Wer heute einen sicheren E-Mail-Anbieter sucht, landet fast immer bei denselben drei Namen: Proton Mail, Tuta (früher Tutanota) und Mailbox.org. Alle drei werben mit Verschlüsselung, europäischem Serverstandort und einer klaren Abgrenzung zu Gmail oder Outlook. Doch unter der Oberfläche unterscheiden sich die drei Dienste stark, bei Preisen, bei Speicherplatz, bei der Frage, was wirklich verschlüsselt wird, und bei der Reaktion auf behördliche Anfragen. Für Nutzer in Österreich kommt noch die Frage der Gerichtsbarkeit dazu: Proton sitzt in der Schweiz, Tuta und Mailbox.org in Deutschland. Dieser Vergleich stützt sich auf aktuelle Preislisten, veröffentlichte Audit-Berichte und dokumentierte Gerichtsverfahren, um zu zeigen, welcher Anbieter für welchen Anwendungsfall taugt.
Der Anlass für einen Wechsel ist bei den meisten Nutzern ähnlich: ein Datenleck beim bisherigen Anbieter, wachsendes Unbehagen gegenüber der Datenauswertung durch US-Konzerne, oder schlicht die Anforderung des Arbeitgebers, geschäftliche Kommunikation DSGVO-konform abzuwickeln. Genau hier trennt sich die Spreu vom Weizen: Nicht jeder Dienst, der sich „sicher” nennt, verschlüsselt tatsächlich alles, was ein Nutzer erwartet. Der folgende Vergleich geht Punkt für Punkt durch, was Proton Mail, Tuta und Mailbox.org technisch, rechtlich und preislich tatsächlich liefern, mit Zahlen aus offiziellen Preislisten, Audit-Berichten und Gerichtsentscheidungen, nicht aus Marketingtexten.
Was macht einen E-Mail-Anbieter wirklich sicher?
Der Begriff „sichere E-Mail” wird inflationär verwendet. Entscheidend sind drei technische Kriterien. Erstens: Ende-zu-Ende-Verschlüsselung (E2EE), bei der nur Sender und Empfänger den Inhalt lesen können, nicht der Anbieter selbst. Zweitens: Zero-Access-Architektur, bei der der Betreiber auch mit einem Gerichtsbeschluss keinen Klartext herausgeben kann, weil er ihn nie besitzt. Drittens: Metadatenschutz, also die Frage, ob Betreffzeile, Absender, Empfänger und Zeitstempel ebenfalls geschützt sind, denn diese Daten verraten oft mehr als der Inhalt selbst. Wer beispielsweise sieht, dass jemand regelmäßig mit einer Anwaltskanzlei, einer Suchtberatungsstelle oder einer Gewerkschaft kommuniziert, erfährt daraus oft mehr als aus dem eigentlichen Nachrichtentext, selbst wenn dieser verschlüsselt bleibt.
Proton Mail, Tuta und Mailbox.org erfüllen diese Kriterien unterschiedlich gut. Proton Mail und Tuta verschlüsseln Inhalte standardmäßig Ende-zu-Ende, sobald beide Seiten den jeweiligen Dienst nutzen. Mailbox.org setzt auf klassisches OpenPGP, das Nutzer manuell aktivieren müssen. Bei den Metadaten geht Tuta am weitesten: Betreffzeilen und Teile der Kontaktdaten werden ebenfalls verschlüsselt, während Proton Mail den Betreff und die Umschlagdaten meist offenlegt. Wer auf dem Postweg zwischen zwei unterschiedlichen Anbietern kommuniziert, zum Beispiel von Proton Mail an eine normale Gmail-Adresse, verliert die Ende-zu-Ende-Verschlüsselung ohnehin, sofern kein zusätzliches PGP-Passwort vereinbart wird.
Ein vierter, oft übersehener Faktor ist die Angriffsfläche durch Drittanbieter-Integrationen. Klassische Postfächer wie Gmail lesen E-Mail-Inhalte für Spam-Filter, Kalenderfunktionen und Werbe-Targeting aus, was mit echter Zero-Access-Verschlüsselung technisch unvereinbar ist. Alle drei hier verglichenen Anbieter verzichten auf inhaltsbasierte Werbeauswertung. Der Unterschied liegt eher darin, wie konsequent die einzelnen Bausteine eines E-Mail-Kontos, also Kalender, Kontakte, Suche und Anhänge, in dasselbe Verschlüsselungsmodell eingebunden sind. Genau das entscheidet in der Praxis darüber, ob ein Anbieter nur beim Posteingang sicher ist oder im gesamten digitalen Alltag.
Proton Mail im Überblick
Proton Mail wurde 2014 von CERN-Forschern in Genf gegründet und ist mittlerweile der Kern eines ganzen Ökosystems aus VPN, Drive, Calendar und Pass. Der Firmensitz in der Schweiz bedeutet, dass Proton außerhalb der EU und außerhalb direkter US-Zugriffsmöglichkeiten operiert, gleichzeitig aber dem Schweizer Recht unterliegt, das unter bestimmten Umständen eine Kooperation mit Strafverfolgungsbehörden vorschreibt. Die Verschlüsselung basiert auf OpenPGP, dessen zentrale Bibliothek OpenPGPjs offen einsehbar ist und 2018 von der Sicherheitsfirma Cure53 geprüft wurde, laut Cure53 ohne größere Schwachstellen. Proton Mail punktet mit einem ausgereiften Ökosystem: Wer Unlimited bucht, bekommt VPN, Cloud-Speicher und Passwortmanager in einem Abo. Laut eigenen DataForSEO-Daten wird der Suchbegriff „Proton Mail” in Österreich monatlich rund 22.200 Mal gesucht, deutlich häufiger als vergleichbare Suchbegriffe zu Tuta oder Mailbox.org, was die Marktposition des Anbieters unterstreicht.
Die Gründungsgeschichte prägt bis heute die Kommunikation des Unternehmens: Als CERN-Ableger positioniert sich Proton als wissenschaftlich fundierter Gegenentwurf zu US-Cloud-Diensten und finanziert sich über zahlende Nutzer statt über Werbung. Das Unternehmen hat sein Portfolio seit 2014 kontinuierlich erweitert, von einem reinen Mail-Dienst zu einer Suite, die inzwischen auch ProtonVPN, Proton Drive, Proton Calendar und den Passwortmanager Proton Pass umfasst. Für Nutzer, die bereits ein VPN oder einen Passwortmanager separat bezahlen, kann die Bündelung wirtschaftlich sinnvoll sein, ein Aspekt, der weiter unten im Preisvergleich genauer beleuchtet wird.
Tuta im Überblick
Tuta, bis 2023 unter dem Namen Tutanota bekannt, sitzt in Hannover und positioniert sich konsequent als deutscher Datenschutz-Vorreiter. Das Unternehmen verschlüsselt nicht nur Inhalte, sondern auch Betreffzeilen, Kalendereinträge und weite Teile der Kontaktdaten, ein Alleinstellungsmerkmal gegenüber Proton Mail und Mailbox.org. Technisch bedeutet das: Tuta verzichtet bewusst auf klassisches IMAP und POP3, weil diese Protokolle mit echter Metadatenverschlüsselung kaum kompatibel sind. Nutzer müssen die Web-Oberfläche oder die eigenen Apps verwenden. Im März 2024 hat Tuta mit TutaCrypt als erster E-Mail-Anbieter ein hybrides Post-Quanten-Verschlüsselungsprotokoll für alle neuen Konten standardmäßig aktiviert, ein Vorsprung von über zwei Jahren gegenüber Proton Mail. Die Klientenanwendungen sind quelloffen, ein aktueller, öffentlich zitierter Audit-Bericht eines externen Prüfers wie Cure53 oder Securitum für die Kerninfrastruktur ließ sich in der aktuellen Recherche allerdings nicht auffinden, was Tuta von Proton unterscheidet.
Die Umbenennung von Tutanota zu Tuta im Jahr 2023 war mehr als Kosmetik: Zeitgleich stellte das Unternehmen seine Infrastruktur um und legte den Grundstein für TutaCrypt, das eigene Post-Quanten-Protokoll. Tuta wirbt aktiv damit, „der erste verschlüsselte E-Mail-Dienst” mit hybrider Quantenresistenz zu sein, ein Anspruch, der sich anhand des Startdatums vom 11. März 2024 auch belegen lässt. Neben E-Mail bietet Tuta mittlerweile einen verschlüsselten Kalender, verschlüsselte Kontakte und in der Beta-Phase einen eigenen Cloud-Speicher namens Tuta Drive, wodurch sich das Angebot schrittweise dem Ökosystem-Ansatz von Proton annähert, wenn auch mit deutlich kleinerem Funktionsumfang.
Mailbox.org im Überblick
Mailbox.org aus Berlin verfolgt einen anderen Ansatz. Statt eine geschlossene, hoch verschlüsselte App-Welt zu bauen, bleibt der Dienst nah am klassischen E-Mail-Standard: volle IMAP- und POP3-Unterstützung, klassisches OpenPGP zur optionalen Verschlüsselung, dazu ein Cloud-Speicher, Kalender und Office-Werkzeuge. Das macht Mailbox.org zur ersten Wahl für alle, die ihren gewohnten Mail-Client wie Thunderbird oder Outlook behalten wollen, ohne auf eine App-exklusive Lösung wie bei Tuta umsteigen zu müssen. Verschlüsselung ist bei Mailbox.org optional und muss aktiv eingerichtet werden, standardmäßig läuft die Kommunikation unverschlüsselt wie bei jedem anderen E-Mail-Anbieter auch. Mailbox.org veröffentlicht jährlich einen Transparenzbericht: Für 2025 wurden 74 behördliche Anfragen dokumentiert, überwiegend von deutschen Behörden.
Mailbox.org betreibt seine Server ausschließlich in eigenen deutschen Rechenzentren und wirbt mit CO2-neutralem Betrieb sowie Ökostrom. Der Dienst richtet sich stärker an Nutzer, die eine vollwertige Büro-Suite suchen: Neben E-Mail sind ein Kalender, eine Kontaktverwaltung, ein Aufgabenplaner und ein Online-Office mit Textverarbeitung und Tabellenkalkulation im selben Konto enthalten. Wer aus einer bestehenden Exchange- oder Office-365-Umgebung wechseln will, findet bei Mailbox.org daher tendenziell mehr Anknüpfungspunkte als bei den stärker auf reine Verschlüsselung fokussierten Angeboten von Proton Mail und Tuta.
Technische Spezifikationen im Vergleich
Die folgende Tabelle fasst die wichtigsten technischen Eckdaten der drei Anbieter zusammen, Stand 2026. Sie dient als schneller Überblick für alle, die vor der Preistabelle im nächsten Abschnitt zunächst die harten technischen Fakten sehen wollen, bevor sie Kosten und Speicherplatz gegeneinander abwägen.
| Merkmal | Proton Mail | Tuta | Mailbox.org |
|---|---|---|---|
| Firmensitz | Genf, Schweiz | Hannover, Deutschland | Berlin, Deutschland |
| Gegründet | 2014 | 2011 (als Tutanota) | 2014 |
| E2E-Verschlüsselung Inhalt | Ja, standardmäßig zwischen Proton-Konten | Ja, standardmäßig zwischen Tuta-Konten | Optional via OpenPGP |
| Betreffzeile verschlüsselt | Nein | Ja | Nein (außer manuell per PGP) |
| Post-Quanten-Kryptographie | Ja, seit Mai 2026, opt-in | Ja, seit März 2024, standardmäßig für neue Konten | Nicht dokumentiert |
| PQC-Algorithmus | Hybrid auf OpenPGP v6-Basis | Kyber-1024 + X25519, Dilithium | Klassisches PGP (RSA/ECC) |
| IMAP/POP3 | Nur via Proton Mail Bridge | Nicht unterstützt | Voll unterstützt |
| Eigene Domain | Ab Mail Plus | Ab Revolutionary (3 Domains) | Ab Standard |
| Aliase im Basistarif | 10 (Mail Plus) | 15 (Revolutionary) | Anbieterabhängig, mehrere |
| Quelloffene Kernbibliothek | Ja, OpenPGPjs | Ja, Web- und App-Clients | Teilweise, offene Standards |
| Zwei-Faktor-Authentifizierung | Ja | Ja | Ja |
| Ökosystem | VPN, Drive, Calendar, Pass | Calendar, Contacts, Drive (Beta) | Cloud, Office, Kalender |
Verschlüsselung und Metadatenschutz im Detail
Der größte technische Unterschied zwischen den drei Diensten liegt nicht in der reinen Existenz von Verschlüsselung, sondern in ihrem Umfang. Proton Mail verschlüsselt E-Mail-Inhalte und Anhänge Ende-zu-Ende, sobald beide Kommunikationspartner Proton nutzen. Betreffzeile und Umschlagdaten wie Absender, Empfänger und Zeitstempel bleiben dabei für den Server sichtbar, was aus technischer Sicht notwendig ist, damit E-Mails korrekt zugestellt und durchsucht werden können. Tuta geht hier einen Schritt weiter: Die Betreffzeile sowie Teile der Kalender- und Kontaktdaten werden ebenfalls verschlüsselt. Der Preis dafür ist geringere Kompatibilität, klassische Protokolle wie IMAP funktionieren mit diesem Ansatz nicht mehr zuverlässig, weshalb Tuta bewusst auf eigene Apps setzt.
Mailbox.org bleibt beim klassischen OpenPGP-Modell. Wer Verschlüsselung will, muss ein PGP-Schlüsselpaar erzeugen oder importieren und die Funktion aktiv einschalten. Das bringt volle Kompatibilität mit jedem E-Mail-Programm, aber auch das Risiko, dass unerfahrene Nutzer die Verschlüsselung schlicht nicht aktivieren. Für Unternehmen, die Wert auf Interoperabilität mit bestehender IT-Infrastruktur legen, etwa Anbindung an Exchange-Umgebungen oder Archivierungssysteme, ist das trotzdem oft der praktikablere Weg als eine geschlossene App-Welt.
Post-Quanten-Kryptographie: Wer ist wirklich vorbereitet?
Quantencomputer, die klassische Verschlüsselung wie RSA oder elliptische Kurven brechen könnten, existieren aktuell noch nicht in praxistauglicher Form. Das Risiko heißt „Harvest now, decrypt later”: Angreifer sammeln bereits heute verschlüsselte Daten, um sie zu entschlüsseln, sobald ausreichend leistungsfähige Quantencomputer verfügbar sind. Bei diesem Thema hat Tuta einen klaren zeitlichen Vorsprung. Am 11. März 2024 stellte Tuta mit TutaCrypt ein hybrides Protokoll vor, das die Schlüsselkapselung CRYSTALS-Kyber (Kyber-1024) mit dem klassischen Diffie-Hellman-Verfahren X25519 kombiniert und zusätzlich CRYSTALS-Dilithium für Signaturen nutzt. Seit dem Start ist TutaCrypt für alle neuen Konten standardmäßig aktiv, bis März 2026 sollen laut Tuta auch alle Bestandskonten migriert sein.
Proton Mail zog erst am 5. Mai 2026 nach, mit einer auf OpenPGP v6 basierenden Post-Quanten-Verschlüsselung, die auf allen Tarifen inklusive der Gratisversion verfügbar ist. Der entscheidende Unterschied: Proton Mails Lösung ist opt-in. Nutzer müssen sie in den Kontoeinstellungen unter „Verschlüsselung und Schlüssel” aktiv einschalten, und die neuen Schlüssel schützen dann nur neu versendete E-Mails, nicht bereits gespeicherte Nachrichten. Wer sich nicht aktiv darum kümmert, bleibt bei Proton Mail also weiterhin bei klassischer Verschlüsselung. Für Mailbox.org liegen keine öffentlich dokumentierten Pläne zu Post-Quanten-Kryptographie vor, der Dienst setzt weiterhin auf klassisches PGP mit RSA- oder ECC-Schlüsseln.
Unabhängige Audits und Sicherheitsprüfungen
Bei der Frage, wem man vertrauen kann, helfen unabhängige Prüfberichte mehr als Marketingaussagen. Proton hat hier die dokumentiert umfangreichste Historie: Im Jahr 2021 prüfte die polnische Sicherheitsfirma Securitum die neuen Web-Anwendungen von Proton Mail und Proton Calendar und fand laut Abschlussbericht keine größeren Schwachstellen. Bereits 2018 hatte Cure53 die zentrale Kryptographie-Bibliothek OpenPGPjs geprüft und die Implementierung als hochwertig eingestuft. Cure53 hat außerdem ProtonVPN und Proton Pass auditiert, mit überwiegend positiven Ergebnissen und nur wenigen nicht-kritischen Befunden.
Für Tuta und Mailbox.org lässt sich in der aktuellen Recherche kein vergleichbarer, öffentlich benannter Audit-Bericht einer bekannten Sicherheitsfirma für die Kerninfrastruktur finden. Das bedeutet nicht zwangsläufig, dass keine internen Prüfungen stattfinden, mangels Veröffentlichung lässt es sich für Außenstehende aber schlicht nicht verifizieren. Als indirekte Qualitätsindikatoren dienen bei Tuta stattdessen mehrere Gerichtsverfahren, die zeigen, wie weit die Verschlüsselung tatsächlich reicht, mehr dazu im nächsten Abschnitt. Der Fachvergleichsdienst CyberInsider bewertete Tuta in einem direkten Proton-Mail-Vergleich als klaren Gewinner in Sachen Metadatenschutz, während das Portal Experte.com beide Dienste unter den fünf sichersten E-Mail-Anbietern listet, mit Verweis auf offenen Quellcode und etablierte Verschlüsselungsstandards bei beiden.
Der Unterschied zwischen Audit-Historie und Gerichtsverfahren als Vertrauensanker ist wichtig für die Einordnung. Ein Audit prüft proaktiv Quellcode und Infrastruktur auf Schwachstellen, bevor ein Angreifer sie findet. Ein Gerichtsverfahren zeigt dagegen reaktiv, was im Ernstfall tatsächlich herausgegeben werden konnte oder musste. Beides ist aussagekräftig, misst aber unterschiedliche Dinge: Proton kann durch Securitum und Cure53 belegen, dass der Code zum Prüfzeitpunkt keine gravierenden technischen Lücken hatte. Tuta kann durch die Urteile aus Itzehoe, Köln und Hannover belegen, dass selbst deutsche Gerichte die technischen Grenzen der Verschlüsselung anerkannt haben und keine Anordnung erwirken konnten, die bereits verschlüsselte Bestandsdaten offenlegt. Für eine vollständige Risikoeinschätzung lohnt sich für sicherheitsbewusste Leser zusätzlich ein Blick in unabhängige Fachmedien, die beide Aspekte regelmäßig aktualisieren.
| Quelle | Geprüfter Anbieter | Jahr | Ergebnis |
|---|---|---|---|
| Securitum | Proton Mail / Calendar Web-App | 2021 | Keine größeren Schwachstellen |
| Cure53 | OpenPGPjs (Proton-Bibliothek) | 2018 | Keine größeren Probleme, hohe Codequalität |
| Cure53 | ProtonVPN, Proton Pass | Mehrfach | Überwiegend positiv, keine kritischen Krypto-Fehler |
| Amtsgericht Itzehoe | Tuta (technische Grenzen der E2EE) | 2018 | Bestätigt: gespeicherte Inhalte technisch nicht entschlüsselbar |
| Bundesgerichtshof (BGH) | Tuta (Überwachungsauflage) | 2021 | Nur zukünftiger, unverschlüsselter Verkehr einsehbar |
| CyberInsider | Proton Mail vs. Tuta | 2026 | Tuta vorn bei Metadatenschutz |
Jurisdiktion, DSGVO und dokumentierte Gerichtsfälle
Für Nutzer in Österreich ist die Frage der Rechtsprechung keine akademische Übung. Proton sitzt in der Schweiz, außerhalb der EU, aber innerhalb eines Rechtssystems, das internationale Rechtshilfe leistet. 2021 wurde bekannt, dass Proton auf gerichtliche Anordnung Schweizer Behörden hin die IP-Adresse und einen Browser-Fingerabdruck eines Kontos herausgeben musste, das von französischer Polizei im Zusammenhang mit Klimaaktivismus verfolgt wurde. Wichtig dabei: Der E-Mail-Inhalt blieb durch die Verschlüsselung geschützt, herausgegeben wurden nur Metadaten, zu deren Protokollierung Proton unter Schweizer Strafprozessrecht verpflichtet werden kann. Proton passte danach seine Datenschutzerklärung an und weist seither ausdrücklich darauf hin, dass IP-Logging bei einer Schweizer Strafuntersuchung angeordnet werden kann. 2024 wurde ein weiterer Fall aus Spanien bekannt, bei dem eine hinterlegte Wiederherstellungs-E-Mail-Adresse im Rahmen eines Verfahrens mit Terrorismusbezug herausgegeben wurde.
Tuta als deutscher Anbieter unterliegt direkt deutschem Recht. 2018 ordnete das Amtsgericht Itzehoe an, dass Tuta unverschlüsselte Kopien bestimmter E-Mails herausgeben müsse, was aufgrund der Ende-zu-Ende-Verschlüsselung technisch nur für künftige, noch nicht verschlüsselte Nachrichten möglich war. 2021 bestätigte der Bundesgerichtshof eine Auflage, wonach Tuta über drei Monate hinweg unverschlüsselten Nachrichtenverkehr zweier Konten in einem Erpressungsfall protokollieren musste, wieder beschränkt auf zukünftigen, nicht auf bereits verschlüsselten Bestandsverkehr. Das Landgericht Hannover stützte in einem weiteren Verfahren Tutas Weigerung, Inhalte herauszugeben, die technisch gar nicht entschlüsselbar waren. Für Mailbox.org als ebenfalls deutschen Anbieter liegt kein vergleichbar öffentlich diskutierter Einzelfall vor, der Transparenzbericht mit 74 behördlichen Anfragen für 2025 zeigt aber, dass auch hier regelmäßiger Kontakt mit Ermittlungsbehörden stattfindet.
Bemerkenswert an den deutschen Gerichtsfällen ist das durchgängige Muster: Kein Gericht hat bislang erzwungen, dass Tuta bereits gespeicherte, Ende-zu-Ende-verschlüsselte Bestandsdaten im Klartext herausgibt, weil das technisch schlicht nicht möglich ist. Die Auflagen betrafen jeweils nur zukünftigen, noch nicht verschlüsselten Verkehr einzelner, konkret benannter Verdächtigenkonten und liefen zeitlich befristet. Für die überwältigende Mehrheit der Nutzer, die nicht Gegenstand einer strafrechtlichen Ermittlung sind, hat das faktisch keine Auswirkung. Der Fall zeigt aber, dass „Ende-zu-Ende-verschlüsselt” nicht automatisch „unsichtbar für Gerichte” bedeutet, sondern nur, dass bereits verschlüsselte Inhalte technisch außer Reichweite bleiben.
Für die DSGVO-Konformität sind alle drei Anbieter relevant: Tuta und Mailbox.org unterliegen als deutsche Unternehmen direkt der europäischen Datenschutz-Grundverordnung, Proton verarbeitet als Schweizer Unternehmen ebenfalls Daten von EU-Bürgern und muss daher DSGVO-Grundsätze einhalten. Österreichische Nutzer, die eine EU-interne Datenverarbeitung bevorzugen, etwa aus geschäftlichen oder behördlichen Gründen, fahren mit Tuta oder Mailbox.org tendenziell konformer, wer stattdessen eine Nicht-EU-Jurisdiktion mit strengem Datenschutzgesetz sucht, findet in Proton eine Alternative. Bei Rückfragen zur eigenen Datenverarbeitung ist die österreichische Datenschutzbehörde die zuständige Anlaufstelle.
Verschlüsselte Suche, Kalender und Kontakte im Vergleich
Ein Postfach besteht heute aus mehr als der reinen Nachrichtenliste. Kalender, Kontakte und die Volltextsuche gehören für die meisten Nutzer zum täglichen Werkzeug, und genau hier zeigt sich, wie konsequent ein Anbieter sein Verschlüsselungsversprechen umsetzt. Tuta hat als einer der ersten Anbieter eine verschlüsselte Volltextsuche eingeführt, bei der der Suchindex lokal im Browser oder in der App aufgebaut wird, sodass auch die Suchanfrage selbst den Server nicht im Klartext erreicht. Der Kalender von Tuta verschlüsselt Termintitel und Teilnehmerlisten client-seitig, was bei klassischen Kalenderdiensten unüblich ist.
Proton Calendar verschlüsselt ebenfalls Termindetails Ende-zu-Ende, sobald Termine ausschließlich zwischen Proton-Konten geteilt werden, bei Einladungen an externe Adressen greift dieser Schutz naturgemäß nicht vollständig. Proton Mail durchsucht serverseitig verschlüsselte Indizes, was in der Praxis kaum spürbar langsamer ist als eine klassische Suche. Mailbox.org bietet Kalender- und Kontaktfunktionen im CalDAV/CardDAV-Standard an, wodurch sie sich mit praktisch jeder Client-Software synchronisieren lassen, allerdings ohne clientseitige Verschlüsselung dieser Metadaten. Wer also nicht nur E-Mail-Inhalte, sondern auch Termine und Kontakte konsequent geschützt wissen will, kommt an Tuta kaum vorbei.
Für die tägliche Nutzung ist dieser Unterschied selten sofort spürbar, wird aber relevant, sobald ein Konto kompromittiert wird oder Zugriff auf einen Server erzwungen werden könnte. Ein Angreifer, der Zugriff auf Mailbox.org-Server erhält, sieht Kalendereinträge und Kontakte im Klartext, selbst wenn der eigentliche Mail-Inhalt per PGP geschützt ist. Bei Tuta bleibt dieselbe Information verschlüsselt, solange der Angreifer nicht zusätzlich das Passwort des Nutzers kennt. Für die meisten Privatnutzer ist dieses Szenario theoretisch, für Berufsgruppen mit besonderer Vertraulichkeitspflicht, etwa Anwälte, Ärzte oder Journalisten, kann es hingegen den Ausschlag für die Anbieterwahl geben.
Zwei-Faktor-Authentifizierung, Aliase und Spam-Schutz
Alle drei Anbieter unterstützen Zwei-Faktor-Authentifizierung (2FA) über TOTP-Apps wie Aegis oder 2FAS, Proton Mail und Tuta unterstützen zusätzlich Hardware-Sicherheitsschlüssel nach dem FIDO2/WebAuthn-Standard, etwa YubiKeys. Das britische National Cyber Security Centre empfiehlt Hardware-Schlüssel oder Authenticator-Apps grundsätzlich gegenüber SMS-basierten Codes, da SMS anfällig für SIM-Swapping-Angriffe ist, ein Standard, den alle drei hier verglichenen Anbieter mittlerweile erfüllen.
Bei Aliasen und Wegwerf-Adressen unterscheiden sich die Tarife deutlich. Proton Mail Unlimited erlaubt zusätzlich zu klassischen Aliasen auch „Hide My Email”-Adressen, die sich pro Website automatisch generieren lassen, ähnlich wie bei Apples iCloud+ Funktion. Tuta bietet je nach Tarif 15 bis 30 Aliase sowie bis zu 10 eigene Domains bei Legend, was sich gut für Nutzer eignet, die mehrere thematisch getrennte Adressen unter einem Konto verwalten wollen, etwa für Beruf, Vereine und Privates. Mailbox.org erlaubt ebenfalls mehrere Aliase pro Konto und punktet zusätzlich mit einem serverseitigen Spam- und Virenfilter, der sich individuell konfigurieren lässt, ein Feature, das bei den stärker auf Verschlüsselung fokussierten Wettbewerbern schlanker ausfällt.
Preise und Speicherplatz 2026 im Vergleich
Alle drei Anbieter haben kostenlose Einstiegsstufen, die sich in der Praxis aber deutlich unterscheiden. Proton Mail Free bietet bis zu 1 GB Speicher und eine Adresse bei einem Limit von 150 Nachrichten pro Tag. Tuta Free liegt ebenfalls bei 1 GB, allerdings ohne Alias- oder Domain-Funktionen. Mailbox.org verzichtet komplett auf einen dauerhaften Gratistarif und bietet stattdessen nur einen 30-tägigen Testzeitraum. Die vollständigen, aktuellen Tarife lassen sich jederzeit direkt bei Proton Mail und Tuta nachschlagen, da Anbieter ihre Preise im Lauf des Jahres anpassen können.
| Tarif | Preis | Speicher | Domains / Aliase |
|---|---|---|---|
| Proton Mail Free | 0 € | Bis zu 1 GB | 0 Domains, 1 Adresse |
| Proton Mail Plus | ab 3,99 €/Monat (jährlich) | 15 GB | 1 Domain, 10 Aliase |
| Proton Unlimited | ab 9,99 €/Monat (jährlich) | 500 GB geteilt | Mehrere Domains, plus VPN/Drive/Pass |
| Tuta Free | 0 € | 1 GB | 0 Domains, 0 Aliase |
| Tuta Revolutionary | 3 €/Monat | 20 GB | Bis zu 3 Domains, 15 Aliase |
| Tuta Legend | 8 €/Monat | 500 GB | Bis zu 10 Domains, 30 Aliase |
| Mailbox.org Light | 1 €/Monat | 2 GB Mail | Eingeschränkt |
| Mailbox.org Standard | 3 €/Monat (jährlich) | 20 GB Mail, 10 GB Drive | Eigene Domain möglich |
| Mailbox.org Premium | 9 €/Monat (jährlich) | 50 GB Mail, 100 GB Drive | Eigene Domain möglich |
Preislich liegt Tuta im Einstiegsbereich am günstigsten (3 €/Monat für 20 GB), gefolgt von Mailbox.org Standard mit ähnlichem Speicher zum selben Preis, aber mit klassischem IMAP-Zugriff und zusätzlichem Cloud-Speicher inklusive. Proton Mail Plus liegt mit 15 GB für rund 4 €/Monat leicht darüber, spielt seine Stärke aber erst bei Unlimited aus, wo 500 GB geteilter Speicher plus VPN, Drive, Calendar und Passwortmanager im selben Abo enthalten sind. Wer nur E-Mail braucht, zahlt bei Proton für Funktionen mit, die er möglicherweise nie nutzt.
Business- und Team-Tarife im Vergleich
Für Unternehmen und Teams unterscheiden sich die drei Anbieter noch einmal deutlich von den Privatkundentarifen. Proton bietet mit Mail Essentials einen Einstieg ab rund 6,99 € pro Nutzer und Monat, höhere Workspace-Tarife reichen bis etwa 12,99 € pro Nutzer und Monat mit bis zu 1 TB Speicher sowie mehreren eigenen Domains, praktisch für Firmen, die zusätzlich VPN-Zugänge für Mitarbeiter benötigen. Tuta staffelt Business-Tarife in drei Stufen: Business Essential für 6 € pro Nutzer und Monat mit 50 GB, Business Advanced für 8 € mit 500 GB, und Business Unlimited für 12 € mit vollem Terabyte Speicher pro Nutzer sowie unbegrenzten eigenen Domains.
Mailbox.org kalkuliert Business-Tarife netto, ein Standard-Business-Postfach liegt bei rund 4 € netto pro Nutzer und Monat mit 20 GB Mail-Speicher, das Premium-Business-Paket bei rund 12 € netto mit 50 GB Mail- und 100 GB Drive-Speicher. Für kleine Teams mit fünf bis zehn Mitarbeitern liegen die drei Anbieter preislich damit enger beieinander, als es die Privatkundentarife vermuten lassen. Ausschlaggebend wird dann meist die Frage, ob ein Unternehmen zusätzliche Dienste wie VPN-Zugänge (Proton), maximalen Metadatenschutz für sensible Kommunikation (Tuta) oder eine vollständige Büro-Suite mit Office-Anwendungen (Mailbox.org) benötigt.
Benutzerfreundlichkeit, Apps und Protokollzugriff
In der täglichen Nutzung zeigen sich die architektonischen Unterschiede am deutlichsten. Proton Mail bietet moderne Web-, Desktop- und Mobil-Apps sowie mit Proton Mail Bridge eine Lösung, die IMAP und SMTP lokal auf dem Rechner emuliert, sodass auch Thunderbird oder Outlook mit verschlüsselten Proton-Postfächern funktionieren, allerdings nur auf bezahlten Tarifen und mit zusätzlichem Einrichtungsaufwand. Tuta verzichtet komplett auf klassischen Protokollzugriff und zwingt Nutzer in die eigene App-Welt, was aus Sicherheitssicht konsequent ist, aber wer seit Jahren mit einem bestimmten Mail-Client arbeitet, muss umsteigen. Mailbox.org bleibt am kompatibelsten: voller IMAP- und POP3-Zugriff, jeder Client funktioniert ohne Zusatzsoftware, PGP-Verschlüsselung lässt sich direkt im gewohnten Programm einrichten.
Bei den mobilen Apps sind alle drei Anbieter für iOS und Android verfügbar und unterstützen biometrische Entsperrung per Fingerabdruck oder Gesichtserkennung als zusätzliche lokale Zugriffssperre. Proton Mail und Tuta bieten zudem eine App-eigene PIN-Sperre unabhängig vom Betriebssystem-Passwort, ein Detail, das bei gemeinsam genutzten Geräten oder verlorenen Smartphones relevant wird. Mailbox.org verlässt sich stärker auf Standard-App-Absicherung über native Mail-Clients Dritter, was die Auswahl an kompatiblen Apps erhöht, gleichzeitig aber die Kontrolle über zusätzliche Sicherheitsfunktionen an den jeweiligen Client-Hersteller abgibt.
Für Umsteiger aus dem Gmail- oder Outlook-Umfeld ist Mailbox.org daher meist der Weg des geringsten Widerstands, während Proton Mail und Tuta einen bewussten Wechsel der gesamten Arbeitsumgebung verlangen, der sich aber in mehr Verschlüsselungstiefe auszahlt.
Fünf Praxisbeispiele: Welcher Anbieter passt zu wem?
Die beste Wahl hängt stark vom konkreten Anwendungsfall ab, technische Bestwerte allein sagen wenig darüber aus, welcher Dienst im Alltag tatsächlich passt. Sechs typische Szenarien aus der Praxis zeigen, wie unterschiedlich die Anforderungen ausfallen können und worauf es im jeweiligen Fall konkret ankommt.
- Journalistin mit Quellenschutz: Wer vertrauliche Quellen schützen muss, profitiert von Tutas Metadatenverschlüsselung, da selbst Betreffzeilen und Kontaktdaten vor Zugriff geschützt sind, ein entscheidender Vorteil, wenn schon die Tatsache einer Kommunikation brisant ist.
- Kleinunternehmer in Salzburg mit bestehender IT: Wer bereits Thunderbird, ein CRM und Archivierungspflichten hat, kommt mit Mailbox.org am schnellsten ans Ziel, da IMAP und PGP nahtlos in bestehende Abläufe passen, ohne Software auszutauschen.
- Digital-Nomade mit VPN-Bedarf: Wer ohnehin ein VPN, Cloud-Speicher und einen Passwortmanager braucht, spart mit Proton Unlimited gegenüber Einzelabos verschiedener Anbieter und bekommt alles aus einer Hand.
- Familie mit gemeinsamer Domain: Für eine Familie, die eine eigene Domain mit mehreren Adressen betreiben will, bietet Tuta Legend mit bis zu 10 Domains und 500 GB Speicher zu 8 €/Monat ein gutes Preis-Leistungs-Verhältnis.
- Kleines Team mit Compliance-Anforderungen: Ein Team, das aus regulatorischen Gründen eine reine EU-Datenverarbeitung nachweisen muss, etwa im Gesundheits- oder Rechtsbereich, ist mit Tuta Business oder Mailbox.org Business auf der sichereren Seite als mit einem Schweizer Anbieter.
- Aktivistin mit hohem Schutzbedarf: Angesichts des dokumentierten Proton-Falls von 2021 sollte diese Nutzergruppe zusätzlich zur Anbieterwahl auch auf konsequente Nutzung von Tor, keine Angabe einer Wiederherstellungs-E-Mail und starke, einzigartige Passwörter achten, unabhängig davon, welcher der drei Anbieter gewählt wird.
Migrations-Anleitung: Wechsel zu einem sicheren E-Mail-Anbieter
Ein Anbieterwechsel wirkt aufwendiger, als er ist, wenn man strukturiert vorgeht. Der größte Fehler, den Umsteiger machen, ist die sofortige Kündigung des alten Kontos direkt nach dem Import der E-Mails, was regelmäßig dazu führt, dass Nachrichten von Absendern verloren gehen, die die alte Adresse noch nicht aktualisiert haben. Die folgenden acht Schritte gelten grundsätzlich für den Wechsel zu Proton Mail, Tuta oder Mailbox.org und sollten in dieser Reihenfolge abgearbeitet werden.
- Neues Konto beim gewünschten Anbieter anlegen und, falls verfügbar, sofort Zwei-Faktor-Authentifizierung aktivieren.
- Bestehende E-Mails exportieren: Proton und Mailbox.org bieten Import-Tools wie „Easy Switch” beziehungsweise Standard-IMAP-Sync, Tuta importiert über die eigene App aus gängigen mbox- oder eml-Formaten.
- Eigene Domain vorbereiten: DNS-Einträge (MX, SPF, DKIM, DMARC) beim neuen Anbieter eintragen, bevor der alte Account deaktiviert wird, damit keine Zustellungslücke entsteht.
- Übergangszeitraum einplanen: Beim alten Anbieter für mindestens vier bis sechs Wochen eine automatische Weiterleitung einrichten, damit verspätete Antworten nicht verloren gehen.
- Kontakte informieren und wichtige Konten aktualisieren: Banken, Behörden, Onlineshops und Abonnements auf die neue Adresse umstellen, am besten mit einer priorisierten Liste der wichtigsten Dienste zuerst.
- Alte Aliase und Wiederherstellungsadressen prüfen: Wer von Proton Mail zu Tuta wechselt, sollte insbesondere alte Wiederherstellungs-E-Mail-Adressen löschen, um keine unnötige Verbindung zwischen alter und neuer Identität zu hinterlassen.
- Verschlüsselung testen: Vor dem produktiven Einsatz eine Testnachricht an sich selbst und an einen Kontakt beim neuen Anbieter senden, um sicherzustellen, dass Ende-zu-Ende-Verschlüsselung tatsächlich greift.
- Altes Konto erst nach vollständiger Migration löschen oder auf minimal aktiven Status setzen, nicht sofort nach dem Umzug.
Vor- und Nachteile im Überblick
Proton Mail
- Vorteil: Großes Ökosystem aus VPN, Drive, Calendar und Pass in einem Abo
- Vorteil: Dokumentierte Audits durch Securitum und Cure53
- Nachteil: Post-Quanten-Verschlüsselung erst seit Mai 2026 und nur opt-in
- Nachteil: Betreffzeilen bleiben unverschlüsselt
Tuta
- Vorteil: Stärkster Metadatenschutz, auch Betreffzeilen verschlüsselt
- Vorteil: Post-Quanten-Verschlüsselung bereits seit März 2024 standardmäßig aktiv
- Nachteil: Kein IMAP/POP3, nur eigene Apps nutzbar
- Nachteil: Keine öffentlich dokumentierten Audits großer Sicherheitsfirmen gefunden
Mailbox.org
- Vorteil: Volle IMAP/POP3-Kompatibilität, funktioniert mit jedem Mail-Client
- Vorteil: Cloud-Speicher und Office-Werkzeuge im selben Abo
- Nachteil: Kein dauerhafter Gratistarif
- Nachteil: Verschlüsselung ist optional und muss aktiv eingerichtet werden
Das Urteil: Proton Mail, Tuta oder Mailbox.org?
Eine pauschale Antwort gibt es nicht, die Daten zeichnen aber ein klares Bild je nach Priorität. Wer maximalen Metadatenschutz und die am längsten erprobte Post-Quanten-Verschlüsselung sucht, liegt bei Tuta richtig, seit März 2024 standardmäßig aktiv, mehr als zwei Jahre vor Proton Mail. Wer ein Ökosystem aus VPN, Cloud-Speicher und Passwortmanager sucht und Wert auf extern geprüfte Kryptographie durch Firmen wie Cure53 und Securitum legt, ist mit Proton Mail Unlimited besser bedient. Wer dagegen seinen bestehenden Mail-Client behalten und volle Protokollkompatibilität will, kommt an Mailbox.org kaum vorbei.
Wichtig ist, die drei Kriterien nicht gegeneinander auszuspielen, sondern gegen den eigenen Anwendungsfall zu spiegeln. Ein Journalist mit hohem Schutzbedarf gewichtet Metadatenschutz höher als Protokollkompatibilität und landet bei Tuta. Ein Kleinunternehmer, der Verschlüsselung nachrüsten will, ohne seine Buchhaltungssoftware oder sein CRM zu wechseln, gewichtet Kompatibilität höher und landet bei Mailbox.org. Ein Nutzer, der ohnehin ein VPN sucht und E-Mail nur als Teil eines größeren Datenschutz-Setups sieht, gewichtet das Ökosystem höher und landet bei Proton. Alle drei Wege sind legitim, solange die Entscheidung auf den tatsächlichen technischen Eigenschaften beruht und nicht nur auf dem allgemeinen Ruf eines Anbieters.
Preislich liegt Tuta beim Einstieg vorn (3 €/Monat für 20 GB), gefolgt von Mailbox.org Standard zum gleichen Preis. Proton Mail wird erst mit dem Unlimited-Tarif für rund 10 €/Monat konkurrenzfähig, spielt dort aber seine Bündelvorteile aus. Für Österreich mit seiner klaren DSGVO-Bindung sprechen Tuta und Mailbox.org als deutsche, EU-interne Anbieter tendenziell für Nutzer mit Compliance-Fokus, während Proton als Schweizer Alternative für alle interessant bleibt, die bewusst außerhalb der EU-Jurisdiktion verarbeiten lassen wollen.
Am Ende bleibt festzuhalten: Alle drei Anbieter sind einer normalen Gmail- oder Outlook-Adresse in Sachen Verschlüsselung und Datensparsamkeit klar überlegen. Die Entscheidung zwischen ihnen ist kein Sicherheitsrisiko, sondern eine Frage der Priorisierung zwischen Metadatenschutz, Ökosystem-Integration und Protokollkompatibilität. Wer unsicher ist, kann mit einem kostenlosen Testkonto bei Proton Mail oder Tuta risikofrei ausprobieren, wie sich die jeweilige App-Welt im Alltag anfühlt, bevor eine endgültige, kostenpflichtige Entscheidung getroffen wird.
Häufig gestellte Fragen
Ist Proton Mail, Tuta oder Mailbox.org komplett kostenlos nutzbar?
Proton Mail und Tuta bieten dauerhafte Gratistarife mit jeweils 1 GB Speicher, allerdings ohne eigene Domain und mit eingeschränkten Funktionen. Mailbox.org hat keinen dauerhaften Gratistarif, nur einen 30-tägigen Testzeitraum.
Welcher Anbieter schützt Metadaten am besten?
Tuta verschlüsselt als einziger der drei Anbieter auch Betreffzeilen und Teile der Kontaktdaten. Proton Mail und Mailbox.org lassen diese Metadaten standardmäßig unverschlüsselt.
Kann ich Proton Mail oder Tuta mit Outlook oder Thunderbird nutzen?
Proton Mail ermöglicht das über die Zusatzsoftware Proton Mail Bridge auf bezahlten Tarifen. Tuta unterstützt klassisches IMAP oder POP3 nicht und erfordert die eigene Web- oder App-Oberfläche. Mailbox.org funktioniert dagegen ohne Einschränkung mit jedem gängigen Mail-Client.
Welcher Anbieter ist besser vor Quantencomputern geschützt?
Tuta hat seit dem 11. März 2024 mit TutaCrypt eine standardmäßig aktive Post-Quanten-Verschlüsselung auf Basis von CRYSTALS-Kyber und X25519. Proton Mail zog erst am 5. Mai 2026 nach und bietet die Funktion nur optional an, sie muss manuell aktiviert werden.
Was bedeutet der Proton-Mail-Fall von 2021 für die Sicherheit des Dienstes?
2021 musste Proton auf Anordnung Schweizer Behörden die IP-Adresse eines Kontos herausgeben, das mit Klimaaktivismus in Verbindung stand. Der E-Mail-Inhalt blieb dabei durch die Verschlüsselung geschützt, betroffen waren ausschließlich Metadaten, zu deren Protokollierung Proton unter Schweizer Strafprozessrecht verpflichtet werden kann.
Welcher Anbieter ist für Unternehmen mit DSGVO-Pflichten am besten geeignet?
Tuta und Mailbox.org verarbeiten Daten als deutsche Unternehmen direkt innerhalb der EU, was für Unternehmen mit strikten DSGVO- oder Compliance-Vorgaben oft die einfachere Nachweisführung bedeutet. Proton als Schweizer Anbieter unterliegt zwar ebenfalls strengen Datenschutzregeln, verarbeitet Daten aber formal außerhalb der EU.
Lohnt sich Proton Unlimited gegenüber einzelnen Abos?
Wer ohnehin VPN, Cloud-Speicher und einen Passwortmanager separat bezahlt, kann mit Proton Unlimited für rund 10 €/Monat und 500 GB geteiltem Speicher gegenüber Einzelabos sparen. Wer nur E-Mail braucht, zahlt für Funktionen mit, die eventuell ungenutzt bleiben.
Wie lange dauert ein Wechsel zu einem sicheren E-Mail-Anbieter?
Die technische Einrichtung mit Import und DNS-Konfiguration lässt sich meist an einem Nachmittag erledigen. Ein sauberer Übergang mit Weiterleitung und Benachrichtigung aller Kontakte sollte aber vier bis sechs Wochen eingeplant werden, damit keine wichtige Nachricht verloren geht.
Unterstützen Proton Mail, Tuta und Mailbox.org eigene Domains?
Ja, alle drei Anbieter unterstützen eigene Domains ab einem bezahlten Tarif. Bei Proton Mail ist das ab Mail Plus möglich, bei Tuta ab Revolutionary mit bis zu drei Domains, bei Mailbox.org ab dem Standard-Tarif. Der Gratistarif von Proton Mail und Tuta erlaubt jeweils keine eigene Domain.
Was passiert, wenn ich eine E-Mail an eine Gmail- oder Outlook-Adresse sende?
Sobald eine E-Mail an einen Empfänger außerhalb des jeweiligen Ökosystems geht, etwa von Proton Mail oder Tuta an eine Gmail-Adresse, greift die native Ende-zu-Ende-Verschlüsselung nicht mehr automatisch. Proton Mail bietet dafür eine passwortgeschützte Nachrichtenoption an, Tuta ein ähnliches Verfahren über einen Freigabelink. Ohne diese Zusatzfunktion wird die Nachricht wie eine normale, unverschlüsselte E-Mail übertragen.
