Wie es funktioniert
Tuta ist ein gehosteter E-Mail-Dienst, der von der Tutao GmbH aus Hannover betrieben wird. Der Dienst ist seit 2011 online und hieß bis zur Umbenennung im November 2023 Tutanota. Ein Konto umfasst ein verschlüsseltes Postfach, einen verschlüsselten Kalender und ein verschlüsseltes Adressbuch, erreichbar über einen Web-Client, Desktop-Clients für Linux, Windows und macOS sowie mobile Apps. Der gesamte Client-Quellcode ist seit 2014 unter der GPLv3 auf GitHub veröffentlicht, sodass sich die Verschlüsselung prüfen lässt, statt ihr blind vertrauen zu müssen.
Die Verschlüsselung erfolgt auf dem Gerät, bevor irgendetwas die Server von Tuta erreicht. Nachrichtentexte, Betreffzeilen, Anhänge, Kontakte und Kalendereinträge werden mit Schlüsseln versiegelt, die aus dem Kontopasswort abgeleitet werden; Tuta speichert den Chiffretext und kann ihn nicht öffnen. Standardkonten verwenden AES-256 und RSA-2048. Im März 2024 führte das Unternehmen TutaCrypt ein, ein hybrides Verfahren, das die elliptische Kurve X25519 mit dem postquantensicheren Algorithmus Kyber-1024 kombiniert - zunächst für neue Konten, ab Dezember 2024 dann auch für bestehende.
KYC und Privatsphäre
Die Registrierung verlangt eine Adresse und ein Passwort, sonst nichts: keine Telefonnummer, keine Wiederherstellungsadresse, keinen amtlichen Ausweis. Ein kostenloses Konto speichert nur die gewählte Adresse, und Tuta entfernt die IP-Adressen des Absenders aus ausgehender Post. Es gibt keine AML-Ebene, denn dies ist kein Finanzdienst, und auf keiner Stufe findet eine Identitätsprüfung statt.
Die Grenzen sind struktureller Natur, nicht versteckt. E-Mail-Adressen und Zeitstempel bleiben unverschlüsselt, weil das Netz sie zur Zustellung der Post benötigt. Die Verschlüsselung ist nur zwischen Tuta-Nutzern oder über einen passwortgeschützten Link Ende-zu-Ende; Post von externen Anbietern erreicht den Server im Klartext, bevor sie ruhend verschlüsselt wird. Genau diese Lücke prüfte 2020 ein Kölner Gericht, als es Tuta anwies, künftige eingehende Klartextnachrichten eines einzelnen Kontos abzufangen, das in einem Erpressungsfall genutzt wurde - eine Entscheidung, die breit berichtet und in der Berufung bestätigt wurde. Ende-zu-Ende-verschlüsselte Inhalte blieben durchgehend unzugänglich.
Die Bezahlung ist die andere Schwachstelle für die Privatsphäre: Tuta rechnet direkt per Karte, PayPal und SEPA ab. Kryptowährungen werden auf der Website nicht akzeptiert, doch Tuta-Geschenkkarten lassen sich über einen Partnershop mit Bitcoin, Monero oder Bargeld kaufen, was einen anonymen Weg für alle wiederherstellt, die ihn wünschen.
Stärken und Grenzen
Das stärkste Argument für Tuta ist die Breite der Abdeckung. Die meisten Anbieter lassen Betreffzeile und Kalender im Klartext; Tuta nicht, und der Dienst hält an dieser Bauweise seit über einem Jahrzehnt ohne Datenleck fest. Die quelloffenen Clients und der frühe Wechsel zur postquantensicheren Verschlüsselung untermauern die Sicherheitsversprechen, und die Umbenennung von Tutanota unterbrach den Dienst nicht.
Die Grenzen sind real und gehören klar benannt. Tuta nutzt eine eigene Verschlüsselung statt OpenPGP, sodass es keinen interoperablen verschlüsselten Mailverkehr mit PGP-Nutzern anderswo gibt. Es existiert keine IMAP- oder SMTP-Bridge, was Thunderbird und Apple Mail als Oberflächen ausschließt. Eine Reihe von DDoS-Angriffen legte den Dienst 2020 stundenlang lahm, ohne jedoch Daten preiszugeben. Die Rechtsprechung wirkt in beide Richtungen: Das deutsche Recht bietet starke Datenschutzstandards, aber auch die Befugnisse zur rechtmäßigen Überwachung, auf die sich der Beschluss von 2020 stützte.
Fazit
Tuta ist ein ausgereiftes, transparentes verschlüsseltes Postfach, das mehr auf dem Gerät verschlüsselt als die meisten Mitbewerber und für die Kontoeröffnung nichts Identifizierendes verlangt. Der Vorbehalt ist juristischer, nicht kommerzieller Natur: Ein deutsches Gericht kann das Abfangen künftiger eingehender Klartextnachrichten eines gezielten Kontos anordnen, und Nutzer, deren Bedrohungsmodell dieses Risiko einschließt, sollten es abwägen. Für alle anderen, die ein privates Postfach für den Alltag suchen, bleibt Tuta eine erstklassige Wahl. Note: A- (8,6/10). Vertrauen: TRUSTED.
Tuta ist ein ausgereiftes, transparentes verschlüsseltes Postfach, das mehr verschlüsselt als die meisten Mitbewerber und bei der Registrierung nichts Identifizierendes verlangt. Der einzige Vorbehalt ist juristischer Natur: Ein deutsches Gericht kann das Abfangen künftiger eingehender Klartextnachrichten eines gezielten Kontos anordnen - das gehört ins Bedrohungsmodell. Für ein privates Postfach im Alltag bleibt Tuta unter den stärksten Optionen. Note: A- (8,6/10). Vertrauen: TRUSTED.
