen, dass die Nachricht blockiert wurde und wann.
- Nach einem Vorfall ermitteln. Wer im Unternehmen hat dieselbe Kampagne erhalten? Seit wann schreibt diese ähnliche Domain?
- Ein SIEM speisen. Ein Werkzeug zur Sicherheitsüberwachung verknüpft die Entscheidungen des Filters mit Anmeldungen, Arbeitsplätzen und Netzwerk.
Filterprotokoll. Die Spur der Entscheidungen des Filters: Datum, Absenderdomain, Score, Begründung, Entscheidung. Es ist keine Kopie der E-Mails. Die Aufbewahrung der Nachrichten selbst ist Sache des E-Mail-Systems und bei Bedarf einer revisionssicheren Archivierung.
Was eine Entscheidung enthält
In Klytic MTA wird jede Entscheidung erklärt. Score und Begründung stehen in den Headern der zugestellten Nachricht, unter Klytic-eigenen Namen: X-KlyticMTA-Status für die Entscheidung, X-KlyticMTA-Score für den Score, X-KlyticMTA-Reason für die Begründung. Ein Administrator kann also an der Nachricht selbst ablesen, warum sie zugestellt wurde. Das gilt in beiden Angeboten.
Das Angebot Erweitert ergänzt Protokolle, die als konform mit den Referenzrahmen CIS und NIST ausgewiesen und in Ihr SIEM exportierbar sind. Der Unterschied zwischen den beiden Angeboten ist also klar:
- Basis: Die Entscheidung wird Nachricht für Nachricht in den Headern erklärt.
- Erweitert: Die Entscheidungen bilden zusätzlich ein Protokoll, das Sie an Ihr eigenes Werkzeug senden können, um es aufzubewahren und mit anderen Quellen abzugleichen.
Die tägliche Auswertung dieser Entscheidungen wird in Eine Filterentscheidung lesen und exportieren beschrieben.
Zwei Uhren, die man nicht verwechseln sollte
Die technische Uhr des Filters
Sie ist bekannt und vom Produkt festgelegt. Für Klytic MTA gilt:
| Daten | Dauer |
|---|
| Absender, Empfänger, Betreff, Nachrichtentext, Namen der Anhänge, nach normaler Zustellung | Standardmäßig nach 2 Tagen gelöscht; Frist einstellbar |
| Zeitstempel, Absenderdomain, Scores, Entscheidung, Analyse-Metadaten | Nach der Löschung aufbewahrt |
| Gefährliche Nachricht in Quarantäne | Vollständig und verschlüsselt während der Gültigkeit des Freigabelinks, 7 Tage |
| Nachricht in der Warteschlange (Postfachserver nicht erreichbar) | Verschlüsselt bis zur Zustellung oder zum Ablauf der Frist |
Praktische Folge: Einen Monat nach dem Vorfall weiß der Filter, dass eine Nachricht einer bestimmten Domain unter Quarantäne gestellt wurde, mit welchem Score und welcher Begründung. Er weiß nicht mehr, wer sie an wen gesendet hat und was darin stand. Sucht eine Prüfung den Inhalt, muss sie im Postfach oder im Archiv suchen.
Vorsicht vor einer häufigen Verwechslung: Das für die Postfächer von Klytic Mail angegebene 30-Tage-Backup betrifft die Postfächer, nicht die Protokolle des Gateways. Das sind zwei Dienste und zwei Fristen.
Die vom Unternehmen gewählte Uhr
Sie hängt vom Zweck ab. Keine Vorschrift legt eine einheitliche Dauer für ein E-Mail-Filterprotokoll fest. Der Rahmen ist die DSGVO: Man bewahrt so lange auf, wie der Zweck es rechtfertigt, und dokumentiert das.
Ein nützlicher Anhaltspunkt: Für die Protokollierung von Zugriffen und Vorgängen bei einer Verarbeitung personenbezogener Daten empfiehlt die französische Datenschutzbehörde CNIL eine Dauer zwischen sechs Monaten und einem Jahr, in bestimmten begründeten Fällen auch länger. Diese Empfehlung ist nicht verbindlich und betrifft in erster Linie Zugriffsprotokolle, nicht ein Filterprotokoll. Sie erinnert auch daran, dass Protokolle Daten nicht länger aufbewahren sollten als die für die Daten selbst vorgesehene Dauer.
In der Praxis gilt die lange Dauer für den Export, in Ihrem SIEM: Dort legen Sie Aufbewahrung, Zugriff und Löschung fest. Der Filter selbst bewahrt wenig auf.
Beispiel: drei Monate nach einem Betrugsversuch
Hypothetischer Fall. Im Januar erhalten mehrere Mitarbeiter eines Unternehmens eine gefälschte Nachricht ihres Geschäftsführers. Im April fragt der Versicherer, was passiert ist. Was lässt sich zeigen?
- Im Filter: das Datum, die ähnliche Domain, die geschrieben hat, der Score, die Begründung (ähnliche Domain, Fälschung des Anzeigenamens) und die Quarantäneentscheidung für jede Nachricht. Nicht mehr die Empfängeradressen und der Text, die längst gelöscht sind.
- Im SIEM, wenn das Unternehmen das Angebot Erweitert hat und den Export länger aufbewahrt: dasselbe Protokoll, mit dem, was die Richtlinie des Unternehmens aufzubewahren beschlossen hat, abgeglichen mit den damaligen Anmeldungen.
- In den Postfächern: nichts, da die Nachrichten vorher gestoppt wurden.
Der Nachweis beruht also auf der Entscheidung, nicht auf dem Inhalt. Will das Unternehmen mehr aufbewahren, muss es das vor dem Vorfall entscheiden, indem es die Aufbewahrung des Exports festlegt.
Wer auf die Protokolle zugreift
- Der Administrator von Klytic MTA liest die Entscheidungen seiner Domains und erhält im Angebot Erweitert den Export in das SIEM.
- Der Benutzer sieht seine eigene Quarantäne über den Link, den er erhält, ob er ein Klytic-Postfach hat oder nicht: siehe Quarantäne, Fehlalarme und Meldungen.
- In Ihrem SIEM gelten Ihre Zugriffsregeln: Beschränken Sie die Einsicht auf die für die Sicherheit zuständigen Personen.
Ein Sicherheitsprotokoll enthält selbst personenbezogene Daten, und sei es nur Domains und Uhrzeiten: Es wird wie diese geschützt und gelöscht.
Bewährte Vorgehensweisen
- Den Zweck schriftlich festhalten: Diagnose, Nachweis, Ermittlung, Überwachung.
- Die Dauer des Exports entsprechend festlegen und im Verzeichnis von Verarbeitungstätigkeiten eintragen.
- Den Zugriff beschränken und die Einsicht in die Protokolle selbst protokollieren.
- Das Protokoll nicht zu einem E-Mail-Archiv machen: Metadaten aufbewahren, keine Nachrichtentexte.
- Eine echte Suche testen: die Entscheidung zu einer Nachricht von vor drei Monaten wiederfinden.
Telefonaufzeichnungen folgen einer anderen Logik und anderen Fristen: siehe wie lange Aufzeichnungen aufzubewahren sind.
Häufige Fragen
Kann man den Inhalt einer vor einem Monat gefilterten Nachricht wiederfinden?
Nicht im Filter, wenn sie zugestellt wurde: Der Inhalt wird nach der kurzen Frist gelöscht. Suchen Sie ihn im Postfach oder im Archiv.
Wie lange muss man die Protokolle aufbewahren?
Je nach Zweck, der zu dokumentieren ist. Die Empfehlung der CNIL zur Protokollierung nennt als Größenordnung sechs Monate bis ein Jahr.
Ist der Export in ein SIEM in Basis enthalten?
Nein, er gehört zu Erweitert. Basis erklärt jede Entscheidung in den Headern.
Braucht man Klytic Mail für diese Protokolle?
Nein. Sie werden von Klytic MTA erzeugt, unabhängig vom dahinterliegenden E-Mail-System.
Wo Klytic steht
Klytic MTA erklärt jede Entscheidung mit einem Score und einer Begründung in den Headern, in Basis wie in Erweitert. Erweitert ergänzt die in Ihr SIEM exportierbaren Protokolle und die DMARC-Konsole.
Die technische Aufbewahrung ist begrenzt: keine dauerhafte Speicherung der zugestellten Nachricht, Löschung der personenbezogenen Analysedetails standardmäßig nach 2 Tagen, gefährliche Nachricht verschlüsselt für die Dauer des Freigabelinks aufbewahrt, verschlüsselte Warteschlange. Die langfristige Aufbewahrung erfolgt, falls Sie sie benötigen, in Ihrem Werkzeug, auf Basis des Exports.
Der Dienst ist ohne Klytic Mail verfügbar. Er wird in der Klytic-Cloud, auf einer dedizierten Instanz oder auf Ihren Servern bereitgestellt.
Diese Seite beschreibt einen allgemeinen Rahmen. Die für Ihre Organisation geltende Aufbewahrungsdauer hängt von Ihren Zwecken und gegebenenfalls von branchenspezifischen Pflichten ab.
Rechtsstand: 11. Oktober 2026. Keine der geprüften Vorschriften legt eine eigene Aufbewahrungsdauer für E-Mail-Filterprotokolle fest. Die Empfehlung der CNIL vom 18. November 2021 zur Protokollierung ist nicht verbindlich.
Quellen
Abgerufen im Oktober 2026.
- CNIL, „La CNIL publie une recommandation relative aux mesures de journalisation“ (Die CNIL veröffentlicht eine Empfehlung zu Protokollierungsmaßnahmen), 18. November 2021: empfohlene Aufbewahrungsdauer von sechs Monaten bis zu einem Jahr für die Protokollierung von Zugriffen auf eine Verarbeitung, Verlängerung bei Begründung möglich, Empfehlung nicht verbindlich. cnil.fr
- Klytic, Seite Klytic MTA: in den Headern erklärte Entscheidung (Basis und Erweitert), in ein SIEM exportierbare CIS-/NIST-Protokolle (Erweitert), Module der Angebote Basis und Erweitert, Optionen, Bereitstellungsmodi, Inbetriebnahme über den MX. klytic.com
