Sichere E-Mail-Anbieter

Ein sicherer E-Mail-Anbieter verschlüsselt dein Postfach, verdient sein Geld nicht mit Werbung und fragt so wenig Daten wie möglich ab. Vier Beispiele für solche Anbieter sind Posteo und mailbox.org aus Berlin, Proton Mail aus der Schweiz und Tuta aus Hannover. Sie verfolgen zwei verschiedene Ansätze: Die einen setzen auf offene Standards und funktionieren mit jedem Mailprogramm, die anderen verschlüsseln stärker automatisch, dafür nur in ihren eigenen Apps. Wir ordnen sie nach Kriterien ein, ohne Preise und ohne Testsieger. Alle Angaben stammen von den offiziellen Seiten der Anbieter.

Die Kriterien

Bevor du Anbieter vergleichst, lohnt ein Blick darauf, was „sicher“ beim Postfach überhaupt bedeuten kann.

1. Transportverschlüsselung: Die Verbindung zwischen deinem Programm, dem Anbieter und anderen Mailservern ist mit TLS gesichert. Zusätze wie DANE erschweren es, diese Verschlüsselung auszuhebeln.
2. Ende-zu-Ende-Verschlüsselung: Nur Absender und Empfänger können den Inhalt lesen, auch der Anbieter nicht. Das geht über PGP, S/MIME oder eigene Verfahren der Anbieter.
3. Verschlüsselte Speicherung: Mails liegen auf den Servern so, dass der Anbieter sie ohne dein Passwort nicht lesen kann.
4. Sitz und Rechtsraum: Wo sitzt das Unternehmen, wo stehen die Server, welches Recht gilt?
5. Geschäftsmodell: Werbefreie Anbieter haben kein Interesse daran, dein Postfach auszuwerten.
6. Datensparsamkeit: Kannst du dich ohne Namen anmelden und anonym bezahlen?
7. Programmwahl: Kannst du Thunderbird, Apple Mail oder dein Smartphone-Mailprogramm nutzen, oder nur die App des Anbieters?

Ein Punkt kommt bei jedem Anbieter dazu: Das Postfach ist nur so sicher wie dein Zugang. Ein sicheres Passwort und Zwei-Faktor-Authentifizierung sollten aktiv sein, egal für wen du dich entscheidest.

Die vier Anbieter im Überblick

Posteo

Posteo ist ein Einzelunternehmen mit Sitz in Berlin, die Server stehen in Rechenzentren in Frankfurt am Main. Der Anbieter wirbt mit einer Anmeldung ohne persönliche Daten und ist nach eigener Aussage garantiert werbefrei. Der „Krypto-Mailspeicher“ verschlüsselt auf Wunsch das gesamte Postfach, auch Kalender, Adressbuch und Notizen lassen sich verschlüsseln. Für den Transport nennt Posteo TLS und DANE, auf den Servern läuft laut Anbieter ausschließlich Open-Source-Software. PGP kannst du im Webmailer nutzen. Das BSI nennt Posteo außerdem als einen der wenigen Anbieter, die das Web Key Directory unterstützen, über das Mailprogramme öffentliche PGP-Schlüssel automatisch finden.

mailbox.org

Hinter mailbox.org steht die Heinlein Hosting GmbH in Berlin. Die Server stehen laut Anbieter „bewusst ausschließlich in Deutschland (Berlin)“. PGP ist über die Funktion Guard direkt im Webmailer nutzbar, ohne zusätzliche Programme. Für Empfänger ohne PGP richtet Guard ein über HTTPS gesichertes Gast-Postfach ein. Auf Wunsch verschlüsselt mailbox.org auch unverschlüsselt ankommende Mails nachträglich mit deinem eigenen PGP-Schlüssel. Der Anbieter nennt Werbefreiheit, anonyme Zahlung per Bargeld, Zertifizierungen nach ISO 27001 und BSI C5 sowie eine Absicherung der Domain mit DNSSEC und DANE.

Proton Mail

Proton Mail hat seinen Sitz in der Schweiz und betreibt eigene Server an mehreren Standorten dort. Der Inhalt der Mails wird laut Proton auf deinem Gerät verschlüsselt, bevor er die Server erreicht, und Proton beschreibt eine „Null-Zugriff-Architektur“. Zwei Einschränkungen nennt der Anbieter selbst: Betreffzeilen sind nicht Ende-zu-Ende-verschlüsselt, und Mails an Adressen bei anderen Anbietern sind standardmäßig nur per TLS auf dem Transportweg geschützt. Für externe Empfänger kannst du eine Mail mit einem Passwort schützen. Alle Apps sind laut Proton Open Source, der Code wurde von unabhängigen Fachleuten geprüft.

Tuta

Tuta gehört zur Tutao GmbH in Hannover. Der Dienst verschlüsselt standardmäßig Mails, Kalender und Kontakte, und zwar auch die Betreffzeilen. Metadaten wie die Adressen von Absender und Empfänger bleiben unverschlüsselt, weil das E-Mail-Protokoll sie für die Zustellung braucht. Tuta nutzt bewusst kein PGP, sondern ein eigenes Verfahren, das inzwischen zusätzlich auf quantenresistente Kryptografie (Kyber-1024 zusammen mit x25519) setzt. Web-, Desktop- und Smartphone-Apps sind als Open Source auf GitHub veröffentlicht, die Daten liegen in nach ISO 27001 zertifizierten Rechenzentren in Deutschland. Wichtig für die Praxis: Tuta bietet kein IMAP an, Thunderbird oder Apple Mail kannst du also nicht anbinden. An externe Empfänger verschickst du verschlüsselte Mails mit einem vereinbarten Passwort.

Zwei Ansätze, zwei Arten von Kompromiss

Offene Standards (Posteo, mailbox.org): Du behältst dein gewohntes Mailprogramm und kannst PGP mit allen Menschen nutzen, die ebenfalls PGP haben, egal bei welchem Anbieter. Dafür musst du Schlüssel selbst verwalten und prüfen. Wie das in Thunderbird geht, zeigt die Anleitung E-Mail mit PGP verschlüsseln.

Eigene Apps mit automatischer Verschlüsselung (Proton Mail, Tuta): Zwischen Nutzern desselben Dienstes läuft die Verschlüsselung automatisch, ohne Schlüsselverwaltung. Dafür bist du stärker an die Apps des Anbieters gebunden, und an alle anderen Adressen geht die Mail ohne Zusatzschritt nur transportverschlüsselt raus.

Beispiel: Eine Familie möchte ein gemeinsames Postfach für Verträge, Arztbriefe und Behördenpost. Die Eltern nutzen Apple Mail auf Mac und iPhone und wollen dabei bleiben. Ein Anbieter mit IMAP und verschlüsseltem Speicher passt hier besser als einer, der nur eigene Apps erlaubt. Eine Fotografin, die vertrauliche Absprachen fast nur mit zwei Kolleginnen beim selben Dienst führt, profitiert dagegen von der automatischen Verschlüsselung eines Komfortanbieters.

Den Wechsel planen

Ein neuer Anbieter ist schnell eingerichtet, der Umzug der alten Adresse dauert länger. So gehst du in Ruhe vor:

1. Neues Postfach absichern. Langes Passwort, zweiter Faktor, Wiederherstellungscodes sicher ablegen.
2. Alte Mails sichern. Exportiere, was du behalten willst, bevor du das alte Konto aufgibst.
3. Wichtige Konten umstellen. Bank, Versicherungen, Behördenportale, Online-Shops und vor allem dein Passwortmanager bekommen die neue Adresse.
4. Kontakte informieren. Eine kurze Mail an Familie, Freunde und Geschäftspartner reicht.
5. Altes Postfach eine Weile behalten. Leite neue Nachrichten weiter oder schau regelmäßig hinein, bis dort kaum noch etwas ankommt.

Was kein Anbieter leisten kann

• Metadaten: Wer wann an wen schreibt, bleibt bei E-Mail grundsätzlich sichtbar.
• Die Gegenseite: Schreibst du an ein Postfach bei einem Anbieter ohne Ende-zu-Ende-Verschlüsselung, liegt die Mail dort lesbar, sobald sie ankommt.
• Dein Gerät: Ist dein Rechner oder Smartphone kompromittiert, hilft auch die beste Serververschlüsselung nicht.

Wenn du für bestimmte Kontakte trotzdem durchgehende Verschlüsselung brauchst, sind PGP oder S/MIME der Weg über Anbietergrenzen hinweg. Welches Verfahren passt, erklärt S/MIME oder PGP.

Die Angaben auf dieser Seite stammen aus den offiziellen Seiten: Posteo-Funktionen, Sicherheit bei mailbox.org, Sicherheit bei Proton Mail und Sicherheit bei Tuta. Anbieter ändern Funktionen, prüfe vor dem Wechsel den aktuellen Stand. Weitere Ratgeber findest du im Bereich E-Mail.