Sicherer E-Mail-Anbieter: Worauf es wirklich ankommt

Rund 333 Milliarden E-Mails werden täglich weltweit verschickt. Der größte Teil davon läuft über Dienste, die ihren Umsatz mit Nutzerdaten finanzieren oder deren Server in Ländern stehen, in denen europäische Datenschutzstandards schlicht nicht gelten. Wer das ignoriert, gibt freiwillig mehr preis, als ihm bewusst ist.

Was „sicher“ bei E-Mail wirklich bedeutet

Viele Nutzer verwechseln eine sichere HTTPS-Verbindung mit einem sicheren E-Mail-Anbieter. Das sind zwei verschiedene Dinge. Die Transportverschlüsselung schützt die Übertragung zwischen Browser und Server. Was auf dem Server gespeichert ist, kann der Betreiber trotzdem lesen, wenn er möchte oder muss.

Wer wirklich sicher kommunizieren will, braucht Ende-zu-Ende-Verschlüsselung. Das bedeutet: Die E-Mail wird bereits auf dem Gerät des Absenders verschlüsselt und kann erst vom Empfänger mit seinem privaten Schlüssel geöffnet werden. Der Anbieter selbst hat keinen Zugriff auf den Inhalt. Standards dafür sind PGP (Pretty Good Privacy) und S/MIME. Nicht jeder Dienst unterstützt beides, und nicht jeder macht es einfach genug, damit Normalnutzer es tatsächlich einsetzen.

Serverstandort und Rechtslage: kein Nebenschauplatz

Wo ein Anbieter seine Server betreibt, entscheidet darüber, welches Recht im Zweifelsfall greift. Dienste mit Sitz in den USA unterliegen dem CLOUD Act von 2018. Das Gesetz erlaubt US-Behörden unter bestimmten Voraussetzungen, auf Daten zuzugreifen, die amerikanische Unternehmen speichern, unabhängig davon, wo die Server physisch stehen. Für Nutzer aus der EU ist das relevant, auch wenn sie sich selten damit beschäftigen.

Anbieter mit Sitz in Deutschland oder der Schweiz unterliegen dagegen der DSGVO beziehungsweise dem Schweizer Datenschutzgesetz. Behördliche Anfragen laufen hier über den Rechtsweg, sind dokumentiert und in der Regel enger begrenzt. Das ist kein hundertprozentiger Schutz, aber ein struktureller Unterschied.

Metadaten: was Verschlüsselung nicht abdeckt

Selbst wenn der Inhalt einer E-Mail verschlüsselt ist, bleiben Metadaten sichtbar: Absender, Empfänger, Zeitstempel, Betreffzeile, IP-Adresse. Aus diesen Informationen lassen sich Kommunikationsmuster rekonstruieren, die in manchen Fällen aussagekräftiger sind als der eigentliche Inhalt. Ein Anbieter, der behauptet, keine Metadaten zu speichern oder zu analysieren, sollte das in seinen Datenschutzbestimmungen belegen können, idealerweise durch ein unabhängiges Audit.

Wer sich über Kriterien für die Anbieterwahl informieren möchte, findet beim sicherer E-Mail-Anbieter Ratgeber auch Hinweise darauf, welche technischen Merkmale Verbraucherschützer für besonders relevant halten. Solche Quellen helfen dabei, Herstellerversprechen von tatsächlich nachprüfbaren Eigenschaften zu unterscheiden.

Bekannte Anbieter im Kurzüberblick

Der Markt hat sich in den letzten Jahren deutlich entwickelt. Einige Anbieter haben sich auf sicherheitsbewusste Nutzer spezialisiert, andere werben mit Datenschutz, liefern aber wenig Substanz. Die folgende Tabelle zeigt vier häufig genannte Dienste mit ihren wichtigsten Merkmalen:

Posteo verfolgt ein besonders konsequentes Datenschutzmodell: Keine Werbung, keine Analyse, anonyme Bezahlung möglich. Dafür kostet der Dienst monatlich Geld, was für manche Nutzer ein Hinderungsgrund ist. Dabei sollte man sich fragen, womit ein kostenloser Dienst seinen Betrieb finanziert, wenn nicht mit Nutzerdaten.

Wechsel ohne Datenverlust: So funktioniert es

Der Umzug von einem etablierten Anbieter wie Gmail oder GMX zu einem sichereren Dienst schreckt viele ab. Dabei ist der Prozess mit etwas Planung gut handhabbar.

• Alten Posteingang exportieren: Die meisten Anbieter unterstützen den Export im MBOX- oder EML-Format. Gmail bietet das über Google Takeout an, Outlook über die Exportfunktion im Dateimenü.
• Neue Adresse schrittweise einführen: Wichtige Kontakte, Abonnements und Accounts nacheinander auf die neue Adresse umstellen. Das dauert erfahrungsgemäß zwei bis vier Wochen, wenn man es konsequent angeht.
• Weiterleitung einrichten: Übergangsweise eine automatische Weiterleitung vom alten auf den neuen Account aktivieren, damit keine Nachricht verloren geht.
• Zwei-Faktor-Authentifizierung aktivieren: Unabhängig vom Anbieter sollte der Account durch einen zweiten Faktor gesichert sein. Authenticator-Apps sind sicherer als SMS-Codes.

Ein vollständiger Wechsel ist kein Abend-Projekt. Wer ihn aber konsequent durchzieht, hat nach spätestens einem Monat alle wesentlichen Kommunikationspunkte umgestellt.

Für wen welche Lösung passt

Nicht jeder braucht dasselbe Schutzniveau. Wer hauptsächlich Familienmails und Newsletter empfängt, hat andere Anforderungen als jemand, der beruflich mit vertraulichen Dokumenten arbeitet oder in einer Branche tätig ist, in der Kommunikationsdaten besonders schützenswert sind, also etwa Anwälte, Journalisten oder Mediziner.

Für Privatnutzer ohne besondere Anforderungen ist ein Anbieter mit Sitz in Deutschland oder der Schweiz, DSGVO-konformer Datenverarbeitung und optionaler Ende-zu-Ende-Verschlüsselung bereits ein erheblicher Schritt nach vorne im Vergleich zu den großen kostenlosen Diensten aus den USA.

Wer dagegen professionell sensible Inhalte verschickt, sollte Ende-zu-Ende-Verschlüsselung konsequent nutzen, idealerweise mit eigenem Schlüsselpaar, das der Anbieter nicht kennt. Das erfordert etwas Einarbeitungszeit, ist aber mit heutigen Tools kein Expertenwissen mehr.

Der entscheidende Punkt ist nicht, den perfekten Anbieter zu finden, sondern einen klaren Bruch mit Diensten zu vollziehen, die Sicherheit nur als Marketing betreiben. Das ist eine Entscheidung, die man einmal trifft und dann nicht täglich überdenken muss.