# E-Mail made in Germany

E-Mail made in Germany ist eine von verschiedenen Internetdienstanbietern in Deutschland ins Leben gerufene Initiative mit dem erklärten Ziel, den Austausch von E-Mails in Deutschland sicherer zu machen.

## Hintergrund

Die Initiative wurde als Reaktion auf die Überwachungs- und Spionageaffäre 2013 im August 2013 gestartet. Nach eigenen Angaben wollen die teilnehmenden Provider den Datenverkehr zwischen Mailservern und Rechenzentren der beteiligten Firmen verschlüsseln. Seit dem 29. April 2014 werden E-Mails wenigstens über TLS/SSL-verschlüsselte Wege zwischen den Teilnehmern transportiert. Auf den Relays und Mail-Servern der Teilnehmer haben die E-Mails weiterhin „Postkartenniveau“.

## Teilnehmer

Gründungsmitglieder:
* United Internet mit den Diensten Web.de und GMX
* Deutsche Telekom
Weitere zertifizierte Mitglieder:
* Freenet
* 1&1 Internet (Tochter von United Internet)
* Strato (Tochter von United Internet)
* Hornetsecurity (Cloud-Security-Anbieter aus Hannover)
Nach eigenen Angaben ist die Initiative „offen für weitere Partner, die bereit sind, sich unter ihrer E-Mail-Domain dauerhaft zur Einhaltung unserer Sicherheitsregeln zu verpflichten.“

## Funktion

Der E-Mail-Verkehr zwischen den teilnehmenden Providern wird nach Angaben der Initiatoren immer SSL-verschlüsselt. Dies soll automatisch geschehen, wenn ein Webmail-Dienst verwendet wird. Sofern der Nutzer ein lokales E-Mail-Programm auf seinem Rechner nutzt, ist der Datenverkehr zwischen dem Rechner des Nutzers und dem Provider eine Schwachstelle, so dass offiziell empfohlen wird, SSL in den Programmeinstellungen zu aktivieren. Seit dem 29. April 2014 sind alle Mail-Zugänge nur noch bei SSL-Verschlüsselung nutzbar.
Beim Versenden einer E-Mail an einen anderen Provider, der nicht bei E-Mail made in Germany teilnimmt, insbesondere bei allen ausländischen Anbietern, kann die Verschlüsselung nicht mehr garantiert werden. Nutzt man die Webmail-Oberflächen oder die eigenen Mobile Apps der teilnehmenden Anbieter bzw. die entsprechende Erweiterung für Outlook, so werden E-Mail-Kontakte innerhalb des E-Mail made in Germany-Verbunds mit einem grünen Haken gekennzeichnet. Dem Nutzer soll dies Orientierung bieten und Vertrauenswürdigkeit signalisieren.
Im Oktober 2013 wurde zudem bekannt, dass seitens der Deutschen Telekom zusätzlich auch angestrebt wird, den Datenverkehr zwischen den beteiligten Teilnehmern künftig nicht mehr über Rechenzentren mit Standort im Ausland zu transportieren. Ein Großteil der deutschen Provider betrieb jedoch schon vor diesem Datum Peering.

## Kritik

In zwei Pressemitteilungen kritisiert der Chaos Computer Club (CCC) die Verschlüsselung von E-Mail made in Germany als unzureichend und vorwiegend „werbewirksam“. Insbesondere wird darauf hingewiesen, dass das zur Transportverschlüsselung genutzte Verfahren SMTPS bereits seit mehr als 10 Jahren als RFC standardisiert ist. Somit würden nur Versäumnisse aufgeholt. Im Dezember 2013 wurde darüber hinaus vom CCC gezeigt, dass die Verschlüsselung nicht vollständig umgesetzt wurde.
Die E-Mail-Anbieter Posteo und mailbox.org, wie auch der Fachverlag Heise online kritisieren außerdem, dass das Verfahren Inter Mail Provider Trust, mit dem sich Server im Verbund E-Mail made in Germany gegenseitig authentifizieren, undurchsichtig sei und eine künstliche Abschottung erzeuge. Mit DANE stünde ein offener Standard (vom August 2012) als Alternative bereit, mit dem sich Vertrauenswürdigkeit der Kommunikationspartner und Integrität der Verschlüsselung sicherstellen ließen. Mit Blick auf DANE stelle sich auch die Frage, ob die Zertifizierungskosten für Anbieter, die E-Mail made in Germany beitreten möchten, nicht eine unnötig hohe Hürde seien.
Der E-Mail-Anbieter mailbox.org hat über seine Website mitgeteilt, die Initiative könne zwar in der Theorie alle Anbieter aufnehmen, aber „in der Realität wird die Teilnahme anderer Anbieter systematisch verhindert“. Seit mehreren Monaten würde ein Antrag auf Teilnahme von den großen Initiatoren ignoriert, und man frage sich, ob das „‘E-Mail made in Germany’ lediglich eine Marketing-Luftblase“ sei.
Zudem müssen Provider in Deutschland den Datenverkehr oder einzelne Nachrichten nach einem Gerichtsbeschluss herausgeben.