Die besten E-Mail-Verschlüsselungsdienste: 8 Top-Empfehlungen

Die meisten E-Mail-Plattformen werben mit Verschlüsselung und verschlüsseln Nachrichten auch tatsächlich, allerdings nur während der Übertragung zwischen den Mailservern. Sobald eine Nachricht im Posteingang des Empfängers eingegangen ist, ist dieser TLS-Schutz aufgehoben. Gespeicherte Nachrichten, weitergeleitete Kopien und Administratorzugriffe führen häufig dazu, dass Inhalte ungeschützt sind.

Da Unternehmen immer mehr sensible Informationen per E-Mail verarbeiten, ist eine stärkere Verschlüsselung zu einer praktischen Notwendigkeit geworden. Vorschriften wie beispielsweise GDPRHIPAA und PCI DSS verpflichten Unternehmen allesamt zum Schutz sensibler Daten, und IBMs 2025 Kosten eines Datenverletzungsberichts Die Studie ergab, dass die durchschnittlichen Kosten einer Datenschutzverletzung weltweit weiterhin bei rund 4.4 Millionen US-Dollar liegen, was auf die finanziellen Auswirkungen unzureichender Sicherheitsvorkehrungen hinweist.

Arten der E-Mail-Verschlüsselung

Jede Verschlüsselungsmethode schützt E-Mails in einer anderen Phase. Einige sichern die Verbindung, über die die Nachricht übermittelt wird, während andere die Nachricht selbst schützen, bis der beabsichtigte Empfänger sie entschlüsselt.

Ende-zu-Ende-Verschlüsselung (E2EE) Eine Nachricht wird verschlüsselt, bevor sie das Gerät des Absenders verlässt, und bleibt verschlüsselt, bis der Empfänger sie öffnet. Der E-Mail-Anbieter kann den geschützten Inhalt nicht lesen, obwohl einige Metadaten möglicherweise sichtbar bleiben.

Gateway- und Portalverschlüsselung Diese Lösung wird häufig von Unternehmen genutzt, die geschützte Nachrichten an Empfänger senden müssen, ohne dass diese die Verschlüsselungsschlüssel verwalten müssen. Ein sicheres E-Mail-Gateway verschlüsselt die ausgehende Nachricht, und der Empfänger öffnet sie über ein geschütztes Webportal oder eine autorisierte Anwendung. Der Umfang des Zugriffs für den Anbieter hängt davon ab, wie der Dienst Verschlüsselungsschlüssel, Archive und Compliance-Dokumente verwaltet.

Transport Layer Security (TLS) Die Verschlüsselung der Verbindung zwischen E-Mail-Systemen während der Übertragung einer Nachricht hilft, das Abfangen während der Zustellung zu verhindern. Sie bietet jedoch keinen Ende-zu-Ende-Schutz, da jeder beteiligte Mailserver die Nachricht möglicherweise in lesbarer Form verarbeitet. Nach der Zustellung kann die Nachricht vom Provider des Empfängers im Ruhezustand weiterhin verschlüsselt werden; dieser Schutz hängt jedoch von den Speicher- und Zugriffskontrollen des Providers ab.

S/MIME und PGP Es handelt sich um zertifikats- und schlüsselbasierte Standards, die eine echte Verschlüsselung von Nachrichten zwischen Endpunkten ermöglichen. Beide erfordern einen vorherigen Schlüsselaustausch, was die praktische Anwendung auf bestimmte Unternehmens- und Regierungsumgebungen beschränkt, in denen die Schlüsselinfrastruktur zentral verwaltet werden kann.

Die 8 besten E-Mail-Verschlüsselungsdienste

Die acht unten aufgeführten Dienste reichen von datenschutzorientierten E-Mail-Anbietern bis hin zu Verschlüsselungsplattformen für Unternehmen. Jeder Dienst wird anhand seines idealen Anwendungsfalls, der Verschlüsselungsmethode, der Hauptfunktionen, der Preisgestaltung, der Unterstützung bei der Einhaltung gesetzlicher Bestimmungen und des Alleinstellungsmerkmals, das ihm einen Platz auf dieser Liste sichert, verglichen.

1. Protonenpost

Bestens geeignet für: Einzelpersonen, Journalisten, kleine Unternehmen und Organisationen, die verschlüsselte E-Mails mit eingeschränktem Zugriff des Anbieters auf den Nachrichteninhalt wünschen.

Verschlüsselungstyp: Automatische Ende-zu-Ende-Verschlüsselung für Nachrichten zwischen Proton Mail-Benutzern, passwortgeschützte Ende-zu-Ende-Verschlüsselung für externe Empfänger und Zero-Access-Verschlüsselung für gespeicherte Nachrichten.

Hauptmerkmale:

• Betrieben von der Proton AG in der Schweiz und unterliegen dem Schweizer Recht.
• Open-Source-Anwendungen, die unabhängigen Sicherheitsprüfungen unterzogen wurden
• Automatische Ende-zu-Ende-Verschlüsselung zwischen Proton Mail-Konten
• Optionale passwortgeschützte Nachrichten oder PGP für externe Empfänger
• Zugriff auf Proton Calendar, inklusive Drive, VPN, Pass und weiteren Diensten, die in umfassenderen Paketen enthalten sind.

Pricing: Kostenloses Kontingent verfügbar; Proton Mail Plus beginnt bei ungefähr 4 $/MonatGeschäftspläne ab 7 $/Nutzer/Monat.

Kundenbindung: GDPR konform, während seine Dienstleistungen in erster Linie den Schweizer Gesetzen und Vorschriften unterliegen.

Unterscheidungsmerkmal: Zero-Access-Verschlüsselung bedeutet, dass Proton Ihre gespeicherten E-Mails auch unter rechtlichem Zwang nicht entschlüsseln kann.

2. Tuta

Bestens geeignet für: Für datenschutzbewusste Einzelpersonen und kleine Teams, die eine durchgängig verschlüsselte E-Mail zu einem erschwinglichen Preis wünschen.

Verschlüsselungstyp: Automatische Ende-zu-Ende-Verschlüsselung für Nachrichten zwischen Tuta-Benutzern, passwortgeschützte Ende-zu-Ende-Verschlüsselung für externe Empfänger und Zero-Access-Verschlüsselung für gespeicherte Daten.

Hauptmerkmale:

• Mit Sitz in Deutschland und konzipiert, um den geltenden Normen zu entsprechen GDPR
• Verschlüsselt standardmäßig Betreffzeilen, E-Mail-Texte, Anhänge, Kalender und Kontakte.
• Unterstützt passwortgeschützte, verschlüsselte E-Mails für externe Empfänger
• Open-Source-Desktop- und Mobilanwendungen mit Post-Quanten-Kryptographie

Pricing: Kostenloses Angebot; kostenpflichtige Tarife ab ca. 3 €/MonatGeschäftspläne ab 6 €/Nutzer/Monat.

Kundenbindung: GDPR-konform und betrieben gemäß deutschem Datenschutzrecht, einschließlich des Bundesdatenschutzgesetzes (BDSG).

Unterscheidungsmerkmal: Tuta verschlüsselt standardmäßig die Betreffzeile der E-Mail, zusammen mit dem Nachrichtentext und den Anhängen, während die meisten Ende-zu-Ende-verschlüsselten E-Mail-Dienste die Betreffzeilen unverschlüsselt lassen.

3. Virtru

Bestens geeignet für: Organisationen mit Gmail or Outlook die eine vom Absender kontrollierte Ende-zu-Ende-Verschlüsselung benötigen, ohne auf eine neue E-Mail-Plattform migrieren zu müssen.

Verschlüsselungstyp: Clientseitige Ende-zu-Ende-Verschlüsselung durch Gmail und Outlook Integrationen mit Zugriffsrichtlinien, die auch nach dem Absenden der Nachricht an diese angehängt bleiben.

Hauptmerkmale:

• Arbeitet direkt innerhalb Gmail und Outlook
• Ermöglicht es Absendern und Administratoren, den Zugriff nach dem Senden zu widerrufen.
• Unterstützt Ablaufdaten für Nachrichten und Weiterleitungsbeschränkungen
• Liefert Prüfprotokolle, die aufzeigen, wann auf geschützte Inhalte zugegriffen wurde.
• Schützt E-Mails und Anhänge, ohne dass die Empfänger ein Virtru-Konto erstellen müssen.

Pricing: Drei Pakete verfügbar, jeweils inklusive fünf Nutzern und jährlicher Abrechnung:

• Starter: $119 pro Monat
• Geschäft: $ 219 pro Monat
• Einhaltung der Vorschriften: 499 US-Dollar pro Monat

Kundenbindung: HIPAA, CJIS, FedRAMP Moderate, ITAR, CMMC.

Unterscheidungsmerkmal: Virtru ermöglicht Absendern auch nach der Zustellung die dauerhafte Kontrolle, einschließlich der Möglichkeit, den Zugriff zu widerrufen oder ein Ablaufdatum festzulegen.

4. Microsoft Purview Nachrichtenverschlüsselung

Bestens geeignet für: Organisationen, die bereits Microsoft 365 die verschlüsselte E-Mails und richtlinienbasierte Kontrollen benötigen, ohne einen separaten Anbieter hinzufügen zu müssen.

Verschlüsselungstyp: Nachrichtenverschlüsselung auf Nachrichtenebene durch Microsoft Purview und Azure Rights Management. Externe Empfänger können geschützte Nachrichten direkt in unterstützten E-Mail-Clients oder über das verschlüsselte Nachrichtenportal von Microsoft öffnen.

Hauptmerkmale:

• Funktioniert innerhalb Outlook und Exchange Online
• Ermöglicht es externen Empfängern, verschlüsselte Nachrichten zu lesen und zu beantworten.
• Wendet Verschlüsselung manuell oder automatisch über Vertraulichkeitsbezeichnungen und E-Mail-Flussregeln an.
• Beinhaltet die Berechtigungen „Nur verschlüsseln“ und „Nicht weiterleiten“.
• Lässt sich in die Compliance- und Datenschutztools von Microsoft Purview integrieren.

Pricing: Inbegriffen Microsoft 365 Business Premium, E3 und E5 PläneEinige Funktionen erfordern die Microsoft 365 E5 Compliance-Add-on.

Kundenbindung: HIPAA, GDPR, SOC 1 und 2, ISO 27001, FedRAMP.

Unterscheidungsmerkmal: Organisationen mit einer Berechtigung Microsoft 365 Abonnements ermöglichen es, die E-Mail-Verschlüsselung in die bestehende IT-Umgebung zu integrieren, anstatt eine separate Plattform zu erwerben und einzusetzen.

5. Clientseitige Verschlüsselung in Google Workspace

Bestens geeignet für: Google Workspace für Unternehmen in regulierten Branchen, die Inhalte verschlüsseln müssen, bevor diese die Server von Google erreichen.

Verschlüsselungstyp: Clientseitige Verschlüsselung mit organisationskontrollierten Schlüsseln. Gmail Der Nachrichtentext und die Anhänge werden im Browser verschlüsselt, bevor sie an Google Workspace übertragen oder dort gespeichert werden.

Hauptmerkmale:

• Nutzt einen externen Identitätsanbieter und einen von der Organisation kontrollierten Verschlüsselungsschlüsseldienst.
• Unterstützt GmailDrive, Docs, Sheets, Slides, Calendar und Meet
• Nutzt S/MIME für den verschlüsselten E-Mail-Austausch mit externen Empfängern in Standardinstallationen.
• Lässt sich in Google Vault für Aufbewahrung, Metadatensuche und Export integrieren.
• Verhindert, dass Google geschützte Nachrichtentexte und Anhänge entschlüsselt.

Pricing: Verfügbar mit Google Workspace Enterprise Plus, Education Standard, Education Plus und Frontline Plus.

Kundenbindung: Kann regulierte Umgebungen unterstützen, die den HIPAA- und US-Regierungssicherheitsanforderungen unterliegen; verfügt über eine FedRAMP High P-ATO-Zertifizierung.

Unterscheidungsmerkmal: Die Organisation kontrolliert die Verschlüsselungsschlüssel, daher kann Google weder den geschützten E-Mail-Text noch Anhänge entschlüsseln.

6. OpenText Core E-Mail-Verschlüsselung (ehemals Zix)

Bestens geeignet für: Organisationen aus dem Gesundheitswesen, dem Finanzdienstleistungssektor, der Regierung und anderen regulierten Bereichen, die eine automatische Verschlüsselung in unterschiedlichen Empfängerumgebungen benötigen.

Verschlüsselungstyp: Richtlinienbasierte E-Mail-Verschlüsselung mit S/MIME, TLS und sicherer Portalzustellung, ausgewählt gemäß den Einstellungen des Empfängers.

Hauptmerkmale:

• Scannt automatisch E-Mail-Betreffzeilen, -Texte und -Anhänge auf sensible Informationen.
• Verschlüsselt, isoliert oder blockiert Nachrichten basierend auf DLP-Richtlinien
• Wählt automatisch zwischen S/MIME, TLS und sicherer Portalzustellung aus.
• Ermöglicht externen Kontakten, verschlüsselte Gespräche über ein sicheres Portal zu starten.
• Liefert Berichte zu Richtlinienauslösern, Zustellungsmethoden und Verschlüsselungsaktivitäten.

Pricing: Kontakt OpenText-VerkäufePreisgestaltung nach Nutzervolumen.

Kundenbindung: HIPAA, GLBA, FINRA, GDPRund andere Vorschriften.

Unterscheidungsmerkmal: Die Verschlüsselung kann automatisch ausgelöst werden, wenn DLP-Filter sensible Inhalte erkennen. Dadurch entfällt der Aufwand für die Mitarbeiter, zu entscheiden, welche Nachrichten geschützt werden müssen.

7. KnowBe4 Protect (ehemals Egress Protect)

Bestens geeignet für: Microsoft 365 Organisationen, die eine richtlinienbasierte E-Mail-Verschlüsselung, detaillierte Zugriffskontrollen und Schutz vor versehentlicher Datenoffenlegung benötigen.

Verschlüsselungstyp: AES-256-Verschlüsselung auf Nachrichtenebene für E-Mail-Texte und Anhänge, mit Cloud-basierten, hybriden und lokalen Bereitstellungsoptionen.

Hauptmerkmale:

• Integriert mit Microsoft 365 und Outlook
• Wendet die Verschlüsselung automatisch über Sicherheitsrichtlinien oder vom Benutzer ausgewählte Kennzeichnungen an.
• Unterstützt Lesezugriff, eingeschränkte Weiterleitung, blockierte Anhangs-Downloads und Nachrichtenwiderruf.
• Bietet Empfängern verschiedene Zugriffsoptionen, darunter Ein-Klick-Links, gemeinsame Geheimnisse und sichere Konten.
• Bietet Zustellberichte und einen detaillierten Prüfpfad für jede geschützte Nachricht
• Integriert sich in KnowBe4 Prevent, um ungewöhnliche Empfänger und andere riskante Absenderverhaltensweisen vor der Zustellung zu erkennen.

Pricing: Kontakt.

Kundenbindung: GDPR, ISO 27001, SOC 2, FedRAMP und mehr.

Unterscheidungsmerkmal: Protect passt die Verschlüsselung an den Nachrichteninhalt, die Sicherheitsanforderungen des Empfängers und die Unternehmensrichtlinien an. In Kombination mit KnowBe4 Prevent warnt es Benutzer außerdem, wenn Verhaltenssignale darauf hindeuten, dass sensible Informationen an einen ungewöhnlichen oder falschen Empfänger gesendet werden.

8. Sichere Nachrichtenübermittlung mit Mimecast

Bestens geeignet für: Unternehmen, die E-Mail-Verschlüsselung sowie Tools für Bedrohungsschutz, DLP, Archivierung und Compliance vom selben Anbieter wünschen.

Verschlüsselungstyp: Richtlinienbasierte, sichere Nachrichtenübermittlung über das E-Mail-Gateway von Mimecast. Geschützte Nachrichten und Anhänge verbleiben in der Mimecast-Cloud und sind über ein sicheres Webportal zugänglich.

Hauptmerkmale:

• Wendet die Verschlüsselung manuell an durch Outlook oder automatisch, wenn Inhalte definierte Sicherheitsrichtlinien erfüllen.
• Durchsucht geschützte Nachrichten und Anhänge nach Malware und Datenverlustrisiken
• Ermöglicht externen Empfängern den Zugriff über ein sicheres Portal, ohne dass Verschlüsselungssoftware erforderlich ist.
• Unterstützt das Ablaufdatum von Nachrichten, Lesebestätigungen und Einschränkungen beim Drucken oder Beantworten.
• Funktioniert mit den Produkten von Mimecast für Bedrohungsschutz, Archivierung, Geschäftskontinuität und E-Discovery.

Pricing: KontaktModulare Preisgestaltung über verschiedene Sicherheits- und Compliance-Stufen hinweg.

Kundenbindung: SOC 2, ISO 27001, HIPAA (mit BAA).

Unterscheidungsmerkmal: Mimecast bietet Verschlüsselung als Teil einer umfassenderen E-Mail-Sicherheits- und Datenverwaltungsplattform, die es Unternehmen ermöglicht, sichere Nachrichtenübermittlung mit Bedrohungserkennung, DLP, Archivierung und E-Discovery zu kombinieren, ohne auf separate Anbieter angewiesen zu sein.

Wie man den richtigen E-Mail-Verschlüsselungsdienst auswählt

Wählen Sie die Dienstleistung danach aus, wie gut sie zu Ihren Anforderungen passt, und nicht einfach nach dem Bekanntheitsgrad der Marke.

• Plattformkompatibilität prüfen: Eingeborene Integration mit Microsoft 365 Google Workspace vereinfacht die Bereitstellung in der Regel und verringert die Wahrscheinlichkeit, dass Mitarbeiter das Tool meiden. Überprüfen Sie, wie die Verschlüsselung in den E-Mail-Clients funktioniert, die Ihr Team bereits verwendet.
• Entscheiden Sie, welches Verschlüsselungsmodell Sie benötigen: Ende-zu-Ende-Verschlüsselung (E2EE) eignet sich am besten, wenn die Vertraulichkeit der Nachrichten oberste Priorität hat und der Anbieter den Inhalt nicht lesen können soll. Richtlinienbasierte oder Gateway-Verschlüsselung sind möglicherweise besser geeignet, wenn die Organisation eine zentrale Steuerung, Prüfprotokolle, Archivierung und automatisierte Regeln benötigt.
• Testen Sie die Empfängererfahrung: Verschlüsselte Nachrichten an externe Empfänger senden Gmail und Outlook Prüfen Sie die Kontodaten, bevor Sie sich für einen Dienst entscheiden. Achten Sie darauf, wie viele Schritte der Empfänger durchführen muss, ob ein Konto erforderlich ist und wie einfach er antworten oder Anhänge öffnen kann.
• Unterstützung bei der Überprüfung der Compliance: Vergewissern Sie sich, dass der Dienst die für Ihre Organisation geltenden Vorschriften und vertraglichen Anforderungen erfüllt. Beispielsweise sollten Gesundheitsorganisationen die Verfügbarkeit einer BAA (Business Associate Agreement) prüfen, während US-Bundesbehörden möglicherweise eine entsprechende FedRAMP-Zulassung verlangen. Bitten Sie den Anbieter um aktuelle Dokumente, anstatt sich auf Marketingaussagen zu verlassen.
• Schlüsselmanagement verstehen: Finden Sie heraus, ob die Verschlüsselungsschlüssel vom Anbieter, Ihrer Organisation oder einzelnen Benutzern verwaltet werden. Vom Kunden selbst verwaltete Schlüssel bieten mehr Kontrolle, erfordern aber auch zusätzliche Infrastruktur und Administration.
• Vergleichen Sie die Gesamtkosten: Die Einstiegspreise beinhalten möglicherweise keine DLP-, Archivierungs-, Audit-Log-, Schlüsselverwaltungs- oder erweiterten Compliance-Funktionen. Vergleichen Sie Angebote anhand des vollständigen Toolset, das Ihr Unternehmen benötigt.

Verschlüsselung ist nur eine Ebene, daher sollte sie mit Authentifizierung kombiniert werden.

Verschlüsselung und Authentifizierung lösen unterschiedliche Probleme, und für ein umfassendes E-Mail-Sicherheitskonzept sind beide erforderlich.

Authentifizierung (SPF, DKIM und DMARCDie Authentifizierung überprüft, ob eine Nachricht tatsächlich vom angegebenen Absender stammt. Ohne Authentifizierung kann eine verschlüsselte Nachricht von einer gefälschten Domain den Empfänger dennoch dazu verleiten, einem betrügerischen Absender zu vertrauen. Die Verschlüsselung schützt den Inhalt der Nachricht; die Authentifizierung schützt die Identität des Absenders.

Hinzu kommt die Dimension der Zustellbarkeit. Eine verschlüsselte Nachricht von einer Domain mit schlechter Zustellbarkeit kann schwerwiegende Folgen haben. Absender Ruf können dennoch gefiltert oder abgelehnt werden, wodurch der Zweck völlig verfehlt wird. E-Mail-Zustellbarkeit Verschlüsselung und Verschlüsselung sind komplementäre Ebenen; beide müssen beachtet werden, damit sichere E-Mails auch tatsächlich ihr Ziel erreichen.

Beginnen Sie mit der Konfiguration der Authentifizierung, der Verbesserung der Listenqualität und der Behebung von Zustellbarkeitsproblemen. Fügen Sie anschließend die Verschlüsselung hinzu, um sensible Inhalte zu schützen, sobald Ihre Nachrichten zuverlässig den vorgesehenen Posteingang erreichen.

Mehrere Ebenen für Ihre E-Mail-Sicherheit

Der richtige E-Mail-Verschlüsselungsdienst hängt von Ihrer Plattform, dem benötigten Vertraulichkeitsgrad und der Funktionalität für externe Empfänger außerhalb Ihrer Organisation ab. Beispiele hierfür sind eine datenschutzbewusste Privatperson, eine Gesundheitsorganisation und eine andere. Microsoft 365 Unternehmen benötigen nicht die gleiche Konfiguration.

Denken Sie in drei Ebenen: Authentifizierung (Wer hat die Nachricht gesendet?), Verschlüsselung (Was wird verschlüsselt?) und Zustellbarkeit (Gibt die Nachricht tatsächlich an?). Für ein hohes Maß an Sicherheit sind alle drei erforderlich. Testen Sie beim Vergleich von Diensten frühzeitig die Benutzerfreundlichkeit für externe Empfänger, da ein komplizierter Prozess häufig dazu führt, dass Nutzer das System meiden.

DeBounce Unterstützt die Zustellbarkeit, indem ungültige und risikoreiche Adressen vor dem Versand identifiziert werden. Neukunden erhalten 100 kostenlose Verifizierungen.