Den renommierten Testern passierte Fehler beim Test von E-Mail-Anbietern.
E-Mail-Verschlüsselung kann ganz schön kompliziert sein, das merken auch die Tester der Stiftung Warentest.
Sie beschrieben die Sicherheit von Mail-Anbietern - und machten dabei mehrere Fehler. Inzwischen liefert die Stiftung einen korrigierten Testbericht.
Die Stiftung Warentest hat in einem Test von E-Mail-Anbietern Fehler gemacht und den Verkauf des Test-Hefts vorübergehend eingestellt. Inzwischen haben die Tester eine korrigierte Version ihres Berichts veröffentlicht. Wer jetzt das Heft vom Februar kauft oder bestellt, bekommt die Korrektur beigelegt, sagte eine Sprecherin. Auch die digitalen Versionen in der App und auf der Warentest-Webseite seien berichtigt worden.
Falsche Darstellung
Die Tester hatten Anbieter von E-Mail-Diensten überprüft. Dabei hatten sie die Möglichkeiten zum Verschlüsseln der Nachrichten falsch dargestellt. "Wir haben bei einem Anbieter eine etwas ungenaue Formulierung gewählt, wie diese Verschlüsselung funktioniert", sagte die Sprecherin. Das erweckte den Eindruck, dass E-Mails bei dem Anbieter Mailbox.org automatisch besonders geschützt gespeichert würden. Dabei müssen Nutzer noch einmal selbst aktiv werden, um das Verschlüsselungsverfahren einzurichten.
Die Fehler der Tester zeigen auch die Tücken beim Erklären von Mail-Verschlüsselung. Das besonders sichere Verfahren PGP ("Pretty Good Privacy") ist vielen Nutzern unbekannt. Außerdem ist es etwas umständlich: Nutzer brauchen ein eigenes "Schlüsselpaar" aus privatem und öffentlichen Schlüssel, um ihre Nachrichten so vor Blicken von außen zu schützen. Diesen öffentlichen Schlüssel müssen Nutzer erst bei Mailbox.org hochladen. Dann können gespeicherte Nachrichten auf den Rechnern des Unternehmens damit verschlüsselt werden. Auch der Mailanbieter Posteo bietet diese Möglichkeit inzwischen an.
Insbesondere Posteo hatte sich über die Fehler der Tester beklagt. Der kleine Anbieter aus Berlin setzt auf Datenschutz und Privatsphäre. Hier kann man sich anonym anmelden und die Gebühr von einem Euro pro Monat bar bezahlen. Posteo reagierte empört, weil im Test die Anmeldung in zwei Schritten beim Einloggen falsch beschrieben wurde. Im ursprünglichen Text hieß es, Nutzer könnten sich zum besseren Schutz beim Einloggen einen Code aufs Handy übertragen lassen. "Die Redaktion hat schlicht das für die Zwei-Faktor-Authentifizierung bei Posteo verwendete TOTP-Verfahren nicht verstanden", kritisierte Posteo. Das Passwort werde nicht per Mobilfunk übertragen. Einmal-Passworte würden auf dem Handy oder Computer der Nutzer sowie im System von Posteo erzeugt und beim Einloggen abgeglichen.
