Seit der überraschenden Schließung des sicheren E-Mail-Dienstes Lavabit verbessern viele E-Mail-Anbieter wegen der Spionage-Affäre rund um PRISM ihre Sicherheitsvorkehrungen. Neben Branchenriesen wie T-Online oder Web.de bietet der Berliner E-Mail-Dienst Posteo Sicherheit gegen Bezahlung. Doch wie sicher ist Posteo? Wir haben nachgefragt.
E-Mail made in Germany verbreitet ein falsches Bild
Die großen deutschen Mailanbieter gehen im Rahmen der PRISM-Affäre aktiv vor und haben ihre Sicherheit verbessert. Begleitet wird dies insbesondere durch eine große Marketingkampagne: E-Mail made in Germany. Beworben wird eine bis vor kurzem von T-Online, GMX und Web.de nicht genutzte Server-zu-Server-Verschlüsselung.
E-Mails von einem E-Mail-Anbieter wie T-Online wurden bislang über unverschlüsselte Leitungen zu einem Anbieter wie Web.de versendet, selbst wenn der Nutzer zuvor ein verschlüsseltes Protokoll genutzt hat. Damit ist nun Schluss.
Infografik der Initiative E-Mail made in Germany.
Allerdings wirft die Werbe-Kampagne ein falsches Licht auf den Rest des Marktes: In den Übersichtsgrafiken der E-Mail made in Germany-Initiative schließt man alle anderen E-Mail-Anbieter aus und behauptet damit unterschwellig, dass diese Dienste keine Verschlüsselung nutzen. Dabei gibt es zahlreiche Anbieter, die eine Server-zu-Server-Verschlüsselung bereits vor der NSA-Affäre genutzt haben und dies auch weiterhin tun. Dazu zählt unter anderem der Internetgigant Google mit dem Angebot Gmail. Aber auch kleine Deutsche Anbieter wie Posteo bietet diesen sicheren Service.
Sicherheit steht bei Posteo an erster Stelle
Bei Posteo steht das Thema E-Mail-Sicherheit seit 2009 im Mittelpunkt der Geschäftsaktivitäten. Die Server von Posteo kommunizieren ausschließlich verschlüsselt mit anderen Servern. Die Übertragungsprotokolle IMAP und POP3 greifen ebenfalls nur über SSL/TLS auf die Server von Posteo zu. Das gleiche gilt auch für den Zugriff über das Webinterface. In beiden Fällen findet zudem das moderne Perfect Forward Secrecy-Verfahren Anwendung.
Bereits hier hebt sich der kleine Anbieter von den E-Mail made in Germany-Initiative ab. Zwar unterstützen GMX, T-Online und Web.de grundsätzlich eine Verschlüsselung bei der Übertragung von IMAP oder POP3, diese muss jedoch vom Nutzer aktiviert werden. Hinzu kommt, dass man die Perfect Forward Encryption ausschließlich beim Anbieter GMX nutzen kann. Das hat die Computerzeitschrift C’t in der aktuellen Ausgabe überprüft. Viele Nutzer greifen daher ohne ihr Wissen über nicht verschlüsselte Leitungen auf ihre E-Mails zu. Bei Posteo hingegen kann man ausschließlich verschlüsselt auf die Server zugreifen.
Verschlüsselte Festplatten
Eines haben alle Anbieter mit Sitz in Deutschland gemein: Die hohen gesetzlichen Anforderungen an den Datenschutz machen einen unbefugten Zugang zu den Daten schwer, aber nicht unmöglich. Bei Posteo sind daher zusätzlich die Server-Festplatten verschlüsselt. Ausschließlich Mitarbeiter haben einen Zugang zu den Daten. Einem Missbrauch beugt das Unternehmen zweifach vor: Zum einen verpflichtet sich jeder Mitarbeiter zur Geheimhaltung, zum anderen weiß selbst das Unternehmen nicht, welches Postfach zu welchem Kunden gehört.
So erklärt Patrick Löhr, Posteo-Gründer und -Geschäftsführer gegenüber Softonic, dass man Zahlungsdaten der Kunden nicht mit den Postfächern verknüpfen könne. Die Suche nach einem passenden Postfach könne sich daher schwierig gestalten und soll demnächst unmöglich werden.
Weitere Sicherheitsvorkehrungen in Arbeit
Wie Löhr bestätigt, arbeitet man aktuell an einer Ende-zu-Ende-Verschlüsselung für den Webzugang. Zusätzlich will man die E-Mail-Daten der Nutzer in Zukunft mit dem Nutzerkennwort verschlüsseln. Spätestens dann haben auch die Posteo-Mitarbeiter keinen Zugriff mehr auf die Daten der Kunden. Einen Zeitplan für diese Sicherheitsvorkehrungen konnte das Unternehmen bislang allerdings nicht nennen.
Fazit: Mehr Sicherheit hat ihren Preis
E-Mail-Dienste in Europa und insbesondere Deutschland sind dank der hohen Anforderungen an den Datenschutz grundsätzlich sicherer als anderswo. Doch eine gute Verschlüsselung erfordert mehr Serverkapazitäten und ist damit teurer. Gerade werbefinanzierte Dienste verzichten daher auf viele wichtige Details. Hier kommen Anbieter wie Posteo ins Spiel, die sich ihren Dienst mit einer monatlichen Pauschale bezahlen lassen.
Update: Posteo führt Verschlüsselung der Handynummern ein
Am 30. August hat Posteo die Verschlüsselung der im System hinterlegten Handynummern eingeführt. Das System speichert die Nummern für eine Passwort-Zurücksetzung im System. Mit der Umstellung haben nun weder das Posteo-Team noch die Systemsoftware einen Zugriff auf die Telefonnummern der Kunden. Diese sind als verschlüsselter Hash im System hinterlegt.
Hat ein Kunde sein Passwort vergessen, gibt dieser auf der Posteo-Seite die Posteo-Kennung und die dazu gehörige Telefonnummer ein. Die Nummer wird anschließend erneut verschlüsselt und mit den Daten im System verglichen. Ist die verschlüsselte Handynummer im System hinterlegt, erhält der Kunde ein neues Passwort per Kurzmitteilung zugesendet.
