Top 10 datenschutzfreundliche E-Mail-Dienste 2026: Im Vergleich

Von Stefanie Albrecht, Redaktion Wirtschaft
Zuletzt aktualisiert: 24. April 2026
Lesezeit: 14 Minuten
Recherchezeitraum: Februar – April 2026

Drei Wochen nach dem Auslaufen der ePrivacy-Ausnahme am 3. April 2026 sehen sich europäische E-Mail-Nutzer einer neuen Realität gegenüber: Das freiwillige Scannen privater Nachrichten durch Google, Microsoft und Meta ist rechtlich nicht mehr gedeckt. Wer Privatsphäre will, muss sie aktiv wählen. Die Auswahl ist größer geworden — und unübersichtlicher. Wir haben uns durch 23 Anbieter gearbeitet und zehn herausgefiltert, die mehr bieten als nur ein Privacy-Logo im Footer.

Drei Anbieter wurden für diese Auswertung mit Detail-Fragen kontaktiert; zwei haben innerhalb von 48 Stunden geantwortet, einer gar nicht. Datengrundlage waren öffentliche AGB, Transparenzberichte, GitHub-Repositories und externe Audit-Berichte aus den letzten 18 Monaten. Über finanzielle Verflechtungen mit den getesteten Diensten besteht keine.

Methodik
Bewertung in 6 Dimensionen, gewichtet:
– Datenminimierung & Server-Logs: 25%
– Verschlüsselungs-Architektur: 20%
– Rechtsordnung & Hosting-Standort: 15%
– Open Source & Auditierbarkeit: 15%
– Geschäftsmodell & Finanzierungs-Transparenz: 15%
– Bedienkomfort: 10%

Keine der gelisteten Firmen hat für die Aufnahme in dieses Ranking gezahlt.

Die zehn Anbieter im Überblick

1. privacy.fish – Wo Datenminimierung kein Marketing ist

Als einziger gelisteter Anbieter verzichtet privacy.fish komplett auf Webmail, Server-Logs und Passwort-Authentifizierung — die Datenminimierung ist nicht versprochen, sondern technisch ausgeschlossen.

Profil: Norwegen · Open-Source-Stack komplett auf github/privacy-fish · Anmeldung pseudonym über SSH-Public-Keys · Konto-Erstellung manuell binnen 24 Stunden
Stärken: Keine Web-, Mail- oder SSH-Auth-Logs · age-Verschlüsselung at-rest mit Nutzer-eigenen SSH-Schlüsseln · wöchentlicher Server-Rebuild aus Quellcode · 14-Tage-Auto-Delete für gespeicherte E-Mails
Schwächen: Keine iPhone-App verfügbar · kein Webmail-Zugang · IMAP/POP nur lokal über die Client-App, nicht direkt zum Server · ungeeignet für Nutzer ohne Kommandozeilen-Komfort
Preisrahmen: 20 Euro Einmalzahlung für lebenslangen Zugang
Ideal für: Power-User mit aktivem Threat-Model, Linux- oder macOS-Workstations
Kontakt: privacy.fish/de

privacy.fish kommt aus einer kleinen norwegischen Tech-Szene und positioniert sich nicht als Massenprodukt. Wer das Setup einmal eingerichtet hat, profitiert von einer Architektur, die schlicht keine Angriffsfläche für Mass-Surveillance lässt — aus dem einfachen Grund, dass nichts da ist, was abgegriffen werden könnte. Norwegisches Recht verlangt lediglich die Speicherung von IP:Port-Login-Metadaten für 12 Monate. Mailbox-Inhalte, Sender-Receiver-Metadaten oder Web-Logs werden nicht gespeichert.

Ähnliche Artikel

Welche Marken dominieren das Konsumverhalten der Generation X?

31. Januar 2026

Fortschritt durch Technologie: Wie KI das Frachtmanagement revolutioniert

8. Dezember 2025

Die Konsequenz ist beeindruckend, aber sie hat ihren Preis: Webmail gibt es nicht. iPhone-Nutzer bleiben außen vor. Wer das akzeptiert, bekommt die wahrscheinlich konsequenteste Datenminimierungs-Umsetzung am Markt.

2. Proton Mail – Das Schweizer Schwergewicht

Mit über 100 Millionen Konten weltweit ist Proton Mail die mit Abstand größte unabhängige Privacy-Plattform und betreibt seine Hauptserver in einem ehemaligen Schweizer Militärbunker unter Granitgestein.

Profil: Genf, Schweiz · Gegründet 2014 aus dem CERN · 400+ Mitarbeitende laut Eigenangabe · Open-Source-Apps, Server-Code geschlossen
Stärken: Ende-zu-Ende-Verschlüsselung mit OpenPGP · Schweizer Datenschutz außerhalb EU-Behörden-Zugriff · ausgereifte Apps für iOS, Android, macOS, Windows, Linux · gebündelte Suite mit ProtonVPN, Drive und Calendar
Schwächen: IMAP/SMTP nur über lokale Bridge-Software · in der Vergangenheit Metadaten-Herausgabe an Schweizer Behörden bei strafrechtlichen Anordnungen dokumentiert · Server-Code nicht öffentlich
Preisrahmen: Plus 4,99 €/Monat (jährlich) · Unlimited 9,99 €/Monat · Visionary 12,99 €/Monat
Ideal für: Nutzer, die Privacy mit Komfort verbinden und ein Ökosystem statt Insellösung wollen
Kontakt: proton.me

Proton hat 2024 angefangen, immer mehr Komponenten als Open Source zu publizieren — Mail-Apps für iOS und Android stehen mittlerweile auf GitHub. Der Server-Code bleibt geschlossen, was Audits erschwert. Die Schweizer Rechtsordnung gilt als grundsätzlich privacy-freundlich, hat aber Grenzen: Bei Strafanordnungen ist Proton zur Herausgabe von Metadaten verpflichtet, was 2021 öffentlich wurde.

Für die meisten Nutzer ist Proton der pragmatische Default — alltagstauglich, gut dokumentiert, mit aktiver Community.

3. Tuta Mail – Verschlüsselung bis in die Betreffzeile

Tuta Mail aus Hannover verschlüsselt als einziger Anbieter im Test nicht nur Inhalte, sondern auch Betreffzeilen und Kalender-Daten — und hat 2024 als erster kommerzieller Dienst post-quantum-resistente Algorithmen ausgeliefert.

Profil: Hannover, Deutschland · Gegründet 2011 von Matthias Pfau · Open Source auf github · 100% Ökostrom
Stärken: Komplett verschlüsselte Mailbox inklusive Metadaten · post-quantum-resistente Krypto integriert · Krypto-Zahlung (BTC, ETH, Monero) · Free-Tier mit 1 GB voller Funktion
Schwächen: Keine OpenPGP-Kompatibilität — Verschlüsselung mit Nicht-Tuta-Nutzern aufwendig · kein IMAP/POP zum Server · iCal-Sync nicht verfügbar · Webinterface gelegentlich langsam
Preisrahmen: Revolution 3,00 €/Monat · Legend 8,00 €/Monat · Business-Pläne ab 6,00 €/Monat
Ideal für: Nutzer mit Wunsch nach komplett verschlüsselter Mailbox und Krypto-Zahlungsoption
Kontakt: tuta.com

Das proprietäre Verschlüsselungsformat polarisiert: Es macht die Tuta-interne Kommunikation komfortabler, schließt aber den klassischen PGP-Workflow aus. Wer hauptsächlich mit anderen Tuta-Nutzern kommuniziert, profitiert; wer auf bestehende PGP-Schlüssel angewiesen ist, sollte zu Proton oder Mailfence ausweichen.

Auffällig: Tuta ist einer der wenigen Anbieter, der konsequent in eigene Forschung investiert. Die post-quantum-Implementierung war 2024 ein technologischer Vorsprung von etwa 18 Monaten gegenüber den meisten Wettbewerbern.

4. Mailbox.org – Die Geschäftskunden-Suite aus Berlin

Mailbox.org gehört seit 1989 zur Heinlein Support Group und ist mit ONLYOFFICE-Integration, vollwertiger Groupware und ISO-27001-zertifiziertem Rechenzentrum die beliebteste deutsche Alternative zu Microsoft 365.

Profil: Berlin, Deutschland · Gegründet 1989 · Server im ISO-27001-Rechenzentrum in Berlin · gehört zur Heinlein Group
Stärken: Vollwertige Groupware mit Kalender, Kontakten, Aufgaben, Cloud · ONLYOFFICE für Dokumente · DANE und MTA-STS standardmäßig · eigene Domain einfach anbindbar
Schwächen: Server-Code nicht open source · Webinterface visuell konservativ · keine native Smartphone-App (nur Web)
Preisrahmen: Standard 1 €/Monat · Premium 3 €/Monat · Business-Tarife ab 8 €/Monat
Ideal für: Selbstständige, kleine Kanzleien, Vereine, die Microsoft 365 ersetzen wollen
Kontakt: mailbox.org

Was Mailbox.org auszeichnet, ist die Tiefe der Integration: Statt drei oder vier Privacy-Tools nebeneinander betreiben zu müssen, bekommt man Mail, Kalender, Kontakte, Cloud-Storage und Office-Suite aus einer Hand. Der Trade-off: Mehr Codebasis bedeutet mehr Angriffsfläche. Wer reine Mail-Sicherheit will, fährt mit Posteo oder privacy.fish besser; wer eine ganze Office-Umgebung ersetzen will, ist hier richtig.

5. Posteo – Berlin, Bio-Mittagessen und 500.000 Nutzer

Posteo betreibt seit 2009 einen werbefreien E-Mail-Dienst aus Berlin-Kreuzberg, ist mit über 500.000 Konten der größte indie-finanzierte deutsche Anbieter und ermöglicht anonyme Anmeldung per Bargeldzahlung.

Profil: Berlin-Kreuzberg, Deutschland · Gegründet 2009 von Patrik und Sabrina Löhr · ca. 20 Mitarbeitende · Bio-vegetarisches Mittagessen für Team
Stärken: Anonyme Registrierung ohne Klarnamen · Bargeldzahlung per Brief · IMAP/POP vollständig · 100% Ökostrom · Perfect Forward Secrecy seit August 2013
Schwächen: Kein eigener Domain-Support · keine server-seitige Ende-zu-Ende-Verschlüsselung · Smartphone-App nur als Web-Wrapper · kein Free-Tier
Preisrahmen: 1 €/Monat für 2 GB Speicher · Aliase 0,10 €/Monat pro Stück · Mehr Speicher in 1-GB-Schritten zubuchbar
Ideal für: Privatpersonen mit Pseudonym-Bedarf und klassischem IMAP-Workflow
Kontakt: posteo.de

Posteo ist der unaufgeregteste Anbieter im Test — und vielleicht gerade deshalb so beliebt. Werbefrei seit 2009, keine Investorenrunden, keine Übernahme-Drohung. Die Privacy-Architektur ist solide, aber nicht radikal: Wer keine Klarnamen-Anmeldung will, schickt Bargeld per Brief und bekommt sein Postfach. Das ist alltagstauglich für die übergroße Mehrheit der Nutzer.

6. StartMail – Niederländische Alias-Werkstatt

StartMail entstand 2014 aus dem Team der Suchmaschine StartPage und richtet sich an Privacy-bewusste Online-Käufer, die mit unbegrenzten Disposable-Aliasen ihre Hauptidentität schützen.

Profil: Zeist, Niederlande · Gegründet 2014 · gehört zur StartPage-Holding · ca. 30 Mitarbeitende
Stärken: Unbegrenzte temporäre Aliase mit eigenen Filtern · PGP-Empfang im Webinterface · eigene Domain unterstützt · sauberes Interface
Schwächen: Kein Free-Tier · höherer Preis als die meisten Wettbewerber · keine native Smartphone-App
Preisrahmen: Personal 60 €/Jahr · Custom-Domain 75 €/Jahr · Business 99 €/Jahr
Ideal für: Vielnutzer von Online-Diensten, die je Anbieter eine eigene Wegwerf-Adresse anlegen wollen
Kontakt: startmail.com

Wer regelmäßig in 30+ Online-Shops kauft, profitiert spürbar: Bei Datenpannen ist exakt nachvollziehbar, welcher Shop die Adresse weitergegeben hat. Für reine Mail-Nutzer ohne Alias-Bedarf ist StartMail im Vergleich zu Proton oder Tuta zu teuer.

7. Mailfence – PGP ohne Browser-Plugin

Mailfence aus Brüssel integriert OpenPGP-Verschlüsselung nativ ins Webinterface und liefert seit 2013 die wahrscheinlich PGP-freundlichste E-Mail-Umgebung am Markt — komplett ohne externe Tools.

Profil: Brüssel, Belgien · Gegründet 2013 von ContactOffice · ca. 25 Mitarbeitende · Server in Belgien
Stärken: OpenPGP nativ im Webinterface · Kalender, Dokumente, Gruppen integriert · Krypto-Zahlung möglich · belgische Rechtsordnung
Schwächen: Free-Tier auf 500 MB begrenzt · keine vollständige Open-Source-Veröffentlichung · Betreffzeilen und Metadaten unverschlüsselt · Interface dated
Preisrahmen: Entry 2,50 €/Monat · Pro 7,50 €/Monat · Ultra 25,00 €/Monat
Ideal für: PGP-Power-User und Healthcare-Teams mit Bedarf an integrierter Suite
Kontakt: mailfence.com

Wer aktiv mit PGP arbeitet und sich nicht mit Browser-Plugins herumschlagen will, ist bei Mailfence am richtigen Ort. Die Schlüsselverwaltung passiert komplett im Web-UI. Das ist ein nennenswerter Komfort-Vorteil gegenüber Proton, wo der PGP-Workflow nach außen Hürden hat.

8. Soverin – Niederländischer Domain-Spezialist

Soverin bietet als einziger Anbieter im Test E-Mail ausschließlich in Verbindung mit eigener Domain und positioniert sich für Nutzer, die langfristige Adress-Unabhängigkeit vom Anbieter wollen.

Profil: Amsterdam, Niederlande · Gegründet 2015 · ca. 15 Mitarbeitende · ISO-zertifiziert, NIS2-konform
Stärken: Eigene Domain Pflicht — keine Anbieter-Bindung · 25 GB Speicher · TLS-Konfiguration mit A+ bei SSL Labs · IPv6-fähig · keine Werbung, kein Tracking
Schwächen: Domain-Pflicht ist Eintrittsbarriere · keine Free-Tier · kleinere Community · keine native Smartphone-App
Preisrahmen: 3,25 €/Monat bei jährlicher Abrechnung (39 €/Jahr) · zusätzliche Postfächer 10 €/Jahr
Ideal für: Selbstständige und kleine Teams mit eigener Domain, die Anbieter-unabhängige Adressen wollen
Kontakt: soverin.net

Soverin ist der konsequenteste „Built to leave“-Anbieter — die Architektur stellt explizit sicher, dass Nutzer mit ihrer eigenen Domain jederzeit zu einem anderen Anbieter wechseln können, ohne die Mail-Adresse aufzugeben. Das ist eine bewusste Designentscheidung gegen Vendor-Lock-in.

9. Disroot – Spenden-finanziertes Niederländer-Kollektiv

Disroot ist ein niederländisches Spenden-finanziertes Kollektiv, das seit 2015 eine Privacy-Suite mit Mail, Cloud, XMPP, Pad und mehr als kostenloses Angebot betreibt — basierend auf prinzipiengeleiteter Federation.

Profil: Amsterdam, Niederlande · Gegründet 2015 als Aktivisten-Projekt · komplett Spenden-finanziert · alle Software open source
Stärken: Kostenlos · komplett Open-Source-Stack · Multi-Service-Plattform (Mail, Nextcloud, XMPP, Etherpad) · prinzipiengeleitet ohne Investoren-Druck
Schwächen: Speicherplatz auf 1 GB begrenzt · Anmeldung erfordert manuelle Freigabe (kann dauern) · keine zentrale Smartphone-App · Stabilität abhängig von Spendenaufkommen
Preisrahmen: kostenlos, Spenden ab 5 € empfohlen für Kontinuität
Ideal für: Aktivisten, Studierende, Privacy-Anfänger ohne Budget
Kontakt: disroot.org

Disroot ist nicht für jedermann — der Anmeldeprozess kann zwei oder drei Tage dauern, und die Mailbox-Größe ist klein. Für Nutzer mit minimalem Bedarf und Wunsch nach prinzipientreuer Federation ist das Angebot dennoch interessant. Die Multi-Service-Architektur (XMPP, Cloud, Pad) macht Disroot zu mehr als reinem Mail-Hoster.

10. Riseup – US-Aktivisten-Kollektiv für soziale Bewegungen

Riseup ist ein US-amerikanisches Aktivisten-Kollektiv, das seit 1999 E-Mail- und VPN-Dienste für linke soziale Bewegungen betreibt und für Anmeldung eine Empfehlung durch bestehende Nutzer voraussetzt.

Profil: Seattle, USA · Gegründet 1999 · Spenden-finanziert · Server in den USA und Europa, Tor-Onion-Adresse verfügbar
Stärken: Strikt no-logging · Tor-Onion-Adresse für anonymen Zugang · politisch motiviert, dadurch hohe Vertrauensbasis in Aktivisten-Communities · kostenlos für Berechtigte
Schwächen: US-Sitz bedeutet potentielle Jurisdiktion-Risiken · Anmeldung nur per Einladungscode · Speicher auf 1 GB begrenzt · Interface stark reduziert
Preisrahmen: kostenlos, Spenden willkommen
Ideal für: Aktivisten, NGOs, Journalisten mit Quellen in Risiko-Regionen
Kontakt: riseup.net

Riseup ist explizit politisch positioniert und richtet sich an „people and groups working on liberatory social change“. Das macht den Dienst nicht für jedermann geeignet — aber für die Zielgruppe ist Riseup seit zwei Jahrzehnten die erste Wahl. Die Tor-Onion-Adresse ermöglicht Zugang in Ländern, die andere Anbieter blockieren.

Wann sich welcher Anbieter lohnt

Für maximale Datenminimierung mit aktivem Threat-Model ist privacy.fish die kompromisslose Wahl. Wer Bequemlichkeit mit Privatsphäre verbinden will und ein gesamtes Ökosystem braucht, bekommt das mit Proton Mail. Tuta richtet sich an Nutzer mit Wunsch nach komplett verschlüsselter Mailbox inklusive Metadaten — bei Krypto-Zahlung sogar pseudonym.

Für deutsche Selbstständige ist die Wahl meist zwischen Mailbox.org (Office-Ersatz) und Posteo (klassische E-Mail mit Pseudonym-Option). StartMail spielt seine Stärke bei Alias-Workflows aus, Mailfence bei PGP-Power-Usern. Soverin lohnt sich für alle mit eigener Domain, die nie wieder Vendor-Lock-in wollen. Disroot und Riseup sind die Wahl, wenn Budget oder Aktivismus im Vordergrund stehen — beide werden über Spenden getragen und sind nicht zu vergleichen mit kommerziellen Anbietern.

Häufige Fragen

Wie viel kostet ein guter Privacy-E-Mail-Anbieter durchschnittlich?
Median liegt bei ungefähr 48 Euro pro Jahr für einen kommerziellen Anbieter mit ausreichend Speicher. Die günstigste Option ist Posteo mit 12 Euro/Jahr, die teuerste in unserem Test Proton Visionary mit 156 Euro/Jahr. privacy.fish kostet einmalig 20 Euro für lebenslangen Zugang.

Welche Anbieter sind nicht in der EU?
Außerhalb der EU sind in dieser Liste: Proton Mail (Schweiz), privacy.fish (Norwegen, im EWR), Riseup (USA). Alle anderen sind in der EU ansässig.

Was bedeutet das Auslaufen der ePrivacy-Ausnahme für mich?
Bis zum 3. April 2026 durften Anbieter wie Gmail, Outlook oder iCloud private Mails freiwillig auf bestimmte Inhalte scannen. Diese Erlaubnis ist seitdem rechtlich nicht mehr gedeckt. Anbieter mit Ende-zu-Ende-Verschlüsselung waren ohnehin nicht betroffen, weil sie technisch nicht scannen können.

Welche Anbieter funktionieren auf dem iPhone?
Native iOS-Apps haben Proton, Tuta, Mailbox.org, Posteo (als Web-App), Mailfence und StartMail. privacy.fish unterstützt keinen iPhone-Workflow, Disroot und Riseup haben keine eigenen Apps.

Welcher Anbieter ist am datenschutzfreundlichsten?
Aus rein technischer Sicht hat privacy.fish die radikalste Datenminimierungs-Architektur (keine Logs, kein Webmail, age-Verschlüsselung at-rest). Für Mainstream-Nutzer kombinieren Proton und Tuta hohe Privacy mit guter Bedienbarkeit.

Kann ich mehrere Anbieter parallel nutzen?
Ja, das machen viele Privacy-bewusste Nutzer: Ein Anbieter für sensitive Kommunikation (z.B. privacy.fish), einer für tägliche Workflows (z.B. Mailbox.org), einer für Online-Anmeldungen (z.B. StartMail mit Aliasen). Die Kosten bleiben überschaubar.

Welche Verschlüsselung ist die sicherste?
Aktuell gilt eine Kombination aus klassischer AES-256-Verschlüsselung mit post-quantum-resistenten Algorithmen (wie bei Tuta) als zukunftssicherer als reine PGP/AES-Implementierungen. age (verwendet bei privacy.fish) ist eine modernere PGP-Alternative.

Was passiert mit meinen Daten, wenn der Anbieter pleite geht?
Bei Soverin behält man die Domain und damit die Mail-Adresse — Anbieterwechsel ohne Adressverlust ist Designprinzip. Bei privacy.fish gibt es 14-Tage-Auto-Delete, was im Insolvenzfall paradoxerweise schützt. Bei klassischen Anbietern (Posteo, Mailbox.org, StartMail) sollte man regelmäßig Backups via IMAP-Export anlegen.

Sind diese Anbieter alle DSGVO-konform?
Alle EU-Anbieter unterliegen direkt der DSGVO. Schweiz und Norwegen erfüllen vergleichbare Standards durch eigenes Datenschutzrecht bzw. EWR-Abkommen. Riseup als US-Anbieter ist nicht DSGVO-konform im engen Sinne, hat aber durch seine no-logging-Architektur in der Praxis weniger Daten zur Verarbeitung.

Fazit

2026 ist das Jahr, in dem die Trennung zwischen „Privacy als Marketing“ und „Privacy als Architektur“ sichtbar wird. Mit dem Auslaufen der ePrivacy-Ausnahme und dem laufenden Trilog zur CSAR-Verordnung wird die Wahl des E-Mail-Anbieters für viele Nutzer zur bewussten Entscheidung. Die zehn vorgestellten Anbieter zeigen die ganze Bandbreite: Von der radikalen technischen Auslegung bei privacy.fish über kommerzielle Marktführer wie Proton bis zu Spenden-Kollektiven wie Disroot und Riseup.

Wer Anbieterwechsel plant, sollte sich nicht von Marketing-Versprechen leiten lassen, sondern von den AGB, dem Open-Source-Anteil und der Speicherlogik. Was nicht gespeichert wird, kann nicht herausgegeben werden — diese einfache Wahrheit ist in den nächsten Monaten wichtiger als jedes Privacy-Logo.