Große Dateien sicher an Kunden senden und von Kunden empfangen

Stand: 14. Oktober 2026

Warum große Unterlagen an der E-Mail scheitern

Bauakten, Gutachten mit Fotos, gescannte Ordner oder Planunterlagen sind schnell mehrere Hundert Megabyte groß. Viele Postfächer begrenzen die Größe eingehender und ausgehender Nachrichten, und jeder Anbieter legt diese Grenze selbst fest. Wer große Unterlagen per E-Mail verschickt, teilt sie deshalb in viele Nachrichten auf oder bekommt sie als unzustellbar zurück. Beides kostet Zeit und erzeugt Rückfragen, welche Teile angekommen sind.

Das zweite Problem ist weniger sichtbar: Eine E-Mail mit Anhang liegt danach in mehreren Postfächern, in Gesendet-Ordnern, auf Mobilgeräten und in Sicherungen. Sie lässt sich nicht zurückholen, und niemand kann später sagen, wer sie geöffnet hat. Für Unterlagen, die vertraulich sind oder die Sie nach einer Frist löschen müssen, ist das ein dauerhaftes Risiko, das mit dem Versand nicht endet.

Das dritte Problem betrifft den Rückweg. In den meisten Büros ist der Versand an Kunden noch geregelt, aber die Unterlagen, die Kunden zurückschicken sollen, kommen auf jedem denkbaren Weg: als Foto im Messenger, als Anhang an die private Adresse eines Mitarbeiters oder als Link zu einem beliebigen Speicherdienst.

Was die Datenschutzaufsicht zur E-Mail sagt

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat in einer Orientierungshilfe beschrieben, wie personenbezogene Daten per E-Mail übermittelt werden dürfen. Sie stützt sich auf Art. 5 Abs. 1 lit. f, Art. 25 und Art. 32 Abs. 1 DSGVO und unterscheidet nach dem Risiko:

• Normales Risiko: Wer E-Mails mit personenbezogenen Daten versendet, muss eine obligatorische Transportverschlüsselung sicherstellen. Die DSK bezeichnet die Transportverschlüsselung als Basisschutz und Mindestmaßnahme.
• Hohes Risiko: Ist der Bruch der Vertraulichkeit mit einem hohen Risiko für die betroffenen Personen verbunden, müssen Verantwortliche regelmäßig eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung vornehmen.
• Empfang: Wer gezielt personenbezogene Daten per E-Mail entgegennimmt, etwa weil er darum bittet, muss die Voraussetzungen für einen sicheren Empfang schaffen. Bei hohem Risiko gehört dazu, dass Ende-zu-Ende-verschlüsselte Nachrichten empfangen werden können.

Wichtig ist eine Einschränkung, die die DSK selbst nennt: Die Orientierungshilfe betrachtet nur den Transportweg. Risiken für bereits empfangene E-Mails, die in Postfächern liegen, behandelt sie nicht. Genau dort entsteht bei großen Anhängen aber das Dauerrisiko, das im ersten Abschnitt beschrieben ist.

In der Praxis scheitert die Ende-zu-Ende-Verschlüsselung per S/MIME oder OpenPGP oft daran, dass Kunden keine Schlüssel oder Zertifikate haben. Deshalb weichen viele Büros auf andere Wege aus.

Freigabelinks, Transferdienste und Datenträger im Vergleich

Statt des Anhangs wird häufig ein Link verschickt, über den der Empfänger die Datei herunterlädt. Das löst das Größenproblem, verschiebt aber die Datenschutzfragen zum Anbieter des Links. Die üblichen Wege haben jeweils typische Schwächen:

Wenn Sie Freigabelinks nutzen, verringern drei Einstellungen das Risiko deutlich: ein Ablaufdatum, nach dem der Link nicht mehr funktioniert, ein Kennwort, das Sie auf einem anderen Weg mitteilen als den Link selbst, etwa telefonisch, und eine Benachrichtigung, sobald die Datei heruntergeladen wurde. Ohne diese Einstellungen ist ein Link so vertraulich wie die E-Mail, in der er steht, denn jeder, der die Nachricht weitergeleitet bekommt, kann die Datei öffnen. Für Unterlagen, die Sie über Monate mit demselben Kunden austauschen, wird die Verwaltung vieler einzelner Links zudem schnell unübersichtlich.

Datenschutzrechtlich gilt für jeden Onlinedienst dasselbe: Er verarbeitet die Dateien in Ihrem Auftrag, also brauchen Sie einen Vertrag nach Art. 28 DSGVO. Verarbeitet er Daten außerhalb der EU, gelten zusätzlich die Bedingungen der Art. 44 ff. DSGVO.

Eine Prüfliste für den sicheren Austausch

Ob Sie einen bestehenden Weg absichern oder einen neuen einführen, diese Punkte sollten erfüllt sein:

1. Vertrag zur Auftragsverarbeitung mit dem Anbieter, bevor die erste Datei hochgeladen wird.
2. Serverstandort in Deutschland oder der EU, einschließlich aller Unterauftragsverarbeiter.
3. Verschlüsselung beim Transport und bei der Ablage, damit eine Kopie der Festplatte allein nichts preisgibt.
4. Anmeldung statt offener Link, damit eine weitergeleitete Nachricht nicht automatisch Zugriff gewährt.
5. Protokoll, wer wann welche Datei geöffnet oder hochgeladen hat.
6. Löschung nach einer festgelegten Frist, damit die Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO eingehalten wird.
7. Rückweg: Kunden müssen auf demselben Weg sicher hochladen können, sonst landen ihre Unterlagen wieder im Postfach.

Wenn Sie nur einen dieser Punkte umsetzen können, beginnen Sie mit dem Rückweg. Unterlagen, die Kunden auf eigene Faust schicken, sind in den meisten Büros das größere Risiko als der eigene Versand.

Unterlagen anfordern statt hinterherschreiben

Ein großer Teil der E-Mails rund um Unterlagen dient nicht dem Versand, sondern der Abstimmung: Was fehlt noch, was ist angekommen, welche Version gilt. Wer diese Abstimmung von der Datei trennt, spart beides. Bewährt hat sich ein einfaches Muster:

• Sie legen für jeden Vorgang eine Liste der benötigten Unterlagen an.
• Der Kunde sieht dieselbe Liste und lädt zu jedem Punkt hoch, was er hat, oder markiert, dass etwas nicht vorhanden ist.
• Was noch offen ist, steht auf beiden Seiten gleich, und eine Erinnerung geht ohne Ihr Zutun hinaus.

Für wiederkehrende Vorgänge lohnt sich eine Vorlage, damit nicht jede Liste von Hand entsteht. Der Nebeneffekt ist datenschutzrechtlich erwünscht: Sie fordern gezielt nur an, was Sie brauchen, und erfüllen damit den Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO.

Wie portalfox große Dateien und Anforderungen abwickelt

portalfox ist ein Kundenportal von hubfox, das genau diesen Austausch abdeckt. Dateien bis 250 Megabyte je Datei können beidseitig hochgeladen werden und werden mit AES-256-GCM verschlüsselt abgelegt. Über Anforderungen mit Vorlagen fordern Sie fehlende Unterlagen gezielt an; der Kunde sieht einen Hinweis mit direktem Upload. Jeder Zugriff wird protokolliert, Benachrichtigungen enthalten keine Inhalte, und jede Organisation hat eine eigene Datenbank auf einem Server in Deutschland. Kunden können sich auf Wunsch ohne Passwort über einen Anmeldelink per E-Mail oder SMS anmelden.

Wenn Sie prüfen möchten, ob das für Ihre Unterlagen passt, schreiben Sie an kontakt@hubfox.de oder lesen Sie weiter auf der Startseite.

Häufige Fragen

Quellen

• DSK: Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail (Stand 16.06.2021)
• Datenschutz-Grundverordnung, Textausgabe der BfDI (Info 1, Stand März 2026)

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.