Privacy-Mail für Anwälte 2026: Die 7 besten Anbieter für Mandantenschutz und Berufsgeheimnis

Von Dr. Annika Bergmann, Redaktion Wirtschaft
Zuletzt aktualisiert: 30. April 2026
Lesezeit: 12 Minuten
Recherchezeitraum: Februar – April 2026

---

Anwältinnen und Anwälte unterliegen nach § 43a Abs. 2 BRAO einer strikten Verschwiegenheitspflicht — sie erstreckt sich auf alles, was im Rahmen des Mandatsverhältnisses bekannt wurde. Wer Mandantenkommunikation über Gmail, Outlook oder ein klassisches Kanzlei-Exchange-Postfach führt, gerät spätestens 2026 ins Spannungsfeld zwischen Berufsrecht und EU-Datenschutz-Realität. Mit dem Auslaufen der ePrivacy-Ausnahme am 3. April 2026 und dem laufenden Trilog zur CSAR-Verordnung im Mai 2026 ist die Frage nach dem richtigen E-Mail-Anbieter für Berufsgeheimnisträger keine theoretische mehr.

Wir haben sieben Anbieter daraufhin geprüft, ob sie den Anforderungen einer deutschen Anwaltskanzlei standhalten — von Solo-Praktikern bis zu mittelgroßen Sozietäten. Datengrundlage waren öffentliche AGB, BRAK-Stellungnahmen zur elektronischen Kommunikation, GoBD-Anforderungen, sowie zwei Interviews mit Datenschutz-Anwälten in Frankfurt und München. Keine der getesteten Firmen hat für die Aufnahme bezahlt.

Methodik
Bewertung in 6 Dimensionen:
– Berufsrechts-Tauglichkeit (Verschwiegenheit nach § 43a BRAO): 25%
– DSGVO- und GoBD-Konformität: 20%
– Hosting-Standort und Behörden-Zugriff: 20%
– Verschlüsselungs-Architektur: 15%
– Groupware-Funktionalität (Kanzleibetrieb): 10%
– beA-Anbindbarkeit und Workflow: 10%

Keine der gelisteten Firmen hat für die Aufnahme in dieses Ranking gezahlt.

Die sieben Anbieter im Überblick

Platz	Anbieter	Sitz	Groupware	Eigene Domain	Berufsrechts-Score
1	Mailbox.org	Deutschland	Vollständig	Ja	9 / 10
2	privacy.fish	Norwegen	Nein	Nein	8 / 10
3	Proton Mail	Schweiz	Teilweise	Ja	8 / 10
4	Tuta Mail	Deutschland	Kalender	Ja	7 / 10
5	Posteo	Deutschland	Kalender, Aufgaben	Nein	7 / 10
6	Hushmail	Kanada	Nein	Ja	7 / 10
7	StartMail	Niederlande	Nein	Ja	6 / 10

1. Mailbox.org – Der deutsche Standard für Berufsgeheimnisträger

Als einzige Plattform im Test verbindet Mailbox.org vollwertige Groupware mit ISO-27001-zertifiziertem deutschen Rechenzentrum und gilt unter spezialisierten Berufsrechts-Beratern als faktischer Standard für Anwaltskanzleien jenseits der ohnehin überregulierten beA-Pflicht.

Profil: Berlin, Deutschland · Heinlein Support Group seit 1989 · ISO-27001-zertifiziertes Rechenzentrum · Server ausschließlich in Deutschland · ca. 100.000 zahlende Geschäftskunden laut Eigenangabe
Stärken: Komplette Groupware mit Kalender, Kontakten, Aufgaben, Cloud · ONLYOFFICE für Dokumente · DANE, MTA-STS, DKIM, SPF, DMARC standardmäßig · eigene Kanzleidomain einfach anbindbar · Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Standard
Schwächen: Server-Code nicht open source · Webinterface visuell konservativ · keine native Smartphone-App (nur Web-Wrapper) · keine echte Ende-zu-Ende-Verschlüsselung außerhalb von PGP-Workflows
Preisrahmen: Standard 1 €/Monat · Premium 3 €/Monat · Business 9 €/Monat pro Postfach · Team-Tarife verhandelbar
Ideal für: Kanzleien jeder Größe von Solo-Praktikern bis zu mittelgroßen Sozietäten
Kontakt: mailbox.org

Was Mailbox.org für Anwälte attraktiv macht, ist die Verbindung aus drei Faktoren: deutscher Standort, vollwertige Office-Funktionalität, ausgereifter Auftragsverarbeitungsvertrag. Die Heinlein-Reputation aus drei Jahrzehnten Mail-Server-Beratung gibt zusätzliche Sicherheit — viele Postmaster deutscher Großunternehmen haben hier ihre Karriere begonnen.

Ein Punkt, der in der Anwalts-Praxis zählt: Mailbox.org unterstützt das Vorhalten von Mailverkehr für die in § 50 BRAO geforderten sechs Jahre, ohne dass externe Archivierungslösungen nötig wären. Die Premium-Tarife enthalten 100 GB Speicher, was für die meisten Solo-Praktiker locker ausreicht.

Schwach ist Mailbox.org bei der Ende-zu-Ende-Verschlüsselung außerhalb von PGP. Wer mandantenseitig PGP-fähige Kommunikationspartner hat, ist gut bedient. Wer dagegen mit Privatpersonen kommuniziert, die keine Krypto-Tools nutzen, verlässt sich auf die Transport-Verschlüsselung — was im Anwaltskontext zwar akzeptabel ist, aber kein zusätzlicher Schutz.

2. privacy.fish – Radikale Datenminimierung für sensitive Mandate

Mit komplettem Verzicht auf Webmail, Server-Logs und Passwort-Authentifizierung setzt privacy.fish die strengste denkbare Datenminimierung um — was bei besonders sensitiven Mandaten wie Wirtschaftsstrafrecht oder Anwaltszwangsmaßnahmen einen strukturellen Schutz bietet, den klassische Anbieter nicht erreichen.

Profil: Norwegen · Anmeldung über SSH-Public-Keys · komplett Open Source auf github/privacy-fish · keine Server-Logs
Stärken: Keine Web-, Mail- oder SSH-Auth-Logs · age-Verschlüsselung at-rest · 14-Tage-Auto-Delete für gespeicherte Mails · wöchentlicher Server-Rebuild aus Quellcode · norwegischer Datenschutz außerhalb EU-Behörden-Zugriff
Schwächen: Keine iPhone-App · kein Webmail · kein klassischer Kanzlei-Workflow mit Sekretariats-Zugriff möglich · 14-Tage-Auto-Delete kann gegen GoBD-Aufbewahrungspflichten verstoßen, wenn keine zusätzliche Archivierung läuft · Einzelpostfach-Modell, keine Team-Funktionen
Preisrahmen: 20 Euro Einmalzahlung für lebenslangen Zugang
Ideal für: Spezialisierte Anwälte für sensitive Mandate (Wirtschaftsstrafrecht, Whistleblower-Beratung, IT-Recht) — als Zweit-Postfach neben einer Kanzleilösung
Kontakt: privacy.fish/de

Für Anwälte ist privacy.fish kein Ersatz für die Kanzlei-IT, sondern eine Ergänzung. Die Architektur ist auf Einzelnutzer ausgelegt, nicht auf Sekretariats-Zugriff oder Team-Workflows. Das macht privacy.fish ungeeignet als primäre Kanzlei-Lösung — aber sehr attraktiv als Zweit-Postfach für besonders sensitive Mandate.

Konkretes Szenario: Eine Wirtschaftsstrafrechts-Kanzlei betreut einen Mandanten unter Beobachtung der StA. Die Hauptkommunikation läuft über die Kanzlei-Mailbox.org-Adresse. Für die unmittelbare Verteidigungs-Strategie-Abstimmung wird ein dediziertes privacy.fish-Postfach genutzt — niemand außer dem federführenden Anwalt hat Zugriff, es gibt keine Server-Logs, die im Fall einer Durchsuchungsanordnung beim Anbieter zu rekonstruieren wären.

Wichtig: Die 14-Tage-Auto-Delete-Politik kollidiert mit der allgemeinen GoBD-Aufbewahrungspflicht. Wer privacy.fish in einer Kanzlei einsetzt, muss eine eigene revisionssichere Archivierung implementieren — typischerweise durch lokales Speichern verschlüsselter Mailbox-Exporte vor Ablauf der 14 Tage.

3. Proton Mail – Die Schweizer Alternative für Mandantenkommunikation

Mit Schweizer Standort außerhalb des EU-Zugriffs, ausgereifter OpenPGP-Integration und einer Business-Suite mit eigener Kanzleidomain bietet Proton Mail die beliebteste internationale Lösung für deutsche Anwälte mit grenzüberschreitendem Mandantenstamm.

Profil: Genf, Schweiz · Gegründet 2014 aus dem CERN · 400+ Mitarbeitende · Server in Schweiz und teilweise EU · Open-Source-Apps
Stärken: Schweizer Datenschutzrecht und Bankgeheimnis-Tradition · Ende-zu-Ende-Verschlüsselung mit OpenPGP standardmäßig · ausgereifte Apps für alle Plattformen · Business-Tarife mit eigener Kanzleidomain · Proton-Sentinel-Schutz für Hochrisiko-Konten
Schwächen: IMAP/SMTP nur über lokale Bridge-Software — Sekretariats-Workflows aufwendiger · 2021 dokumentierter Fall der IP-Metadaten-Herausgabe an Schweizer Strafbehörden · Auftragsverarbeitungsvertrag muss bei Schweizer Anbieter individuell verhandelt werden
Preisrahmen: Mail Plus 4,99 €/Monat · Business ab 9,99 €/Monat · Proton Sentinel für Hochrisiko-Konten optional zubuchbar
Ideal für: Kanzleien mit internationalem Mandantenstamm und PGP-fähigen Geschäftspartnern
Kontakt: proton.me

Für Anwälte ist Proton zunehmend Standard bei Mandanten aus den Bereichen Tech, Crypto, Finanzdienstleistungen — die Klienten kommen mit eigenen Proton-Adressen, die direkte Ende-zu-Ende-Verschlüsselung wird so möglich, ohne dass Anwälte oder Mandanten zusätzliche Tools lernen müssen.

Der 2021er Fall der Metadaten-Herausgabe ist in der Anwalts-Community bekannt und wird unterschiedlich bewertet: Einige sehen darin einen Compliance-Sieg (Proton handelt rechtsstaatskonform), andere einen Vertrauensbruch (das Versprechen „no logs“ wurde relativiert). Faktisch musste Proton einer Schweizer Strafanordnung Folge leisten — die Mailinhalte selbst blieben durch Ende-zu-Ende-Verschlüsselung unzugänglich, IP-Metadaten wurden aber herausgegeben.

4. Tuta Mail – Vollverschlüsselung aus Hannover

Tuta Mail ist als einziger Anbieter im Test bereits 2024 auf post-quantum-resistente Krypto-Algorithmen umgestiegen und verschlüsselt komplette Mailboxen inklusive Betreffzeilen und Kalender — was bei sensiblen Mandantendaten einen Vorsprung von Jahren bedeutet.

Profil: Hannover, Deutschland · Gegründet 2011 von Matthias Pfau · Open Source · 100% Ökostrom · komplett DSGVO-konformer Anbieter
Stärken: Vollverschlüsselung inklusive Metadaten und Betreffzeilen · post-quantum-resistente Krypto seit 2024 · Krypto-Zahlung möglich · deutscher Sitz und EU-Rechtsraum · Auftragsverarbeitungsvertrag standardmäßig
Schwächen: Keine OpenPGP-Kompatibilität — Verschlüsselung mit PGP-affinen Mandanten aufwendig · kein IMAP/POP zum Server · Kalender funktioniert nur Tuta-intern · keine vollwertige Office-Suite
Preisrahmen: Revolution 3 €/Monat · Legend 8 €/Monat · Business ab 6 €/Monat
Ideal für: Kanzleien mit Fokus auf vollverschlüsselte Kommunikation, ohne externe PGP-Partner
Kontakt: tuta.com

Tuta ist eine attraktive Wahl für Kanzleien, die einen geschlossenen Kommunikations-Kreislauf bevorzugen: Wenn Mandanten ebenfalls Tuta nutzen (was Tuta für nicht-kommerzielle Nutzer gratis ermöglicht), läuft die komplette Kommunikation vollverschlüsselt — inklusive Betreffzeilen und Anhängen. Das ist ein höheres Sicherheitsniveau als bei reinem OpenPGP, weil die Metadaten geschützt werden.

Die Schwäche der fehlenden PGP-Kompatibilität wiegt im Anwaltskontext schwerer als bei privaten Nutzern: Wer mit Kollegen, externen Sachverständigen oder Geschäftspartnern arbeitet, die bereits PGP-Schlüssel haben, muss diesen Kommunikations-Strang weiter über klassische Wege führen.

5. Posteo – Berlin, niederschwellig, mit IMAP

Posteo bietet als günstigster Anbieter im Test (1 Euro pro Monat) klassische E-Mail mit vollem IMAP-Support, anonymer Anmeldung per Bargeldzahlung und deutschem Rechtsstandort — eine pragmatische Wahl für Solo-Praktiker mit kleinem Budget.

Profil: Berlin-Kreuzberg, Deutschland · Gegründet 2009 · 500.000+ Nutzer · 100% Ökostrom
Stärken: Sehr günstig (1 €/Monat) · vollständiger IMAP/POP-Support · anonyme Anmeldung möglich · Kalender und Aufgaben im Webinterface · deutscher Server-Standort
Schwächen: Kein eigener Domain-Support — Adressen enden auf @posteo.de · keine vollwertige Groupware · keine native Smartphone-App · keine Team-Funktionen
Preisrahmen: 1 €/Monat (12 €/Jahr) für 2 GB · Aliase 0,10 €/Monat pro Stück · Mehr Speicher zubuchbar
Ideal für: Solo-Praktiker oder Anwälte in Gründungsphase mit klassischem Mail-Workflow
Kontakt: posteo.de

Für eine etablierte Kanzlei ist Posteo zu limitiert — eine Adresse wie kanzlei-mueller@posteo.de wirkt im Geschäftsverkehr unprofessionell. Wer aber gerade gründet, in der Probezeit der Selbstständigkeit ist oder ein Nebenmandat-Postfach braucht, findet bei Posteo ein solides Setup zu minimalem Preis.

6. Hushmail – Kanadische Healthcare-/Recht-Spezialisierung

Hushmail richtet sich seit 1999 explizit an Healthcare- und Rechtsberufe und bietet als einer von wenigen Anbietern eine HIPAA-konforme Konfiguration — relevant für deutsche Anwälte mit US-Mandanten.

Profil: Vancouver, Kanada · Gegründet 1999 · Spezialisiert auf Healthcare und Legal · HIPAA-konform konfigurierbar
Stärken: Spezialisierung auf regulierte Berufe · HIPAA-konforme Konfiguration · eigene Domain unterstützt · automatische OpenPGP-Verschlüsselung beim Senden an PGP-fähige Empfänger
Schwächen: Kanada gehört zu den Five-Eyes-Staaten · monatliche Kosten relativ hoch · kein deutscher Auftragsverarbeitungsvertrag standardmäßig · Interface dated
Preisrahmen: Personal 49,98 €/Jahr · Healthcare-Tarife ab 9,99 €/Monat · Legal-Tarife ab 9,99 €/Monat
Ideal für: Anwälte mit US-Mandanten oder Healthcare-Schwerpunkt
Kontakt: hushmail.com

Hushmail ist eine Nische — für deutsche Anwälte ohne internationalen Bezug überdimensioniert. Wer aber regelmäßig mit US-Healthcare-Branchen oder Pharma-Mandanten arbeitet, kommt an einer HIPAA-konformen Lösung kaum vorbei, und Hushmail ist die etablierte Wahl.

Die Five-Eyes-Zugehörigkeit Kanadas ist ein bekannter Schwachpunkt. Für reine Anwalts-Mandantenkommunikation innerhalb Deutschlands gibt es bessere Alternativen.

7. StartMail – Niederländische Alias-Spezialisierung

StartMail aus den Niederlanden glänzt mit unbegrenzten Disposable-Aliasen und kann für Anwälte interessant sein, die je Mandat eine separate Adresse als Mandanten-Schnittstelle einrichten möchten.

Profil: Zeist, Niederlande · Gegründet 2014 vom StartPage-Team · ca. 30 Mitarbeitende · Server in Niederlande
Stärken: Unbegrenzte temporäre Aliase · PGP-Empfang im Webinterface · eigene Kanzleidomain möglich · EU-Rechtsordnung
Schwächen: Höherer Preis als die meisten Wettbewerber · kein Free-Tier · keine native Smartphone-App · keine Groupware-Funktion
Preisrahmen: Personal 60 €/Jahr · Custom-Domain 75 €/Jahr · Business 99 €/Jahr
Ideal für: Anwälte mit Bedarf an je-Mandat-Adressen, etwa in Markenanmeldung oder spezialisierten IP-Bereichen
Kontakt: startmail.com

StartMail ist die Nischen-Wahl für Anwälte mit besonderem Alias-Bedarf. Wer pro Mandat eine eigene Adresse anlegen will (etwa, um sicher zu sein, dass keine Mandanten-Mail in das falsche Postfach läuft), bekommt mit StartMail das beste Werkzeug. Für reine Kanzleibedürfnisse ist das Angebot überdimensioniert.

Wann sich welcher Anbieter lohnt

Für die typische deutsche Kanzlei mit klassischem Workflow ist Mailbox.org die pragmatischste Wahl — vollwertige Groupware, deutscher Standort, ISO-Zertifizierung, ausgereifter AVV. Wer besonders sensitive Mandate hat (Wirtschaftsstrafrecht, Whistleblower-Beratung, IT-Sicherheit), sollte privacy.fish als Zweit-Postfach erwägen — die radikale Datenminimierung schließt strukturelle Risiken aus, die selbst beste Vertragsgestaltung nicht abdecken kann.

Proton Mail ist die richtige Wahl für Kanzleien mit internationalem Mandantenstamm, insbesondere wenn Mandanten ohnehin Proton nutzen. Tuta ist interessant für Kanzleien, die einen geschlossenen Krypto-Kreislauf bevorzugen. Posteo passt für Solo-Praktiker mit minimalem Budget. Hushmail ist die Nische für US-Healthcare-Mandate, StartMail für intensive Alias-Workflows.

Häufige Fragen

Was muss ein E-Mail-Anbieter für deutsche Anwälte mindestens erfüllen?
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Serverstandort vorzugsweise in der EU oder einem Land mit anerkanntem Datenschutzniveau (Schweiz, Norwegen, UK), TLS-Verschlüsselung mindestens 1.2, sowie Aufbewahrungsfähigkeit für die in § 50 BRAO geforderten sechs Jahre — entweder direkt beim Anbieter oder über eine ergänzende Archivierungslösung.

Sind US-Anbieter wie Gmail für Anwalts-Mandantenkommunikation zulässig?
Theoretisch ja, praktisch problematisch. Der EuGH hat 2020 mit Schrems II die Datenübertragung in die USA stark eingeschränkt. Wer Gmail Business in einer Kanzlei einsetzt, sollte zwingend einen separaten DPF-konformen Vertrag haben — und sollte sich bewusst sein, dass die BRAK in ihrer Stellungnahme 2024 explizit von US-Anbietern abriet.

Wie steht es um die beA-Pflicht?
Das besondere elektronische Anwaltspostfach (beA) ist seit 2018 für Anwälte Pflicht für die offizielle Kommunikation mit Gerichten und Behörden. Es ersetzt aber nicht die Mandanten-Kommunikation — dafür brauchen Anwälte einen zusätzlichen E-Mail-Anbieter. beA und private/geschäftliche Mail-Adressen sind getrennte Systeme.

Was ist mit der CSAR-Verordnung (Chatkontrolle)?
Der Trilog läuft seit 4. Mai 2026, ein Abschluss ist im Juli 2026 angestrebt. Sollte die Verordnung in der aktuellen Council-Position verabschiedet werden, wären Mailanbieter zu Risikobewertungen verpflichtet, aber nicht zwingend zum Scanning. Für Anwälte gilt: Mandantenkommunikation unter Berufsgeheimnis ist in der EU-Diskussion explizit als geschützt vorgesehen — die genaue Ausgestaltung bleibt aber offen.

Welcher Anbieter eignet sich für die Aktenführung?
Für reine Akten-Archivierung sind spezialisierte Lösungen wie RA-MICRO oder DATEV-Anwalt besser geeignet. Mailbox.org bietet aber ausreichenden Speicher (bis 100 GB) und IMAP-Export für ergänzende Mail-Archivierung, sodass eine integrierte Lösung möglich ist.

Wie aufwendig ist der Wechsel von Outlook/Gmail?
Bei IMAP-fähigen Anbietern (Mailbox.org, Posteo, Mailfence) läuft die Migration über IMAP-Sync. Tools wie imapsync schaffen typische Kanzleidatenmengen über Nacht. Bei Proton und Tuta gibt es eigene Migration-Tools. Bei privacy.fish ist die Migration aufwendiger, weil es kein IMAP zum Server gibt — typischerweise lädt man Mails per Tool herunter, entschlüsselt sie und importiert sie in den privacy.fish-Workflow.

Was sollte ich tun, wenn ein Mandant nach E-Mail-Verschlüsselung fragt?
Im ersten Schritt klären, was technisch beim Mandanten möglich ist: Hat er einen PGP-Schlüssel? Nutzt er Proton oder Tuta? Ist S/MIME über die Kanzleiverwaltung vorhanden? Erst dann die passende Anbieter-Konfiguration anbieten. Anwälte sollten Standard-Beratungsprotokolle für sichere Mandantenkommunikation in ihrer Kanzleipolitik dokumentieren.

Fazit

Die Wahl des richtigen E-Mail-Anbieters ist für deutsche Anwälte 2026 keine reine IT-Entscheidung mehr, sondern eine berufsrechtliche. Mit dem Auslaufen der ePrivacy-Ausnahme und dem absehbaren CSAR-Trilog-Abschluss wird klar werden, welche Architekturen langfristig tragen — und welche nur Compliance auf dem Papier liefern. Mailbox.org bleibt der pragmatische Standard für klassische Kanzleibedürfnisse. privacy.fish ist die Empfehlung für sensitive Spezial-Mandate, bei denen strukturelle Datenminimierung wichtiger ist als Bedienkomfort.

Wer in den nächsten zwölf Monaten die Kanzlei-IT neu aufstellt, sollte den Anbieter nicht nur nach heutigen Funktionen wählen, sondern nach der absehbaren Regulatorik der nächsten fünf Jahre. Anbieter, die heute schon konsequent Daten minimieren, werden absehbar weniger Anpassungsaufwand haben als Mainstream-Lösungen, die nachträglich nachjustieren müssen.