E-Mails verschlüsselt senden in Microsoft 365, ohne Zertifikate

Vertrauliche E-Mails lassen sich in Microsoft 365 ohne Zertifikate verschlüsseln: In Outlook wählen Sie beim Schreiben der Nachricht „Optionen“ und dann „Verschlüsseln“, danach entweder „Verschlüsseln“ oder „Nicht weiterleiten“. Dahinter steht die Nachrichtenverschlüsselung von Microsoft Purview, die laut Microsoft mit Outlook.com, Yahoo, Gmail und anderen Anbietern funktioniert. Der Empfänger braucht dafür weder Microsoft 365 noch ein Zertifikat, er öffnet die Nachricht in Outlook direkt oder über ein Webportal mit Anmeldung oder Einmalcode. In Microsoft 365 Business Premium ist die Funktion laut Microsofts Servicebeschreibung enthalten, für Business Basic und Business Standard braucht es ein Add-on. Wer bestimmte Nachrichten nie unverschlüsselt versenden will, lässt eine Nachrichtenflussregel in Exchange Online automatisch verschlüsseln.

Warum die normale E-Mail für Vertrauliches nicht reicht

Zwischen den Mailservern wird der Transport heute in der Regel per TLS verschlüsselt, in Microsoft 365 ist das laut Microsoft standardmäßig der Fall. Diese Transportverschlüsselung schützt aber nur den Weg zwischen zwei Servern. Im Postfach des Empfängers, in Weiterleitungen und in Sicherungskopien liegt die Nachricht wieder im Klartext, und der Absender hat keinen Einfluss darauf, wer sie dort liest oder wohin sie weitergeleitet wird.

Für Gehaltsabrechnungen, Verträge, Angebote mit Kalkulation, Gesundheitsdaten oder Unterlagen von Kunden ist das zu wenig. Die Nachrichtenverschlüsselung von Microsoft Purview setzt deshalb an der Nachricht selbst an: Sie wird verschlüsselt und nur berechtigten, angemeldeten Empfängern angezeigt, unabhängig davon, bei welchem Anbieter deren Postfach liegt. Microsoft beschreibt genau diese Fälle als typische Einsatzszenarien, etwa Abrechnungen an Kunden oder Befunde an Patienten.

Voraussetzungen: welcher Plan die Funktion enthält

Die Nachrichtenverschlüsselung ist Teil von Microsoft Purview Information Protection und baut auf dem Dienst Azure Rights Management auf. Laut der Microsoft Purview Servicebeschreibung (Stand August 2026) ist „Message Encryption“ in Microsoft 365 Business Premium sowie in den Plänen E3, E5 und F3 enthalten. Für Microsoft 365 Business Basic und Business Standard nennt Microsoft das Add-on Azure Information Protection Plan 1 als Weg, die Funktion nachzurüsten. Welche Optionen Ihr Tenant tatsächlich anbietet, prüfen Sie am schnellsten, indem Sie in Outlook eine neue Nachricht öffnen und nachsehen, ob unter „Optionen“ der Eintrag „Verschlüsseln“ erscheint.

Vertraulichkeitsbezeichnungen, also die manuelle Kennzeichnung von E-Mails und Dokumenten mit Stufen wie „Vertraulich“, sind laut derselben Servicebeschreibung ebenfalls in Business Premium enthalten. Eine solche Bezeichnung kann die Verschlüsselung gleich mitbringen, sodass Ihr Team nur noch eine Stufe auswählt statt einzelne Schalter zu setzen. Wie sich Microsoft 365 insgesamt datenschutzkonform betreiben lässt, haben wir im Beitrag DSGVO-konform mit Microsoft 365 beschrieben.

So verschlüsseln Sie eine E-Mail in Outlook

Der Weg ist im neuen und im klassischen Outlook für Windows derselbe. Sie schreiben die Nachricht wie gewohnt, wechseln auf die Registerkarte „Optionen“ und wählen „Verschlüsseln“. Dort entscheiden Sie sich laut Microsoft Support für die Einschränkung, die Sie durchsetzen möchten, zum Beispiel „Verschlüsseln“ oder „Nicht weiterleiten“. Anschließend senden Sie die Nachricht ganz normal ab.

Zwei Dinge sollten Sie dabei beachten:

• Anhänge in Office-Formaten werden laut Microsoft automatisch mit denselben Einschränkungen geschützt wie die Nachricht. Für PDF-Anhänge muss Ihr Administrator die automatische Verschlüsselung in Exchange Online separat einschalten, sonst gilt der Schutz nur für die Nachricht selbst.
• Ein Dokument, das mit anderen Rechten geschützt werden soll als die Mail, verschlüsseln Sie besser vorher als Datei und hängen es dann an.

Was beim Empfänger passiert

Empfänger mit einem Konto in Microsoft 365, auch aus einer anderen Organisation, lesen die Nachricht laut Microsoft ohne weitere Schritte direkt in Outlook: am PC, am Mac, im Browser und auf dem Smartphone. Ein Hinweis am oberen Rand zeigt, welche Einschränkung gilt.

Empfänger bei Gmail, Yahoo oder anderen Anbietern bekommen stattdessen eine Hüllnachricht mit der Schaltfläche „Nachricht lesen“. Sie führt in ein Webportal, in dem sich der Empfänger entweder mit seinem Google-, Yahoo- oder Microsoft-Konto anmeldet oder einen Einmalcode anfordert. Der Code kommt per E-Mail an dieselbe Adresse und ist laut Microsoft Support 15 Minuten gültig. Danach kann der Empfänger die Nachricht im Portal lesen und auch verschlüsselt antworten, ohne selbst ein Abonnement zu besitzen.

Für die Praxis heißt das: Kündigen Sie die erste verschlüsselte Nachricht bei einem neuen Kontakt kurz an, etwa telefonisch oder in einer normalen E-Mail zuvor. Eine unerwartete Hüllnachricht mit Anmeldeaufforderung sieht sonst genau so aus, wie Phishing aussieht, und aufmerksame Empfänger klicken zu Recht nicht. Welche Prüfregeln Ihre Kontakte dabei anlegen sollten, beschreibt unser Beitrag KI-Phishing erkennen.

Verschlüsseln oder Nicht weiterleiten: der Unterschied

Die beiden Optionen unterscheiden sich in dem, was der Empfänger anschließend darf. Microsoft dokumentiert die Rechte im Detail:

• „Verschlüsseln“ (in der Dokumentation Encrypt-only) verschlüsselt die Nachricht und verlangt eine Anmeldung des Empfängers. Danach darf er alles außer die Verschlüsselung entfernen: Er kann den Text kopieren, drucken und auch weiterleiten. Geeignet für Nachrichten, die vertraulich transportiert werden sollen, mit denen der Empfänger aber frei arbeiten darf, etwa ein Angebot oder eine Abrechnung.
• „Nicht weiterleiten“ verschlüsselt ebenfalls, entzieht dem Empfänger aber die Rechte Weiterleiten, Drucken und Kopieren. In Outlook ist die Schaltfläche „Weiterleiten“ nicht verfügbar, „Speichern unter“ und „Drucken“ fehlen, und die Empfängerliste lässt sich nicht ändern. Geeignet für Informationen, die nur die gewählten Empfänger sehen sollen, etwa Personalunterlagen oder Zahlen aus Gesellschafterkreisen.

Wichtig für die Einordnung: Kein Rechteschutz verhindert, dass jemand den Bildschirm fotografiert oder den Inhalt abtippt. „Nicht weiterleiten“ erschwert das versehentliche und das bequeme Weitergeben, ersetzt aber nicht das Vertrauen in den Empfänger.

Automatisch verschlüsseln per Nachrichtenflussregel

Wer die Verschlüsselung nicht dem Einzelfall überlassen will, legt im Exchange Admin Center eine Nachrichtenflussregel an. Microsoft beschreibt den Weg so: unter „Nachrichtenfluss“ den Punkt „Regeln“ öffnen und eine neue Regel erstellen. Als Bedingung wählen Sie zunächst „Der Absender befindet sich“ mit dem Wert „Innerhalb der Organisation“ und ergänzen dann, wann verschlüsselt werden soll. Bewährt haben sich zum Beispiel:

• ein Schlüsselwort im Betreff, etwa „[vertraulich]“, das Mitarbeitende bewusst setzen
• bestimmte Empfängeradressen, etwa den Steuerberater oder die Lohnbuchhaltung
• die Kombination „Der Empfänger ist extern/intern“ mit „Außerhalb der Organisation“ für ganze Abteilungen wie die Personalabteilung

Als Aktion wählen Sie „Nachrichtensicherheit ändern“ und dann „Office 365-Nachrichtenverschlüsselung und Rechteschutz anwenden“, anschließend die Vorlage „Verschlüsseln“ oder „Nicht weiterleiten“. Antworten auf verschlüsselte Nachrichten werden laut Microsoft ebenfalls verschlüsselt. Eine Grenze nennt die Dokumentation ausdrücklich: Eingehende Mails externer Absender lassen sich per Regel nicht verschlüsseln, sie werden unverändert zugestellt.

Testen Sie eine neue Regel zuerst mit einer kleinen Gruppe, damit Rechnungen an Kunden nicht plötzlich hinter einem Anmeldeportal landen, mit dem niemand gerechnet hat.

Abgrenzung zu S/MIME

S/MIME ist die zweite Möglichkeit, E-Mails in Microsoft 365 zu verschlüsseln, und arbeitet grundlegend anders. Laut Microsoft ist S/MIME zertifikatbasiert: Sie benötigen für jeden Empfänger dessen öffentlichen Schlüssel, jeder Beteiligte muss seinen privaten Schlüssel sicher verwahren, und wird ein privater Schlüssel kompromittiert, braucht der Betroffene einen neuen und muss seinen öffentlichen Schlüssel an alle Kontakte neu verteilen. Dafür bietet S/MIME zusätzlich eine digitale Signatur, die den Absender bestätigt, und eine Ende-zu-Ende-Verschlüsselung, die der Server nicht öffnen kann. Genau deshalb können S/MIME-Nachrichten laut Microsoft aber nicht auf Schadsoftware, Spam oder Richtlinienverstöße geprüft werden.

Microsoft empfiehlt S/MIME für Fälle, in denen eine Seite echte Ende-zu-Ende-Verschlüsselung verlangt, typischerweise im Austausch mit Behörden. Für den Alltag im Mittelstand, in dem Empfänger bei zehn verschiedenen Anbietern sitzen und niemand Zertifikate pflegen will, ist die Nachrichtenverschlüsselung von Microsoft Purview der praktikable Weg. Beide Verfahren sollten Sie nicht auf dieselbe Nachricht anwenden; einige Outlook-Versionen können solche Mails laut Microsoft nicht öffnen. Wie sich S/MIME-Zertifikate im neuen Outlook in Kontakten hinterlegen lassen, zeigen wir im Beitrag S/MIME-Zertifikate in Outlook-Kontakten speichern.

Häufige Fragen

Muss der Empfänger etwas installieren oder bezahlen?

Nein. Empfänger in Microsoft 365 lesen die Nachricht direkt in Outlook. Alle anderen öffnen sie im Browser über das Webportal, entweder nach Anmeldung mit ihrem Google-, Yahoo- oder Microsoft-Konto oder mit einem Einmalcode, der per E-Mail kommt. Laut Microsoft ist dafür weder ein Microsoft 365 Abonnement noch spezielle Software nötig.

Kann ich eine verschlüsselte Nachricht nachträglich zurückziehen?

Mit der in Business Premium enthaltenen Nachrichtenverschlüsselung nicht. Das Zurückziehen und das Ablaufen von Nachrichten für externe Empfänger gehört laut Microsoft zur Advanced Message Encryption, die separate Lizenzen voraussetzt und nur für Nachrichten wirkt, die über das Webportal gelesen werden. Wer diese Kontrolle braucht, sollte das vor der Lizenzentscheidung klären.

Ist eine verschlüsselte E-Mail automatisch DSGVO-konform?

Die Verschlüsselung ist eine technische Maßnahme, die den Schutz personenbezogener Daten beim Versand erheblich verbessert. Ob sie im Einzelfall ausreicht, hängt vom Schutzbedarf der Daten, von der Konfiguration und von Ihren übrigen Prozessen ab. Eine pauschale Zusage lässt sich daraus nicht ableiten; sprechen Sie die Einordnung mit Ihrem Datenschutzbeauftragten oder Berater ab.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet die Nachrichtenverschlüsselung in Microsoft 365 für kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit ein: Wir prüfen, ob Ihr Plan die Funktion enthält, aktivieren sie im Tenant, legen sinnvolle Nachrichtenflussregeln für Personal, Buchhaltung und Geschäftsführung an und kümmern uns um den PDF-Schutz für Anhänge. Dazu gehört eine kurze Anleitung für Ihr Team und ein Textbaustein, mit dem Sie Kunden die erste verschlüsselte Nachricht ankündigen. In einem kostenlosen Erstgespräch klären wir, welche Nachrichten in Ihrem Betrieb verschlüsselt gehören und welcher Weg dafür passt. Rufen Sie uns an oder schreiben Sie an info@h5m.de. Mehr zu unserer Leistung rund um E-Mail-Sicherheit finden Sie auf der Leistungsseite; was für Praxen mit Gesundheitsdaten zusätzlich gilt, steht auf der Seite IT für Arzt- und Zahnarztpraxen.

Quellen

• Microsoft Learn, Microsoft Purview Message Encryption, Stand 10.01.2025 (zuletzt aktualisiert 14.05.2026), https://learn.microsoft.com/en-us/purview/ome
• Microsoft Learn, Microsoft Purview service description (Abschnitt Message Encryption und Sensitivity labeling), Stand 03.08.2026, https://learn.microsoft.com/en-us/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-tenantlevel-services-licensing-guidance/microsoft-purview-service-description
• Microsoft Learn, Configure usage rights for the Azure Rights Management service (Abschnitte Do Not Forward und Encrypt-only), Stand 27.08.2025, https://learn.microsoft.com/en-us/purview/rights-management-usage-rights
• Microsoft Learn, Define mail flow rules to encrypt email messages (deutsche Fassung: Nachrichtenflussregeln zum Verschlüsseln von E-Mails), Stand 22.06.2026, https://learn.microsoft.com/de-de/purview/define-mail-flow-rules-to-encrypt-email
• Microsoft Learn, Email encryption in Microsoft 365 (Vergleich Message Encryption, IRM und S/MIME), Stand 08.09.2023, https://learn.microsoft.com/en-us/purview/email-encryption
• Microsoft Support, S/MIME- oder Microsoft Purview-verschlüsselte E-Mails in Outlook senden, abgerufen 05.09.2026, https://support.microsoft.com/de-de/outlook/mail/send-s-mime-or-microsoft-purview-encrypted-emails-in-outlook
• Microsoft Support, How do I open a protected message (Einmalcode 15 Minuten gültig), abgerufen 05.09.2026, https://support.microsoft.com/office/how-do-i-open-a-protected-message-1157a286-8ecc-4b1e-ac43-2a608fbf3098