Täglich versenden Deutsche rund 840 Millionen E-Mails. Viele davon enthalten sensible Inhalte: Kontoauszüge, Arztbriefe, Vertragsunterlagen, private Nachrichten. Was die meisten Nutzer dabei nicht wissen: Der Inhalt einer E-Mail ist standardmäßig so gut geschützt wie eine Postkarte. Wer das Netz anzapft, kann mitlesen. Das ist keine Theorie, sondern gelebte Praxis staatlicher Geheimdienste und krimineller Akteure gleichermaßen.
Warum Standard-E-Mail kein sicheres Medium ist
Das Protokoll, auf dem E-Mail basiert, stammt aus den frühen 1980er Jahren. SMTP, das Simple Mail Transfer Protocol, wurde für eine Zeit entwickelt, in der Sicherheit keine Rolle spielte. Verschlüsselung war kein Gedanke, der damals mitgedacht wurde. Was folgte, sind Jahrzehnte von Flickwerk: TLS schützt die Verbindung zwischen Mailservern, nicht aber den Inhalt auf dem Server selbst. Wer also bei einem großen Freemailanbieter ein Konto führt, lagert seine E-Mails im Klartext auf fremden Servern.
Das betrifft konkret Anbieter wie Gmail oder Outlook. Google hat zwar 2017 erklärt, E-Mails nicht mehr für personalisierte Werbung zu scannen. Analysiert werden Metadaten aber weiterhin: Wer schreibt wem, wann, wie oft. Aus diesen Informationen lässt sich ein präzises Verhaltensprofil erstellen, ohne auch nur eine einzige Nachricht zu lesen.
Transport- vs. Ende-zu-Ende-Verschlüsselung
Hier liegt der entscheidende Unterschied, den viele Nutzer nicht kennen. Transportverschlüsselung schützt die Datenleitung zwischen zwei Servern. Sobald die E-Mail den Zielserver erreicht, liegt sie wieder unverschlüsselt vor. Ende-zu-Ende-Verschlüsselung hingegen sorgt dafür, dass nur Sender und Empfänger die Nachricht lesen können, weil sie auf dem Gerät des Senders verschlüsselt und erst auf dem Gerät des Empfängers entschlüsselt wird. Der Server sieht nur unlesbaren Zeichensalat.
Die bekanntesten Standards für Ende-zu-Ende-Verschlüsselung sind PGP (Pretty Good Privacy) und S/MIME. Beide existieren seit Jahrzehnten, beide sind in der Praxis kaum verbreitet. Der Grund: Sie sind umständlich einzurichten, erfordern, dass beide Seiten den Standard nutzen, und bieten wenig Komfort im Alltag. Anbieter wie ProtonMail oder Tutanota haben deshalb eigene Verschlüsselungslösungen entwickelt, die für Nutzer transparenter funktionieren.
Was die DSGVO wirklich vorschreibt
Seit Mai 2018 gilt die Datenschutz-Grundverordnung europaweit. Sie verpflichtet Unternehmen unter anderem dazu, personenbezogene Daten durch geeignete technische Maßnahmen zu schützen. E-Mail-Kommunikation fällt darunter, sobald sie personenbezogene Daten enthält, also praktisch immer. Wer geschäftliche E-Mails über einen Anbieter ohne ausreichende Schutzmaßnahmen versendet, riskiert Bußgelder. Die Aufsichtsbehörden haben in den vergangenen Jahren mehrfach bewiesen, dass sie bereit sind, diese Regelungen durchzusetzen: Das Hamburger Unternehmen H&M wurde 2020 zu 35,3 Millionen Euro verurteilt, unter anderem wegen unzulässiger Verarbeitung von Mitarbeiterdaten.
Für Privatpersonen ist die Lage weniger dramatisch, aber nicht weniger relevant. Wer Fotos von Kindern, medizinische Informationen oder Finanzdaten per E-Mail verschickt, sollte sich fragen, bei welchem Anbieter diese Daten landen und wie lange sie dort gespeichert bleiben.
Anbieter im Vergleich: Worauf es ankommt
Die Wahl des E-Mail-Anbieters ist eine Datenschutzentscheidung. Entscheidende Kriterien sind: Serverstandort, Verschlüsselungsstandard, Geschäftsmodell und Transparenzbericht. Ein Anbieter mit Servern in Deutschland oder der Schweiz unterliegt strengeren Datenschutzgesetzen als einer mit Servern in den USA, wo der CLOUD Act US-Behörden Zugriff auf gespeicherte Daten ermöglicht. Einen strukturierten Überblick über aktuelle Testergebnisse zu gängigen Anbietern bietet verbraucherschutzmagazin.de, wo verschiedene Dienste nach Datenschutz, Verschlüsselung und Alltagstauglichkeit bewertet werden.
Konkrete Unterschiede zeigen sich schnell:
- ProtonMail speichert Daten verschlüsselt auf Servern in der Schweiz, kennt keine IP-Adressen der Nutzer und bietet Ende-zu-Ende-Verschlüsselung zwischen ProtonMail-Konten automatisch an.
- Tutanota betreibt Server ausschließlich in Deutschland, verschlüsselt Betreff, Inhalt und Anhänge, kostet ab 1 Euro monatlich für Privatnutzer.
- Posteo ist ebenfalls in Deutschland ansässig, anonym bezahlbar (Bargeld per Post), ohne Werbung, mit aktivem Datenschutzkonzept.
- Gmail und Outlook bieten keine Ende-zu-Ende-Verschlüsselung im Standard, verdienen über Nutzerdaten und fallen unter US-amerikanisches Recht.
Praktische Maßnahmen für mehr Sicherheit
Wer den Anbieter nicht wechseln will oder kann, hat dennoch Möglichkeiten, den Schutz zu erhöhen. Die wichtigste Maßnahme ist ein starkes, einzigartiges Passwort kombiniert mit Zwei-Faktor-Authentifizierung. Viele Konten werden nicht durch ausgeklügelte Angriffe geknackt, sondern weil dasselbe Passwort auf mehreren Plattformen genutzt wird. Ein Passwort-Manager löst dieses Problem mit wenig Aufwand.
Für sensible Inhalte lohnt sich die Installation von Thunderbird mit dem Enigmail-Plugin oder die Nutzung von OpenPGP, das seit Thunderbird 78 direkt integriert ist. Das Einrichten dauert etwa 20 Minuten, setzt aber voraus, dass der Empfänger denselben Standard verwendet. Für interne Unternehmenskommunikation ist das gut umsetzbar. Im Privatalltag scheitert es oft an der anderen Seite.
Wer regelmäßig sensible Dokumente verschickt, sollte außerdem prüfen, ob E-Mail überhaupt das richtige Medium ist. Für vertrauliche Inhalte gibt es sichere Alternativen wie Signal (mit der Funktion für Dateiübertragungen) oder verschlüsselte Cloud-Lösungen mit Freigabelinks.
Metadaten: Das unterschätzte Risiko
Selbst wer alle Inhalte verschlüsselt, hinterlässt Metadaten. Wer hat wann an wen geschrieben? Wie groß war die E-Mail? Von welchem Gerät aus? Diese Informationen bleiben auch bei verschlüsselter Kommunikation sichtbar. Sie verraten Beziehungsgeflechte, Gewohnheiten und Zeitpläne. Die NSA hat 2013 durch Edward Snowden enthüllte Dokumente gezeigt, dass allein aus Metadaten präzise Verhaltensprofile erstellt werden können.
Anbieter wie ProtonMail minimieren die gesammelten Metadaten aktiv. Wer ein Konto anlegt, muss keine Telefonnummer angeben und kann über Tor auf den Dienst zugreifen, um die IP-Adresse zu verschleiern. Das ist für die meisten Nutzer Overkill, für Journalisten, Anwälte oder Aktivisten aber relevanter Schutz.
E-Mail Datenschutz ist kein Nischenthema für Techniknerds. Es geht um die Kontrolle über eigene Daten, um rechtliche Sicherheit im Beruf und um das Vertrauen, das wir in digitale Kommunikation setzen. Die Entscheidung für den richtigen Anbieter ist eine der einfachsten Maßnahmen mit spürbarer Wirkung.
