10. November 2026Eigenes Projekt · NetzwerkeEigener Beitrag

Proton entzaubert: Warum ich den eigenen Mailserver für besser halte und was das Recht trotzdem verlangt

Zusammenfassung

Golem zeigt am Beispiel Proton, dass auch ein Schweizer Anbieter mit Ende-zu-Ende-Verschlüsselung jedes Jahr Tausende Behördenanordnungen umsetzt, 2025 waren es 8.313 beim Maildienst. Ich halte den eigenen Mailserver für den besseren Weg, sehe aber auch die Grenze: Die Schwelle von 10.000 bzw. 100.000 Nutzern in der Telekommunikations-Überwachungsverordnung erspart nur die vorab eingebaute Überwachungstechnik, nicht die Pflicht, eine richterliche Anordnung umzusetzen. Der Beitrag ordnet das mit Gesetz und deutscher Rechtsprechung ein, von Posteo und Tutanota bis zur Frage, wo die Mails liegen.

Der Anlass: Proton und die Schweiz

Am 9. November 2026 hat Erik Bärwaldt bei Golem zusammengetragen, was vom Schweizer Datenschutzversprechen bei Proton übrig bleibt. 2021 musste Proton auf ein Rechtshilfeersuchen hin IP-Adressen eines Mitglieds der französischen Gruppe Youth for Climate herausgeben, obwohl die Website damals warb, es würden keine IP-Protokolle gespeichert, die sich mit einem anonymen Konto verknüpfen lassen. Im März 2026 identifizierte das FBI den Inhaber eines anonymen Kontos über Zahlungsdaten, die Proton an Schweizer Behörden übermittelt hatte.

Die Zahlen stehen in Protons eigenem Transparenzbericht: 2025 kamen beim Maildienst 9.301 rechtsverbindliche Anordnungen, 988 hat Proton angefochten, 8.313 umgesetzt; 2024 waren es sogar 11.023. Beim VPN-Dienst dagegen wurden alle 59 Anordnungen des Jahres 2025 abgelehnt, weil Proton dort die verlangte Zuordnung nach eigenen Angaben nicht herstellen kann.

Dazu kommen laut Golem Zahlungs- und Supportdienstleister aus den USA (Chargebee, Stripe, PayPal, Zendesk), die Schließung des Genfer Rechenzentrums 2025 mit Umzug nach Deutschland und Norwegen und ein Beschluss des Schweizer Bundesrats vom 28. Oktober 2026, nach dem Anbieter mit einer Sonderbewilligung Beweismittel direkt an Strafverfolger in Europa herausgeben dürfen.

Recht schlägt Verschlüsselung

Protons Verschlüsselung tut, was sie verspricht: Den Inhalt Ende-zu-Ende-verschlüsselter Mails kann Proton nicht herausgeben. Herausgeben kann und muss es aber alles, was zwangsläufig anfällt: wann sich ein Konto anmeldet, von welcher IP-Adresse, mit welchem Zahlungsmittel, an wen es schreibt. Wer anonym bleiben will, wird über diese Umstände gefunden, nicht über den Text.

Das ist kein Schweizer Sonderfall. Jeder Anbieter unterliegt dem Recht seines Sitzes und seiner Server, und jeder große Anbieter ist eine Sammelstelle, an die sich Anordnungen lohnen. Golem schließt daraus, Anonymität und Privatsphäre seien „aufgrund der Rechtslage nicht gewährleistet“. Die naheliegende Gegenidee lautet: Dann betreibe ich den Mailserver eben selbst und bleibe so klein, dass mich die Pflichten nicht treffen. Der erste Teil überzeugt mich, der zweite nicht.

Die Schwelle, die es gibt

In Deutschland regeln § 170 TKG und die Telekommunikations-Überwachungsverordnung (TKÜV), was ein Betreiber vorab tun muss. Wer eine Anlage betreibt, mit der öffentlich zugängliche Telekommunikationsdienste erbracht werden, muss ab Betriebsbeginn auf eigene Kosten Überwachungstechnik vorhalten, das der Bundesnetzagentur melden, einen Zustellungsbevollmächtigten im Inland benennen und innerhalb eines Monats einen Prüfnachweis anstoßen.

§ 3 Abs. 2 TKÜV nimmt kleine Anlagen davon aus: Bei höchstens 10.000 angeschlossenen Nutzern müssen keine Vorkehrungen getroffen werden. Für Anlagen, die ausschließlich nummernunabhängige interpersonelle Dienste erbringen, also Dienste wie E-Mail ohne Telefonnummer, liegt die Grenze sogar bei 100.000 Nutzern. Das ist die „kritische Masse“, um die es beim Selbsthosten meist geht.

Davor liegt eine zweite Weiche. Öffentlich zugänglich ist laut § 3 Nr. 44 TKG ein Dienst, der „einem unbestimmten Personenkreis“ zur Verfügung steht. Ein Server für mich und meine Familie ist das nicht; für ihn gelten § 170 TKG und die TKÜV gar nicht.

Die Pflicht, die es immer gibt

Die Schwelle hat einen Haken, den die Verordnung selbst nennt: § 3 Abs. 3 TKÜV lässt § 100a Abs. 4 StPO ausdrücklich „unberührt“. Dort steht: „Auf Grund der Anordnung einer Überwachung und Aufzeichnung der Telekommunikation hat jeder, der Telekommunikationsdienste erbringt oder daran mitwirkt, dem Gericht, der Staatsanwaltschaft und ihren im Polizeidienst tätigen Ermittlungspersonen […] diese Maßnahmen zu ermöglichen und die erforderlichen Auskünfte unverzüglich zu erteilen.“ Ob und in welchem Umfang man dafür vorab Technik braucht, regeln TKG und TKÜV; ob man mitwirken muss, nicht.

Der Bundesgerichtshof hat das 2021 für einen Maildienst entschieden, nach Medienberichten Tutanota (BGH, Beschluss vom 28. April 2021, StB 47/20). Der Anbieter hatte nach Erhalt der Anordnung mitgeteilt, er erhebe keine Verkehrsdaten mehr und habe die Überwachungsmöglichkeiten aus seinem System entfernt; außerdem sei er kein Telekommunikationsdienst im Sinne des TKG. Der BGH ließ beides nicht gelten: Wer E-Mail über das Internet vermittelt, erbringt Telekommunikationsdienste im Sinne von § 100a Abs. 4 StPO, auch als reiner Over-the-Top-Dienst ohne Internetzugang. Und: „Mithin sind eine technische Vorhaltungsverpflichtung und die Zulässigkeit einer Überwachungsanordnung zu unterscheiden.“

Dass Datensparsamkeit allein nicht schützt, zeigt der Fall Posteo (BVerfG, Beschluss vom 20. Dezember 2018, 2 BvR 2377/16). Posteo protokollierte IP-Adressen aus Datenschutzgründen nicht und sollte sie bei einer angeordneten Überwachung trotzdem liefern; das Amtsgericht Stuttgart setzte 500 Euro Ordnungsgeld fest. Das Bundesverfassungsgericht nahm die Verfassungsbeschwerde nicht an: Die Überwachung umfasst auch die Umstände der Kommunikation einschließlich der IP-Adressen, die beim Anbieter während der Verbindung ohnehin vorhanden sind. Wer keine Protokolle schreibt, muss sie ab der Anordnung trotzdem ausleiten können.

Für Bestandsdaten gilt dasselbe ohne Schwelle: Nach § 174 TKG darf und muss, wer Telekommunikationsdienste erbringt oder daran mitwirkt, berechtigten Stellen Auskunft geben. Den Satz „Ich arbeite nicht mit Behörden zusammen“ kann deshalb kein Betreiber in Deutschland ehrlich versprechen, auch nicht unter 10.000 Nutzern. Genau diese Art Versprechen hat Proton 2021 eingeholt.

Wo die Mails liegen, entscheidet über den Schutz

Einen echten Unterschied macht dagegen der Ort. Liegen Mails auf dem Server eines Providers, misst das Bundesverfassungsgericht den Zugriff am Fernmeldegeheimnis und hält eine Beschlagnahme nach §§ 94 ff. StPO beim Provider für zulässig (Beschluss vom 16. Juni 2009, 2 BvR 902/06). Die Begründung: Diese Mails „sind nicht im Herrschaftsbereich des Kommunikationsteilnehmers, sondern des Providers gespeichert“. Dasselbe Urteil hält fest, dass ein Eingriff schwerer wiegt, wenn er heimlich erfolgt.

Daten im eigenen Herrschaftsbereich schützt dagegen das Recht auf informationelle Selbstbestimmung „und gegebenenfalls“ die Unverletzlichkeit der Wohnung nach Art. 13 GG (Urteil vom 2. März 2006, 2 BvR 2099/04). Daraus folgere ich: Steht der Mailserver zu Hause, läuft der Weg zu den gespeicherten Mails in aller Regel über eine Durchsuchung, und von der erfährt man. Heimlich bleiben die Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 2 und 3 StPO und die Online-Durchsuchung nach § 100b StPO, beide nur bei schweren bzw. besonders schweren Straftaten und mit Eingriff in das eigene Gerät.

Beim gemieteten Server im Rechenzentrum ist die Lage weniger klar. Die Hardware steht im Gewahrsam des Hosters, und ob ein gemieteter Server dem Herrschaftsbereich des Mieters oder des Anbieters zuzurechnen ist, haben die genannten Entscheidungen nicht beantwortet. Eine Festplattenverschlüsselung, deren Schlüssel nicht beim Hoster liegt, hilft gegen das Mitnehmen der Platte, nicht gegen einen Zugriff auf den laufenden Server.

Vorratsdaten: für E-Mail nicht, für IP-Adressen vielleicht bald

Die anlasslose Vorratsdatenspeicherung schließt Mail ausdrücklich aus: Nach § 176 Abs. 5 TKG dürfen „Daten von Diensten der elektronischen Post“ aufgrund dieser Vorschrift nicht gespeichert werden. Angewendet wird die Vorschrift ohnehin nicht mehr: Das Bundesverwaltungsgericht hat am 14. August 2023 (6 C 6.22) nach dem SpaceNet-Urteil des EuGH (C-793/19 und C-794/19) entschieden, dass die allgemeine und unterschiedslose Speicherpflicht mit Unionsrecht unvereinbar ist.

Neu auf dem Tisch liegt der Regierungsentwurf zur IP-Adressspeicherung (Drucksache 21/6581). Er verpflichtet Internetzugangsanbieter, die an Endkunden vergebenen IP-Adressen drei Monate zu speichern, und führt eine Sicherungsanordnung für Verkehrsdaten ein. Der Bundestag hat ihn am 24. Juni 2026 in erster Lesung beraten, der Rechtsausschuss hörte am 7. Oktober 2026 Sachverständige an; eine Verabschiedung war bis zum 9. November 2026 nicht ersichtlich. Für den eigenen Mailserver ist er mittelbar wichtig: Er betrifft den Anschluss, über den der Server und seine Nutzer erreichbar sind.

Und ein Warrant Canary?

Das Bild ist alt: 1895 schlug der Physiologe John Scott Haldane vor, warmblütige Tiere als Warner vor Kohlenmonoxid mit unter Tage zu nehmen, ab 1896 trugen Bergleute dafür Kanarienvögel mit, in Großbritannien ebenso wie in den USA und Kanada. Wird der Vogel still, ist Gefahr im Verzug.

Den juristischen Kniff, der daraus den Warrant Canary macht, hat dagegen das US-Recht hervorgebracht. Vorgeschlagen hat ihn Steven Schear auf der Cypherpunks-Mailingliste, 2002 griffen ihn Bibliotheken als Antwort auf den Patriot Act auf, und 2006 veröffentlichte der Speicheranbieter rsync.net den ersten kommerziellen Canary. Der Betreiber erneuert regelmäßig eine Erklärung wie „Bis heute habe ich keine Überwachungsanordnung erhalten“. Bleibt die Erneuerung aus, sollen die Nutzer daraus schließen, dass etwas passiert ist, ohne dass der Betreiber etwas gesagt hat. Die Konstruktion setzt darauf, dass ein US-Gericht zwar Schweigen anordnen, aber kaum eine falsche Aussage erzwingen kann; gerichtlich erprobt ist sie auch dort nicht.

In Deutschland steht dem ein ausdrückliches Verbot entgegen. § 17 Abs. 1 des Artikel-10-Gesetzes lautet: „Wird die Telekommunikation nach diesem Gesetz oder nach den §§ 100a, 100e der Strafprozessordnung überwacht, darf diese Tatsache von Personen, die Telekommunikationsdienste erbringen oder an der Erbringung solcher Dienste mitwirken, anderen nicht mitgeteilt werden.“ Eine Schwelle kennt die Vorschrift nicht, und § 18 droht für eine verbotene Mitteilung Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe an. Für Auskunftsersuchen zu Bestandsdaten verlangt § 174 Abs. 6 TKG von geschäftsmäßigen Anbietern „Stillschweigen“, und § 15 TKÜV schützt sogar „die Anzahl gegenwärtig oder in der Vergangenheit überwachter Kennungen“.

Ob das bloße Ausbleiben einer Erneuerung eine „Mitteilung“ ist, hat meines Wissens noch kein deutsches Gericht entschieden. Ein Canary hat aber nur den einen Zweck, Dritten genau die Tatsache zu übermitteln, die nicht mitgeteilt werden darf; wer sich darauf verlässt, dass ein Gericht nur auf die Form schaut, testet die Rechtslage mit dem eigenen Strafrisiko. Praktisch bringt er beim eigenen Server ohnehin wenig: Richtet sich ein Verfahren gegen mich selbst, geht die Anordnung kaum an mich, und die wahrscheinlichste Maßnahme beim Server zu Hause, die Durchsuchung, ist offen. Ein ausgebliebener Canary sagt zudem nur, dass irgendetwas geschah, und er erlischt auch, wenn man die Erneuerung vergisst. Ich verzichte deshalb darauf und setze auf das, was ohne Rechtsrisiko wirkt: wenig speichern und das ehrlich beschreiben.

Selbst hosten in der Praxis

Wie man von null zu einem Server kommt, dessen Mails die großen Anbieter annehmen, beschreibt Miguel Grinberg Schritt für Schritt in How to Host your Own Email Server (März 2026): eine eigene Domain mit freiem Zugriff auf die DNS-Einträge, ein ständig laufender Rechner mit fester IPv4-Adresse, ein Postfix mit OpenDKIM im Container, Reverse-DNS beim Hoster, dann DKIM, SPF mit „-all“ und DMARC mit „p=reject“. Die Kosten beziffert er auf etwa 6 Dollar im Monat. Port 25 sperren viele Hoster ab Werk, und die Reputation bei den großen Empfängern wächst erst mit Geduld und vielen Testmails.

Zwei seiner Entscheidungen sind für die Rechtsfrage aufschlussreich. Er rät von einem Server zu Hause ab, weil die meisten Anschlüsse keine feste IP-Adresse haben und Reputation an der Adresse hängt. Und er sendet nur selbst: Eingehende Post lässt er über die Weiterleitung seines Domain-Anbieters an sein persönliches Postfach laufen. Für die Zustellbarkeit ist das pragmatisch, für die Privatsphäre nicht, denn gelagert wird die Post dann wieder bei einem Dritten. Wer aus Datenschutzgründen selbst hostet, muss den Empfang und die Ablage selbst übernehmen, etwa mit Postfix und Dovecot oder dem auf bk99.de vorgestellten Stalwart.

Meine Haltung: lieber viele kleine Postämter

Am Anfang steht für mich ein Grundsatz: Menschen haben das Recht, frei miteinander zu kommunizieren, fernab staatlicher Kontrolle. Das Grundgesetz sagt es in Art. 10 Abs. 1 knapp: „Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich.“ Beschränkungen erlaubt Absatz 2 nur auf Grund eines Gesetzes. Die Unverletzlichkeit ist also die Regel, der Eingriff die Ausnahme, die sich jedes Mal rechtfertigen muss. Ein Dienst, der Tausende Anordnungen im Jahr als Routine abarbeitet, kehrt dieses Verhältnis im Alltag um.

Ich bin überzeugt: Wenn jeder, der es kann, seinen eigenen Mailserver betreibt, ist das besser, als einem Dienst zu vertrauen. Nicht weil der eigene Server über dem Gesetz stünde, das tut er nicht. Sondern weil er die Verhältnisse umkehrt. Statt 9.301 Anordnungen an eine Stelle braucht jeder Zugriff eine eigene Anordnung an einen eigenen Betreiber. Die Anordnung landet bei mir, ich weiß davon, ich kann einen Anwalt fragen und Rechtsmittel einlegen. Ich entscheide, welche Protokolle entstehen und wie lange sie liegen, und kein Zahlungs- oder Supportdienstleister in den USA sitzt mit in der Kette. Ein Werbeversprechen, das ein Unternehmen im Ernstfall nicht halten kann, brauche ich dafür nicht.

Die Grenzen gehören ehrlich dazu. Schreibe ich an jemanden bei Gmail oder Outlook, liegt die Mail dort trotzdem. Sicherheit, Updates und Sicherungen sind meine Aufgabe, nicht die eines Teams. Und die Mitwirkungspflicht aus § 100a Abs. 4 StPO gilt auch für mich. Die Antwort darauf ist nicht, kleinzubleiben und so zu tun, als gäbe es sie nicht, sondern Datensparsamkeit: kurze Aufbewahrung von Protokollen, keine Daten erheben, die der Betrieb nicht braucht, und Inhalte mit PGP oder S/MIME verschlüsseln, damit auch eine beschlagnahmte Platte wenig verrät. Was nicht gespeichert ist, kann niemand herausgeben.

Anlasslose Massenspeicherung lehne ich ab, ob als Vorratsdatenspeicherung oder als neue IP-Adressspeicherung. Dagegen hilft Widerspruch im Gesetzgebungsverfahren und vor Gericht, wie ihn SpaceNet bis zum EuGH getragen hat, nicht das Verstecken unter einer Schwelle.

Zahlen im Überblick

Proton Mail 2025: 9.301 rechtsverbindliche Anordnungen, 988 angefochten, 8.313 umgesetzt (2024: 11.023).
TKÜV § 3 Abs. 2: keine Vorkehrungspflicht bis 10.000 Nutzer, bei ausschließlich nummernunabhängigen Diensten wie E-Mail bis 100.000 Nutzer.
StPO § 100a Abs. 4: Mitwirkungspflicht für jeden, „der Telekommunikationsdienste erbringt oder daran mitwirkt“, unabhängig von der Nutzerzahl.
Posteo 2016/2018: 500 Euro Ordnungsgeld, weil IP-Adressen trotz angeordneter Überwachung nicht geliefert wurden; Verfassungsbeschwerde nicht angenommen.
TKG § 176 Abs. 5: keine Vorratsspeicherung von Daten elektronischer Post; die Speicherpflicht ist seit BVerwG 6 C 6.22 (2023) ohnehin nicht anwendbar.

Referenzen

Bemerkungen

Dieser Beitrag ist keine Rechtsberatung. Gesetze und Entscheidungen habe ich im Wortlaut gelesen; die Folgerung zum Server zu Hause ist meine Auslegung der Entscheidungen von 2006 und 2009, kein entschiedener Fall. Ob ein privater Familienserver Telekommunikationsdienste im Sinne von § 100a Abs. 4 StPO erbringt, ist meines Wissens nicht entschieden.
Die Proton-Fälle von 2021 und 2026 und die Angaben zu Dienstleistern und Rechenzentrum stammen aus dem Golem-Artikel; die Anordnungszahlen habe ich im Transparenzbericht von Proton nachgeprüft. Der BGH-Beschluss nennt den Anbieter nur als „T. GmbH“, das BVerfG anonymisiert den Dienst von 2018; die Zuordnung zu Tutanota und Posteo beruht auf Medienberichten (u. a. LTO und ZDNet).

Golem-Analyse zu Proton lesen