ProtonMail Security

Ein paar Gedanken zu ProtonMail

Ich hatte ein paar hitzige Diskussionen auf YouTube, da ich bei einigen Videos zu ProtonMail kritisiert hatte, dass viele YouTuber angeblich diesen Maildienst getestet und insbesondere die Punkte Datenschutz/Privacy bewertet haben. Im Endeffekt geschieht dann aber irgendwie immer das selbe: Es wird einfach der ProtonMail „PR-Sprech“ übernommen.

Mein Problem ist nun gar nicht, dass ich der Meinung bin, dass ProtonMail ein „fraud“ ist oder ein Honeypot der Agenturen mit den drei Buchstaben (bekannte Verschwörungstheorie). Meine Probleme mit bzw bezüglich Protonmail sind eher folgende:

  1. ProtonMail hat eine starke PR und haut mächtig auf den Putz
  2. Das was ProtonMail sagt, wird einfach für bare Münze genommen und wieder und wieder wiederholt

In keinem der Videos wird wirklich mal etwas hinterfragt oder sich kritisch damit auseinandergesetzt. Man hat fast den Eindruck, dass „kritische“ Videos mitunter geradezu eine Art Werbevideo für ProtonMail sind.

ProtonMail Security

Es wird zum Beispiel immer wieder der tolle Schweizer Datenschutz erwähnt, da die Schweiz weltweit eines der stärksten Datenschutzgesetze hätte. Ich glaube das ist längst nicht mehr so. Aktuell sieht es eher so aus, als würde die Schweiz langsam selbst Richtung Überwachungsstaat wandern (Stichworte: BÜPF, NDG, VDS). Anmerkung an dieser Stelle: Ich kann zu Martin Steiger nichts sagen, da ich diese Person nicht wirklich kenne. Ich möchte dennoch auf einen interessanten Artikel verweisen

Dann lese und höre ich immer wieder, dass ja alles verschlüsselt ist. Nun ja.. Es mag ja sein, dass alles auf den ProtonMail Servern verschlüsselt gespeichert wird. Aber dies geschieht ja erst, nachdem die Mails dort eingegangen sind. Wenn eine Mail nicht via GPG/PGP verschlüsselt wurde, geht diese ja im Klartext bei ProtonMail ein. Erst danach wird diese verschlüsselt. Das geht auch gar nicht anders. Auch eigene Filter, Spamfilter, Antivirusscanner, etc könnten ja gar nicht funktionieren, wenn die Mail nicht zunächst lesbar wäre. Spam kann man eben nur erkennen, wenn der Inhalt bekannt ist. ProtonMail schreibt nun:

Because data is encrypted at all steps, the risk of message interception is largely eliminated.

Klar. Wenn hier nicht alle Schritte aufgeführt werden, stimmt die Aussage sogar. Denn ProtonMail spricht von Transfer zwischen ihren Servern und den Geräten der Benutzer. Und auch dem Transfer zwischen ProtonMail-Benutzern. Aber jede unverschlüsselte Mail externer Domains (und das sind sicher fast alle, die nicht von PM-Nutzern stammen) kommt zunächst im Klartext bei ProtonMail an. Und nein, base64 ist keine wirkliche Verschlüsselung.

Und genau hier kann man nun ansetzen. Man könnte ProtonMail zwingen, die Mails bzw deren Inhalt schon abzugreifen, bevor diese auf den Servern verschlüsselt werden. Bis dahin hat ProtonMail nämlich Recht mit der Aussage

Your encrypted data is not accessible to us

ProtonMail’s zero access architecture means that your data is encrypted in a way that makes it inaccessible to us.

Die verschlüsselten Daten sind vermutlich wirklich nicht lesbar. Vor der Verschlüsselung sind sie dies aber sehr wohl. Genau das machen sich Strafverfolgungsbehörden übrigens aktuell (Stand Dezember 2020) zu Nutze. Tutanota sieht sich aktuell gezwungen, auf Anordnung hin ein oder mehrere Postfächer zu überwachen und Daten vor der Verschlüsselung zu erfassen, bzw abzuleiten. Und genau das ist bei ProtonMail eben auch möglich.

Aber die Schweiz ist ja sicher, da sie außerhalb der Gerichtsbarkeit von EU und USA liegt. Theoretisch richtig. Allerdings kann man als Außenstehender ja gar nicht wissen, wie eng hier verschiedene Geheimdienste und Regierungen zusammenarbeiten und wie oft Hilfeersuchen stattgegeben wird.

Aber ProtonMail sichert meine Mails ja in einem unterirdischen Bunker, der wahrscheinlich sogar einem Atomangriff standhalten könnte. Nice.. und? Das schützt vielleicht physisch vor irgendetwas. Über die Sicherheit meiner Daten sagt das aber relativ wenig aus. Wenn ProtonMail Daten herausgibt, spielt es ja keine Rolle, ob diese in einem herkömmlichen Rechenzentrum oder unter meterdicken Betonwänden in unterirdischen Hochsicherheitsdatenbunkern abgespeichert sind. Vielen Nutzern geht es ja – gerade ob der „PM-PR“ – darum, dass ihre Daten vor den Augen Dritter geschützt sind und eben nicht vor einem Atomangriff oder einem Raid irgendwelcher Truppen.

Immerhin ist es Open Source und man kann es ja selbst überprüfen. Naja.. man kann das überprüfen, was zur Verfügung gestellt wird. Es gibt aber eben keine Garantie, dass dies zu 100% der Software entspricht, die dann tatsächlich zum Einsatz kommt. Theoretisch können alle Dienste im Internet Open Source Software veröffentlichen und sie für ein Audit einreichen, dann aber eine modifizierte Version einsetzen. Eine Garantie ist dies also nicht. Hier kommt es einfach auf Vertrauen an. Vertraue ich meinem Anbieter, dass dieser wirklich die Software einsetzt, die er angibt. Das trifft aber auf alle zu und natürlich nicht nur auf ProtonMail.

Ich muss es nochmal sagen: Ich habe kein Problem mit ProtonMail im Sinne von „nicht vertrauenswürdig“ oder „fraud“ oder was auch immer. Aber man sollte eben nicht alle Aussagen eines Unternehmens einfach als gegeben ansehen und blind vertrauen. Denn ein solches blindes Vertrauen kann nach hinten losgehen. Absolute Sicherheit gibt es eben nicht. Und ich persönlich denke, dass man – falls man denn auf Verschlüsselung angewiesen ist – hier andere Dienste nutzen sollte. Und wenn es dann doch unbedingt die Email sein muss, eben PGP/GPG und selbst verschlüsseln. Aber das in die Hände eines Dienstes legen möchte ich dann doch nicht.

Sollte nun aber jemand einen Mailanbieter suchen, der die eigenen Daten nicht verkauft, zuverlässig arbeitet und durchaus auch Mehrwerte bietet, ist ProtonMail sicher keine falsche Wahl. Ansonsten halt wie bei so ziemlich allem da draußen: Bitte mit einer gesunden Portion Skepsis und ohne alles einfach so zu nehmen, wie es gesagt wird. Unternehmen wollen verkaufen und hauen gerne mal auf den Putz.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.