Wieviel Sicherheit bieten Webmail-Anbieter? Die deutsche PSW Group hat es sich angesehen.
An den großen Freemail-Anbietern hatten die Tester viel auszusetzen.
Mehr Sicherheit bieten alternative, teils jedoch nicht kostenfreie Dienste.
Sicherheit im Internet war noch nie ein so wichtiges und viel diskutiertes Thema wie heute. Bei Messaging-Apps gab es in den vergangenen Monaten einen Boom von Diensten, die mehr Sicherheit und Anonymität versprechen. Auch bei E-Mail-Diensten steht Sicherheit seit den Enthüllungen Whistleblower Edward Snowden stärker im Fokus. Das deutsche Internet-Security-Unternehmen PSW Group hat populäre Freemail-Angebote getestet, sieht jedoch noch keinen Anlass für Jubel. "Bei keinem können sich Nutzer wirklich sicher fühlen", so das Unternehmen in einer Aussendung.
Verschlüsselung
Getestet wurden zunächst Gmail, Yahoo, GMX, Web.de und T-Online vor allem in Hinblick auf die Sicherheit. Wieso die Angebote von Microsoft und Apple nicht berücksichtigt wurden, meldeten die Tester auf Nachfrage des Webstandard nicht zurück. Allen Anbietern mangle es derzeit noch an effizienter Verschlüsselung, bei einigen würden sogar ordentliche Passwortkontrollen fehlen.
Keiner der Anbieter verschickt die E-Mails mit einer End-to-End-Verschlüsselung. Die Anbieter beschränken sich auf eine reine Transportverschlüsselung. Für die Tester ist das zwar ein Anfang, sei für die komplette Sicherheit einer E-Mail jedoch nicht ausreichend. Einige Anbieter haben sich zur Initiative "E-Mail made in Germany" zusammengeschlossen. Die Mitglieder würden jedoch umso mehr enttäuschen. Denn die Transportverschlüsselung von GMX, Web.de und T-Online finde nur mit anderen Teilnehmern der Initiative statt.
Zumindest unterstützten alle getesteten Anbieter laut der PSW Group Perfect Forward Secrecy. Dadurch wird verhindert, dass Daten nachträglich entschlüsselt werden können, wenn ein geheimer Schlüssel geknackt wird.
Alternative Anbieter
Alternativ zu den großen Anbietern hat sich PSW auch die weniger bekannten Dienste Posteo, mailbox.org, MyKolab.com, Secure-Mail.biz, eclipso und aikQ Mail angesehen, von denen einige jedoch kostenpflichtig sind. Alle würden sich durch starke Webseiten- und Backend-Verschlüsselung, Perfect Forward Secrecy eine effiziente Transportverschlüsselung auszeichnen.
Die Server befänden sich alle in der Schweiz oder Deutschland mit Ausnahme von Secure-Maik.biz mit einem Hauptserver in Russland. Besonders hervorgehoben wird mailbox.org, da der Anbieter erst gar keine unverschlüsselten E-Mails zustellt. Nutzer könnten auch einstellen, ob ihre Mails entweder verschlüsselt oder gar nicht versendet werden.
Passwortsicherheit
"Desaströse Sicherheitsmängel" orten die Tester bei der Passwortsicherheitsprüfung von GMX und Web.de. Einfachste Passwörter würden bereits als sicher angesehen. "Eigentlich war die Passwortsicherheit keines unserer geplanten Kriterien. Angesichts der Tatsache, dass wir schon im ersten Test mit 'Passwort' und '12345678' durchgekommen wären, haben wir diesen Punkt nachträglich ergänzt. Und wir waren schockiert, was Anbieter, die das Thema Sicherheit offenbar in ihrer Marketing-Strategie mit aufgenommen haben, hier machen", so Heutger.
Nur T-Online und mailbox.org schnitten hier gut ab. Bei letzterem sei auch eine Buchstaben-/Zahlenkombination verpflichtend und ein Passwort dürfe nicht im Duden stehen.
Die Angebote wurden auch hinsichtlich Usability, Werbung und Auffindbarkeit sowie Formulierung der Geschäfts- und Datenschutzbedingungen getestet. Alle Ergebnisse im Detail sind im Blog der PSW Group auffindbar.
Fazit und Ausblick
Testsieger für die PSW Group ist mailbox.org aufgrund seiner Verschlüsselung und Passwortsicherheit. Allerdings handelt es sich dabei nicht um einen Freemail-Anbieter. "Bei den US-Anbietern wäre sogar vieles stimmig, sowohl in Sachen Verschlüsselung als auch in der Usability. Wären da nicht Punkte in den Datenschutzvereinbarungen, die das jeweilige Testergebnis wieder zunichtemachten", so PSW-Geschäftsführer Christian Heutger. "Das Safe Harbor-Abkommen, das derzeit wieder rege diskutiert wird, gibt ihnen die Erlaubnis, Nutzerdaten in die USA zu transferieren. Und was dort mit den Daten geschieht, bleibt Unternehmensgeheimnis."
Die großen Anbieter arbeiten jedoch an mehr Verschlüsselung für ihre Dienste. Google hat für seinen Browser Chrome etwa die Erweiterung "End-to-End" zur Verschlüsselung von Gmail via PGP entwickelt. Das Tool steht über GitHub zur Verfügung, eine Veröffentlichung über den Chrome Store ist für 2015 anvisiert. Auch Yahoo und kürzlich die deutschen Dienste Web.de und GMX haben angekündigt bis Ende 2015 Verschlüsselung mittels PGP einzuführen. (br, derStandard.at, 18.1.2015)