Outlook Web App (OWA)

Was ist Outlook Web App?

Outlook Web App (OWA), auch Outlook on the web genannt, ist der browserbasierte E Mail Client von Microsoft 365 und Exchange Server. Nutzer rufen E Mail, Kalender, Kontakte und Aufgaben über outlook.office.com oder einen eigenen Exchange Server auf. OWA ist Teil der Microsoft 365 Diensteplattform und teilt deren Identitäts , Telemetrie und Sicherheitsmechanismen.

Welche Daten und Cookies verarbeitet OWA?

OWA setzt Authentifizierungs Cookies (ESTSAUTH, AADSSO) für die Anmeldung über Azure AD/Entra ID, Anti CSRF und Sitzungs Cookies (X OWA CANARY, SignInStateCookie) sowie Telemetrie Cookies (MUID, MC1, MS0). Inhalte umfassen E Mail Texte, Anhänge, Kalendereinträge, Kontakte und Suchindizes. Microsoft sammelt zudem Diagnosedaten (Required und Optional Diagnostic Data), die per Tenant Konfiguration gesteuert werden können.

DSGVO und ePrivacy Implikationen

Für interne Mitarbeitenden Mailboxen ist die Rechtsgrundlage typischerweise Vertragserfüllung (Art. 6(1)(b) DSGVO) oder berechtigtes Interesse (Art. 6(1)(f)) für IT Sicherheit. Werden OWA Komponenten auf öffentlichen Websites eingebettet (z. B. Buchungs Add Ins) oder optionale Telemetrie aktiviert, greifen § 25 TTDSG und Art. 5(3) ePrivacy: dann ist eine vorherige Einwilligung notwendig.

Datenübermittlungen und EU Data Boundary

Microsoft betreibt OWA in globalen Rechenzentren. Die EU Data Boundary speichert Kerndaten (E Mails, Kalender, Identität) für EU Kunden in der EU/EEA. Einzelne Telemetrie und Support Workflows können weiterhin in die USA übermittelt werden. Microsoft stellt Standardvertragsklauseln und das DPF (Data Privacy Framework) zur Verfügung; ergänzende Maßnahmen wie Verschlüsselung mit kundeneigenen Schlüsseln (Customer Key) sind empfehlenswert.

Compliance Schritte für OWA

Schließen Sie den Microsoft AVV inklusive aktueller SCCs ab, aktivieren Sie die EU Data Boundary in Ihrem Tenant, beschränken Sie optionale Diagnosedaten auf das Nötigste und konfigurieren Sie Aufbewahrungs und Löschrichtlinien über Microsoft Purview. Ergänzen Sie Ihr Verarbeitungsverzeichnis um OWA und schulen Sie Mitarbeitende zu E Mail Klassifikation und sicherer Anhangsbehandlung.