Sicherste E-Mail

[BobbyS]

Hallo zusammen. Ich weiß, das Thema wurde schon oft angesprochen, aber ich finde leider sowohl bei Google als auch hier im Forum viele verschiedene Meinungen zu diesem Thema. Mein Anliegen ist, zu einem sichereren oder zu DEM sichersten Provider zu wechseln. Ich habe viele wichtige Dinge wie Bank, Börse, Amazon, Ebay usw. auf Web.de und Hotmail. Allerdings bekomme ich in letzter Zeit sehr oft die Nachricht bei web mit z.B 15 fehlgeschlagene Loginversuche. Mein Passwort besteht aus Groß- und Kleinbuchstaben, sowie Sonderzeichen, deswegen hoffe ich, dass es nicht allzu leicht werden sollte, das Passwort zu knacken. Was Hotmail angeht, habe ich letztens hier im Forum gelesen, dass Microsoft jetzt mit dem neuen Outlook sowohl Nutzer- als auch Zugangsdaten bei sich speichert. Deswegen will ich von diesen zwei Providern weg.

Mit fiel als erster Gmail ein, jedoch Google vertraue ich ehrlich gesagt auch nicht. Protonmail wirbt damit, dass sie keine Passwörter speichern würde, weswegen ein zurücksetzen ohne hinterlegte Telefonnummer oder Recovery Phrase nicht möglich wäre. Hört sich für den Laien gut an. Ich möchte zum einen, dass der Provider nicht unbedingt alles mitliest und zum anderen, dass Passwörter nicht so einfach zu ergattern sind (so wie es bei Outlook wohl bald der Fall sein könnte).

Ich weiß, dass es am sichersten ist, selbst der Provider zu sein. Aber davon habe ich wirklich überhaupt keine Ahnung. Ist sowas schwer aufzusetzen? Welchen Provider könnt ihr mir ansonsten empfehlen?

 

[hhhmmm]

Entweder Zwei-Faktor-Authentifizierung benutzen, falls verfügbar oder https://mailbox.org/de/ oder https://posteo.de/de ...

 

[Mutterbread]

Protonmail
Mailbox.org
Tutanota

sind empfehlenswert. Das Problem mit Outlook und der Passwortweitergabe wird aber kein anderen Mailprovider lösen. Dafür solltest du Outlook deinstallieren.

Die anderen Provider bieten dafür einen eigenen Desktop Client, alternativ Thunderbird.
Mobil FairEmail oder K9 empfehlenswert.

Grundsätzlich wichtig: Starkes Passwort und möglichst in jedem account ein anderes Passwort und 2FA aktivieren.

 

[cartridge_case]

Protonmail wirbt damit, dass sie keine Passwörter speichern würde

Hast du dich da verlesen? Also klar, hoffentlich nicht im Klartext, aber wie sonst willst du dich anmelden können, wenn sie es nicht speichern?!

 

[john.smiles]

Protonmail oder Posteo mit Yubikey (Fido).

 

[Joe Dalton]

Du wirfst hier zwei grundlegende Dinge über den Haufen:

• Zugriff auf die Mails
• Vertraulichkeit der Mails

Da Mails im Normalfall nicht signiert und verschlüsselt sind, hast Du bestenfalls noch die Transportverschlüsselung. Diese liegt aber nicht in Deiner Hand. Daher ist der 2. Punkt insgesamt mau und kann abgehakt werden.

Beim ersten Punkt wirst Du immer das Thema haben, dass Du einen öffentlichen Zugangspunkt hast. Daher wird es auch nahezu immer Loginversuche von Dritten geben. Dagegen hilft Dir nur eine MFA.

Insofern auch Dir einen Anbieter mit MFA-Unterstützung.

 

[Gedankenpolizei]

• Protonmail (hatte Audit)
• Skiffmail (hatte Audit)
• Mailfence (kein Audit)
• Tutanota (kein Audit)
• mailbox.org (kein Audit)
• Gmail (verstößt gerne gegen Gesetze für Daten und Pflicht für Hintertüren)
• Outlook (Pflicht für Hintertüren, da auch US-Unternehmen)

Theoretisch kann man auch keinen deutschen Unternehmen vertrauen, da sie Hand in Hand mit der USA überwachen, Sicherheitslücken absichtlich nicht melden, etc.

Protonmail scheint historisch gesehen das größte Vertrauen zu haben

 

[wrglsgrft]

Ich möchte zum einen, dass der Provider nicht unbedingt alles mitliest

Dann müsstest du verschlüsselte Emails nutzen. Funktioniert aber nur, wenn beide Seiten mitmachen. Die von dir genannten Dienste machen das nicht.
So lange die Email nicht verschlüsselt ist, kann dein Provider die Nachrichten theoretisch immer auslesen.

Ganz grundsätzlich würde ich es so sehen: Jeder Dienstleister, der dir kein Geld für seinen Service abnimmt, der muss sich das Geld anderweitig holen. Und das wertvollste was so ein Dienstleister hat, sind die Daten seiner Nutzer.

Bei kostenlosen Anbietern empfiehlt sich also grundsätzlich der genaue Blick in die Datenschutzbestimmungen.

zum anderen, dass Passwörter nicht so einfach zu ergattern sind (so wie es bei Outlook wohl bald der Fall sein könnte).

Gerade web.de ist halt der Wald und Wiesenprovider für Jedermann. Hier ist der Anteil an Nutzern mit schwachen Passwörtern, die dazu vermutlich noch für mehrere Dienste genutzt werden, besonders hoch. Die Chance hier also Daten abzugreifen, die gewinnbringend verwendet werden können ist verhältnismäßig hoch. Dazu ist 1&1 ein, verglichen mit Google oder Microsoft, relativ kleiner Fisch mit einer deutlich kleineren Sicherheitsabteilung. Die Wahrscheinlichkeit, hier eine Sicherheitslücke zu finden, ist also vermutlich höher als bei größeren Läden.

Was Hotmail angeht, habe ich letztens hier im Forum gelesen, dass Microsoft jetzt mit dem neuen Outlook sowohl Nutzer- als auch Zugangsdaten bei sich speichert. Deswegen will ich von diesen zwei Providern weg.

Das eine hat mit dem anderen nichts zu tun. Was du da gelesen hast betrifft Outlook als Software. So lange du also kein Outlook, bzw. die Passwort-Manager-Funktion, nutzt, ist es diesbezüglich völlig egal, welchen Provider du nutzt.
Was Outlook da tut ist im Prinzip die gleiche Funktion, wie die "Passwort speichern"-Funktion eines Browsers (was auch relativ riskant ist), nur, dass Outlook diese Daten eben an Microsoft weiter leitet.

Protonmail wirbt damit, dass sie keine Passwörter speichern würde

Das hast du falsch verstanden. Passwörter müssen beim jeweiligen Dienst gespeichert werden. Wie sonst sollte der Dienst überprüfen, ob du das richtige Passwort verwendest?

 

[Lumiel]

Ich bin seit vielen Jahren mit Posteo ganz zufrieden... Ja, das kostet 1 Euro im Monat. Aber ich vertraue Posteo in sofern, dass sie keine Daten zum Verkaufen missbrauchen und ohnehin nur das an persönlichen Daten sammeln, was absolut nötig ist. Zudem mag ich die quasie werbefreie Seite, falls ich doch mal den Webmailer nutzen muss. Transportwegverschlüsselung etc gibt es auch,... Vielleicht einfach mal ansehen und durchlesen. Aber auch die bereits genannten Alternativen sind einen Blick wert. Ich glaube, wenn man Einen halbwegs brauchbaren Mailprovider möchte, dann kommt man mit kostenlosen Angeboten nicht sehr weit. Zumindest dann nicht, wenn man Wert auf Werbefreiheit, Datensicherheit etc legt.

VG

 

[CoMo]

Ich bin auch seit vielen Jahren bei Posteo. Die 1€ im Monat sind doch nix. Das ist der Dienst allemale Wert. Dafür gibt es keine Werbung und keinen Verkauf von Metadaten.

Man kann seinen S/MIME oder PGP Schlüssel im DNS hinterlegen.

Und Posteo und Mailbox.org scheint die einzigen Dienste zu sein, die es richtig machen und Spam Mails rejecten. Alle anderen stellen den Mist in einen Spam-Ordner zu.

Nachteil: Man kann keine eigenen Domains verwenden. Das würde mit Mailbox.org gehen.
Schade: Keine App-Passwörter, 2FA nur via TOTP (Kein U2F, kein FIDO2)

Ergänzung (9. Dezember 2023)

Ich weiß, dass es am sichersten ist, selbst der Provider zu sein. Aber davon habe ich wirklich überhaupt keine Ahnung. Ist sowas schwer aufzusetzen?

Das erfordert sehr viel Arbeit und Know-How. Wenn du das nicht nebenbei auch beruflich machst, dann verwirf den Gedanken.

 

[crypto.andy]

Protonmail zu 100%, gibt keinen besseren und sichereren. :-)

 

[gaym0r]

Da Mails im Normalfall nicht signiert und verschlüsselt sind, hast Du bestenfalls noch die Transportverschlüsselung.

Und die Transportverschlüsselung hast du nicht zwischen Mailservern. (nur so als Ergänzung)

Ich sehe es aber auch so, dass viele der Antwortenden hier einige Sachen durcheinander werfen. Inwiefern Protonmail nun gegen Loginversuche sicherer ist als Web.de oder Hotmail erschließt sich mir nicht. Ohne 2FA ist man mit dem richtigen Passowrt bei allen Providern drin.

 

[CoMo]

Protonmail zu 100%, gibt keinen besseren und sichereren. :-)

Würdest du das bitte genauer ausführen, statt hier einfach einen Einzeiler hinzuspucken? Warum ausgerechnet einen Anbieter außerhalb der EU, der somit nicht den Regeln der DSGVO unterliegt?

 

[Gedankenpolizei]

@CoMo
Die DSGVO ist in der Praxis ziemlich wertlos, da die ordentliche Durchsetzung schlecht geprüft wird.
Google, Microsoft, Facebook, Apple, usw. unterliegen mit ihren Produkten in Deutschland auch der DSGVO. Es gibt aber mehrere Gesetze, welche die DSGVO aushebeln. Und Zustimmungen von Nutzern einzuholen ist auch ein Kinderspiel, da fast niemand ließt und erst recht nicht versteht, was er da zustimmt.

Die Schweiz ist bei Datenschutz weniger schweizer Käse als die DSGVO.

 

[eigs]

Da Mails im Normalfall nicht signiert und verschlüsselt sind, hast Du bestenfalls noch die Transportverschlüsselung. Diese liegt aber nicht in Deiner Hand.

Auch die Transportverschlüsselung liegt in der Hand vom User wenn dieser einen Anbieter nutzt der diese Einstellung ermöglicht.
Das kann zum Beispiel Mailbox.org: https://kb.mailbox.org/de/privat/e-mail-artikel/e-mails-definitiv-sicher-versenden

 

[Joe Dalton]

Auch die Transportverschlüsselung liegt in der Hand vom User wenn dieser einen Anbieter nutzt der diese Einstellung ermöglicht.

Auch das garantiert Dir keine durchgängige Ende-zu-Ende-Verschlüsselung und in keinem Fall liegt es in Deiner Hand: es kommen fremde (Server-)Zertifikate zum Einsatz und nicht deinen eigenen. Jeder Provider kam in Deine Mails schauen, wenn er dies möchte (z.B. für Spamfilterung oder andere Inhaltsfilter).

Reading other peoples mails for fun and profit…

Das kann zum Beispiel Mailbox.org: https://kb.mailbox.org/de/privat/e-mail-artikel/e-mails-definitiv-sicher-versenden

Ja, besser als nichts, aber setzt zwingendes Vertrauen in den Anbieter voraus.

 

[Brati23]

Und Posteo und Mailbox.org scheint die einzigen Dienste zu sein, die es richtig machen und Spam Mails rejecten.

Rejecten bedeutet? Zurück zum Absender?
Das wäre aber nicht sehr schlau.
Damit würde ja die Existenz der Adresse bestätigt.

Bei mir (stackmail.com) werden gewisse unerwünschte Mails gleich gelöscht und gehen nicht in den Spam.

 

[Bob.Dig]

Hast du dich da verlesen? Also klar, hoffentlich nicht im Klartext, aber wie sonst willst du dich anmelden können, wenn sie es nicht speichern?!

Das hast du falsch verstanden. Passwörter müssen beim jeweiligen Dienst gespeichert werden. Wie sonst sollte der Dienst überprüfen, ob du das richtige Passwort verwendest?

Soweit ich weiß, kann auch nur ein Hash gespeichert werden, der dann auch noch gesaltet sein kann. Vorteil: Sollte dem Anbieter die entsprechende Datenbank mal "abhanden" kommen, sind die Passwörter selbst eben nicht bekannt. Credential stuffing ist somit nicht möglich.

Ergänzung (10. Dezember 2023)

Rejecten bedeutet? Zurück zum Absender?
Das wäre aber nicht sehr schlau.
Damit würde ja die Existenz der Adresse bestätigt.

Keine Ahnung wie die das machen.

Ich selbst rejecte manchen "Spam" auch, weil ich hoffe, dass die Anbieter dahinter das zur Kenntnis nehmen. Insbesondere, wenn über gmail und Co Spam versendet wird, dann darf google das gerne mitbekommen.
Aber ist sicher ein zweischneidiges Schwert und keine generelle Empfehlung. Bei mir werden wie üblich eh verschiedene Verfahren eingesetzt.

 

[Joe Dalton]

Rejecten bedeutet? Zurück zum Absender?

...zurück zum versendenden MTA.

Das wäre aber nicht sehr schlau.

Doch, kann man so machen und ist auch nicht das schlechteste:
Die Ablehnung der Mailannahme wegen fehlerhafter DNS/SMTP-Konfiguration ist ok und bestätigt nicht mal die Existenz einer Mailadresse. Greylisting kann man auch ohne größere Probleme einsetzen, um groben Schmutz fernzuhalten.

Damit würde ja die Existenz der Adresse bestätigt.

Nö, dass wäre es erst, wenn Du nach der Spamerkennung das als direkten Ablehnungsgrund zurück lieferst.

Bei mir (stackmail.com) werden gewisse unerwünschte Mails gleich gelöscht und gehen nicht in den Spam.

eMails einfach zu erden (vorzugsweise ohne jegliches Feedback an Sender/Empfänger) würde ich als schlechteste Entscheidung sehen, sofern der Empfänger für sich persönlich das so nicht konfiguriert hat. Und je nach Kontext (privat/geschäftlich) muss eh alles aufgehoben werden, was einmal durch den Mailserver gegangen ist.

Insofern: Reject für Mails, die den formalen Anforderungen nicht genügen, und Spam-Ordner für den übrig gebliebenen Müll.

 

[Brati23]

Hey, Danke für die Erklärung.

Ich lösche nur @adressen direkt welche immer wieder im Spam sind aber bei denen ich nicht auf den "Abmelden" link klicken möchte.
Schlagwörter werden nicht direkt gelöscht, ist mir zu heikel.

Dann scheint Reject ja doch was gutes zu sein.
Leider bin ich zu wenig in der Materie um das irgendwie einzurichten. Falls das bei Stackmail denn möglich wäre.