Hört da wer mit? Sind gelöschte Bilder wirklich weg? Macht mich mein Smartphone süchtig? Welche dieser Sorgen berechtigt sind, welche übertrieben, beantwortet der ZEIT-ONLINE-Schwerpunkt "Digitale Ängste". Dieser Artikel in Form eines E-Mail-Wechsels zwischen einem fiktiven Leser und unserem Autor Eike Kühl ist Teil davon.

Liebe Redaktion von ZEIT ONLINE,

ich nutze seit vielen Jahren eine Adresse von Gmail für so ziemlich alles – ich verschicke darüber private Fotos, nutze Sie zum Onlineshopping und manchmal auch beruflich. Immer wieder bekomme ich Werbeanzeigen angezeigt, die sich scheinbar auf meine E-Mails beziehen. Ich habe gehört, dass Google sowieso alle meine Mails mitliest. Stimmt das?

Mit freundlichen Grüßen,
J. Skeptikus

Lieber Herr Skeptikus,

Ihre Frage lässt sich leider nicht mit einem klaren Ja oder Nein beantworten. Tatsächlich hat Google viele Jahre lang systematisch Mails gescannt, um anhand von Stichworten den Nutzerinnen und Nutzern maßgeschneiderte Werbeanzeigen einzublenden. Heißt: Wenn Sie viele E-Mails rund um Wanderreisen erhalten haben, haben Sie womöglich auch mehr Werbebanner von Outdoorshops auf Websites gesehen.

Diese Praxis war nicht geheim; sie wurde über Jahre hinweg von Verbraucherschützern kritisiert und es gab mehrere erfolglose Klagen. Eine Kritik war, dass davon nicht nur die Gmail-User selbst betroffen waren, sondern auch alle, die an eine Gmail-Adresse mailten. Noch 2013 sagten Googles Anwälte, die Nutzer von Gmail könnten von einem solchen Dienst keine Privatsphäre erwarten, sondern müssten akzeptieren, dass ihre Mails automatisch verarbeitet werden. Die Betonung liegt dabei auf automatisch: Nicht Mitarbeiter würden die Inhalte der E-Mails lesen, sondern Maschinen würden sie scannen – die gleichen, die auch Spam aussieben.

Erst 2017 verkündete Google, die E-Mails nicht mehr für Werbeanzeigen durchleuchten zu wollen. Das war 13 Jahre nach dem Start von Gmail. Der Grund dafür dürfte sein: Google hat längst genügend andere Möglichkeiten, an werberelevante Informationen über ihre Nutzer zu kommen – sei es durch die Google-Suche, YouTube, Android, Maps oder andere Google-Dienste.

Das heißt aber nicht, dass Ihre Nachrichten nun vor den Augen Dritter geschützt sind. Wer Google Mail nutzt, sollte sich klar machen, dass Google technisch gesehen Zugriff auf jede E-Mail hat, die dort verschickt oder empfangen wird. Die aktuelle Datenschutzerklärung des Unternehmens (Stand: 22. Januar 2019) bestätigt das im Grunde. Dort heißt es: "Wir erheben auch die Inhalte, die Sie bei der Nutzung unserer Dienste erstellen, hochladen oder von anderen erhalten. Dazu gehören beispielsweise E-Mails, die Sie verfassen und empfangen." Was genau Google unter "erheben" versteht, führt die Datenschutzerklärung nicht aus. Und es geht auch nicht aus ihr hervor, wer genau bei Google welche E-Mail-Inhalte einsehen kann.

Bedeutet: Google macht keinen Hehl daraus, prinzipiell Zugriff auf die E-Mails zu haben, äußert sich aber oft schwammig, wenn es um die Details geht.

Wissen sollte man außerdem: Google muss E-Mails seiner Nutzerinnen und Nutzer auf richterliche Anordnung auch Strafverfolgungsbehörden aushändigen – nicht nur in den USA, sondern auch in Deutschland. Hierzulande genießen E-Mails zwar den besonderen Schutz des Fernmeldegeheimnisses. Die "wirksame Strafverfolgung" und das "öffentliche Interesse an einer möglichst vollständigen Wahrheitsermittlung im Strafverfahren" seien allerdings "legitime Zwecke, die eine Einschränkung des Fernmeldegeheimnisses rechtfertigen können", entschied das Bundesverfassungsgericht 2009.

Mit freundlichen Grüßen,
Eike Kühl

Hallo Herr Kühl,

vielen Dank für Ihre ausführliche Antwort. Ganz verstehe ich das aber immer noch nicht: Einerseits hat Google 2017 verkündet, E-Mails nicht mehr zu durchleuchten und andererseits werden sie möglicherweise aber immer noch gespeichert, ausgelesen und analysiert? Das passt doch nicht zusammen!

Sie haben recht: Das wirkt zunächst wie ein Widerspruch. Tatsächlich hat aber Google 2017 lediglich angekündigt, Mails nicht mehr für Werbezwecke scannen zu wollen. Das bedeutet nicht zwangsläufig, dass sie es insgesamt nicht mehr tun: Mit ziemlicher Sicherheit werden die E-Mails weiterhin softwaregestützt durchforstet, nach Absender, Betreff, Links und Stichworten.  

Inhalte würden analysiert, "damit wir Missbrauch erkennen können, wie Spam, Malware und illegale Inhalte", heißt es zur Begründung in der aktuellen Datenschutzerklärung. Auch für die sogenannte Smart-Reply-Funktion, bei der Nutzerinnen und Nutzer anhand des Inhalts ("Können wir uns Samstag treffen?") automatische Antworten ("Ja, klar") vorgeschlagen bekommen, ist eine Analyse des Inhalts durch Algorithmen notwendig.

Zum Zugriff der eigenen Mitarbeiterinnen und Mitarbeiter auf die Mails schreibt Google: "Niemand bei Google liest dein Gmail mit, außer in sehr speziellen Fällen, in denen du uns darum bittest und einwilligst, oder wenn wir es aus Sicherheitsgründen tun müssen. Etwa, wenn wir einen Bug oder Missbrauch untersuchen."

Anders gesagt: Google und einzelne Mitarbeiter haben theoretisch die Möglichkeit, sämtlichen E-Mail-Verkehr über Gmail mitzulesen. In der Praxis ist das aber schon aufgrund der Unmengen an Mails der mittlerweile mehr als eine Milliarde User weltweit sehr unwahrscheinlich.

Im vergangenen Sommer hieß es in einem Bericht des Wall Street Journal außerdem, dass auch Dritte unter Umständen Zugriffe auf die privaten Nachrichten der Gmail-Nutzer erhielten – und zwar über Apps.

Als Beispiel erwähnen die Journalisten der Zeitung den Marketing- und Analysedienst Return Path. Der arbeitete mit Partnerunternehmen zusammen, die kostenlose Apps angeboten haben – und sich von Nutzern im Austausch dafür Zugriff auf ihre Postfächer geben ließen. Die Entwickler von Return Path hätten zu einem Zeitpunkt Zugriff auf 8.000 Gmail-Konten gehabt, um mit deren Inhalt die eigene Software zu trainieren, hieß es in dem Bericht. Auch Mail-Apps, die eigene Cloud-Server betreiben, können theoretisch alle Mails abgreifen, die über Gmail geschickt und empfangen werden.

Diesen Zugriff müssen die Nutzerinnen den Apps aber gewähren, argumentiert Google. Man würde jeden Drittentwickler, dessen Software Zugriff auf Gmail verlangt, genau überprüfen, heißt es in einem Blogbeitrag. Etwa dahingehend, ob sie wirklich nur die Daten erheben, die sie für ihre Funktion benötigen. Fraglich ist natürlich, wie ernst das Unternehmen diese Aufgabe nimmt und welche Kriterien angelegt werden. Falls Sie sich fragen, welche Programme bereits Zugriff auf Ihre Mails haben: Das können Sie im Sicherheitstest auf der Website von Google einsehen – und die Zugriffsrechte dort gegebenenfalls auch wieder entziehen.

Das heißt also, dass meine Kommunikation über Gmail niemals wirklich sicher ist. Muss ich deshalb den E-Mail-Anbieter wechseln oder kann ich mich anders schützen?

Es ist möglich, Gmail zu nutzen und die Nachrichten trotzdem vor neugierigen Augen zu verstecken. Und zwar, indem man sie verschlüsselt. Die bekannteste Lösung heißt PGP (Pretty Good Privacy). Vereinfacht gesagt werden die Nachrichten dabei mit einem Schlüssel verschlüsselt, den nur Sender und Empfänger kennen, nicht aber der Mail-Provider. Ende-zu-Ende-Verschlüsselung wird dieses Verfahren genannt. Der Mail-Provider kann in diesem Fall nur die sogenannten Metadaten, also Uhrzeit und IP-Adressen, auslesen, aber nicht den Inhalt einer Nachricht.

Der Nachteil von PGP: Die Verschlüsselungsmethode muss in einem E-Mail-Programm wie Thunderbird zuerst eingerichtet werden (wie das geht, erfahren Sie in unserer Serie Mein digitaler Schutzschild). Und sie funktioniert nur, wenn auch die Empfänger sie nutzen. Seit einigen Jahren bieten auch GMX und web.de eine einfachere Nutzung von PGP, wirklich verbreitet ist die Verschlüsselung aber bis heute nicht.

Generell schützen deutsche Mailanbieter die Mails ihrer Kunden nicht besser vor Mitlesern als Gmail. "Mitarbeiter haben keinen Zugriff auf die Postfächer unserer Nutzer. Fehlerbehebung, Wartung und Weiterentwicklung werden am Mailsystem vorgenommen, dafür ist ein Zugriff auf einzelne Postfächer weder erforderlich noch zulässig", sagte ein Firmensprecher von GMX und web.de ZEIT ONLINE. Auskünfte gebe es wenn, dann nur an deutsche Sicherheitsbehörden. Allerdings finde "eine automatisierte Prüfung zur Spam- und Malware-Bekämpfung mithilfe von Algorithmen" statt. Heißt: Im Grunde wird hier ähnlich gearbeitet wie bei Gmail – nur liegen die E-Mails deutscher Anbieter eben auf Servern in Deutschland.

Zusätzlich zur Einbindung von PGP warben GMX, web.de, Telekom und Freenet vor einigen Jahren mit der Imagekampagne "E-Mail Made in Germany" für höhere Sicherheit. Doch die E-Mail-Verschlüsselung, die sie versprechen, betrifft nur den Transportweg, also den Weg vom Sender zum Rechenzentrum des Anbieters. Sind sie dort gespeichert, könnten sie – im Gegensatz zur Ende-zu-Ende-Verschlüsselung von PGP – theoretisch eingesehen werden.

Etwas besser macht es der kostenpflichtige Anbieter Posteo aus Berlin. Er bietet allen Kundinnen und Kunden zusätzlich zur Transportverschlüsselung die Möglichkeit, auch sämtliche auf den Servern gespeicherten Daten zu verschlüsseln. Dann haben auch die Mitarbeiter von Posteo und Behörden mit richterlicher Anordnung keine Möglichkeit mehr, die Inhalte zu lesen. Die E-Mails können aber trotzdem noch bei der Ankunft auf dem Server abgefangen werden: "Da eingehende E-Mails erst verschlüsselt werden, wenn sie unsere Server erreichen, schützt der Krypto-Mailspeicher nicht vor einer richterlich angeordneten Überwachung (TKÜ) eines Postfachs", heißt es auf der Website von Posteo.

Zusammengefasst: Ob Gmail, GMX, web.de oder Posteo: E-Mails, die nicht mit einer Ende-zu-Ende-Verschlüsselung wie PGP versehen wurden, können potenziell immer von den jeweiligen Providern mitgelesen werden. Das geschieht aber in der Regel mit automatisierten Systemen und nicht durch einzelne Mitarbeiter oder Mitarbeiterinnen.

Die Sorge, dass private Nachrichten von Mitarbeitern des E-Mail-Anbieters in deren Mittagspause mitgelesen werden, ist deshalb nicht unbegründet, aber gleichzeitig auch übertrieben. Trotzdem gilt, was ein Hacker und Sicherheitsexperte aus Wien, der im Netz unter dem Pseudonym MacLemon bekannt ist, dem Onlinemagazin VICE sagte: Wenn Sie wirklich sichere Kommunikation schätzen, sollten Sie gar keine E-Mails mehr verschicken.

Haben Sie manchmal den Eindruck, dass Technologieunternehmen etwas über Sie wissen, was sie eigentlich gar nicht wissen können? Erzählen Sie uns von Ihren gruseligsten digitalen Erfahrungen, die Sie sich nicht erklären können.