Das E-Mail-Konto ist für viele Menschen der Generalschlüssel zum digitalen Leben. Passwort-Zurücksetzungen, Rechnungen, private Gespräche und Anmeldungen bei anderen Diensten laufen dort zusammen. Wer Zugriff auf das Postfach erhält, bekommt deshalb oft mehr als einzelne Nachrichten: Er kann weitere Konten übernehmen, Kontakte zuordnen und Gewohnheiten rekonstruieren.
Bei der Wahl eines E-Mail-Anbieters fällt schnell das Wort "verschlüsselt". Das klingt eindeutig, kann aber sehr unterschiedliche Dinge bedeuten. Manche Dienste verschlüsseln nur die Verbindung zwischen zwei Servern. Andere schützen gespeicherte Nachrichten auf der Festplatte. Wieder andere bieten Ende-zu-Ende-Verschlüsselung, bei der nur Absender und Empfänger den Inhalt lesen können.
Keine dieser Maßnahmen beantwortet allein die entscheidende Frage: Welche Daten entstehen beim Anbieter, wie lange bleiben sie dort und wofür können sie verwendet werden?
Eine E-Mail besteht nicht nur aus ihrem Inhalt
Der sichtbare Nachrichtentext ist nur ein Teil einer E-Mail. Für die Zustellung braucht das System zusätzliche Informationen. Dazu gehören Absender, Empfänger, Zeitpunkt, Größe und die beteiligten Mailserver. Je nach Aufbau des Dienstes kommen IP-Adressen, Geräteinformationen, Login-Zeiten, Spam-Bewertungen und Protokolle über fehlgeschlagene Zustellungen hinzu.
Diese Metadaten können aufschlussreich sein, selbst wenn der Nachrichtentext verschlüsselt ist. Wer regelmäßig mit einer bestimmten Organisation kommuniziert, zu welchen Zeiten ein Konto aktiv ist oder aus welchem Land sich ein Gerät verbindet, kann Interessen und Beziehungen erkennen lassen.
Vollständig vermeiden kann ein normaler E-Mail-Dienst solche Daten nicht. Ein Server muss wissen, wohin er eine Nachricht zustellen soll. Er muss Missbrauch begrenzen und technische Fehler untersuchen können. Datenschutz beginnt daher nicht mit dem Versprechen, überhaupt keine Daten zu verarbeiten. Er beginnt mit einer engeren Frage: Welche Daten sind für den Betrieb wirklich nötig, und wann werden sie wieder gelöscht?
Drei verschiedene Arten von Verschlüsselung
Transportverschlüsselung schützt eine E-Mail auf dem Weg zwischen Geräten und Servern oder zwischen zwei Mailservern. Heute wird dafür meist TLS verwendet. Ohne diese Absicherung könnten andere Teilnehmer im Netzwerk den Verkehr leichter mitlesen. Transportverschlüsselung endet jedoch am jeweiligen Server. Dort kann die Nachricht für Verarbeitung, Spamprüfung oder Weiterleitung zeitweise im Klartext vorliegen.
Verschlüsselung im Ruhezustand schützt gespeicherte Daten auf Datenträgern. Sie ist besonders nützlich, wenn Festplatten gestohlen, ausgetauscht oder unsachgemäß entsorgt werden. Entscheidend ist allerdings, wer den Schlüssel kontrolliert. Liegt er auf demselben Server und wird für den laufenden Betrieb automatisch verwendet, kann ein Angreifer mit umfassendem Serverzugriff möglicherweise auch die Daten entschlüsseln.
Bei echter Ende-zu-Ende-Verschlüsselung entsteht der lesbare Inhalt auf dem Gerät des Absenders und wird erst auf dem Gerät des Empfängers wieder entschlüsselt. Der Mailanbieter transportiert dann verschlüsselte Daten. Das setzt kompatible Software und einen sicheren Austausch der Schlüssel voraus. Außerdem bleiben Zustellinformationen wie Absender und Empfänger häufig weiterhin sichtbar.
Ein Anbieter kann mehrere dieser Verfahren kombinieren. Nutzer sollten deshalb nicht nur nach einem Verschlüsselungs-Häkchen suchen, sondern nach dem Ort der Ver- und Entschlüsselung und nach der Kontrolle über die Schlüssel fragen.
Komfort erzeugt serverseitigen Zustand
Klassische IMAP-Postfächer speichern mehr als Nachrichten. Der Server kennt Ordner, Gelesen-Markierungen, Suchindizes, Entwürfe und häufig auch gesendete Nachrichten. Diese Funktionen ermöglichen, dass Smartphone, Laptop und Webmail immer denselben Stand zeigen.
Das ist praktisch, vergrößert aber die Datenmenge, die der Anbieter dauerhaft verwalten muss. Selbst verschlüsselter serverseitiger Zustand kann Rückschlüsse auf Nutzung und Struktur des Postfachs zulassen. Zusätzliche Dienste bedeuten außerdem zusätzlichen Code, der konfiguriert, aktualisiert und gegen Angriffe geschützt werden muss.
Ein datensparsamer Dienst kann bewusst auf einige Komfortfunktionen verzichten. Nachrichten werden dann nur vorübergehend auf dem Server gehalten und anschließend lokal auf den Geräten gespeichert. Der Preis dafür ist weniger Synchronisation. Ordner, Suchindex und Gelesen-Status müssen die Geräte selbst verwalten.
Keines der Modelle ist grundsätzlich richtig. Wer mehrere Geräte nahtlos synchronisieren möchte, bewertet Komfort anders als jemand, der möglichst wenig dauerhaften Zustand beim Anbieter hinterlassen will.
Aufbewahrung, Protokolle und Backups
Eine kurze Löschfrist ist nur dann aussagekräftig, wenn sie den gesamten Lebenszyklus berücksichtigt. Wird eine Nachricht aus dem Postfach gelöscht, kann sie noch in Backups, Spam-Systemen oder technischen Warteschlangen vorhanden sein. Auch Protokolle über die Verbindung können länger bestehen bleiben als die Nachricht selbst.
Interessenten sollten deshalb nach mehreren Fristen fragen:
- Wie lange bleiben nicht abgeholte Nachrichten auf dem Server?
- Wann verschwinden gelöschte Nachrichten aus Sicherungen?
- Welche Login- und Verbindungsdaten werden protokolliert?
- Welche Logs sind gesetzlich vorgeschrieben?
- Welche Daten speichert der Hosting- oder Zahlungsanbieter zusätzlich?
- Werden Protokolle an externe Analyse- oder Reputationsdienste übertragen?
"Keine Analyse zu Werbezwecken" ist eine sinnvolle Zusage, aber nicht dasselbe wie "keine Protokolle". Ein Anbieter kann auf Werbung verzichten und trotzdem Verbindungsdaten für Sicherheit, Fehlerbehebung oder gesetzliche Pflichten speichern müssen.
Auch die Zahlung kann ein Konto identifizieren
Ein privates Postfach hilft wenig, wenn ein dauerhaft gespeicherter Zahlungsvorgang das Konto eindeutig mit Name, Bankverbindung oder Kreditkarte verbindet. Monatliche Abonnements benötigen normalerweise eine fortbestehende Zuordnung zwischen Konto und Zahlungsmethode.
Einmalzahlungen können diese Verbindung verkürzen, sofern der Anbieter den Zuordnungsschlüssel nach Ablauf von Rückgabe- oder Erstattungsfristen tatsächlich löscht. Der Zahlungsdienstleister behält dennoch eigene Daten. Banken, Kreditkartenunternehmen, PayPal und regulierte Kryptobörsen haben jeweils Protokolle und gesetzliche Aufbewahrungspflichten.
Auch Kryptowährungen sind nicht automatisch anonym. Öffentliche Blockchains speichern Transaktionen dauerhaft. Wer Coins über eine Börse mit Identitätsprüfung kauft und direkt an einen Anbieter sendet, hinterlässt eine gut nachvollziehbare Kette.
Die ehrliche Frage lautet daher nicht, ob eine Zahlung spurlos ist. Relevant ist, welche Beteiligten welche Verbindung sehen und ob der E-Mail-Anbieter diese Verbindung dauerhaft seinem Nutzerkonto zuordnen kann.
Aliase trennen Rollen, aber schaffen keine Unsichtbarkeit
E-Mail-Aliase sind nützlich, um verschiedene Lebensbereiche voneinander zu trennen. Für Online-Shops, Newsletter, Foren oder berufliche Kontakte lassen sich unterschiedliche Adressen verwenden. Wird eine Adresse weitergegeben oder mit Spam überflutet, kann sie ersetzt werden, ohne das Hauptkonto zu ändern.
Aliase verhindern außerdem, dass verschiedene Dienste dieselbe Adresse als gemeinsamen Identifikator verwenden. Sie schützen aber nicht automatisch vor Browser-Fingerprinting, Zahlungsdaten oder anderen Kontoinformationen. Wenn alle Aliase im selben Postfach landen, kennt der Mailanbieter weiterhin ihre Zuordnung.
Der Nutzen liegt in Datenhygiene und Schadensbegrenzung, nicht in vollständiger Anonymität.
Weniger Kontowissen erschwert die Wiederherstellung
Viele Anbieter können ein Konto über eine hinterlegte Telefonnummer, Ersatzadresse oder Zahlung wiederherstellen. Das ist bequem, bedeutet aber, dass zusätzliche Identitätsdaten gespeichert werden und Supportmitarbeiter einen Weg zur Kontoübernahme besitzen.
Ein datensparsames System kann diese Wiederherstellungswege bewusst einschränken. Dann liegt mehr Verantwortung beim Nutzer. Gehen private Schlüssel oder Wiederherstellungscodes verloren, kann der Anbieter das Konto möglicherweise nicht zurückgeben.
Vor dem Wechsel sollte deshalb geklärt werden, wie Schlüssel gesichert, neue Geräte hinzugefügt und verlorene Geräte gesperrt werden. Ein Offline-Backup gehört an einen Ort, der vor Diebstahl, Feuer und unbefugtem Zugriff geschützt ist. Die beste technische Architektur hilft nicht, wenn der einzige Schlüssel auf einem defekten Laptop liegt.
Ein bewusst unbequemes Beispiel
Ein ungewöhnlich konsequentes Modell verfolgt privacy.fish. Der Dienst beschreibt sich nicht als gewöhnliches IMAP-Postfach, sondern als temporären, verschlüsselten Zustellpunkt. Eingehende Nachrichten werden laut technischer Dokumentation vor dem Speichern für die öffentlichen Schlüssel des Nutzers verschlüsselt. Sie bleiben höchstens 14 Tage auf dem Server und sollen anschließend auf den eigenen Geräten verwaltet werden.
Der Zugriff verwendet SSH und SFTP statt klassischer Postfach-Passwörter und dauerhaftem IMAP-Zustand. Der Anbieter veröffentlicht seine Infrastruktur- und Konfigurationsentscheidungen als offenen Code und baut Mailserver regelmäßig neu auf. Das soll die dauerhafte Präsenz eines Angreifers erschweren, macht ungepatchte Schwachstellen aber nicht wirkungslos.
Das Konzept hat klare Nachteile. Serverseitige Ordner, Suchindizes und Gelesen-Markierungen werden nicht zwischen Geräten synchronisiert. Die Dokumentation nennt derzeit nur einen Kommandozeilen-Client als vollständig unterstützt. Auch die Protokollierung verschwindet nicht: Privacy Fish gibt an, SSH- und SFTP-Logins mit Benutzername, Quell-IP, Port und Zeitpunkt aufgrund norwegischer Vorgaben zwölf Monate aufzubewahren.
Beim Bezahlen verwendet der Dienst temporäre Zahlungscodes. Die Zuordnung zwischen Zahlung und Nutzername soll nach 14 Tagen gelöscht werden. Banken, Zahlungsdienstleister oder Blockchains behalten ihre eigenen Informationen dennoch unabhängig davon.
Dieses Beispiel zeigt den eigentlichen Tausch: weniger Daten und weniger serverseitige Funktionen bedeuten mehr Verantwortung auf dem Endgerät. Das ist für technisch versierte Nutzer interessant, aber nicht automatisch die richtige Wahl für Menschen, die Webmail, iPhone-Unterstützung und nahtlose Synchronisation erwarten.
Eine brauchbare Prüfliste
Vor einem Wechsel sollten Nutzer die Datenschutzseite und die technische Dokumentation lesen, nicht nur die Startseite. Gute Anbieter nennen nicht ausschließlich Stärken, sondern auch Grenzen und verbleibende Vertrauensstellen.
Wichtige Fragen sind:
- Wo werden Nachrichten ver- und entschlüsselt?
- Wer kontrolliert die Schlüssel?
- Welche Metadaten und IP-Adressen werden wie lange gespeichert?
- Was verbleibt in Backups?
- Gibt es serverseitige Suche und Synchronisation?
- Wie funktioniert Wiederherstellung nach einem Geräteverlust?
- Welche Informationen bleiben nach einer Zahlung verknüpft?
- Ist der Quellcode der entscheidenden Komponenten einsehbar?
- Welche Betriebssysteme und Mailprogramme werden tatsächlich unterstützt?
- Welche Abhängigkeiten bestehen zu Hosting- und Zahlungsanbietern?
Ein privater E-Mail-Dienst kann die Datenspur verkleinern. Er kann aber weder die Architektur des weltweiten E-Mail-Systems noch die Geräte und Kommunikationspartner seiner Nutzer kontrollieren. Gute Privatsphäre entsteht deshalb nicht durch ein einzelnes Versprechen. Sie entsteht durch nachvollziehbare Grenzen, kurze Aufbewahrung, kontrollierte Schlüssel und eine bewusste Entscheidung darüber, wie viel Komfort der Server übernehmen soll.
