Wir sprachen mit Peer Heinlein vom Krypto-E-Mail-Dienst mailbox.org. Doch es geht um viel mehr. Die Firma erweitert ihr Geschäftsmodell.
Wir haben uns ausführlich mit Peer Heinlein, dem Gründer und Geschäftsführer des E-Mail-Anbieters mailbox.org unterhalten. Langeweile kann eigentlich keine aufkommen, denn Heinlein betreibt mit JPBerlin noch einen Provider für gesellschaftlich und politisch Engagierte nebst dem Heinlein Hosting. Dazu kommt noch eine weitere Consulting-Firma und eine eigene Linux-Akademie.
Die Konkurrenz bei den Krypto-Mail-Anbietern ist groß. Mehr oder weniger vor der eigenen Haustüre liegen die Büros von Posteo. In Hannover ist Tutanota beheimatet, um nur die zwei bekanntesten deutschen Wettbewerber zu nennen. Dazu kommen zahlreiche im Ausland.
Doch damit nicht genug. Der studierte Jurist, der früher als Journalist und im Laufe der Jahre immer mehr als Unternehmer tätig wurde, betreibt außerdem Lobby-Arbeit in eigener Sache. Es geht um den zunehmenden staatlichen Zugriff auf Dienste, die online Daten im Auftrag ihrer Kunden verwalten. Und um die laufende Überarbeitung vom Telekommunikationsgesetz (TKG), um ein konkretes Beispiel zu nennen. Wenn es nach den Wünschen der EU geht, müssten alle Anbieter staatliche Hintertüren für die Behörden einbauen. IT-Sicherheit oder eine digitale Abgeschiedenheit ist so freilich nicht mehr möglich.
Heinlein will mit mailbox.org & Co. trotzdem bleiben.
Innerhalb der EU und selbstverständlich in seiner Heimatstadt Berlin. Wir wollen von ihm wissen, warum.
Tarnkappe.info: Hallo Peer. Vielleicht stellst Du Dich einfach mal mit ein paar Eckdaten vor.
Hallo Lars! Vielen Dank für das Interview und dafür, dass Du und Deine Leser sich so für meine und unsere Arbeit interessieren. Ich bin derzeit 44 Jahre alt und wohne mit meiner Familie in Berlin. Eigentlich bin ich Jurist und Journalist, aber seit über 25 Jahren hauptberuflich IT-Administrator, Geschäftsführer und Linux-Experte. Ich habe das Glück, dass ich in meiner heutigen Arbeit all das gleichzeitig machen kann, für das ich brenne.
mailbox.org entstand 2013 in Folge der Snowden-Affäre
Tarnkappe.info: Mit JPBerlin ging es ja schon im Jahr 1989 los. Womit hat sich dieser Dienst anfänglich bzw. heute beschäftigt? Wie kam es dazu? Mit welcher Motivation hast Du das Unternehmen gegründet? Und mit welcher mailbox.org?
Die „JPBerlin“ war mal die Computermailbox der Jungen Presse Berlin e.V., dem Verein der Berliner Schülerzeitungen. Ich hatte selbst viel mit Schülerzeitungen zu tun und habe später für verschiedene Zeitungen als Journalist gearbeitet. 1990 habe ich mich der Jungen Presse Berlin angeschlossen und deren Mailbox übernommen. Daher auch mein ausgeprägtes Interesse an der Gedanken- und Meinungsfreiheit. Zensur durch die Schulen war damals ein reales Thema.
Bis heute existiert diese Computermailbox als „jpberlin.de“ und ist damit einer der ältesten Provider, die wir in Deutschland haben. Auch wenn wir alles Mitte der 1990er Jahre mal aus der Jungen Presse Berlin herauslösen mussten, um die Gemeinnützigkeit nicht zu gefährden, betrachte ich dieses System bis heute als Non-Profit-Projekt im Sinne des ursprünglichen Vereins.
Im Rahmen der Snowden-Affäre 2013 wuchs der Wunsch, einen international skalierenden Mail-Provider aufzubauen, der in Sachen Sicherheit, Transparenz und Werbefreiheit neue Maßstäbe setzt. Also haben wir mailbox.org gegründet.
Neben dem Alltag als Provider ist Heinlein Support aber eigentlich ein Linux Consulting-Unternehmen: Wir betreiben eine eigene Akademie und helfen Profi-Admins bei allen Fragen rund um Linux-Server im Rechenzentrum.
„Wenn sensible Daten zu den Hintertüren publik werden, droht ein hausgemachter, staatlich verursachter IT-Sicherheits-GAU.“
Tarnkappe.info: Der geplante EU-Angriff auf die Verschlüsselung von Messengern und E-Mail-Anbietern geschieht im Namen der Bekämpfung des internationalen Terrorismus. Ist das technisch gesehen überhaupt möglich? Sichere Kommunikation und gleichzeitig das Einrichten von Hintertüren für Behörden für den Fall der Fälle?
Jede Hintertür schwächt die Sicherheit eines Gerätes und niemand kann ernsthaft garantieren, dass Hintertüren nicht missbraucht und ausgenutzt werden. Wenn sensible Daten zu den Hintertüren publik werden, droht ein hausgemachter, staatlich verursachter IT-Sicherheits-GAU.
Gleichzeit müssen wir sicherstellen, dass die befugten Stellen nicht über die Stränge schlagen. Ich habe kein Problem, wenn Polizei und Staatsanwaltschaft ihre Ermittlungsarbeit machen, ich wünsche mir das sogar. Aber sie muss rechtmäßig sein und damit kontrollierbar, transparent und unter gerichtlicher Aufsicht erfolgen.
Am Ende wird man Hintertüren aber auch technisch kaum umsetzen können: Es gäbe immer Anbieter im Ausland die solchen Maßnahmen nicht mitmachen, egal zu was man deutsche Anbieter verpflichtet. Ermittlungsbehörden konzentrieren sich darum auch mehr auf Zugangsanbieter, die die Internet-Einwahl bereitstellen und deshalb alle Verbindungsdaten erheben, statt auf Diensteanbieter wie mailbox.org.
Auch der deutsche Staat wünscht sich immer mehr Kontrolle über das Internet
Tarnkappe.info: Wieso will man die private Kommunikation zunehmend unmöglich machen, was sind die Hintergründe? Geht es dabei wirklich um Bekämpfung von Kriminalität und Terrorismus?
Das ist eine schwierige Frage, weil ich mich sehr ungern an Spekulationen und Vermutungen beteilige. In den letzten 20 Jahren haben natürlich viele Länder auf die Entwicklung und Verbreitung des Internets reagiert. Und ebenso natürlich haben Staaten und Strafverfolgungsbehörden ein an sich legitimes Interesse, zu wissen, was vor sich geht. Das finde ich auch nicht falsch – ich will auch, dass ein Staat die Demokratie, sich selbst und uns als Bürger schützt.
Aber manche Staaten haben über die Stränge geschlagen und greifen kontrollierend und zensierend ins Internet ein. Davon sind wir in Deutschland noch weit entfernt, aber auch hier spürt man den Trend zu immer genaueren Zugriffen, zu immer mehr Kontrolle. Wenn wir hier nicht aufpassen und gegenhalten, wird das ein Angriff auf die freie Kommunikation und die Grundrechte der Bürger.
Dass die Verantwortlichen technische Mittel nutzen wollen, ist normal. Aber es verlangt schon Selbstdisziplin dies nicht missbräuchlich auszunutzen, sondern sich „nur“ im Rahmen des geltenden Rechts zu bewegen. Dass das nicht jedem stets gelingt, hat sich in der Geschichte immer wieder mal gezeigt.
Niemand wandert „einfach so“ irgendwohin ab, auch wir nicht.
Tarnkappe.info: Welche Auswirkungen wird dies auf die deutschen E-Mail Provider haben? Werdet ihr abwandern, wenn das EU-weit eingeführt wird? Welche Möglichkeiten habt ihr sonst noch?
Nein, wir werden nicht abwandern. Zum einen sind wir alle fest hier verwurzelt und nicht bereit, ins Ausland zu gehen. Zum anderen ist es wichtig, hier die Diskussionen zu führen, Gegendruck aufzubauen und gestaltend einzugreifen, so dass mit echten Alternativen auch Fakten geschaffen werden. Ich will die Gesellschaft gestalten, nicht vor ihr flüchten.
Wir arbeiten aktiv gegen gewisse Entwicklungen und haben uns auch mit einem ganz erheblichen Zeitaufwand und eigenen Stellungnahmen in die Diskussionen rund um das kommende Telekommunikationsgesetz (TKG) eingebracht. Aber dass jetzt konkret von der EU-Ebene ultimative totalitäre Maßnahmen kommen, die auch umgesetzt werden, sehe ich derzeit nicht, so dass es keinen Grund gibt, ins Ausland zu gehen.
Man wandert ja auch nicht „einfach so“ irgendwohin ab – um so etwas wie mailbox.org zu betreiben braucht man schließlich auch ein großes Team. Wir haben derzeit 50 Mitarbeiter, die zu jeder Tages- und Nachtzeit auf Zack sind. Und nur weil dieses Team so eingespielt ist, selbstständig arbeitet und fachlich fit ist, können wir uns die Zeit nehmen, neue Dinge zu entwickeln oder wochenlang sehr undankbare aber wichtige politische Lobbyarbeit zum TKG zu machen.
Wieso sollte ein Offshore-Firmensitz oder Russland für uns sicherer sein?
Tarnkappe.info: Warum habt ihr euch überhaupt für den Standort Deutschland entschieden? Viele als sicher geltende Anbieter sitzen offiziell offshore oder in Russland etc.
Nun, zum einen bin ich in Berlin geboren und aufgewachsen, zum anderen basiert unsere Firma auf den ehemaligen Mailbox-Systemen der Jungen Presse Berlin. Insofern ist hier halt alles „dit is Balin, wa?“ und das wird und soll so auch bleiben.
Wieso sollte „offshore“ oder „in Russland“ sicher sein? Aktuell zensiert der russische Staat zentralistisch das Internet, er hat auch den Zugriff auf mailbox.org gesperrt. Wie man das als besseren oder sicheren Standort bezeichnen kann ist mir schleierhaft. Und als Rechtsstaat? Wir haben in unserer Auseinandersetzung mit den russischen Behörden und dem dortigen Geheimdienst FSB nicht den Eindruck bekommen, dass dort auf den Rechtsweg Verlass ist.
Ganz ehrlich: Auch wenn es in Deutschland viele Bestrebungen gibt, gegen die man sich wehren muss, sind wir im internationalen Vergleich doch in einem hervorragend aufgestellten Rechtsstaat und genießen einen sehr hohen Schutz-Standard. Von Rechtsbeugung, echter Zensur und einem diktatorischen Polizeistaat sind wir definitiv sehr weit entfernt.
Mehr als nur E-Mails: mailbox.org versteht sich als Kommunikationsanbieter
Tarnkappe.info: mailbox.org entwickelt sich vom reinen E-Mail- zu einem Multifunktional-Anbieter. Ihr habt ein Videokonferenz-System im Angebot, XMPP-Server, Cloud-Speicher, Kalender etc. Geht es dabei um ein Alleinstellungsmerkmal, oder warum habt ihr das Angebot erweitert?
Wir haben uns von Anfang an nicht als reiner E-Mail-Anbieter, sondern als Kommunikationsanbieter verstanden, als die europäische, datenschützende Alternative zu Gmail & Co. Da steckt natürlich viel David gegen Goliath dahinter und Google wird auch nie vor uns zittern müssen. Aber wir zeigen, dass es sehr gute Alternativen ohne faule Kompromisse gibt.
Unser Unternehmen ist seit 30 Jahren auf E-Mail-Dienste spezialisiert, hat aber schon immer auch andere Dienste betrieben und war breit aufgestellt. Warum also nicht den Leuten all das bieten, was sie für ihre Kommunikation brauchen können?
Jitsi Meet bietet nur unter bestimmten Voraussetzungen Vertraulichkeit
Tarnkappe.info: Braucht man euer Videokonferenz-System überhaupt, wenn es mit Jitsi Meet anderswo umsonst geht?
Schon unsere jetzige Jitsi-Lösung bietet Vertraulichkeit, weil sie nur verschlüsselt und nur über unsere Server läuft. Und Räume müssen explizit angemeldet und registriert sein, das beugt Missverständnissen und Phishing-Attacken vor. Auch versorgen wir Schulen und Schulklassen mit Videokonferenzen, dafür braucht man nachvollziehbare Sicherheit, Datenschutz, Zugriffsschutz, Zuverlässigkeit und Support.
Aber Jitsi ist für uns auch nur eine Übergangslösung: Wir betreiben ja auch die Videokonferenzplattform für das Land Berlin und haben da mittlerweile sehr viel Erfahrung und Know-how gesammelt. Seit Sommer 2020 entwickeln wir selbst eine neu konzipierte Videolösung, extrem sicher und für Provider skalierbar.
Die wird auch etliche Features bringen, die Anwender in Konferenzsystemen bisher vergeblich suchen. Das stößt schon jetzt auf großes Interesse in den Bundesländern und bei Providern, da sind wir definitiv auf dem richtigen Weg. Und auch unser Programmiererteam wächst, gerade haben wir zwei weitere Rust-Entwickler eingestellt.
Keine Ressourcen für Implementierung von Mailtrace vorhanden
Tarnkappe.info: Wie sieht es mit Mailtrace aus? Dies ist eine automatische Auswertung der Log-Dateien zum Mail-Versand. Kommt diese Funktion noch? Wenn ja, wann ungefähr? Und wenn nein, warum nicht?
Mailtrace war ein großes Lieblingsprojekt von mir, aber es wird nicht mehr kommen. Wir haben seit vier Jahren nicht mehr daran gearbeitet und haben momentan so viele andere Pläne und Aufgaben, dass wir es derzeit nicht verantworten können, hier Entwicklerressourcen raufzuwerfen. Grundsätzlich gab es Mailtrace schon, es war und ist bis heute bei uns und einigen Providern im Einsatz. Aber für ein Endnutzer-Interface bei mailbox.org müsste zu viel getan werden.
E-Mail-Adressen bezahlter Accounts löscht man nach ein bis drei Jahren
Tarnkappe.info: 90 Tage nach der Löschung eines Accounts schaltet mailbox.org die Postfachadresse wieder für Neuregistrierungen frei. Warum nur so eine kurze Frist? Öffnet das Cyberkriminellen nicht Tür und Tor für einen Missbrauch der reaktivierten E-Mail-Adresse? Man könnte z.B. versuchen, unter der alten Adresse Waren zu bestellen, Passwörter neu zu vergeben etc.
Wann wir genutzte Adressen wieder freischalten, hängt davon ab, wie lange und in welchem Tarif sie betrieben wurden. Adressen aus unbezahlten Testaccounts fliegen nach 90 Tagen aus der Sperrliste, zum Beispiel weil manche User ihren Test vergessen und dann ihre eigene Adresse nicht mehr neu registrieren können. Mailadressen bezahlter Accounts löschen wir erst nach ein bis drei Jahren.
Der Namensraum ist begrenzt und wir müssen verhindern, dass bösartige Bots Standardnamen systematisch durchgehen, registrieren und sie so auf Dauer blocken. Übrigens: Wer eine Adresse dauerhaft sperren möchte, kann das für nur 12 EUR im Jahr tun, indem er den Account im kleinsten Tarif weiterlaufen lässt, quasi als Schutz- oder Sperrgebühr.
Keine Werbung oder Tracking. Dafür ein Betrieb mit Ökostrom und politischer Agenda.
Tarnkappe.info: Was macht mailbox.org anders bzw. eventuell sogar besser als der Wettbewerb der deutschen Mail-Provider? Wo seht Ihr euer Alleinstellungsmerkmal?
Das Geschäftsmodell von mailbox.org stellt die Kunden als unsere Nutzer in den Mittelpunkt, nicht dritte Unternehmen, die für gesammelte Daten Geld bezahlen und diese verwerten wollen. Keine Werbung, kein Tracking, kein gläserner Kunde. Das Ganze kombinieren wir mit Ökostrom und einem klaren politisch-gesellschaftlichen Arbeitsauftrag. Und am Ende beruht alles auf 30 Jahren Erfahrung und Kontinuität in einem soliden inhabergeführten Familienunternehmen, in einer Branche wo sonst über die Jahre viele andere Firmen gegründet, verkauft, aufgekauft und wieder abgewickelt wurden.
Zum anderen schauen wir nach vorne und entwickeln E-Mail weiter: Besonders stolz sind wir auf diverse, von uns entwickelte neue Sicherheitsfunktionen, die so innovativ und erfolgreich waren, dass sie teils auch von Mitbewerbern kopiert wurden. Die Anzeige des SSL-Versandes beispielsweise hatten wir vor Google. Die vollständig verschlüsselte INBOX war unsere Idee und ist mittlerweile ein paar mal kopiert worden. Bei ID4me waren wir der erste Provider, der das für seine Nutzer implementiert hatte. E-Mail ist noch lange nicht tot, es ist benutzbar und sicher, und man kann auch heute noch viel daraus machen.
mailbox.org betreibt zwei Rechenzentren in Berlin
Tarnkappe.info: Eure Produktiv-Server stehen in einem Berliner Rechenzentrum. Rund zwei Dutzend Administratoren kümmern sich um diese Systeme. Arbeitet Ihr nur mit dedizierten Bare-Metal-Servern oder auch mit VPS- bzw. KVM-Geräten? Befinden sich diese Systeme in Eurem eigenen Besitz oder sind dies gemietete Ressourcen?
Wir haben zwei Berliner Rechenzentren und achten sehr darauf, dass wir unsere Dienste voll-redundant auf beide verteilen, der Brand bei OVH in Straßburg letzte Woche, wo eineinhalb Rechenzentren komplett zerstört wurden, zeigt ja auch deutlich, warum.
Uns ist dabei sehr wichtig, dass alles unter unserer Kontrolle bleibt. Vom eigentlichen Rechenzentrum, wo wir uns eingemietet haben, beziehen wir nur Strom und Kühlung. Alles andere besitzen und betreiben wir selbst: Server, Netzwerk, Uplink-/Peering-Traffic.
Wir nutzen fast nur noch virtualisierte Systeme – alles andere ergibt keinen Sinn mehr. Wir achten aber auch darauf, dass wir nicht von nur einem Technologiestack abhängig sind.
Kein Zugriff durch Dritte im Rechenzentrum
Tarnkappe.info: Wer hat physikalischen Zugriff zu den Servern im Rechenzentrum (RZ). Nur eure Techniker oder auch die RZ-Angestellten?
Die Rechenzentren sind große Hallen und Räume mit sehr strengen Zugangsbeschränkungen und penibler Überwachung. Unsere Schränke darin gehören aber nur uns, da darf auch niemand sonst ran. Nur für Notfälle, beispielsweise in der Stromversorgung, kann ein RZ-Betreiber Schränke öffnen. Aber auch dann hat er keinen IT-technischen Zugriff auf/in unsere Systeme.
Tarnkappe.info: Habt ihr im Rechenzentrum auch Zugriff bzw. Einfluss auf das Routing als neuralgischen Knotenpunkt (Router-Stack)?
Ja. Wir betreiben eigene providerunabhängige IP-Adressen, ein sogenanntes Autonomes System (AS). Damit sind wir für Betrieb und Routing unseres Traffics selbst verantwortlich. Wir sind eben auch so groß und komplex, dass es sinnvoll und notwendig ist, das selbst zu machen.
Jedes unserer Rechenzentren hat einen fixen Uplink über den dortigen Rechenzentrumsanbieter und jeweils ein eigenes BGP-Peering mit Carriern am Berliner Austauschknoten BECIX, über den wir einen Großteil unseres Traffics direkt mit Anbietern wie Vodafone, Telefonica/O2 oder Microsoft abwickeln.
Wir routen und peeren selber – und können bei Problemen reagieren und gezielt gegensteuern.
„PGP-Verschlüsselung funktioniert nur, wenn beide Seiten auf Zack sind“
Tarnkappe.info: Gibt es innerhalb der Branche Anzeichen dafür, wann endlich eine anständige E-Mail-Verschlüsselung durch eine Software oder Erweiterung kommt, für die man keinen Doktortitel benötigt? Die Anwendung von Enigmail in Kombination mit der GPG-Suite und Thunderbird ist zwar möglich aber extrem kompliziert. Gemeint sind auch keine Insellösungen, wie die von Protonmail, wo beide Nutzer exakt den gleichen Anbieter in Anspruch nehmen müssen.
Mit unserem mailbox.org Guard haben wir eine PGP-Unterstützung im Webbrowser, die sich wirklich mit einem Klick vollautomatisch einrichten lässt. Und mit verschiedenen Key-Austausch-Verfahren können Provider ausreichend sicher verifizierte und autorisierte Public Keys automatisiert anbieten. Insofern könnte man schon jetzt Provider-übergreifend automatisiert PGP-Keys transparent verwenden, ohne dass der Nutzer sich überhaupt damit auskennen muß.
Hier müssen andere Provider endlich nachziehen und es ihren Nutzern anbieten. PGP-Verschlüsselung funktioniert nur, wenn beide Seiten auf Zack sind. Technisch ist das gelöst, jetzt müssten die Kunden das wollen und nachfragen.
Befugnisse der Bundesnetzagentur werden tendenziell immer größer
Tarnkappe.info: Wenn man sogar einem Geschäftsführer androht, ihn mangels Kooperation in Beugehaft zu nehmen, was kommt da eigentlich für eine Entwicklung auf uns zu? Nehmen wir mal eine Glaskugel zur Hand: Was glaubst Du – wie sehen die juristischen Grundlagen bzw. das Web in fünf oder zehn Jahren aus?
Wie es in den nächsten fünf oder zehn Jahren aussieht, kann man gerade dieser Tage sehr gut sehen, denn das neue TKG, das IT-Sicherheitsgesetz und seine ganzen Brüder und Schwestern werden ja gerade frisch renoviert auf den Weg gebracht. Sicherheitsexperten und Datenschützer können da wenig Gutes drin finden, um es vorsichtig auszudrücken.
Ich war vergangene Woche als Sachverständiger zur Anhörung des neuen Telekommunikationsgesetzes in den Wirtschaftsausschuss des Deutschen Bundestages geladen, leider als einziger Provider. Aktuell versucht man hier gezielt, die Grenze der Regulierung und der präventiven Eingriffe durch die Bundesnetzagentur immer weiter abzusenken.
Auch am Entwurf des neuen TKG konnte ich aus Sicht eines datenschützenden Providers leider kein gutes Haar lassen. Derzeit werden kleinen oder innovativen Anbietern mehr und mehr innovationsfeindliche Hürden auferlegt, die die Diversifizierung gefährden, die wir für eine robuste, sichere und dezentrale Kommunikationsinfrastruktur brauchen. In meinen Augen sabotiert die Bundesregierung hier ihre eigene IT-Strategie der „Digitalen Souveränität“.
Versuchen das Schlimmste zu verhindern…
Wir werden auf jeden Fall weiter gestaltend Einfluss nehmen und versuchen, das Schlimmste zu verhindern. Das ist oft langwierig und anstrengend, weil viel Arbeit PR-technisch unsichtbar hinter den Kulissen abläuft. Und das ist eben nicht sehr sexy für die Presse und Medien in der Aufmerksamkeitsökonomie, wo nur der Skandal zählt, aber nicht die gute Tat, einen zu verhindern.
Jetzt gilt es, das neue TKG aufzuhalten und Horst Seehofer nicht über die Stränge schlagen zu lassen. Was dabei am Ende herauskommt, wird sicher das Maß der Dinge für die kommenden Jahre sein, und es lässt sich aktuell nicht abschätzen, wie das in den kommenden Wochen weitergeht.
Tarnkappe.info: Peer, vielen Dank für das ausführliche Gespräch. Und auch ein großes Dankeschön an unsere Leser, die für unser Community-Interview im Vorfeld viele gute Anregungen und Fragen eingereicht haben.
Tarnkappe.info
