Wer hält die Schlüssel zu Ihrer E-Mail? Die vier Kombinationen

E-Mail-Verfügungsgewalt sind zwei Fragen, nicht eine: Wer hält die Schlüssel, die Ihre Mail entschlüsseln, und wer hält die Bytes, in denen diese Nachrichten gespeichert liegen? Fast jedes Datenschutzversprechen im E-Mail-Hosting beantwortet eine davon und lässt die andere stillschweigend liegen. Schlüssel entscheiden, wer Ihre Mail lesen kann. Bytes entscheiden, wer sie vorenthalten, verlieren oder auf Anordnung herausgeben kann.

Kreuzt man beides, ergeben sich vier Anordnungen. Jedes Mailprodukt auf dem Markt sitzt in einer von ihnen, und jede fällt auf ihre eigene charakteristische Weise aus.

Wo landen die vier Kombinationen?

Schlüssel	Bytes	Wer so arbeitet	Was es tatsächlich schützt
Anbieter	Anbieter	Gmail, Microsoft 365, die meisten cPanel- und Shared-Hosting-Angebote	Eine gestohlene oder ausgemusterte Platte
Sie	Anbieter	Zero-Access-Anbieter: Proton Mail, Tuta	Dass der Anbieter Ihre gespeicherte Mail liest
Anbieter	Sie	Ein Routing-Dienst, der Mail verschlüsselt und in Ihren Speicher schreibt, den Schlüssel aber serverseitig behält	Dass Sie das Archiv an ein Kontosystem oder eine Jurisdiktion verlieren
Sie	Sie	Eigener Mailserver; Postfächer mit Schlüsseln, die im Browser entstehen	Beides — und es reicht Ihnen jeden Fehlerfall weiter

Die dritte Zeile ist die, mit der niemand rechnet, weil „verschlüsselt, im eigenen Bucket“ klingt, als müsste es die stärkste Variante sein. Sie ist eine echte und vertretbare Bauform — der Anbieter braucht den Schlüssel, um Ihr Postfach im Browser darzustellen und eingehende Mail zu filtern —, aber ein Dienst, der den Schlüssel hält, kann alles lesen, was er abruft, ganz gleich wo die Datei physisch liegt.

Warum ist „verschlüsselt im Ruhezustand“ nur die halbe Antwort?

Weil dieser Satz in fast jedem Produkt Verschlüsselung mit Schlüsseln bedeutet, die der Anbieter verwaltet und deshalb bei jedem Lesezugriff transparent anwendet. Google, Microsoft und AWS verschlüsseln Kundendaten im Ruhezustand alle mit AES-256 und anbietereigenen Schlüsseln. Das ist echte Ingenieursarbeit und verteidigt gegen eine bestimmte Bedrohung: Platten, die das Gebäude verlassen. Über die Frage, wer Ihr Postfach von innen lesen kann, sagt es nichts.

Der Test ist eine einzige Frage. Wenn jemand beim Anbieter morgen verpflichtet wird, Ihre Mail herauszugeben: Was kommt heraus — lesbare Nachrichten oder eine Datei, die keiner der Beteiligten öffnen kann? Alles andere auf einer Datenschutzseite ist Kommentar zu dieser Antwort.

Was geht in jedem Quadranten wirklich schief?

Unterschiedliche Dinge — und zu wissen, welchem davon Sie ausgesetzt sind, zählt mehr als die theoretisch stärkste Option zu wählen.

Anbieterschlüssel, Anbieter-Bytes. Eine behördliche Anordnung fördert lesbare Mail zutage. Ein übernommenes Admin-Konto oder ein Mitarbeiter, der seinen Zugriff missbraucht, ebenso; die Sicherung ist Richtlinie und Audit-Log, nicht Mathematik. Inhalte sind dem Anbieter durch die Bauform verfügbar, und genau so funktionieren Spamfilter, Suche, Antwortvorschläge und historisch auch Werbeausrichtung. Wird das Konto gesperrt, geht das Archiv mit. In der Praxis ist dieser Quadrant für die meiste Mail völlig in Ordnung und für den kleinen Rest, den Sie nicht vorgelesen bekommen möchten, katastrophal.

Ihre Schlüssel, Anbieter-Bytes. Das Leseproblem ist gelöst, das Verfügbarkeitsproblem ist schlimmer. Eine Auskunftsanordnung ergibt Geheimtext plus alles außerhalb davon: Abrechnungsdaten, Login-IP-Adressen, Envelope-Protokolle, manchmal Betreffzeilen. Eine Sperre trennt Sie weiterhin vom Archiv, und jetzt kann es niemand mehr zurückgeben, weil der Anbieter nicht entschlüsseln kann, was er speichert. Ein vergessenes Passwort ohne Wiederherstellungsphrase zerstört das Postfach endgültig. Das ist kein Fehler, sondern die Zusage bei der Arbeit — aber es ist die häufigste Art, ein Zero-Access-Archiv zu verlieren.

Anbieterschlüssel, Ihre Bytes. Ihr Archiv überlebt den Anbieter: Es liegt in Ihrem eigenen Cloud-Konto, auf Ihrer eigenen Rechnung, in einer Region, die Sie gewählt haben, und keine Kontosperre reicht dorthin. Zwei Einschränkungen reisen mit. Der Anbieter kann die Nachrichten, die er verarbeitet, weiterhin lesen, und eine Anordnung, den Schlüssel herauszugeben, ist trivial zu befolgen. Und das Archiv ist nur dann in einem nützlichen Sinne Ihres, wenn das Format auf der Platte dokumentiert ist; kann allein die Software des Anbieters es parsen, besitzen Sie Bytes statt Mail.

Ihre Schlüssel, Ihre Bytes. Es gibt nichts, wogegen eine Anordnung ergehen könnte, außer Transportmetadaten in fremden Relays, und kein Konto, das jemand sperren kann. Der Preis: Jeder Fehler ist jetzt endgültig und Ihrer — eine verlorene Passphrase, ein gelöschter Bucket, eine zu freizügige Speicher-Policy, die ein Archiv veröffentlicht, ein unbemerktes Backup, das im März aufgehört hat zu laufen. Ein eigener Mailserver bringt zusätzlich den Betriebsschwanz mit: Zertifikatserneuerung, Blocklisten-Monitoring, Reverse DNS, IP-Warmup — und über die Auslieferbarkeit ausgehender Mail entscheiden die Reputationssysteme anderer Leute, egal wie korrekt Ihre Konfiguration ist.

Welche Kombination sollten Sie wählen?

Wählen Sie den Quadranten, der den Fehlerfall abdeckt, den Sie tatsächlich nicht überleben würden, und bauen Sie dann um den herum, den er offen lässt.

Wenn Ihre Sorge ein Anbieter oder eine Behörde ist, die Ihre Korrespondenz liest, brauchen Sie Ihre Schlüssel — und sollten akzeptieren, dass der Verlust der Zugangsberechtigung die Mail kostet. Wenn Ihre Sorge der Zugangsverlust ist — gesperrtes Konto, verkaufter Anbieter, neue Preise, eine Firma, die zumacht, eine Jurisdiktion, die Sie nicht verwenden dürfen —, brauchen Sie die Bytes, und die Schlüsselfrage ist eine separate Entscheidung, die Sie später treffen können. Wenn eine schriftliche Anforderung verlangt, dass die Daten in einem Konto liegen, das Sie kontrollieren, erfüllen das nur die unteren beiden Zeilen, und kein Anbieterversprechen ersetzt sie.

Für deutsche Beschaffung ist das der praktische Punkt: „DSGVO-konform“ beschreibt den Betreiber, nicht den Eigentümer der Kopie. Die beiden Zeilen mit Bytes auf Ihrer Seite machen aus dem Speicherort eine Konfiguration statt einer Zusage, die Sie einem Prüfer weiterreichen.

Fast niemand braucht die Betriebslast des vierten Quadranten, um seine Zusagen zu bekommen — weshalb aus den unteren beiden Zeilen in den letzten Jahren eine echte Kategorie geworden ist.

Eine Gewohnheit ist mehr wert als diese ganze Analyse. Stellen Sie einem Anbieter beide Fragen getrennt und schriftlich: Wer hält die Schlüssel, und wer hält die Bytes? Anbieter, die darüber nachgedacht haben, antworten mit je einem Satz. Anbieter, die es nicht haben, beantworten die Schlüsselfrage zweimal.