© Mr. B & Oeln, Photocase.com

E-Mail-Archivierung ist mehr als ein Backup der Mailverzeichnisse: Es geht auch um die Klassifizierung der Mails und Arbeitserleichterungen für Anwender, die in übervollen Mail-Ordnern die Übersicht verlieren.

Kaum eine Technologie, die in den letzten Jahren entwickelt wurde, ist so vielseitig und notwendig wie E-Mail-Archivierung. In vielen Unternehmen entwickelt sie sich zur Best Practice.

Document Lifecycle Management & Compliance

Viele Administratoren, die das Buzzword E-Mail-Archivierung zum ersten Mal hören, denken vor allem im deutschen Sprachraum zuerst an Datenschutz und ordnen es in die Datensicherungsschublade ein. Warum E-Mail-Archivierung unabhängig davon sinnvoll ist, wird verständlicher, wenn der Begriff E-Mail-Management ins Spiel kommt.

Seit Jahrzehnten befassen sich Unternehmen professionell mit dem Thema Aktenablage, um Aufzeichnungen zu schützen und über einen definierten Zeitraum hinweg festzuhalten. Gegen das Problem, in der Papierflut zu ertrinken, halfen Regeln, die festlegten, welche Dokumente wie lange aufzuheben sind, bevor sie von der Aktenablage in den Aktenvernichter wandern. Nur wenig bleibt da dem Gefühl oder dem gesunden Menschenverstand überlassen: In der Papierwelt ist alles genau geregelt.

E-Mail-Management ist ein Werkzeug, das diese Regeln und Prozesse auf E-Mails abbildet und für ein harmonisiertes Document Lifecycle Management sorgt. Es geht also nicht darum, jede belanglose Nachricht auf ewig aufzuheben, auch wenn dies manche Storage-Hersteller empfehlen; seine Bedeutung ist aber auch nicht mit der Einführung von Quota-Regeln abzuhaken. Ähnlich wie die Aktenablage setzt E-Mail-Management eine Policy voraus, die im Idealfall bestimmt, welche E-Mails das System wie lange sichert und wann es sie unwiederherstellbar vernichtet.

Diesen Idealfall setzen nur die wenigsten Unternehmen um; in den meisten ist schon die Unterscheidung zwischen Internet-E-Mails (also Mails, die über das Internet kamen oder dorthin gingen) und internen Mails sowie zwischen geschäftlichen und privaten Nachrichten wegen fehlender Werkzeuge zur E-Mail-Klassifizierung (noch) nicht möglich. Zurzeit gibt es in der Regel nur zwei Klassifikationen: “Spam” und “nicht Spam”. Administratoren, die ausprobieren möchten, wie sie mit mehreren Klassifikationen zurechtkommen, oder die das Look & Feel professioneller Applikationen (zum Beispiel von Titus Labs [1]) spüren wollen, können unter Linux POPFile [2] verwenden und mehrere Mail-Klassifikationen erzeugen. Mehr zur Praxis verrät der Kasten “Praxis E-Mail-Klassifizierung”.

Wie lange behalten?

Ob und wie lange relevante E-Mails aufbewahrungspflichtig sind, ergibt sich aus Compliance-Regeln. Während es in Deutschland meist um die Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) [3] und die Grundsätze ordnungsmäßiger Buchführung (GOB, [4]) geht, sind HIPAA (Health Insurance Portability and Accountability Act) und SOX (Sarbanes Oxley) hauptsächlich für Unternehmen wichtig, die neben Deutschland auch in den USA operativ tätig sind und die dortigen Regelungen beachten müssen. Große Banken arbeiten fast ausschließlich multinational, und in der Pharmazie ist es ähnlich. HIPAA verlangt zum Beispiel die Archivierung Patienten-bezogener Daten bis zu zwei Jahre nach deren Tod. SOX fordert, relevante Daten bis zu vier Jahre nach einem Audit aufzubewahren.

Die meisten dieser Rahmenwerke sprechen nicht direkt über E-Mail-, sondern über Datenarchivierung, und es gibt unter Fachleuten keine einheitliche Meinung, welche der enthaltenen Regeln und genannten Zeiten genau auf E-Mails zutreffen (siehe Kasten “Compliance-Quellen”).

Entschlackungskur für den Mailserver

Auch wer die Diskussion über Document Lifecycle Management und Compliance zu abstrakt und hochgestochen findet, kann am E-Mail-Management noch Gefallen finden und es rein technisch betrachten.

Einfach gar nichts tun, wäre eine ganz falsche Entscheidung, denn sie überließe die Initiative vollkommen dem Benutzer. Administratoren wissen, dass dies eine schlechte Wahl ist: Viele Anwender heben alles auf und löschen E-Mails nie. Ein erster Lösungsansatz sind Quotas, die jedem Benutzer nur eine begrenzte Datenmenge für seine Inbox erlauben. In der Praxis sind Quotas nur bei Hostingplattformen, Internetservice- und Webmail-Providern erfolgreich. In Firmen nehmen Administratoren übergroße Inboxen meist in Kauf, denn automatisch versendete Fehlermeldungen (“Recipient out of quota”) sehen in den Augen von Kunden oder Geschäftspartnern unprofessionell aus.

Wo die Quotas dann doch zuschlagen, weichen die Anwender auf selbst gepflegte Offline-Archive aus, zum Beispiel in Form von »pst«-Dateien bei Microsoft Exchange. Solche Archive sind problematisch, weil die Unternehmen nie wissen, wo die Mitarbeiter ihre E-Mails ablegen und ob sie Teil des Backup-Plans sind. Benutzer neigen dazu, Offline-Archive lokal auf Laptops und PCs zu pflegen, welche die Backup-Strategie nicht erfasst. Bei Zerstörung oder Diebstahl gibt es dann kein Backup und der Umfang verlorener vertraulicher Daten ist nur schwer abzuschätzen. Bei Exchange kommt noch hinzu, dass Benutzer gelegentlich »pst«-Dateien so groß machen, dass sie am Ende unabhängig von Dateisystemproblemen plötzlich irreparabel beschädigt sind.

Archivierungspraxis

Grob umrissen gibt es drei Methoden, um E-Mails zu archivieren:

• E-Mail-Archivierung als Service (so genannte Hosted
  Solutions)
• Archivierung von ein- und ausgehenden Mails durch
  Network-Recording oder zusätzliche Smart Hosts (Appliances) im
  Mailflow
• Archivierung aller Mails (inklusive interner Nachrichten) durch
  Integration mit Groupware wie Microsoft Exchange, Axigen [5] oder
  anderen. Meist sind dafür erhöhte Privilegien oder so
  genannte Journaling-Accounts nötig, um alle E-Mails in die
  Archivsoftware oder auf die Archiv-Appliance zu kopieren.

Hosted Services (also Outsourcing) ist nur für Administratoren interessant, die lediglich ein- und ausgehende Mails archivieren müssen und alles andere dem Benutzer überlassen wollen. Technisch funktionieren sie so, dass der Service Provider für alle eingehenden Mails den MX-Record im DNS übernimmt und sich in ausgehenden Mails als Smart Host einträgt. Derzeit größter Anbieter solcher Lösungen ist die Firma Message Labs [6]. Am interessantesten ist diese Variante für Unternehmen, die ohnehin schon Kunden solcher Provider sind und deren Spam- und Virenfilter nutzen.

Wer nicht Kunde eines solchen Service ist und Mails unter Linux archiviert, kann diese an allen geeigneten Stellen abfangen und ins Archiv schreiben. Die einfachste Möglichkeit ist, ein Linux-System auf einem SPAN-Port (Switched Port Analyzer, Mirror Port) den Mailflow mithören zu lassen. Auf dem Linux-Rechner läuft ein »tcpdump«-Kommando, das den gesamten Netzwerkverkehr auf TCP-Port 25 (SMTP) archiviert.

Ein mittlerer Betrieb kann mit einem solchen einfachen Recorder und einer Plattenkapazität von 1 TByte auf etwa ein bis zwei Jahre zurückblicken. Mit »tcpdump« archivieren klingt zwar aufwändig und wenig benutzerfreundlich, ist aber in der Praxis dennoch gut machbar, wenn pro Jahr nur sehr wenige (eine bis fünf) E-Mail-Wiederherstellungen anfallen. Eine kommerzielle Alternative zur Tcpdump-Methode ist die Net-VCR-Appliance von Niksun [7].

Abbildung 1: Konfiguration der IMAP-Credentials des auf dem Exchange Server angelegten Journaling-Accounts im Open-Source-Programm Mail Archiva.

Abbildung 2: Der Mail-Archiva-Server bindet sich auf verschiedene Weisen in den Mailflow ein, unter anderem über Sendmail-Milter.

Smart Host selbst einrichten

Auch einen Smart Host, der beim Durchlauf alle E-Mails kopiert, kann der Administrator selber einrichten: Viele Appliances, die E-Mails archivieren, sind Smart Hosts. Vom Eigenbau unterscheiden sie sich zum Beispiel durch den Komfort bei der Suche nach einer E-Mail und – im High-End-Bereich – durch die Medien, welche die Software zur Archivierung nutzt. WORM-Datenträger (Write Once, Read Many) schlagen Lösungsanbieter häufig vor: WORM-basierte Appliances schreiben zum Beispiel auf DVDs, Bänder (was die Mitnutzung bereits vorhandener herkömmlicher Backup-Systeme erlaubt) oder spezielle Arrays. Zurzeit sind WORM-basierte Systeme aber nur in der US-amerikanischen Finanzindustrie üblich.

Probleme beim Selbstbau sind mangelnde Benutzerfreundlichkeit und eventuell schlechte Skalierbarkeit. Gute Lösungen sind einfach zu bedienen und beziehen den Benutzer wenigstens ansatzweise ein, geben ihm für die Dauer der Aufbewahrungsfrist also Zugriff auf seine E-Mails im Archiv.

Weitere Lösungsansätze integrieren sich direkt in beliebte Mailsysteme, die Anwender greifen dank Plugins transparent auf die eigenen Mails im Backup zu, zum Beispiel aus Outlook oder Lotus Notes heraus. Ein Beispiel für diese Lösung ist der Symantec Enterprise Vault [8].

Eine Entscheidung, die Administratoren vor dem Einsatz von Archivierungstechnologien treffen sollten, betrifft die Methode, mit der die gewählte Lösung die Rohdaten archiviert und wie sie diese dabei gegebenenfalls verändert.

Abbildung 3: Mail Archiva präsentiert das Ergebnis einer Volltextsuche für den String »test«. Alle E-Mails kann der Anwender per SMTP versenden lassen oder auf den PC herunterladen.

Metadaten und Pointer

E-Mails bestehen nicht nur aus (Nutz-)Daten und (Nutz-)Informationen, sondern enthalten auch Metadaten und Header, die Aufschluss darüber geben, wann, von wo und auf welchem Weg eine Nachricht in der Firma ankam oder wie sie die Firma verlassen hat. Die erhältlichen Technologien und Produkte unterscheiden sich hier zum Teil deutlich. Oft entstehen beim Archivieren zusätzliche Meta-Informationen, manche Lösungen unterschlagen Metadaten, weil sie zum Beispiel nur den Weg bis zum Smart Host oder bis zum Service Provider speichern. Wieder andere Lösungen erlauben es zwar, die Metadaten anzuzeigen, nicht aber, sie zu extrahieren.

Da die Systemverantwortlichen mit der Wahl eines Archivierungssystems eine Entscheidung für längere Zeit treffen, ist es hier und bei der schon erwähnten Policy besonders wichtig, vorab zu klären, welche Features nötig sind.

Ein anderes gravierendes Unterscheidungsmerkmal ist die Frage, wie das System E-Mails archiviert. Manche Lösungen schreiben sie als Dateien auf das Dateisystem (etwa via SAN oder NAS), andere speichern die Mails in einer Datenbank. Die meisten Datenbank-basierten Systeme ersetzen Attachments durch einen Pointer: Enthalten mehrere Mails den gleichen Anhang, speichern sie das eigentliche Attachment nur einmal und vervielfachen es nicht. Gleiches gilt für E-Mails mit mehreren Empfängern im To-, CC- oder BCC-Feld. Eine Kombination aus Pointern und Komprimierung spart viel Plattenplatz ein.

Was den Speicherplatz betrifft, gibt es noch ein weiteres Unterscheidungsmerkmal: Einige Lösungen kopieren die Benutzer-E-Mails ins Archiv und überlassen die Pflege der “Live-E-Mails” weiterhin dem Anwender. Sie verwenden das Archiv meist nur zur Revision, der Benutzer bleibt mit der Flut an E-Mails so allein wie zuvor. Andere Lösungen verschieben E-Mails ins Archiv und speichern dadurch jede Nachricht nur einmal im Firmennetzwerk.

E-Discovery: Mail-Archivierung und Revision

Ein Archiv dient nicht nur dazu, den Mailserver schlank und performant zu halten oder Benutzer beim Mail-Management zu unterstützen. Meist fällt im Zusammenhang mit Mail-Archivierung auch das Stichwort E-Discovery. Es ist nicht ganz so elegant ins Deutsche übersetzbar und bedeutet so viel wie “elektronische Beweissicherung”. Diese Beweise sollen einfach zugänglich und vertraulich sein. Sprich: Die Software indiziert die abgelegten Daten und erlaubt dann eine Volltextsuche.

E-Discovery schließt neben E-Mails auch Instant Messages und mit anderen Technologien übertragene Nachrichten ein. Manche großen Banken gehen so weit, auch die Sprachnachrichten von VoIP-Telefon-Mailboxen zu sichern, in den Document Lifecycle einzubeziehen und der Revision zum Audit oder als Beweismaterial zur Verfügung zu stellen.

Zurzeit ist es unüblich, jede einzelne Mail im Archiv elektronisch zu signieren – das würde den Aufwand für PKI, PKI-Policies und Key Escrow (siehe Kasten “Key Escrow”) zur Mail-Archivierung hinzufügen. Manche Produkte signieren das Archiv täglich, was aber die Vertraulichkeit nicht verbessert, solange keine standfeste Unternehmens-Policy bezüglich der verwendeten Schlüssel vorhanden ist und gelebt wird.

E-Mail – eine Legacy-Technologie?

Obwohl das Kommunikationsmedium E-Mail immens verbreitet ist, hat sich die verwendete Technologie in den letzten acht bis zehn Jahren nur wenig weiterentwickelt. Anwender nutzen E-Mails heute für informelle Konversationen, für Zusammenarbeit und Austausch von Dokumenten. Alternativen, die Zusammenarbeit und Kommunikation unterstützen und bei denen es ebenfalls möglich ist, Dateien oder Nachrichten zu archivieren, nennt Tabelle 1. Neben den in der dritten Spalte genannten Vorteilen führen diese neueren Tools (zumindest in der Theorie) dazu, dass es immer seltener nötig ist, Mails auszutauschen.

Einige Experten sagen voraus, dass diese Entwicklung E-Mail innerhalb der nächsten fünf bis zehn Jahre zur Legacy-Technologie machen wird. Ob das eintritt, ist nur schwer abschätzbar. Zumindest ist aber Mail-Archivierung – nach Jahren ohne nennenswerte Veränderungen der E-Mail-Nutzung – eine Innovation, die den Einsatz dieses Mediums verbessert und vereinfacht. (hge)