Sicherheit

Proton Mail verwendet eine Kombination aus einem asymmetrischen und einem symmetrischen Kryptosystem, um die Ende-zu-Ende-Verschlüsselung zu gewährleisten. Wenn ein Benutzer ein Konto erstellt, erzeugt der Webbrowser einen öffentlichen und einen persönlichen RSA-Schlüssel. Der öffentliche Schlüssel wird für die Verschlüsselung der E-Mails und der Daten verwendet. Der persönliche Schlüssel, der für die Entschlüsselung der Daten zuständig ist, wird symmetrisch mit AES-256 verschlüsselt. Hierbei dient das Mailbox-Passwort als Schlüssel (der symmetrischen Verschlüsselung). Auf diesem Weg ist es möglich, den privaten (an sich geheimen) Schlüssel in verschlüsselter Form bei Proton Mail zu hinterlegen, sodass er auf jedem Client beim Anmelden verfügbar ist.

Nachrichten, die von einem Proton-Mail-Benutzerkonto zu einem anderen Proton-Mail-Benutzerkonto verschickt werden, sind mit dem öffentlichen Schlüssel des Empfängers verschlüsselt. Nachrichten, die von einem Proton-Mail-Benutzerkonto zu einem Nicht-Proton-Mail-Benutzerkonto verschickt werden, werden verschlüsselt oder unverschlüsselt verschickt. Das Nicht-Proton-Mail-Mitglied bekommt einen Link, der ihn auf die Seite von Proton Mail bringt. Mit einem zuvor vereinbarten Schlüssel entschlüsselt der Browser die E-Mail.

Der Quellcode und die Verschlüsselung sind quelloffen und können daher überprüft werden, was die Sicherheit und das Vertrauen in den Dienst erhöhen soll.

Datensicherung

IMAP und POP3-Protokolle für externe E-Mail-Clients stehen ausschliesslich mit einem zahlungspflichtigen Benutzerkonto zur Verfügung. Das lokale Sichern von Nachrichten ist dementsprechend (Stand: 2021) nicht kostenfrei möglich.

Die Server

Proton Mail besitzt eigene Server-Hardware und Netzwerke, um ihre Verwaltung keinem Drittanbieter anvertrauen zu müssen. Da die Server im Jahr 2014 überlastet waren, begannen die Gründer, den Serveraufbau auszuweiten.

Um den Austausch zwischen den Benutzern und den Servern zu schützen, wird Transport Layer Security (TLS) verwendet. Der Quellcode ist offengelegt worden.

Proton Mail Bridge

Die Proton Mail Bridge ist eine kostenpflichtige Anwendung, die auf dem lokalen Computer installiert wird, im Hintergrund läuft und die E-Mails nahtlos verschlüsselt und entschlüsselt. Sie ermöglicht die vollständige Integration des Proton-Mail-Kontos mit jedem Programm, das IMAP und SMTP unterstützt, wie z. B. Microsoft Outlook, Mozilla Thunderbird und Apple Mail.

Kurzdomain pm.me

Mit Proton Mail 3.13 wurde die Kurzdomain pm.me eingeführt. Diese lässt sich optional und kostenfrei im Konto aktivieren. Eine pm.me-Adresse kann zum Beispiel mündlich einfacher weitergegeben werden als die längere protonmail.com-Adresse. Nutzer des kostenlosen Dienstes können mit der pm.me-Adresse derzeit nur empfangen (und mit der Adresse proton.me bzw. protonmail.com antworten), solange sie ihr Konto vor Juni 2022 erstellt haben; zahlende Nutzer haben zusätzlich die Möglichkeit, mit der pm.me-Adresse zu senden.

Finanzierung

Am 17. Juni 2014 startete Proton Mail mit dem Ziel, 100'000 US-Dollar einzuwerben, eine Crowdfunding-Kampagne auf Indiegogo. Am 30. Juni 2014 wurde das PayPal-Konto von Proton Mail gesperrt und so die Entnahme von 251'721 US-Dollar verhindert. Ein Vertreter von PayPal gab als Grund an, dass es Zweifel über die Rechtmässigkeit der Verschlüsselung gab. Die Behauptungen waren nicht nachvollziehbar, und die Sperre wurde am nächsten Tag wieder aufgehoben. Die Kampagne endete am 31. Juli 2014. Bis dahin hatten 10'576 Spender insgesamt 550'377 US-Dollar gespendet.

Am 18. März 2015 bekam Proton Mail zwei Millionen US-Dollar von Charles River Ventures und der Fondation Genevoise pour l’Innovation Technologique. Mit dieser Summe wurde die Zahl der Mitarbeiter aufgestockt (im August 2021 waren es 360) und das Angebot ausgeweitet.

DDoS-Angriff 2015

Im November 2015 war Proton Mail Ziel eines massiven DDoS-Angriffs und wurde zur Zahlung eines Geldbetrags erpresst. Seit dem Aufbau von Schutzmassnahmen nach diesem Angriff wird der Internetverkehr von Proton Mail im Falle von Angriffen auf die Webseite über Frankfurt am Main geroutet, ansonsten über Zürich.

Proton Mail 3.1

Mit Proton Mail 3.1 wurden Android- und iOS-Apps sowie die Unterstützung eigener Domains eingeführt. Darüber hinaus gibt es bezahlte Benutzerkonten mit mehr Funktionen als die kostenfreie Version.

Google-Affäre 2016

In den Jahren 2015 und 2016 wurde Proton Mail in Suchresultaten von Google unterdrückt, wodurch Proton Mail weniger zahlende Neubenutzer gewann als geplant.

Freie Software

Seit April 2020 ist der Quellcode aller Programme, mit denen der Nutzer auf seine Proton-E-Mails zugreifen kann (Android, iOS, Bridge und das Netzprogramm), auf GitHub frei verfügbar, unter GPL-3.0- und MIT-Lizenzen.

Kooperation mit Behörden

Anfang September 2021 gab das Unternehmen bekannt, dass IP-Adressen und weitere, nicht näher spezifizierte, personenbezogene Daten von Nutzern auf Anordnung der Polizeibehörde Europol herausgegeben wurden. Durch ein Rechtshilfeabkommen der Schweizer Behörden mit Europol sei Proton Mail bei Behördenanfragen gesetzlich zur Kooperation verpflichtet. Im Anschluss gab Yen im Namen des Unternehmens eine Stellungnahme ab, in der er Nutzern, die anonym bleiben wollten, empfahl, Proton Mail nur über den Tor-Browser zu verwenden.