E-Mail im eigenen Cloud-Speicher: so funktioniert BYOS

Bring-your-own-Storage-E-Mail (BYOS) ist E-Mail-Hosting, bei dem ein Dienst Ihre Nachrichten annimmt, authentifiziert und verschlüsselt — und sie dann in Speicher schreibt, der Ihnen gehört: ein S3-Bucket in Ihrem eigenen Cloud-Konto, ein Cloudflare-R2-Bucket, ein WebDAV-Server im Keller, notfalls ein Git-Repository. Beim Anbieter bleibt alles, was zwangsläufig im öffentlichen Internet stehen muss: MX-Einträge, die Prüfung von SPF, DKIM und DMARC, Spamfilter, Versandreputation. Die gespeicherten Bytes landen in Ihrem Konto, auf Ihrer Rechnung, in der Region, die Sie gewählt haben.

Nach dem Begriff sucht bisher niemand. Ich benenne ihn trotzdem, weil die Bauform existiert, inzwischen mehrere Teams daran arbeiten und weder „verschlüsselte E-Mail“ noch „eigener Mailserver“ beschreibt, was sie tut.

Warum gibt es BYOS-E-Mail?

Weil Verschlüsselung und Verfügungsgewalt zwei verschiedene Probleme sind und die Branche im Wesentlichen das erste gelöst hat. Zero-Access-Anbieter verschlüsseln eingehende Mail so, dass sie selbst nicht mitlesen können — ein echter Fortschritt, den ich nicht kleinreden will. Der Geheimtext liegt weiterhin auf ihren Platten, in ihrem Rechenzentrum, unter der Zuständigkeit ihres Unternehmens, erreichbar allein über ihr Kontosystem.

Dieser Rest lässt sich nicht wegverschlüsseln. Ein gesperrtes Konto nimmt Ihr Archiv mit, obwohl die Bytes technisch unversehrt sind. Zuständigkeit folgt der Firma, nicht der Hardware: Der US-amerikanische CLOUD Act verpflichtet seit 2018 jedes US-Unternehmen, Daten herauszugeben, über die es Kontrolle hat — unabhängig davon, in welchem Land die Festplatten stehen. Der EuGH kippte 2020 mit Schrems II das Privacy Shield, das Nachfolgeabkommen EU-US Data Privacy Framework gilt seit Juli 2023 und wird seither juristisch angegriffen, und Art. 44 ff. DSGVO macht den Drittlandtransfer zu Ihrer Nachweispflicht, nicht zu der Ihres Anbieters. Übernahmen, Preiserhöhungen und Abschaltungen enden alle gleich: Sie verhandeln aus einer Position, in der jemand anders zwölf Jahre Ihrer Korrespondenz festhält.

Verfügungsgewalt über den Speicher ist die andere Hälfte. Liegen die Bytes in einem Konto, das Ihnen gehört, sind „können sie mitlesen?“ und „können sie es mir wegnehmen?“ nicht mehr dieselbe Frage.

Was ändert sich konkret, wenn die Mail im eigenen Speicher liegt?

Vier Dinge werden messbar einfacher: Backup, Migration, Jurisdiktion und das Überleben des Anbieters.

Backup ist kein Feature mehr, auf das Sie warten. Objektversionierung, Lifecycle-Regeln in einen Cold-Tier, ein nächtliches rclone sync zu einem zweiten Anbieter — dieselben Werkzeuge, die Sie auf alles andere in diesem Bucket längst richten. Kein Exportauftrag, kein Support-Ticket.

Migration wird ein Umbiegen statt einer Extraktion. Das Archiv zieht nicht um, wenn Sie den Routing-Anbieter wechseln; ersetzt wird nur das, was hineinschreibt.

Jurisdiktion wird etwas, das Sie festlegen, statt etwas, das Sie akzeptieren. Es sind zwei Entscheidungen, nicht eine: die Region, in der die Bytes physisch liegen, und das Land, in dem der Speicherbetreiber firmiert. Region ist nicht Jurisdiktion — die EU-Region eines US-Konzerns bleibt über US-Recht erreichbar — und BYOS lässt Sie beides setzen. Wer eine Auftragsverarbeitung nach Art. 28 DSGVO dokumentieren muss, hat dabei weniger zu erklären: Der Speicherort ist dann keine Zusage in einem Vertrag, sondern eine Konfiguration.

Verschwindet der Routing-Dienst nächsten Monat, verlieren Sie eine Oberfläche, kein Jahrzehnt Mail. Diese Asymmetrie ist das ganze Argument.

Ist BYOS dasselbe wie einen eigenen Mailserver zu betreiben?

Nein, und der Unterschied ist der Betriebsaufwand. Selbst hosten heißt, den SMTP-Stack zu führen: Postfix oder ein Container-Äquivalent, Dovecot, eine Spam-Engine, Zertifikatserneuerung, Blocklisten-Monitoring, Reverse DNS, IP-Warmup und den steten Kleinkram, der Mail am Laufen hält. BYOS verschiebt den Speicher und lässt den Mailserver bei jemandem, dessen Beruf das ist.

Die Trennlinie folgt den Fehlerfolgen. Datenverlust ist endgültig; ein schlecht abgestimmter Spamfilter ist ein Dienstag. Über die Auslieferbarkeit ausgehender Mail entscheiden ohnehin die Reputationssysteme anderer Leute — eine frische IP in einem kleinen Block wird von großen Empfängern gegraylistet oder abgewiesen, egal wie korrekt Ihre Konfiguration ist. Kompetenz macht eine kalte IP nicht schnell warm.

Kontrolle über die Daten, ohne den Daemon zu betreiben: Für die meisten, die es mit einem eigenen Mailserver versucht und aufgegeben haben, war genau das der Teil, den sie eigentlich wollten.

Wie weit tragen deutsche Datenschutz-Anbieter?

Weit — aber nicht bis zur Verfügungsgewalt über den Speicher. Posteo betreibt aus Berlin anonyme Konten mit Ökostrom und verzichtet bewusst auf eigene Domains; eine Adresse auf ihre-firma.de ist dort nicht vorgesehen, womit sich das Thema für Unternehmen erledigt. mailbox.org unterstützt eigene Domains und läuft auf eigener Hardware in Berlin, speichert Ihre Mail aber wie jeder Hoster auf seinen Platten, in seinem Konto. Beide sind deutsche Unternehmen unter deutschem Recht, und bei Drittlandfragen ist das viel wert.

Was keiner von beiden vorsieht: dass die verschlüsselten Nachrichten in einem Speicher landen, den Sie selbst bezahlen und dessen Zugangsdaten Sie widerrufen können. „DSGVO-konform“ beantwortet die Frage nach dem Betreiber. Es beantwortet nicht die Frage, wem die Kopie gehört.

Was löst BYOS nicht?

Transportmetadaten, Spam, Auslieferbarkeit und das Vertrauen in den, der routet. Keines davon verbessert sich, weil das Archiv umgezogen ist.

SMTP verhandelt zwischen den Hops offen. Envelope-Adressen, Zeitstempel und der Weg einer Nachricht sind für jedes Relay sichtbar, das sie anfasst. Verfügungsgewalt über den Speicher ändert, wo eine Nachricht ruht, nicht, wie sie gereist ist.

Filtern setzt Lesen voraus, also passiert es im Routing-Dienst, vor der Verschlüsselung im Ruhezustand. Es gibt einen Moment, in dem Ihr Klartext im Arbeitsspeicher eines fremden Rechners liegt. Ein Anbieter, der Ihren Spam filtert und gleichzeitig behauptet, Ihre Mail nie zu sehen, beschreibt etwas, das nicht funktionieren kann.

Ihr Archiv ist Ihres; die Kopie im Gmail-Postfach Ihres Gegenübers ist Googles Geschäft.

Mit der Verfügungsgewalt wandert die Verantwortung mit. Eine zu freizügige Bucket-Policy veröffentlicht Ihre Mail. Ein gelöschter Bucket löscht Ihre Mail. Niemand stellt sie aus dem Backup wieder her, das Sie nicht angelegt haben.

Was sollten Sie prüfen, bevor Sie Mail in eigenen Speicher legen?

Vier Fragen, in der Reihenfolge, in der ich sie stellen würde.

Wer hält den Schlüssel, und wer hält die Bytes? Das sind zwei Antworten. Ein Dienst kann Geheimtext in Ihren Bucket schreiben und den Schlüssel auf eigenen Servern behalten, um Ihr Postfach im Browser darstellen zu können — vertretbar gebaut, aber nicht dasselbe, wie beides zu halten.

Was passiert, wenn Ihr Speicher nicht erreichbar ist? Abgelaufene Zugangsdaten und Rate Limits sind Normalbetrieb. Die Antwort, die Sie hören wollen: Der annehmende Edge quittiert die Zustellung erst, wenn die Nachricht gespeichert ist, sodass die Warteschlange des sendenden Servers von allein erneut zustellt. Die Antwort, die Sie nicht hören wollen, ist ein stilles Verwerfen.

Was kostet der Bucket wirklich? Nicht der Gigabyte-Preis auf der Startseite entscheidet, sondern Request-Kosten und Egress-Gebühren — sie machen Workloads mit vielen kleinen Objekten teuer.

Ist das Format auf der Platte dokumentiert? Wenn nur die Software des Anbieters Ihr Archiv lesen kann, besitzen Sie die Bytes und nicht die Mail. Diese Frage würde ich zuerst stellen.