Leitfaden E-Mail-Sicherheit: Tipps zum Schutz Ihres E-Mail-Postfachs

Zugang und Kontrolle: Wer kommt an Ihr Postfach?

Wählen Sie sichere Passwörter und nutzen Sie die Zwei-Faktor-Authentifizierung (2FA)

Wählen Sie ein sicheres Passwort, das es Cyberkriminellen schwer macht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Passwörter, die 20 bis 25 Zeichen lang sind und zwei Zeichenarten nutzen (z. B. zufällige Wortfolgen), oder solche, aus acht bis 12 Zeichen und vier Zeichenarten bestehen. Verwenden Sie keine Namen aus dem persönlichen Umfeld, Geburtsdaten, Umlaute, Tastatur- und Wiederholungsmuster oder an ein simples Wort angehängte Ziffern oder Sonderzeichen.

Nutzen Sie Ihr E-Mail-Passwort nur für diesen einen Zugang und aktivieren Sie die Zwei-Faktor-Authentisierung. Ein Passwort-Manager hilft Ihnen dabei, für alle Zugänge unterschiedliche und starke Passwörter zu verwenden. Ändern Sie das Passwort, wenn ein Verdacht auf Kompromittierung besteht, etwa nach einem Datenleck. In unserer Knowledge Base haben wir Ihnen zusammengefasst, was Sie bei der Zugangssicherheit und bei der Einrichtung der Zwei-Faktor-Authentifizierung beachten sollten.

Verwenden Sie eine sichere Adresse zur Wiederherstellung

Richten Sie die Passwort-Wiederherstellung ein, bevor Sie den zweiten Faktor aktivieren. Damit beugen Sie Problemen vor, etwa beim Verlust Ihres Smartphones, das für den zweiten Faktor dient. Nutzen Sie als Wiederherstellungsadresse kein altes E-Mail-Konto, das Sie eigentlich seit Jahren nicht mehr pflegen. Ansonsten hängt die Sicherheit Ihres Postfachs von einem schlecht geschützten Konto ab. Lesen Sie in unserer Knowledge Base, wie Sie Daten zur Verifizierung in mailbox hinterlegen.

Prüfen Sie Ihre verknüpften Geräte und Anwendungen

Sie nutzen Ihr Postfach vermutlich selten nur im Browser am Notebook. Meist greifen auch Mail-Clients, Kalender-Apps, Dateisynchronisation und zunehmend auch KI-Assistenten auf Ihr Konto zu. Jeder dieser Zugänge stellt einen eigenen Weg zu Ihren Daten dar. Überprüfen Sie regelmäßig in den Kontoeinstellungen, welche Geräte und Sitzungen angemeldet sind und ob Sie diese zweifelsfrei zuordnen können.

Kontrollen Sie Ihr E-Mail-Konto auf Weiterleitungen und Filterregeln

Hat sich jemand einmal Zugang zu Ihrem E-Mail-Konto verschafft, ist das für Sie nicht immer sofort augenscheinlich. Möglicherweise hat jemand eine Weiterleitung oder eine Filterregel eingerichtet, mithilfe derer Kopien jeder eingehenden Nachricht an eine fremde Adresse geschickt werden. Ihr Postfach funktioniert normal weiter, ohne dass Sie etwas merken. Prüfen Sie deshalb bei jedem Passwortwechsel die eingestellten Filterregeln, Weiterleitungen und Applikationspasswörter.

E-Mail-Verschlüsselung: Wer kann mitlesen?

Verschlüsseln Sie E-Mails auf dem Transportweg

Zwischen Absender und Empfänger liegt ein Weg, den E-Mails sicher zurücklegen sollten. Für die Sicherheit dieses Wegs sorgt die Verschlüsselung auf dem Transportweg, die Transport Layer Security (TLS). TLS verhindert, dass jemand auf dem Weg von A nach B Ihre E-Mail-Kommunikation mitlesen kann. TLS schützt aber nicht gegen den Zugriff auf den beteiligten Servern an Punkt A und B.

Normalerweise erfahren Sie nie, ob Ihre Nachricht tatsächlich transportverschlüsselt übertragen wurde. Der Webmailer von mailbox bietet eine Möglichkeit, dies schon vor dem Versand einer E-Mail herauszufinden: Sobald Sie eine E-Mail-Adresse ins Empfängerfeld eingeben, erscheint dahinter ein Symbol für das Sicherheitsniveau des Zielsystems: über DANE und DNSSEC abgesicherte Verbindungen werden eigens gekennzeichnet, einfache TLS-Unterstützung ebenso wie fehlende Informationen. So können Sie vor dem Versand selbst entscheiden, ob Sie den Inhalt diesem Weg anvertrauen.

Wollen Sie grundsätzlich auf Nummer sicher gehen, können Sie bei mailbox den transportverschlüsselten Versand aktivieren: Verschicken Sie über secure.mailbox.org, wird die Nachricht ausschließlich transportverschlüsselt zugestellt – oder gar nicht versandt.

Nutzen Sie Ende-zu-Ende-Verschlüsselung mit PGP

Soll außer dem Empfänger niemand mitlesen, muss der Inhalt Ende-zu-Ende-verschlüsselt werden. Ein offener Standard, der dabei zum Einsatz kommt, ist PGP – Pretty Good Privacy. Dabei besitzen beide Kommunikationspartner ein Schlüsselpaar aus öffentlichem Schlüssel zum Verschlüsseln und privatem Schlüssel zum Entschlüsseln. Wie Sie PGP bei mailbox nutzen können, zeigen wir Ihnen in unserem Blog.

Um eingehende E-Mails zu verschlüsseln, können Sie bei mailbox die automatische Postfachverschlüsselung mit PGP aktivieren. Dadurch werden neue Nachrichten in Ihrem Posteingang so verschlüsselt, dass nur Personen mit Ihrem privaten PGP-Schlüssel und dem entsprechenden Passwort Zugriff darauf haben. So erhöhen Sie die Sicherheit Ihrer eingehenden E-Mails maßgeblich, auch wenn diese ursprünglich unverschlüsselt an Sie gelangt sind.

Tipps zur sicheren Nutzung von PGP:

• Sichern Sie Ihren privaten Schlüssel.
• Erzeugen Sie ein Widerrufszertifikat und legen Sie es sicher ab, für den Fall, dass ein Schlüssel kompromittiert wird oder verloren geht.
• Verlängern Sie das Ablaufdatum Ihrer Schlüssel regelmäßig.
• Prüfen Sie den Fingerprint eines neu erhaltenen Schlüssels einer anderen Person über einen zweiten Kanal.

Verschlüsseln und signieren Sie Ihre E-Mails mit S/MIME

S/MIME steht für Secure/Multipurpose Internet Mail Extensions und ist ein zertifikatsbasierter Standard, der ebenfalls auf einer Public Key Infrastructure aufbaut und Ende-zu-Ende-Verschlüsselung ermöglicht. Ein wichtiger Unterschied zu PGP ist, dass S/MIME mit X.509-Zertifikaten arbeitet, die von vertrauenswürdigen Zertifizierungsstellen ausgestellt werden. S/MIME lässt sich gut in gängige E-Mail-Clients integrieren.

Darüber hinaus lassen sich mit S/MIME E-Mails signieren und somit belegen, dass eine Nachricht von Ihnen stammt und unterwegs nicht manipuliert wurde. Mehr darüber, wie S/MIME funktioniert und wie Sie es bei mailbox anwenden können, erfahren Sie in unserem Blog.

Tipp zur sicheren Nutzung von S/MIME:

Nutzen und akzeptieren Sie keine selbst erstellten Zertifikate, sondern nur solche von vertrauenswürdigen Zertifizierungsstellen. Selbst erstellte Zertifikate werden von den meisten E-Mail-Clients nicht als vertrauenswürdig eingestuft. Sie gefährden die sichere E-Mail-Kommunikation und bieten keine zuverlässige E-Mail-Authentifizierung.

Teilen Sie Ihre Dateien auf sicherem Wege

Große oder sensible Dateien gehören nicht in eine E-Mail, sondern in einen verschlüsselten Speicher, aus dem Sie einen (passwortgeschützten) Freigabelink versenden. Der Vorteil gegenüber dem Versand als E-Mail-Anhang ist, dass sich ein Link deaktivieren lässt. Einen einmal versendeten Anhang können Sie nicht mehr zurückholen und Sie haben keine Kontrolle darüber, welche Sicherheitsvorkehrungen der Empfänger für sein E-Mail-Postfach trifft. Worauf Sie bei der Auswahl Ihres Cloud-Speichers achten sollten, haben wir in unserem Blog zusammengefasst.

Misten Sie alte E-Mails mit sensiblen Inhalten aus

E-Mails liegen oft über Jahre in Postfächern und enthalten teils sehr sensible Anhänge und Informationen. Verschafft sich jemand Zugang zu Ihrem E-Mail-Konto, findet er dort unter Umständen Ausweiskopien, Steuerunterlagen, im Klartext versandte Zugangsdaten u. ä. Nehmen Sie sich also die Suchfunktion vor, laden Sie herunter, was Sie behalten wollen, und löschen Sie den Rest. Das kann im Ernstfall den Schaden reduzieren.

Datenschutz und Datensparsamkeit: Wer wertet Ihre Daten aus?

Wählen Sie ein Geschäftsmodell, das Ihre Privatsphäre respektiert

Ein kostenloses Postfach ist nur vermeintlich umsonst. Werbefinanzierte Anbieter nutzen Ihre Daten und Aktivitäten, um ein Werbeprofil zu erstellen, das sie lukrativ an Dritte verkaufen. In unserem Blog beschreiben wir dieses Geschäftsmodell und welche Konsequenzen daraus für Ihre Privatsphäre entstehen.

Strukturell können Sie dieses Problem durch die Wahl eines E-Mail-Anbieters lösen, der sich ausschließlich über Nutzungsentgelte finanziert und deshalb keinen Anlass hat, Ihre Daten zu analysieren und ein Profil zu erstellen. Stiftung Warentest empfiehlt in seinem Testbericht 2026 mailbox als E-Mail-Dienst für Nutzer, denen Privatsphäre ein Anliegen ist.

Prüfen Sie KI-Funktionen und erteilte Berechtigungen

E-Mail-Inhalte sind zu einer begehrten Trainings- und Verarbeitungsquelle geworden. Zusammenfassungs- und Assistenzfunktionen sind bei großen Anbietern inzwischen vielfach standardmäßig aktiv. Daraus ergibt sich die Frage, wohin der Inhalt für diese Funktion übertragen wird und was damit passiert.

Prüfen Sie deshalb bewusst

• die Datenschutzeinstellungen jedes Dienstes, der Ihr Postfach berührt: Welche Auswertung ist voreingestellt? Und lässt sie sich deaktivieren?
• die Liste der externen Anwendungen, denen Sie Lesezugriff erteilt haben, etwa einem KI-Assistenten, der Ihre Korrespondenz zusammenfasst.

Achten Sie auf Serverstandort und Rechtsraum

Wo die Server stehen und wem die Hardware gehört, auf der die Ihre E-Mails gespeichert werden, und welches Recht für den E-Mail-Provider gilt, entscheidet darüber, wer unter welchen Voraussetzungen Zugriff auf Ihre Daten verlangen kann. Ein deutscher Anbieter, der im eigenen Rechenzentrum in Deutschland auf eigener Hardware arbeitet, unterliegt anderen Regeln als ein Dienst, dessen Konzernmutter oder Infrastrukturbesitzer etwa dem US-Recht unterliegt. Der Grad der digitalen Souveränität Ihres E-Mail-Anbieters entscheidet über den Schutz Ihrer Daten und Ihrer Unabhängigkeit. Erfahren Sie hier mehr über digital souveräne Alternativen zu US-Hyperscalern.

Geben Sie Tracking-Pixel, Trackling-Links und Lesebestätigungen keine Chance

Tracking-Pixel

Tracking-Pixel oder Zählpixel sind winzige, meist unsichtbare Bilder, die beim Öffnen einer Mail vom Server des Absenders nachgeladen werden. Dabei erfährt der Absender, ob und wann Sie die Mail geöffnet haben, oft auch Ihre IP-Adresse – und damit grob Ihren Ort – sowie Mail-Programm und Gerät.

Tracking durch Zählpixel verhindern:

• Blockieren Sie externe Inhalte standardmäßig. In fast allen Mail-Programmen und Webmail-Oberflächen gibt es dafür entsprechende Einstellungen. Inhalte vertrauenswürdiger Absender können Sie trotzdem gezielt per Klick nachladen.
• Nutzen Sie darüber hinaus weitere Schutzfunktionen, die die verschiedenen Mail-Clients bieten und die Sie in den Einstellungen aktivieren können, oder Zusatzwerkzeuge wie Browser-Erweiterungen.
• Den größten Schutz gegen Tracking-Pixel bietet die reine Text-Ansicht von E-Mails, denn dabei werden gar keine Bilder und damit auch keine Pixel geladen.

Tacking-Links

Tracking-Links führen zuerst über einen Server des Absenders oder eines Dienstleisters, der den Klick protokolliert und Sie dann zum eigentlichen Ziel weiterleitet. Häufig enthalten sie eine individuelle Kennung, die genau Ihrer Adresse zugeordnet ist. Der Absender erfährt nicht nur, dass Sie die Mail geöffnet haben, sondern dass Sie geklickt haben, auf welchen Link, wann, mit welcher IP-Adresse und welchem Gerät. Über die persönliche Kennung lassen sich diese Informationen mit Ihrem Profil verknüpfen und oft mit dem späteren Verhalten auf der Website zusammenführen.

Darüber hinaus lässt sich anhand der angezeigten Adresse oft nicht erkennen, wohin der Link wirklich führt. Weiterleitungen können missbraucht werden, um schädliche Ziele hinter vertrauenswürdig wirkenden Domains zu verstecken.

Das erschwert Link-Tracking:

• Halten Sie den Mauszeiger vor dem Klicken bzw. halten Sie den Link lange gedrückt, um die tatsächliche Zieladresse zu sehen.
• Rufen Sie vertrauenswürdige Zieladressen direkt im Browser auf, anstatt über den Link in der Mail.
• Klicken Sie generell nur auf Links von vertrauenswürdigen Absendern.
• Beachten Sie unsere Tipps gegen Phishing und Business Email Compromise.
• Nutzen Sie Browser bzw. Browser-Erweiterungen, die Tracking-Parameter automatisch entfernen oder bekannte Weiterleitungen entfernen.

Lesebestätigungen

Mit beantworteten Lesebestätigungen bestätigen Sie auch fremden Absendern, dass Ihre E-Mail-Adresse aktiv genutzt wird. Für Sender von Spam und Cyberkriminelle ist dies eine wertvolle Information und kann dazu führen, dass noch mehr unerwünschte Mails oder Betrugsversuche in Ihrem Postfach landen. Darüber hinaus verrät die Lesebestätigung, dass und wann Sie die Mail geöffnet haben, und je nach Programm auch, mit welchem Mail-Client. Als Empfänger empfiehlt es sich, im Mail-Programm einzustellen, dass Lesebestätigungen nie oder nur nach Rückfrage verschickt werden.

Trennen Sie Ihre Identitäten: Aliasse und Wegwerfadressen

Eine Adresse, die überall verwendet wird, ist eine häufige Schwachstelle. Taucht sie in einem Datenleck auf, hängen Ihre sämtlichen Konten daran. Diese Werkzeuge helfen Ihnen dabei, Ihr E-Mail-Konto davor zu schützen:

E-Mail-Aliasse

Ein E-Mail-Alias ist eine zusätzliche E-Mail-Adresse, die auf Ihr bestehendes Postfach verweist. E-Mail-Aliasse ermöglichen es Ihnen, jedem Dienst eine eigene E-Mail-Adresse zu geben, anstatt überall dieselbe zu verwenden. Dadurch erschweren Sie Profilbildung und schützen Ihren Zugang. Sie erkennen, wer Ihre Daten weitergibt, und Sie enttarnen Phishing schneller. Wie E-Mail-Aliasse genau funktionieren, wo und wie Sie sie am besten einsetzen und wie Sie E-Mail-Aliasse bei mailbox einrichten, erfahren Sie in unserem Blog.

Wegwerfadressen, Eimmal-Adressen oder temporäre E-Mail-Adressen

Wegwerfadressen sind E-Mail-Adressen für genau eine Gelegenheit, etwa eine Anmeldung im Flughafen-WLAN. Seien Sie vorsichtig bei Temp-Mail-Diensten im Netz, denn Gültigkeitsdauer, Datenschutz, Sicherheit und Blockierung durch Anbieter können zu Problemen führen. Wie Sie Einmal-Adressen bei mailbox generieren und nutzen, erklären wir Ihnen hier.

Nutzen Sie eine E-Mail-Adresse mit Ihrer eigenen Domain

Mit einer eigenen Domain gehört die Adresse Ihnen und nicht dem Anbieter – Sie behalten die volle Kontrolle über Ihre E-Mail-Adressen und sind beim Wechsel Ihres E-Mail-Dienstes unabhängig. Wie sicher Ihre eigene E-Mail-Domain ist, hängt u. a. von Ihrem E-Mail-Anbieter und der Konfiguration ab.

Vermeiden Sie kleine Pannen mit großen Folgen

• Seien Sie vorsichtig, wenn Sie E-Mails an einen Verteiler versenden. Nutzen Sie statt „CC“ das Blindkopie-Feld „BCC“, um zu verhindern, dass die E-Mail-Adressen zahlreicher Empfänger angezeigt werden.
• Die Autovervollständigung vieler E-Mail-Clients und Webmailer schlägt Ihnen beim Eintippen schon einmal verwendete E-Mail-Adressen oder Namen aus dem Adressbuch vor. Dabei besteht die Gefahr, in der Eile Nachrichten und Anhänge versehentlich an ähnlich lautende Namen und Adressen zu senden. Werfen Sie vor dem Versand der E-Mail noch einmal einen Blick auf die Empfängeradresse, um Datenpannen und peinliche Momente zu vermeiden.
• Nennen Sie in Abwesenheitsnotizen nicht zu viele Details, denn Sie verrät auch fremden Absendern möglicherweise sensible Informationen.

Vorsorge: Was passiert, wenn etwas passiert?

Sichern Sie Ihre E-Mails mit einem Backup

Ein E-Mail-Backup ist eine Sicherungskopie Ihrer E-Mails. Gehen E-Mails in einem Postfach verloren, können Sie die Nachrichten aus der Sicherungskopie wiederherstellen. Wie Sie Ihre E-Mails mithilfe eines E-Mail-Backups bei mailbox sichern und wiederherstellen, erfahren Sie in unserer Knowledge Base.

Gehen Sie behutsam vor beim Wechsel des E-Mail-Anbieters

Da oft dutzende Dienste an einem einzigen E-Mail-Konto hängen, scheuen sich viele, den E-Mail-Anbieter zu wechseln. Doch ein Umzug ist sich gut machbar – und bei mailbox können Sie dafür unseren kostenlosen Umzugsassistenten nutzen. Achten Sie im Prozess auf Folgendes:

• Legen Sie zuerst das neue Postfach samt Aliassen an und tragen Sie die neue Adresse bei den wichtistgen Konten ein, beginnend bei Bank, Zahlungsdiensten und allem, was Ihre Identität bestätigt.
• Richten Sie eine Weiterleitung vom alten Konto ein und beobachten Sie über einige Monate, was dort noch ankommt. Auf diese Weise übersehen Sie keine vergessenen Konten.
• Exportieren Sie relevante Inhalte aus dem alten Postfach.
• Löschen Sie das alte Konto erst nach einer großzügigen Übergangsfrist.

Regeln Sie Ihr digitales Erbe

Ein Postfach ohne Regelung kann im Todesfall zum Problem werden. Legen Sie deshalb zu Lebzeiten fest, was mit Ihrem E-Mail-Nachlass und Ihren Zugangsdaten geschehen soll. Bei mailbox können Sie zum Beispiel bestimmen, ob Ihre gespeicherten Daten gelöscht und die Zugangsdaten an niemanden herausgegeben oder ob die Zugangsdaten auf Anfragen von Erben bzw. von Ihnen namentlich genannten Personen herausgegeben werden sollen.

Mit klaren Regelungen für den Zugriff auf Ihr Postfach sorgen Sie nach Ihren eigenen Wünschen für die Zukunft vor. Beachten Sie, dass Sie darüber hinaus auch weitere Entscheidungen treffen sollten, z. B. zum zweiten Faktor bzw. zu privaten Schlüsseln bei der Ende-zu-Ende-Verschlüsselung.

Schmieden Sie einen Notfallplan

Sollte es doch einmal zu einem Sicherheitsvorfall kommen, zählt die Reihenfolge Ihrer Handlungen:

1. Ändern Sie das Passwort.
2. Beenden Sie alle aktiven Sitzungen.
3. Prüfen Sie Weiterleitungen, Filterregeln und Applikationspasswörter, denn ein neues Passwort entfernt eine heimlich eingerichtete Einstellung nicht.
4. Kümmern Sie sich um die Konten, die an dieser Adresse hängen, beginnend bei Bank, Zahlungsdiensten und dem Konto, über das sich weitere Passwörter zurücksetzen lassen.
5. Informieren Sie Ihre Kontakte, denn ein übernommenes Postfach wird regelmäßig dazu benutzt, im Namen des Inhabers Geld oder Daten zu erbeuten.

Fazit: E-Mail-Sicherheit ist Vorsorge und gelebte Praxis

E-Mail-Sicherheit ist keine Funktion, die einmal aktiviert wird, sondern eine Reihe kleiner Entscheidungen und Gewohnheiten. Sie müssen dafür nicht alles an einem Tag erledigen, sondern können ausgehend von einer starken Zugangskontrolle – ein sicheres Passwort und die Zwei-Faktor-Authentifizierung – viele weitere Vorkehrungen nach und nach etablieren und in Ihren E-Mail-Alltag integrieren. mailbox bietet Ihnen dafür zahlreiche automatisch integrierte und individuell wählbare Möglichkeiten.