Fax als Pflichtkanal: Ihre Richtlinie zur Dokumentensicherheit

Kurzantwort: eine Richtlinie zur Dokumentensicherheit für das Fax passt auf zwei Seiten: wer senden und empfangen darf, wo die Dateien liegen und wie lange, was das Sendejournal festhält, wie das Papier geschützt wird und wie neue Mitarbeitende eingearbeitet werden. Acht Punkte genügen — von der Geschäftsleitung abgezeichnet und jährlich neu gelesen. Hier ist die Vorlage, geschrieben für Organisationen, in denen das Fax Pflicht bleibt.

Warum das Fax in Sicherheitsrichtlinien zurückkehrt

Gesundheitswesen, Rechtsberatung, Versicherungen, Logistik, öffentliche Beschaffung: In diesen Branchen bleibt das Fax ein Kanal, den Partner verlangen — bisweilen die Rechtsordnung selbst. Sicherheitsteams schätzen dabei einen selten bemerkten Vorteil: Das Fax läuft nicht über das E-Mail-Postfach. Ein per Fax übermitteltes Dokument kann weder einen präparierten Anhang noch einen betrügerischen Link mitbringen — die beiden Einfallstore, über die Erpressungssoftware in Organisationen eindringt. Der Kanal umgeht zudem Spamfilter, die legitime Nachrichten häufiger blockieren, als die Beteiligten ahnen.

Diese digitale Entlastung erhebt nichts: Das Fax bringt eigene Risiken mit, diesmal physische. Ein Blatt aus der Patientenakte, das auf dem Schacht eines frei zugänglichen Multifunktionsgeräts liegen bleibt, eine zweimal falsch gewählte Nummer, ein Entwurf im normalen Papierkorb — Fehler, die weder Verschlüsselung noch Virenschutz je korrigieren werden. Genau hier setzt eine Richtlinie zur Dokumentensicherheit an: Das Fax wird behandelt wie jeder andere Kanal der Organisation, mit eigenen Regeln.

Die konkreten Regeln: Arbeitsplatz, Papier, Entwürfe

Ein dedizierter Arbeitsplatz, kein Gerät im Flur

Das Gerät steht in einem Bereich mit geregeltem Zugang: im Sekretariat, nicht in der Empfangshalle oder der Teeküche. Wer nicht berechtigt ist, tritt nicht ein; ein für das Fax reserviertes Multifunktionsgerät schlägt jeden gemeinsam genutzten Drucker, dessen Ausdruck der erste Vorbeikommende entnimmt. Ohne Gerät, über einen Online-Dienst, verschiebt sich die Regel auf den Arbeitsplatz: versendet wird über ein persönliches Konto, nie über eine geteilte Sitzung ohne individuelle Anmeldung.

Der Papierschacht wird geleert, nicht gefüllt

Ein empfangenes Fax bleibt nie länger als eine Stunde im Schacht: Halten Sie schriftlich fest, wer es entnimmt, wie oft und wohin die Dokumente danach wandern. Ein Fax, das versehentlich bei Ihnen ankommt, wird weder gelesen noch kopiert: Es geht an den Absender zurück oder wird nach Ihrer Vorfallprozedur vernichtet.

Entwürfe werden am selben Tag vernichtet

Übertragungsentwürfe, Testseiten, doppelt ausgedruckte Kopien, veraltete Sendeauflistungen: All das verlässt das Büro über den Kreuzschnittvernichter neben dem Arbeitsplatz — nie über den normalen Abfalleimer, nie über die Altpapiersammlung im Flur. Papier, das den Arbeitsablauf verlassen hat, wird nie wieder Schmierzettel.

Die digitale Seite des Online-Dienstes

Die meisten Organisationen ersetzen das Gerät durch einen Online-Versanddienst; die Richtlinie muss dann die digitale Kette beschreiben — mit vier Anforderungen:

• verschlüsselter Transport: die Übertragung läuft über HTTPS, vom Browser bis zum Server;
• verschlüsselte Speicherung: die Dateien liegen verschlüsselt auf den Datenträgern des Anbieters;
• Speicherdauer: wie viele Tage die Datei nach dem Versand abrufbar bleibt — und wer sie früher löschen kann;
• Serverstandort: eine europäische Organisation bevorzugt ein Hosting innerhalb der Union, vom Anbieter dokumentiert.

Dazu die Kontenregel: persönliche Zugänge, ein eigenes Passwort, Zwei-Faktor-Authentisierung, wo der Dienst sie anbietet. Die technischen Anforderungen an die Übertragung selbst beschreibt unser Leitfaden zur Sicherheit von Faxübertragungen; die Pflichten des Verantwortlichen — Rechtsgrundlage, Verarbeitungsverzeichnis, Auftragsverarbeiter — behandelt unser Artikel zu Fax und Datenschutz.

Protokollieren: wer was gesendet hat — und die Spur bewahren

Das Sendejournal ist das Rückgrat der Richtlinie. Jeder Versand steht darin mit Datum, Uhrzeit, gewählter Nummer, Seitenzahl und dem Status übermittelt oder gescheitert; der zugehörige Sendebericht wird mit dem Dokument abgelegt, das er beweist, und folgt dessen Speicherfrist. Die verantwortliche Person liest das Journal monatlich: ein Versand außerhalb der Öffnungszeiten, eine Nummer außerhalb des Partnerverzeichnisses, ein ungewöhnliches Volumen — jede Auffälligkeit verdient eine einfache Frage, zügig gestellt.

Das Journal selbst wird geschützt: eingeschränkter Zugriff, ein monatlicher Export ins Archiv, keine Löschungen durch die Person, die das Gerät bedient.

Eine Richtlinie in acht Punkten — zum Übernehmen

Abschreiben, anpassen, abzeichnen lassen:

1. Geltungsbereich — erfasste Abläufe, Standorte, Geräte und Online-Dienste.
2. Berechtigungen — wer senden und empfangen darf; eine namentliche, aktuelle Liste.
3. Arbeitsplatz und Zugang — wo das Gerät steht, wer den Bereich betritt, wie der Online-Dienst erreicht wird.
4. Papier — Leerungsintervall des Schachts, Verbleib der Originale, Vernichtung der Entwürfe am selben Tag.
5. Dateien — eine Ablagestruktur, Namensregeln, Speicherfristen je Vorgangsart, Löschung nach dem Versand.
6. Protokollierung — was das Sendejournal festhält, wie Sendeberichte aufbewahrt werden, wer es prüft und wie oft.
7. Schulung — ein Einarbeitungsmodul für neue Mitarbeitende, Auffrischung bei jeder Änderung der Richtlinie.
8. Revision — jährliche Durchsicht durch die Geschäftsleitung, Aktualisierung von Fristen, Zugängen und Berechtigungsliste.

Neue Mitarbeitende einarbeiten

Die Schulung findet am ersten Tag statt, nicht nach dem ersten Zwischenfall. Dreißig Minuten am Arbeitsplatz genügen: wo das Gerät steht, wer senden darf, wie die Nummer doppelt geprüft wird, was mit einem irrtümlich empfangenen Fax geschieht, wohin Entwürfe gehören. Eine Merkseite bleibt am Arbeitsplatz — passt die Regel nicht darauf, passt sie nirgendwo. Die Leitung prüft die ersten Sendungen, dann kommt die Schulung ins Register: wer, wann, welche Version der Richtlinie. Bei der jährlichen Revision landet die Liste der Geschulten wieder auf dem Tisch.

Zwei Seiten, acht Punkte, eine Unterschrift unten: das trennt eine Organisation, die ihre Faxe erduldet, von einer, die sie beherrscht.