Fax im Jahr 2026: wie sicher es wirklich ist und was es im Büro ersetzt

Die kurze Antwort: Das Fax ist technisch nicht mehr der geschützte Direktdraht, für den es viele halten. Faxe laufen heute als Datenpakete über normale Internetleitungen und kommen auf der Empfängerseite häufig als E-Mail an. Deutsche Datenschutzaufsichtsbehörden, etwa in Bremen und Hessen, stufen das Fax deshalb nicht mehr als sicheren Kanal für sensible Daten ein. Für Inhalte ohne Personenbezug bleibt das Gerät nutzbar. Wo aber Verträge, Personalunterlagen oder Gesundheitsdaten übertragen werden, sind verschlüsselte E-Mail oder ein geschütztes Portal die passenderen Wege.

Warum das Fax nicht mehr das ist, was es einmal war

Der gute Ruf des Fax stammt aus einer Zeit, in der eine Faxverbindung eine durchgeschaltete Leitung von Gerät zu Gerät war. Diese Netze existieren nicht mehr. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit beschreibt die heutige Lage so: Faxe werden paketvermittelt übertragen, die Datenpakete laufen über Zwischenstationen verschiedener Betreiber und sind dabei typischerweise nicht verschlüsselt. Der Faxversand birgt nach dieser Einschätzung vergleichbare Risiken wie der unverschlüsselte Versand von E-Mails.

Dazu kommt die Empfangsseite. Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen weist darauf hin, dass klassische Faxgeräte vielerorts durch Multifunktionsgeräte und Fax-Server ersetzt wurden, die eingehende Faxe in E-Mails umwandeln und weiterleiten, teils über Cloud-Dienste. Der Absender kann vorher nicht erkennen, welche Technik auf der Gegenseite steht und wo sein Dokument tatsächlich landet.

Wie die Aufsichtsbehörden das Fax einstufen

Die Bremer Landesbeauftragte kommt zu einem deutlichen Ergebnis: Beim Schutzziel Vertraulichkeit liegt das Fax auf dem Niveau einer unverschlüsselten E-Mail, die sie mit einer offen einsehbaren Postkarte vergleicht. Für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, darunter Gesundheitsdaten, hält sie die Nutzung von Fax-Diensten für unzulässig. Der Hessische Datenschutzbeauftragte formuliert zurückhaltender, in der Sache aber ähnlich: Personenbezogene Daten mit besonderem Schutzbedarf sollten grundsätzlich nicht per Fax übertragen werden, solange Absender und Empfänger keine zusätzlichen Schutzmaßnahmen umgesetzt haben.

Verbreitet ist das Fax trotzdem: Nach einer Anfang 2024 erhobenen Bitkom-Befragung nutzten 77 Prozent der Unternehmen ab 20 Beschäftigten das Fax weiterhin, 25 Prozent sogar häufig oder sehr häufig. Die Frage ist für die meisten Betriebe also nicht theoretisch.

Wofür das Fax noch reichen kann

Nüchtern betrachtet gibt es weiterhin Fälle, in denen wenig gegen ein Fax spricht: Inhalte ohne personenbezogene oder vertrauliche Daten, etwa eine Bestellung an einen Lieferanten, der auf diesem Weg besteht. Die Grenze verläuft beim Inhalt, nicht beim Gerät. Sobald Namen, Vertragsdetails, Personal- oder Gesundheitsdaten auf den Seiten stehen, passt der Kanal nicht mehr zum Schutzbedarf. Spätestens beim Umstieg auf Cloud-Telefonie stellt sich die Frage ohnehin, denn dort gibt es den klassischen analogen Anschluss nicht mehr, an dem das Faxgerät bisher hing, und jede Sonderlösung kostet Aufwand.

Was das Fax im Büro ersetzt

Die Aufsichtsbehörden nennen die Alternativen gleich mit. Bremen empfiehlt Ende-zu-Ende-verschlüsselte E-Mails, im Zweifel auch den Postweg. Hessen führt daneben verschlüsselte E-Mail-Verfahren wie S/MIME oder PGP sowie Portallösungen mit Verschlüsselung auf. Für den Büroalltag heißt das: Ein sauber eingerichteter Mailversand mit Verschlüsselung deckt den Großteil der Fälle ab, wie das aussieht, zeigt unsere Seite zur E-Mail-Sicherheit. Für besonders schützenswerte Dokumente sind geschützte Freigaben über ein Portal der bessere Weg als jeder Anhang. Die Festlegung, welche Dokumentarten über welchen Kanal laufen, gehört in Ihre IT-Compliance, damit die Entscheidung nicht jeden Tag neu am Gerät fällt.

Häufige Fragen

Ist Faxen damit verboten?

Nein. Die Einschätzungen der Aufsichtsbehörden sind kein generelles Verbot des Geräts, sie bewerten den Kanal für bestimmte Inhalte. Bremen hält Fax für besondere Kategorien personenbezogener Daten für unzulässig, Hessen rät bei schutzbedürftigen Daten ohne zusätzliche Maßnahmen davon ab. Entscheidend ist, was übertragen wird, nicht ob ein Faxgerät im Haus steht.

Ist ein Fax sicherer als eine E-Mail?

Nach Einschätzung der Bremer Landesbeauftragten nicht: Beim Punkt Vertraulichkeit liegt das Fax auf dem Niveau einer unverschlüsselten E-Mail. Eine E-Mail, die verschlüsselt übertragen oder Ende-zu-Ende verschlüsselt wird, bietet dagegen Schutzmechanismen, die das Fax nicht hat. Der alte Vergleich, Fax sei die sichere Wahl, stammt aus einer Netztechnik, die es nicht mehr gibt.

Ändern Fax-to-Mail und Cloud-Fax-Dienste etwas an der Bewertung?

Nein, eher im Gegenteil. Genau diese Dienste sind Teil der Begründung: Das Fax kommt als E-Mail an und läuft über Cloud-Infrastruktur, deren Standort und Vertragsgrundlage der Absender nicht kennt. Wer solche Dienste selbst einsetzt, sollte Anbieter, Serverstandort und Auftragsverarbeitungsvertrag genauso prüfen wie bei jedem anderen Cloud-Dienst.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH begleitet den geordneten Ausstieg: Wir erfassen, wo in Ihrem Unternehmen noch Faxe ein- und ausgehen, richten verschlüsselten Mailversand und geschützte Dokumentfreigaben in Microsoft 365 ein und klären, welche Gegenstellen wirklich noch ein Fax verlangen. Als Anbieter von Cloud-Telefonie planen wir auch den Umgang mit bestehenden Faxnummern gleich mit. Mit direktem Ansprechpartner statt anonymer Hotline.

*Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.*

Quellen

• Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen: Telefax ist nicht Datenschutz konform
• Der Hessische Beauftragte für Datenschutz und Informationsfreiheit: Übermittlung personenbezogener Daten per Fax
• Bitkom: In 3 von 4 Büros wird noch gefaxt (Presseinformation vom 17.06.2024)