Während E-Mails im Alltag unverzichtbar geworden sind, bleibt ihre Sicherheit oft hinter den Erwartungen zurück. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat aktuelle Ergebnisse zur Sicherheitsbewertung gängiger Mailprogramme veröffentlicht – mit teils überraschenden Befunden. Wir zeigen, wie gut Gmail, Outlook und Apple Mail Ihre Daten schützen und welche Sicherheitslücken bestehen bleiben.
Warum die Sicherheit von E-Mail-Programmen entscheidend ist
Jeden Tag werden weltweit mehr als 360 Milliarden E-Mails verschickt – viele davon mit sensiblen Informationen. Dennoch sind E-Mail-Kommunikationswege traditionell schwach abgesichert. Der unverschlüsselte Versand, Phishing-Angriffe und fehlende Authentizitätsprüfungen sind weiterhin große Risiken.
Laut einer Studie von Statista aus dem Jahr 2024 nutzen über 1,8 Milliarden Menschen Gmail, gefolgt von Outlook mit rund 450 Millionen Nutzern. Doch ist die Marktführerschaft auch gleichbedeutend mit besserer Sicherheit? Genau dieser Frage ist das BSI in einer umfangreichen Bewertung standardkonformer Sicherheits-Features nachgegangen.
Im Fokus der Untersuchung standen: Transportverschlüsselung (TLS), Ende-zu-Ende-Verschlüsselung, Authentifizierungsmechanismen wie SPF, DKIM, DMARC sowie Schutz vor Phishing und Schadsoftware.
Das sagt das BSI: Ergebnisse im Überblick
Im August 2025 veröffentlichte das BSI die Ergebnisse seiner Sicherheitsanalyse von zwölf populären Mailprogrammen, darunter Gmail, Outlook und Apple Mail. Bewertet wurde anhand eines Kriterienkatalogs zur Umsetzung wesentlicher Sicherheitsstandards. Die wichtigste Erkenntnis: Keines der analysierten Programme erfüllte alle Kriterien vollständig.
Gmail schnitt in mehreren Kategorien gut ab: TLS ist stets aktiv, zusätzliche Maßnahmen wie MTA-STS (Mail Transfer Agent Strict Transport Security) und DANE werden unterstützt, Authentifizierung über SPF/DKIM/DMARC ist Standard. Einen Schwachpunkt stellt jedoch die fehlende native Ende-zu-Ende-Verschlüsselung dar – eine Funktion, die trotz Google Workspace Enterprise bei privaten Anwendern kaum Einsatz findet.
Outlook (Desktop-Version) lieferte ein gemischtes Bild. Zwar werden MAPI-verschlüsselte Verbindungen unterstützt, und E-Mails lassen sich mit S/MIME signieren bzw. verschlüsseln. Allerdings ist die Konfiguration technisch komplex und wird von vielen Nutzern nicht aktiviert. Zudem sind Vorbelegungen unsicher: Ohne manuelle Anpassung erfolgt teils keine durchgängige Verschlüsselung.
Apple Mail schnitt in der BSI-Analyse stabil ab: TLS ist aktiv, S/MIME wird mit Bordmitteln unterstützt und lässt sich mit wenigen Schritten einrichten. Dennoch gibt es Abzüge bei der Transparenz der Mailversandpfade und der Nachvollziehbarkeit von DKIM-Signaturen.
Sicherheitsstandards: Was leisten SPF, DKIM und DMARC wirklich?
Zur Authentifizierung von E-Mails haben sich drei Protokolle etabliert:
- SPF (Sender Policy Framework): Ermöglicht es empfangenden Mailservern zu prüfen, ob ein Server E-Mails im Namen einer Domain senden darf.
- DKIM (DomainKeys Identified Mail): Signiert ausgehende E-Mails kryptografisch und macht Manipulationen erkennbar.
- DMARC (Domain-based Message Authentication, Reporting and Conformance): Stellt sicher, dass SPF und DKIM korrekt implementiert sind – und gibt vor, was im Falle eines Fehlers passieren soll (z. B. Ablehnung).
Zwar unterstützen alle großen Mailanbieter diese Mechanismen, doch sind sie nicht zwingend scharf geschaltet. Laut einem Bericht von Valimail 2024 hatten nur 40 % der untersuchten Domains eine wirksame DMARC-Policy auf „reject“ gesetzt – notwendig für optimalen Schutz gegen Spoofing.
Transport- und End-to-End-Verschlüsselung: Zwei Paar Schuhe
Viele Nutzer verwechseln Transportverschlüsselung (wie TLS) mit echter Ende-zu-Ende-Verschlüsselung (E2EE). Während TLS nur den Übertragungsweg absichert, kann der Mailanbieter selbst weiterhin auf Inhalte zugreifen. E2EE hingegen stellt sicher, dass nur Sender und Empfänger die Nachricht lesen können.
Problematik: Keiner der großen Free-Mail-Dienste bietet standardmäßig E2EE. Google experimentierte mit „Gmail Confidential Mode“, der jedoch technisch kein echtes E2EE ist, da Google Inhalte weiterhin entschlüsseln kann. Outlook lokal unterstützt S/MIME, doch ist Konfiguration aufwendig. Apple Mail bietet es integriert – aber nur, wenn Nutzer aktiv Zertifikate installieren.
Schwachstellen bei Anzeige und Metadaten
Ein weiteres Sicherheitsproblem sind Metadaten und Vorschauinhalte. Angreifer nutzen HTML-Mails, Tracking-Pixel oder externe Inhalte, um Nutzer zu identifizieren oder Links zu manipulieren. Nur wenige Programme blockieren solche Elemente standardmäßig. Positiv fielen hier Thunderbird und Apple Mail auf. Gmail lädt zwar Bilder über Proxys, aber Tracking lässt sich dadurch nicht völlig ausschließen.
Versteckt in den Header-Informationen können zudem IP-Adressen oder Standortdaten stecken. Diese werden nicht konsequent anonymisiert oder entfernt – ein Datenschutzproblem.
Was Nutzer jetzt tun können: Empfehlungen und Best Practices
Wer sicher mailen möchte, muss selbst aktiv werden. Die Wahl des Mailprogramms ist nur ein Element – entscheidend sind Einstellungen, Umgang mit Anhängen und die Konfiguration von Verschlüsselung.
- Vermeiden Sie Programme ohne native S/MIME- oder OpenPGP-Unterstützung. Diese sind für echte Ende-zu-Ende-Verschlüsselung unbrauchbar. Gute Beispiele sind Thunderbird, Apple Mail, Proton Mail.
- Aktivieren Sie Zwei-Faktor-Authentifizierung (2FA) bei allen Mailkonten, insbesondere bei Gmail und Outlook. Das reduziert das Risiko bei Passwortdiebstahl erheblich.
- Nutzen Sie eigene Domains mit korrekt eingerichteten SPF-, DKIM- und DMARC-Einträgen, wenn Sie geschäftlich mailen. Provider wie mailbox.org oder posteo bieten Hilfe bei der Einrichtung.
Marktentwicklung: Datenschutzfreundliche Alternativen gewinnen an Relevanz
Im Zuge der zunehmenden Datenschutzdebatten steigt das Interesse an datenschutzfreundlichen Maildiensten: Anbieter wie Proton Mail, Tutanota oder Posteo verzeichnen laut eigenen Angaben zweistellige Wachstumsraten. Besonders Proton Mail legte laut dem Unternehmen selbst im Jahr 2024 um 48 % an Nutzern zu und gewann neue Unternehmenskunden in Europa.
Diese Dienste bieten durchgängige Verschlüsselung, transparente Datenschutzrichtlinien und Serverstandorte in der EU oder Schweiz. Wer bereit ist, auf Komfortfunktionen großer Konzerne zu verzichten, erhält hier robuste Sicherheit ohne Datenkompromisse.
Fazit: Sicherheit beginnt nicht beim Anbieter, sondern beim Nutzer
Gmail, Outlook und Apple Mail bieten heute solide Grundsicherheit – aber nicht mehr. Wirklich umfassende Sicherheit und Vertraulichkeit lassen sich nur durch den aktiven Einsatz von Ende-zu-Ende-Verschlüsselung und sicherer Konfiguration erreichen. Während das BSI wichtige Standards prüft, liegt der Schlüssel zu sicherer Kommunikation in der Hand jedes Einzelnen.
Was nutzen Sie – und wie haben Sie Ihre E-Mail-Sicherheit optimiert? Teilen Sie Ihre Erfahrungen mit unserer Community und diskutieren Sie mit zu einem Thema, das uns alle betrifft – täglich, oft unbemerkt.
