Wer an den Schutz der E-Mail-Privatsphäre denkt, denkt meist an Verschlüsselung.
Verschlüsselung ist wichtig — aber sie ist nur ein Teil des Bildes.
Weit seltener wird gefragt: Wer kontrolliert eigentlich die Infrastruktur, auf der Ihre E-Mails liegen, und was folgt daraus?
Die Antwort zählt, weil Unternehmen, die E-Mail-Dienste betreiben, in den meisten Ländern gesetzlich verpflichtet sind, auf berechtigte Ersuchen von Gerichten und Behörden zu reagieren.
Behörden fragen täglich Nutzerdaten ab
Google ist eines der wenigen Technologieunternehmen, das detaillierte Statistiken zu behördlichen Auskunftsersuchen über Nutzer veröffentlicht.
Dem jüngsten Transparenzbericht von Google zufolge stellen Behörden weltweit inzwischen mehr als 300.000 rechtliche Ersuchen alle sechs Monate, die annähernd 750.000 Konten betreffen. Google veröffentlicht diese Statistiken zweimal jährlich, aufgeschlüsselt nach Ländern, zusammen mit seiner Offenlegungsquote.
Einige aktuelle Zahlen aus dem globalen Transparenzbericht von Google:
| Berichtszeitraum | Behördliche Ersuchen | Betroffene Konten | Google legte Daten offen |
|---|---|---|---|
| Juli–Dez. 2024 | 245.715 | 536.413 | 83 % |
| Jan.–Juni 2025 | 287.014 | 664.767 | 82 % |
| Juli–Dez. 2025 | 304.915 | 748.475 | 84 % |
Das sind weltweite Summen aus dem herunterladbaren Datensatz des Berichts selbst, über alle Länder und Verfahrensarten aufaddiert. Sicherungsersuchen sind ausgenommen, da sie einen Anbieter zur Aufbewahrung von Daten verpflichten statt zu deren Herausgabe; die Offenlegungsquote ist nach der Anzahl der Ersuchen je Land gewichtet.
Diese Prozentsätze bedeuten nicht, dass Google jedem Ersuchen automatisch nachkommt. Sie besagen vielmehr, dass Google nach Prüfung jedes Ersuchens in etwa vier von fünf Fällen zumindest einen Teil der angeforderten Informationen offengelegt hat.
Das deutlichere Signal ist die Entwicklung über die Zeit. Google veröffentlicht diese Daten seit 2009 halbjährlich, und sowohl die Zahl der Ersuchen als auch die Zahl der betroffenen Konten ist seither in nahezu jedem Berichtszeitraum gestiegen:
Anbieter gewähren Behörden keinen direkten Zugriff
Ein verbreitetes Missverständnis lautet, Behörden hätten einen „Hintertür“-Zugang zu E-Mail-Anbietern.
Google stellt ausdrücklich klar, dass dies nicht der Fall ist.
Der von Google veröffentlichten Dokumentation zum Rechtsverfahren zufolge gilt:
- Jedes Ersuchen wird von Juristinnen und Juristen geprüft.
- Ersuchen müssen dem anwendbaren Recht genügen.
- Übermäßig weit gefasste Ersuchen können eingeschränkt oder angefochten werden.
- Behörden erhalten keinen direkten Zugriff auf Nutzerkonten.
Dieses Prüfverfahren besteht, um berechtigte Ermittlungsinteressen und das Recht der Nutzer auf Privatsphäre in Einklang zu bringen.
Welche Informationen können angefordert werden?
Das hängt von der jeweiligen Rechtsgrundlage ab.
Google erläutert, dass unterschiedliche Verfahren den Zugriff auf unterschiedliche Kategorien von Informationen erlauben, darunter:
- Bestandsdaten,
- Wiederherstellungs-E-Mail-Adressen,
- Telefonnummern,
- IP-Adressverlauf,
- Anmeldezeitpunkte,
- Kontometadaten,
- Rechnungsdaten, soweit vorhanden,
- E-Mail-Inhalte, sofern rechtlich zulässig.
Nicht jedes Ersuchen berechtigt zum Zugriff auf jede Datenkategorie.
Transparenzberichte sind wichtig
Transparenzberichte gewähren einen ungewöhnlich detaillierten Einblick, wie oft Behörden Nutzerinformationen anfordern.
Ohne sie hätten Nutzerinnen und Nutzer kaum Einblick in:
- die Häufigkeit solcher Ersuchen,
- die Länder, aus denen sie stammen,
- die Zahl der betroffenen Konten,
- die Reaktion der Anbieter.
Der Transparenzbericht von Google ist einer der umfassendsten öffentlich verfügbaren Datensätze, und viele weitere Unternehmen — darunter Microsoft, Apple, Meta und GitHub — veröffentlichen vergleichbare Berichte.
Die Architektur zählt
Die meisten wählen einen E-Mail-Anbieter nach Speicherplatz, Spam-Filter oder Preis aus.
Grundlegender ist jedoch die Frage: Wer betreibt den Mailserver?
- Sie
- Der E-Mail-Anbieter
- Infrastruktur des Anbieters
Dem Anbieter gehört die Infrastruktur, er betreibt den Mailserver, verwahrt Ihr Postfach und ist die juristische Person, die behördliche Ersuchen erhält.
- Sie
- Ihr Cloud-Konto
- Ihr Mailserver
Die Maschine ist bei einem Cloud-Anbieter gemietet, doch das darauf laufende Mailsystem gehört Ihnen: Ihr Konto, Ihre Konfiguration, Ihre Daten. cripta.to automatisiert Einrichtung und Betreuung; es verwahrt niemals Ihr Postfach.
Bei einem klassischen gehosteten E-Mail-Dienst gehört dem Anbieter die Infrastruktur, er betreibt den Mailserver, verwahrt Ihr Postfach und ist die juristische Person, die behördliche Ersuchen erhält.
Bei cripta.to ist das Modell ein anderes.
cripta.to richtet einen produktionsreifen Mailserver in Ihrem eigenen Cloud-Konto ein.
Die Maschine selbst gehört nicht Ihnen — Sie mieten sie bei einem Cloud-Anbieter, wie es nahezu jedes Unternehmen tut. Ihnen gehört alles oberhalb dieser Linie: das Konto, die Serversoftware, die Konfiguration und die Post.
cripta.to ist die Softwareplattform, die Einrichtung und Betreuung automatisiert; es ist nicht der laufende Betreiber Ihrer E-Mail-Infrastruktur und niemals Verwahrer Ihrer Post.
Diese Unterscheidung verändert das Betriebsmodell:
- Ihre Cloud-Ressourcen bleiben in Ihrem Konto, unter Ihren Zugangsdaten.
- Ihr Mailserver läuft in Ihrer eigenen Umgebung, mit einer Konfiguration, die Sie einsehen und ändern können.
- Verbindungen zwischen Ihren Geräten und dem Server sind mit TLS geschützt, und bei Tarifen mit dediziertem Datenvolume ist die Festplatte mit Ihrer Post im Ruhezustand verschlüsselt.
- cripta.to hostet Ihr Postfach nicht wie ein zentralisierter E-Mail-Anbieter.
Der ehrliche Unterschied ist enger gefasst als „es gehört Ihnen“ — und nützlicher: Es geht um Verwahrung. Kein dritter E-Mail-Anbieter sitzt dazwischen und verwahrt Ihr Postfach, also gibt es eine Partei weniger, bei der man danach fragen kann.
Warum wir cripta.to gebaut haben
Bei cripta.to sind wir überzeugt, dass Nutzerinnen und Nutzer nicht nur verstehen sollten, wie ihre E-Mails verschlüsselt werden, sondern auch, wo sie liegen und wer sie kontrolliert.
Wo die Infrastruktur steht und wer kontrolliert, was darauf läuft, wird in Datenschutzdebatten häufig übersehen.
Für viele Organisationen und Einzelpersonen ist die Kontrolle über die Umgebung, in der E-Mail verarbeitet und gespeichert wird, eine wichtige Gestaltungsentscheidung, weil sie mehr operative Unabhängigkeit und Transparenz schafft.