E-Mail-Hosting in Deutschland
Wer Microsoft 365 den Rücken kehren möchte, wird vermutlich Wert darauf legen, dass die E-Mails (und Kalendereinträge, Kontakte und Cloud-Daten) in Deutschland gehostet werden. Darum geht es in diesem Beitrag.
Einleitung
E-Mail ist nach wie vor das geschäftskritische Kommunikationsmittel Nummer 1. Für Unternehmen und Organisationen in Deutschland stellt sich dabei nicht nur die Frage nach Performance und Verfügbarkeit, sondern insbesondere nach Rechtskonformität, Datensouveränität und Informationssicherheit. Dieser Beitrag erläutert die wesentlichen Vorteile von E-Mail-Hosting „Made in Germany“, vergleicht typische Anbieterprofile und beleuchtet die rechtlichen Rahmenbedingungen, inklusive der Risiken, die bei Datenverarbeitungen außerhalb der EU entstehen.
Wesentliche Vorteile von E-Mail-Hosting in Deutschland
- Rechtskonformität und Planbarkeit: Hosting in deutschen bzw. EU-Rechenzentren erleichtert die Einhaltung der DSGVO, insbesondere der Vorgaben zu Auftragsverarbeitung, Transparenz und Betroffenenrechten. Internationale Datenübermittlungen und deren zusätzliche Prüfpflichten entfallen häufig oder werden deutlich reduziert.
- Starke Datensouveränität: Deutsche und EU-Anbieter unterliegen dem europäischen Datenschutzrecht und deutschen Aufsichtsbehörden. Dies reduziert Konflikte mit Drittstaatenrecht, das im Einzelfall weitreichende Zugriffsrechte staatlicher Stellen vorsehen kann.
- Transparente Auftragsverarbeitung (AVV): Seriöse Anbieter stellen standardisierte Auftragsverarbeitungsverträge zur Verfügung, die technisch‑organisatorische Maßnahmen (TOMs) und Unterauftragsverhältnisse präzise regeln.
- Hohe Sicherheitsstandards: Moderne Transport- und Inhaltsverschlüsselung, Mehrfaktor-Authentifizierung, DMARC/SPF/DKIM, Anti‑Spam/Anti‑Malware‑Filter sowie redundante Infrastruktur sind etabliert.
- Geringere Latenzen und verlässliche Zustellung: Nähe zu großen deutschen Netzknoten und eine saubere IP‑Reputation fördern die Zustellqualität – entscheidend für Geschäftskommunikation und Transaktionsmails.
Rechtliche Rahmenbedingungen
1) DSGVO‑Transfers in Drittländer (Kapitel V)
Die DSGVO erlaubt Übermittlungen in Drittstaaten grundsätzlich nur bei Angemessenheitsbeschluss, geeigneten Garantien wie Standardvertragsklauseln, Binding Corporate Rules oder ausnahmsweise gemäß den in Art. 49 DSGVO genannten Tatbeständen. Ohne diese Grundlagen sind Übermittlungen unzulässig.
2) „Schrems II“ – Maßstab für Datentransfers
Der Europäische Gerichtshof erklärte 2020 den EU‑US‑Privacy Shield für unwirksam. Zugleich betonte er, dass Exporteure bei Standardvertragsklauseln die tatsächliche Rechtslage im Empfängerland prüfen und gegebenenfalls zusätzliche Schutzmaßnahmen (z. B. starke Verschlüsselung) ergreifen müssen. Die Empfehlungen des Europäischen Datenschutzausschusses (EDSA) konkretisieren dieses risikobasierte Vorgehen.
3) Drittstaatenzugriffe und CLOUD Act
US‑Anbieter können – je nach Konstellation – auf Grundlage des CLOUD Act zu Datenauskünften verpflichtet sein, auch wenn sich die Daten physisch außerhalb der USA befinden. Für Verantwortliche in der EU kann dies zusätzlichen Prüf‑ und Absicherungsbedarf begründen.
Risiken, wenn E‑Mail‑Daten außerhalb der EU gespeichert werden
- Rechtskonflikte und Unsicherheiten: Kollidierende Zugriffsrechte ausländischer Behörden können die DSGVO‑Konformität gefährden oder zusätzliche, fortlaufende Transfer‑Folgenabschätzungen erzwingen.
- Schwächeres Datenschutzniveau: Fehlen Angemessenheitsbeschluss und wirksame Zusatzmaßnahmen, drohen Bußgelder, Untersagungen und Reputationsschäden.
- Technische Risiken: Höhere Latenzen, komplexere Routing‑Wege, mehr Zwischenstationen und damit potenziell größere Angriffsflächen.
- Vertragsrisiken: Unklare Unterauftragsverhältnisse und fehlende Transparenz über Speicherorte erschweren die Compliance.
Auswahlkriterien für einen deutschen E‑Mail‑Hoster
- Rechenzentrumsstandorte & Datenflüsse: Bevorzugt ausschließlich Deutschland/EU, dokumentiert in AVV und Datenschutz‑Informationen.
- Sicherheitsfunktionen: TLS, DANE, SPF, DKIM, DMARC, MTA‑STS, DNSSEC, 2FA, PGP‑Support/Key‑Management, Phishing‑Schutz.
- Compliance‑Bausteine: AVV, TOMs, Lösch‑/Aufbewahrungskonzepte, Audit‑/Zertifikatslage, E‑Mail‑Archivierung nach GoBD bzw. Branchenvorgaben.
- Transparenz: Klare Angaben zu Unterauftragsverarbeitern, Backup‑Strategien, Incident‑Response, Status‑Pages.
- Funktionsumfang: Custom‑Domains, Groupware (Kalender/Kontakte/Aufgaben), ActiveSync, Webmail‑UX, API/Administrations‑Tools, SLA, Supportzeiten.
- Kosten/Nutzen: Gesamtbetriebskosten (inklusive Migration, Archivierung, Support), nicht nur Mailbox‑Preis.
Anbieterüberblick (Auswahl)
Hinweis: Die folgende Einordnung fokussiert auf Standort, Datenschutzprofil und typische Funktionsschwerpunkte. Preise ändern sich regelmäßig und werden hier nicht bewertet.
1) mailbox.org (Heinlein Hosting, Berlin)
- Profil: Schwerpunkt auf Datenschutz, Transparenz und Sicherheit; „Privacy made in Germany“.
- Standorte/Compliance: Betrieb in deutschen Rechenzentren, DSGVO‑Ausrichtung; umfangreiche Informationen zu Datenschutz und Verschlüsselung.
- Funktionen: PGP‑Integration, Groupware, Versand‑/Empfangsschutz, Business‑Optionen.
2) Posteo (Berlin)
- Profil: Stark privacy‑fokussierter E‑Mail‑Dienst mit Nachhaltigkeitsausrichtung.
- Standorte/Compliance: Betrieb in Deutschland; strikte Datenschutzprinzipien.
- Besonderheiten: Anonyme Zahlungsoptionen; eher auf Privat‑/Kleinstanwender ausgerichtet, eingeschränkter Fokus auf Business‑Features.
3) IONOS
- Profil: Großer deutscher Cloud‑/Hosting‑Anbieter mit E‑Mail‑ und Groupware‑Optionen (inkl. Microsoft‑Integrationen).
- Standorte/Compliance: EU/Deutschland‑Rechenzentren, Betonung auf DSGVO‑Konformität.
- Funktionen: Breite Produktpalette, Integrationen, Business‑Support.
4) STRATO
- Profil: Deutscher Hoster mit klassischem E‑Mail‑Hosting und Archivierungs‑/Compliance‑Lösungen.
- Standorte/Compliance: Verarbeitung ausschließlich in deutschen Rechenzentren, AVV verfügbar.
- Funktionen: E‑Mail‑Archivierung/Compliance‑Angebote in Kooperationen.
Vergleichsmatrix (kompakte Orientierung)
| Kriterium | mailbox.org | Posteo | IONOS | STRATO |
|---|---|---|---|---|
| Rechenzentrumsstandort | Deutschland | Deutschland | Deutschland/EU | Deutschland |
| AV‑Vertrag (DSGVO) | Ja | Ja (i. d. R. verfügbar) | Ja | Ja |
| Custom‑Domain | Ja | Eher eingeschränkt für Business | Ja | Ja |
| Groupware (Kalender/Kontakte) | Ja | Ja | Ja | Ja |
| 2FA/PGP‑Support | 2FA & PGP | 2FA & PGP | 2FA, PGP je nach Tarif/Produkt | 2FA, PGP je nach Setup |
| Archivierung/Compliance‑Optionen | Ja (Business‑Fokus) | Begrenzt | Ja (Produktfamilien/Partner) | Ja (Partnerlösungen) |
Technische Mindeststandards (Best Practices)
- Authentifizierung & Schutz: 2FA, starke Passwortrichtlinien, Brute‑Force‑Schutz.
- E‑Mail‑Authentizität: SPF, DKIM, DMARC (Policy möglichst „reject“), MTA‑STS, TLS‑Reporting.
- Transport‑ & Inhaltsverschlüsselung: TLS 1.2+ im Transport; optional Ende‑zu‑Ende mit OpenPGP/S/MIME.
- Härtung & Monitoring: DANE/TLSA, DNSSEC, SIEM/Logs, regelmäßige Pen‑Tests.
- Archivierung & Aufbewahrung: Rechtssichere E‑Mail‑Archivierung (GoBD/Branchenrecht), definierte Löschkonzepte.
- Transparenz: AVV, TOMs, Unterauftragsverarbeiterliste, Status‑/Security‑Seiten, Incident‑Prozesse.
Vorgehensmodell zur Anbieterwahl
- Anforderungsprofil erstellen: Fachliche (Custom‑Domains, Alias‑Management, Groupware), rechtliche (AVV, Speicherorte), sicherheitstechnische (Krypto, 2FA) und betriebliche Kriterien (SLA, Support).
- Shortlist & Due Diligence: Rechenzentrumsstandorte belegen lassen, Unterauftragsverarbeiter prüfen, Zertifikate einsehen, Muster‑AVV prüfen.
- Transfer‑Risikoanalyse: Bei Drittlandsbezug Transfer‑Folgenabschätzung (TIA) durchführen und ggf. zusätzliche Schutzmaßnahmen gemäß EDSA‑Empfehlungen etablieren.
- Pilot & Migration: Testkonten, Import/Export, Zustellbarkeit, Spam‑Filter, Client‑Kompatibilität, Mobile‑Sync.
- Betriebsübergang & Audits: Policies, Schulungen (Phishing!), wiederkehrende Prüfungen, Notfall‑/Wiederanlaufpläne.
