Eine gelöschte E-Mail ist weg. Der Eintrag darüber, dass sie zugestellt wurde, ist es nicht. Jede Nachricht hinterlässt auf jedem Server, den sie berührt, mehrere Zeilen in einer Protokolldatei — und die haben eine eigene Lebensdauer, die mit der Nachricht nichts zu tun hat.
Was in einer solchen Zeile steht
Der vollständige Satz je Nachricht
Eine einzige Zustellung erzeugt in der Regel drei bis fünf Zeilen, die über eine gemeinsame Vorgangsnummer zusammenhängen. Zusammengenommen enthalten sie:
| Angabe | Woher |
|---|---|
| Zeitstempel auf die Sekunde | Systemuhr |
| IP-Adresse der Gegenstelle und deren Name | Verbindung und PTR-Eintrag |
Name aus dem EHLO | SMTP-Gespräch |
| Absender und Empfänger des Umschlags | MAIL FROM, RCPT TO |
| Message-ID | Kopfzeile |
| Größe in Bytes, Anzahl der Empfänger | Nachricht |
| Verwendete TLS-Fassung und Verschlüsselung | Verbindung |
| Ergebnis von SPF, DKIM, DMARC | Prüfung |
| Antwortcode und Antworttext des Zielservers | Zustellung |
Der Nachrichtentext ist in einem gewöhnlich eingerichteten Server nicht dabei. Er stünde dort auch schlecht: Protokolle werden zur Fehlersuche gelesen, oft von Personen, die die Post nicht lesen dürfen.
Die Betreffzeile ist ein Grenzfall. Sie steht nicht standardmäßig im Protokoll, lässt sich aber einschalten, und manche Spamfilter tun es von sich aus, weil sie ohne Betreff nicht nachvollziehbar sind. Wer ein System übernimmt, sollte deshalb nachsehen, statt es anzunehmen.
Zwei Seiten protokollieren denselben Vorgang
Das wird regelmäßig übersehen: Eine Zustellung erzeugt Einträge auf beiden Servern. Der sendende protokolliert, dass er ausgeliefert hat; der empfangende, dass er angenommen hat. Beide Betreiber halten damit fest, dass zwischen zwei Adressen zu einer bestimmten Zeit eine Nachricht bestimmter Größe lief.
Kommen Zwischenstationen dazu — ein Spamfilter, eine Weiterleitung, ein Versanddienstleister — protokolliert jede davon dasselbe noch einmal. Für den Absender ist das nicht sichtbar und nicht steuerbar.
Auch hier gilt: Verschlüsselung des Transports ändert daran nichts. TLS schützt den Inhalt der Verbindung, nicht die Tatsache, dass sie stattfand — der Server, der die Nachricht entgegennimmt, entschlüsselt sie ja. Wozu die verschiedenen Verfahren jeweils taugen, steht an anderer Stelle.
Wie lange das aufbewahrt wird
Es gibt keine feste Antwort, aber einen eingespielten Rahmen. Zwei Anforderungen ziehen in unterschiedliche Richtungen.
Der Betrieb braucht die Daten kurz. Die meisten Fragen, die ein Protokoll beantwortet, kommen innerhalb weniger Tage: „Ist meine Mail von gestern angekommen?" Für die Suche nach wiederkehrenden Zustellproblemen sind zwei bis vier Wochen üblich.
Das Datenschutzrecht verlangt eine Begrenzung. IP-Adressen und E-Mail-Adressen sind personenbezogene Daten. Sie dürfen zu einem festgelegten Zweck verarbeitet werden — Betrieb und Sicherheit des Dienstes sind ein solcher — und müssen gelöscht werden, wenn dieser Zweck erfüllt ist. Eine unbegrenzte Aufbewahrung „für alle Fälle" ist keine zulässige Begründung.
In der Praxis läuft das auf 7 bis 30 Tage hinaus, mit einer längeren Frist nur für gesondert begründete Fälle — etwa Aufzeichnungen zu abgewehrten Angriffen. Wichtig ist weniger die genaue Zahl als dass es eine gibt, dass sie dokumentiert ist und dass die Löschung tatsächlich läuft.
Was das für den Absender bedeutet
- Löschen wirkt nur auf den Inhalt. Wer eine Nachricht aus dem Postfach entfernt, entfernt nicht den Vermerk, dass sie ankam. Der steht in einer Datei, auf die kein Nutzer Zugriff hat.
- Die Verbindungsdaten überdauern die Nachricht regelmäßig. Bei kurzlebigen Postfächern ist die Nachricht nach Tagen fort; die Protokollzeile kann länger stehen.
- Wer wissen will, was gespeichert wird, muss den Datenschutzhinweis lesen. Ein ordentlicher Anbieter nennt dort Kategorien und Fristen. Fehlt die Angabe, ist das für sich genommen eine Auskunft.
Und für den Betreiber
- Eine Aufbewahrungsfrist festlegen und technisch durchsetzen. Eine Rotation, die Dateien nach n Tagen wirklich löscht, statt sie nur umzubenennen — sonst liegen die Daten weiter da, nur mit einer Zahl im Namen.
- Nicht mehr protokollieren als nötig. Betreffzeilen und Kopfzeilen im Klartext sind selten erforderlich und machen aus einer Betriebsdatei einen Auszug aus der Korrespondenz.
- Zugriff einschränken. Wer Fehler sucht, braucht das Protokoll. Wer es nicht sucht, braucht es nicht.
- Die Fristen dokumentieren, im Verzeichnis der Verarbeitungstätigkeiten und im Datenschutzhinweis. Das ist die Arbeit, die man beim Einrichten aufschiebt und bei der ersten Auskunftsanfrage bereut.
Ein Protokoll ist ein Betriebsmittel, kein Archiv. Der Unterschied zeigt sich daran, ob jemand eine Frist festgelegt hat — oder ob die Dateien einfach weiter wachsen.