Zuerst ein Satz, den Sie prüfen können: Das Schloss im Mailprogramm heißt nur, dass dieser Hop TLS genutzt hat. Es heißt nicht, dass der Text nach dem Verlassen dieses Servers Chiffretext bleibt. Nach dem Senden den Canary in Gesendet und im Posteingang der Empfängerin suchen. Ein Treffer heißt: Diese Nachricht liegt weiter als lesbarer Text. Nicht mit einem produktiven Schlüssel üben.
Senden ist keine Notiz. Es übergibt Klartext an ein Postfachsystem
Die Dienstmail wirkt leicht wie ein lokaler Chat: Die Wörter stehen noch auf dem Bildschirm, die Gegenseite „schaut nur“. Nach Senden hat der Absatz diesen Tab verlassen. Er ist jetzt eine Nachricht, die der Anbieter zustellen, indexieren und behalten muss. Datenbankpasswörter, Cloud-Zugangsschlüssel, GitHub Personal Access Tokens, geteilte WLAN-Geheimnisse und Wiederherstellungscodes gehören in dieselbe Gruppe, die das OWASP Logging Cheat Sheet üblicherweise aus gemeinsamen Klartext-Logs heraushält. Gesendet, Posteingang, Entwürfe und die IMAP-Kopie auf dem Handy werden in Firmen oft zum informellen Tresor: leicht durchsuchbar, lockerer als ein Passwortmanager, länger aufbewahrt.
HTTPS oder ein Banner „diese Nachricht ist verschlüsselt“ deckt nur das Abhören auf der Leitung ab. Es entscheidet nicht, wie lange das andere Postfach den Text speichert, ob ein Admin ihn suchen kann oder ob eine Backup-Platte noch eine Kopie hält. Eine frühere Notiz behandelte Modelsitzungen: Ein Schlüssel in ChatGPT kann in Verlauf und eine mögliche Trainingskopie gehen. Ein Passwort per Mail ist dieselbe Klasse von Offenlegung. Nur der Empfänger hat gewechselt – von „Modellanbieter“ zu „mindestens zwei Postfachspeicher plus jeder Relais dazwischen“. Vor Senden ist nicht die Frage „ist dieses Mailprogramm schlau“. Die Frage ist: „Steht in diesem Absatz ein Geheimnis, das nicht zu durchsuchbarer Mail werden darf.“
Diese Notiz nimmt Gmail, Exchange Online, Google Vault und Microsoft Purview, weil Aufbewahrungszahlen und Admin-Suchumfang öffentlich geschrieben und leicht nachzuprüfen sind. Selbst gehostetes Postfix, Microsoft-365-Journaling und andere gehostete Postfächer sind weiter Store-and-Forward. Wechseln Sie das Produkt, gehen Sie die Lösch- und Archivseite dieses Anbieters erneut durch. Kopieren Sie das 30-Tage-Fenster im Papierkorb und die 14 Tage bei den wiederherstellbaren Elementen nicht einfach auf einen anderen Dienst.
Schloss und STARTTLS schützen einen Hop, nicht Ende-zu-Ende
Ein Schloss in der Adresszeile oder im Mailprogramm wird oft als „bis zur anderen Person verschlüsselt“ gelesen. Die Transportverschlüsselung von SMTP arbeitet nicht so. RFC 3207 Abschnitt 6 ist deutlich: SMTP ist kein Ende-zu-Ende-Mechanismus. Die Entscheidung eines SMTP-Clients und eines Servers, TLS dazuzunehmen, schützt die Nachricht nicht vom Mailprogramm der Absenderin bis zur Empfängerin. Eine Nachricht kann zwei oder mehr SMTP-Server durchlaufen. TLS auf einem Paar macht den ganzen Zustellweg nicht privat.
Daraus entsteht ein Bild, das widersprüchlich wirkt. Der Hop vom Client zum Ausgangsgateway kann TLS sein. Der Hop vom Gateway zum MX kann STARTTLS sein. Am Ende jedes Hops muss das Relais die Nachricht trotzdem öffnen: Umschlag lesen, Spam filtern, an den nächsten Hop übergeben. Auf diesen Platten ist der Text standardmäßig lesbar. Echtes „niemand auf dem Weg kann das lesen“ braucht Inhaltsverschlüsselung wie S/MIME oder OpenPGP, kein Transportschloss. Ein Passwort, das Sie in ein Dienstfenster tippen, bekommt diese Schicht fast nie.
IMAP und Handy-Clients kopieren die Nachricht erneut. Mail ist keine Röhre, in die Sie im Webtab nur hineinblicken. Es ist Objektspeicher: Posteingang, Gesendet, Entwürfe und Papierkorb sind Objekte. Ein zweiter angemeldeter Laptop, ein Firmenhandy und der Offline-Cache eines Desktop-Clients können denselben Klartext lesen. Transportverschlüsselung stoppt eine Zuschauerin auf der Leitung. Sie stoppt keine Kopien, die schon in einem Speicher gelandet sind.
Gesendet und Posteingang: zwei lesbare Kopien, sobald das Passwort in der Mail steht
Nach Senden zuerst Kopien zählen, dann über Löschen sprechen. Die erste ist Ihre: in Gmail „Gesendet“, in Outlook „Gesendete Elemente“, auf den meisten IMAP-Konten Sent. Das ist kein Rückgängig-Puffer im Browser. Es ist ein gespeichertes Objekt. Dieselbe Zeichenkette finden Sie zwei Monate später wieder. Eine Person mit Postfachrechten findet sie ebenfalls. Die zweite ist die der Gegenseite: Posteingang plus das Label „Alle E-Mails“ oder Archiv, unter dem sie die Nachricht abgelegt hat. Beide Kopien sind der Text, nicht „nur der Betreff“.
Cc und Bcc legen weitere dazu. Cc an eine Projektliste hinterlässt in jedem Posteingang eine Kopie. Bcc versteckt Adressen vor den anderen Empfängerinnen. Es verkleinert den Speicher nicht. Auto-Weiterleitungen, Journaling und Gateways der Art „zusätzlich an Slack oder Teams“ können außerhalb des Mailprodukts noch eine Kopie ablegen. Diese Kopien teilen keinen Löschen-Knopf. Ihren Ordner Gesendet zu leeren, berührt weder den Posteingang der Gegenseite noch eine Kopie, die ein Gateway schon geschrieben hat.
Das Suchfeld ist der Beleg. Gmail, Outlook und die meisten Webmailer indexieren den Text. Einen Canary ins Suchfeld legen. Ein Treffer heißt: Jede Person mit diesem Postfach kann ihn lesen. Das ist dieselbe Klasse von Rest wie ein Instant-Upload-Hash in der Cloud oder ein Zwischenablageverlauf: Das Produkt behält Klartext, weil Suche nützlich ist – nicht weil es Ihnen helfen will, ein Geheimnis zu vergessen.
| Ort | Was gewöhnlich bleibt | Wer es noch lesen kann |
|---|---|---|
| Gesendet / Gesendete Elemente | Voller Text und Anhänge | Absenderin; jede Person mit diesem Postfach |
| Posteingang / Alle E-Mails | Derselbe volle Text | Empfängerin; ihre synchronisierten Geräte |
| SMTP-Relais | Eine lesbare Nachricht während der Zustellung | Betrieb und Filter auf diesem Hop |
| Papierkorb / wiederherstellbare Elemente | Ein Text, den Sie noch zurückholen können | Die Nutzerin; die Wiederherstelloberfläche vor Ablauf der Uhr |
| Firmenarchiv / Vault / eDiscovery | Eine durchsuchbare Kopie nach Richtlinie | Archiv- oder Compliance-Admins |
Beide Seiten tippen auf Löschen. Die Uhr ist meist noch nicht abgelaufen
„Ich habe gelöscht, sie auch“ wird oft als zurückgeholtes Geheimnis gehört. Die Löschwege der Anbieter sind länger. Die Gmail-Hilfe zum Löschen schreibt: Eine gelöschte Nachricht wandert in den Papierkorb. Bis zu etwa 30 Tage finden Sie sie dort, können sie zurück in den Posteingang legen oder endgültig löschen. Nach 30 Tagen wird sie dauerhaft aus dem Konto entfernt und lässt sich aus dem Papierkorb nicht wiederherstellen. Archivieren ist nicht löschen: Archivieren nimmt die Nachricht nur aus dem Posteingang. Die Suche in „Alle E-Mails“ kann sie weiter treffen.
Google Workspace hängt nach dieser Nutzeruhr ein Admin-Fenster an. Die Workspace-Hilfe zur Wiederherstellung sagt: Nach den 30 Tagen im Papierkorb haben Administratorinnen etwa 25 weitere Tage, um Nachrichten wiederherzustellen. Dieses Extra-Fenster beginnt 30 Tage nach dem Löschen, nicht am Sendedatum. Ist es vorbei, schreibt die Hilfe: Die Nachrichten sind dauerhaft aus dem Workspace-Konto gelöscht und weder Admin noch Google können sie wiederherstellen. Vault-Aufbewahrung und Holds sitzen außerhalb dieses Wiederherstellen-Knopfs. Das ist eine andere Kopie.
Exchange Online hat nach „weg“ noch einen versteckten Ordner. Die Microsoft-Seite zur Aufbewahrung gelöschter Elemente schreibt: Nach dem Löschen aus den gelöschten Elementen, nach dem Leeren oder nach Umschalt+Entf wandert das Objekt in Wiederherstellbare Elemente → Deletions. Die Voreinstellung sind 14 Tage. Ein Admin kann auf 30 erhöhen. Nutzerinnen können in Outlook weiter „Gelöschte Elemente wiederherstellen“. Liegt das Postfach unter Litigation Hold, wird diese Uhr ignoriert; Löschen räumt nicht nach 14 Tagen.
„Senden rückgängig“ holt ein Geheimnis nicht zurück, das schon weg ist. Gmail „E-Mail zurückrufen“ bietet nur ein Abbruchfenster von 5, 10, 20 oder 30 Sekunden. Das verzögert die echte Zustellung. Es zieht den Text nicht vom anderen Server. Nach dem Fenster ist die Nachricht gewöhnliche Gesendet-Mail. Der Outlook-Nachrichtenrückruf kann nur in manchen Exchange-Organisationen greifen, und nur wenn die Gegenseite noch nicht gelesen hat. Das ist kein allgemeiner Zurückholen-Knopf.
Firmenarchiv und Adminsuche sind Extra-Kopien, die Sie nicht löschen
Die Papierkorb-Uhr eines privaten Kontos und der Compliance-Speicher einer Firma sind nicht derselbe Schalter. Die Vault-Suche für Gmail ist dafür gebaut, Nachrichten per Stichwort in Text und Anhängen zu finden (Google schreibt von den ersten etwa 1 MB Text und Anhänge). Admins können Anhänge in der Vorschau sehen, drucken und herunterladen. Entwürfe und automatisch gespeicherte Entwürfe gehören dazu. Eine Standard-Aufbewahrungsregel in Vault kann Mail durchsuchbar halten, nachdem Nutzerinnen den Papierkorb geleert haben. Das ist die Produktaufgabe: finden, was eine Mitarbeiterin schon gelöscht hat.
Microsoft Purview eDiscovery behandelt Postfächer genauso. Inhalte in Postfächern finden schreibt: Eine Stichwortsuche umfasst Betreff, Text und viele Teilnehmerattribute. Indexierte Nachrichteneigenschaften enthalten Sende- und Empfangsdatum, Absenderin und Empfängerin, Dateinamen von Anhängen und Text im Nachrichtentext. Das Entwurfsziel ist „wir finden das noch, nachdem jemand auf Löschen getippt hat“, nicht „die Reue der Absenderin ehren“.
„Nur wir beide wissen das“ hält auf einem Firmenpostfach deshalb meist nicht. Wer Vault öffnen, eDiscovery starten oder ein Postfach exportieren kann, liest dieses Passwort als Teil der Aufgabe. Das ist kein Vorwurf, ein Anbieter schaue aus Neugier. Es ist die Berechtigung, die die Hilfeseiten beschreiben. Ein privates Gmail hat keinen Workspace-Admin. Das macht Klartext in Gesendet nicht unlesbar für die Person, die schon an einem angemeldeten Rechner sitzt.
Der vertrauliche Modus stoppt versehentliches Weiterleiten, nicht Archiv und Screenshot
Den Gmail-Modus „Vertraulich“ behandeln viele wie „Mail mit Verbrennen nach dem Lesen“. Der offizielle Umfang ist enger. Die Hilfe zum vertraulichen Modus schreibt: Ablaufdatum setzen, Zugriff später widerrufen, Weiterleiten / Kopieren / Drucken / Herunterladen abschalten und optional einen SMS-Code verlangen. Dieselbe Seite warnt: Empfängerinnen können weiter Screenshots oder Fotos machen; Schadsoftware auf dem Gerät kann trotzdem kopieren oder herunterladen. Die Workspace-Kopie ist auch zur Umsetzung deutlich: Gmail nimmt Text und Anhänge aus der Empfängerkopie und ersetzt sie durch einen Link auf den Inhalt. Über SMTP gehen vor allem Betreff und dieser Link.
Ablauf oder Widerruf kann den Text für die Empfängerin schließen. Die Kopie in der Absenderorganisation wischt das nicht weg. Die Vault-Hinweise zum vertraulichen Modus sagen: Hat die Organisation den Modus aktiviert, kann Vault vertrauliche Nachrichten aufbewahren, suchen und exportieren, die Nutzerinnen der Organisation nach dem 30. November 2018 gesendet haben. Diese Nachrichten bleiben für Vault verfügbar, auch wenn jemand ein Ablaufdatum gesetzt oder den Empfängerzugriff entzogen hat. Suche mit label:confidentialmode. Die Vorschau verbirgt den Inhalt standardmäßig; die Bedienung kann ihn einblenden. Das ist kein Verbrennen. Es ist ein Tor für die Empfängerin und eine offene Tür für den Compliance-Eingang.
Die Workspace-Admindokumentation hängt noch eine interne Kopie an. Damit Vault vertrauliche Mail lesen kann, kann Gmail eine Kopie dieses Inhalts an die Empfängernachricht hängen, wenn Absenderin und Empfängerin in derselben Organisation sind. Die Hilfe sagt: Diese Kopie ist nur für Vault. Absenderinnen und Empfängerinnen öffnen sie nicht aus Gmail, Drittarchivwerkzeuge sehen sie nicht. Jede Kopie zu löschen heißt weiter: im Absenderkonto und in jedem Empfängerkonto löschen. Der vertrauliche Modus ist eine Kontrolle gegen Fehlklicks. Er ist kein Kanal für einen einmaligen Schlüssel. Derselbe Anbieter hostet den Text weiter. Der Betreff fährt mit gewöhnlichem SMTP. Screenshots liegen auf Googles eigener Seite außerhalb. Lautet das Ziel „der Server hält nur Chiffretext, Lesen verbrennt nach Zähler, der Schlüssel geht nicht in HTTP“, ist das eine andere Trennung – nicht dieselbe Nachricht mit dem Stempel vertraulich.
Nicht mit einem produktiven Passwort, einem API-Schlüssel aus der Produktion oder einer ungeschwärzten Verbindungszeichenkette üben. Nehmen Sie einen wegwerfbaren Canary, etwa canary-mail-2026-do-not-reuse. Sie prüfen Gesendet und Suchtreffer – Sie verbreiten kein echtes Geheimnis erneut. Ist ein echter Schlüssel schon per Mail raus, zuerst beim Aussteller widerrufen, dann den nächsten Versandweg ändern.
Sofort prüfen: Canary in zwei Testpostfächer, dann Gesendet durchsuchen
Ein Slogan „diese Mail ist verschlüsselt“ kann sich nicht selbst beweisen. Was Sie in einer Sitzung sehen können, sind vier Dinge: ob Gesendet noch den Ausgangstext hat, ob ein Empfänger-Testfach ihn hat, ob Papierkorb oder wiederherstellbare Elemente ihn nach dem Löschen noch halten, und ob das Schloss als „der Server kann das nicht lesen“ missverstanden wurde. Dieser Schritt beweist nur, welche lesbaren Kopien diese Testnachricht hinterlassen hat. Er beweist keine Archivrichtlinie eines Anbieters. Die Seite lässt sich nur gegen die offizielle Hilfe prüfen. Network kann sie nicht ersetzen.
Nehmen Sie zwei Postfächer, die Sie steuern. Kein Produktionsadressbuch. Schreiben Sie einen Canary, den Sie erkennen und der nicht mit einem echten Passwort kollidiert – etwa canary-mail-2026-do-not-reuse. Der Betreff bleibt gewöhnlich. In den Text nur den Canary. Keine Ausweisnummer, kein echter Hostname. Nach Senden im Absenderkonto nach dieser Zeichenkette suchen. Gesendet soll treffen. Im Empfänger-Testkonto erneut suchen. Der Posteingang soll treffen. Zwei Treffer heißen: mindestens zwei Klartextkopien. Die Absenderkopie in den Papierkorb legen. Den Papierkorb innerhalb der 30 Tage öffnen. In Gmail sollte sie noch da sein. Das ist der Beweis: Löschen ist kein Zurückholen.
Wenn Sie prüfen müssen, ob ein Schlüssel in HTTP ging, legen Sie den Schlüssel nicht in die Mail. Nutzen Sie stattdessen einen Link, der nach dem Lesen verbrennt. Nach dem Erstellen sollte die Adresszeile wie s.html?id= plus ein #-Schlüssel aussehen. DevTools Network öffnen. Die Anfragezeile soll nur die id zeigen. Das Stück hinter der Raute soll nicht erscheinen. Diese Prüfung beweist die Linkform. Sie beweist nichts über einen Mailtext. Ist ein Text gesendet, holt Network keinen Speicher zurück, der schon gelandet ist.
- Aus zwei Testpostfächern einen Text senden, der nur einen Canary enthält, etwa
canary-mail-2026-do-not-reuse. Keinen echten Schlüssel nutzen. - Diese Zeichenkette in Gesendet der Absenderin und im Posteingang der Empfängerin suchen. Beide sollen treffen.
- Die Absenderkopie löschen, dann Papierkorb oder „Gelöschte Elemente wiederherstellen“ öffnen und innerhalb des Fensters bestätigen, dass sie noch da ist.
- Muss ein echter Schlüssel eine Person erreichen, auf Einmal-Link wechseln. Mail nur für einen Hinweis ohne Schlüssel oder für einen schon verschlüsselten Anhang.
Der Beweis ist eng. In diesem einen Lauf ist Klartext als Mailtext in mindestens zwei Speichern gelandet, und Löschen hat die Absenderkopie nicht sofort gewischt. Das beweist nicht, dass eine Erweiterung nie eine dritte Kopie gelegt hat. Das beweist nicht, dass die andere Firma Vault eingeschaltet hat. Nach einem Produktwechsel den Canary gegen die Lösch- und Archivseite dieses Anbieters erneut laufen lassen.
Hinweis und Geheimnis mit einem Einmal-Link trennen, der ohne Konto öffnet
Wenn Sie „der Text wird nie zu Postfachspeicher“ als wiederholbaren Schritt wollen, beginnen Sie bei MakePwd mit dem Einmal-Link. Er öffnet ohne Konto und ohne Anmeldung. Klartext erscheint nur im Tab der Erstellerin. Der Browser verschlüsselt mit Web Crypto und AES-256-GCM. Die Ausgangsfelder sind Chiffretext, Ablauf und Leseanzahl. Der Server speichert nur Chiffretext und gibt eine id zurück. Die Seite hängt den Schlüssel als Fragment an: s.html?id={id}#{key}. Nach RFC 9110 enthält die Ziel-URI das Fragment nicht; die Anfragezeile soll das Stück hinter der Raute nicht zeigen.
Üben Sie nur mit Canaries. Eine wegwerfbare Phrase anlegen, den vollen Link an eine Testempfängerin schicken und in den Mailtext nur schreiben: „Link öffnen; die Zeichenkette mit der Raute nicht weiterleiten.“ Nach Bestätigen und Abruf soll dieselbe id einen verbrannten Zustand zeigen, nicht noch einen lesbaren Text. Ein blauer Link kann in Chat oder Mail stehen bleiben. Das ist ein Locator. Nachdem der Chiffretext nach der gesetzten Anzahl gelöscht ist, entschlüsseln diese Zeichen nichts. Details stehen in Was bleibt auf dem Server, nachdem ein Einmal-Link einmal gelesen wurde und in Warum ein URL-Fragment hinter der Raute ein passender Ort für einen Schlüssel ist – und wann dieser Schutz wegfällt.
Fallen Sie für eine ganze Datei mit Schlüsseln nicht auf „ZIP mit Passwort als Anhang“ zurück. Datei verschlüsseln macht die Datei in diesem Tab mit AES-256-GCM zu .lock / .enc (eine Datei, höchstens 5 GB). Der Chiffretext kann über Mail oder Cloud-Speicher fahren. Die Passphrase über einen anderen Kanal schicken. Ist ein Login-Passwort schon per Mail raus, zuerst beim Aussteller widerrufen, dann mit dem Passwortgenerator auf diesem Gerät eine neue Zeichenkette von 6–128 Zeichen erzeugen (Standard 16; unter 8 wird als schwächer gekennzeichnet). Keiner dieser Schritte verlangt eine Anmeldung.
Häufige Fragen
Wenn die Mail HTTPS genutzt hat: Kann nur die Empfängerin das Passwort lesen?
Nein. RFC 3207 schreibt: SMTP ist kein Ende-zu-Ende-Mechanismus. TLS zwischen einem Serverpaar schützt die Nachricht nicht vom Absender-Client bis zur Empfängerin. Jeder Hop kann entschlüsseln, prüfen und weiterreichen. Gesendet, Posteingang und der Speicher auf diesen Servern halten den Text standardmäßig lesbar.
Wenn beide Seiten die Nachricht löschen: Ist das Passwort dann weg?
Es kann noch da sein. Gmail legt Gelöschtes etwa 30 Tage in den Papierkorb. Exchange Online hält endgültig gelöschte Objekte in den wiederherstellbaren Elementen standardmäßig 14 Tage, höchstens 30. Ein Workspace-Admin hat nach dem Leeren des Papierkorbs etwa 25 weitere Tage. Litigation Hold ignoriert diese Uhr. Hat die Organisation archiviert, kann ein Admin den Text weiter suchen und exportieren.
Ist der Text nach Ablauf des Gmail-Modus „Vertraulich“ aus dem System verschwunden?
Die Empfängerin öffnet den Text nach Ablauf oder Widerruf nicht mehr. Für Vault in der Absenderorganisation schreibt Google: Vault kann vertrauliche Mails aus der Organisation weiter aufbewahren, suchen und exportieren, auch wenn Nutzerinnen ein Ablaufdatum gesetzt oder den Zugriff entzogen haben. Screenshots und Fotos liegen laut derselben Hilfeseite außerhalb.
Wenn ein Passwort eine Kollegin erreichen muss: Wofür eignet sich Mail noch?
Mail eignet sich für einen Hinweis ohne Schlüssel oder für einen schon verschlüsselten Anhang. Das echte Passwort einmalig per Einmal-Link schicken und den Schlüssel im URL-#-Fragment lassen. Erstellen und Lesen öffnen ohne Konto. Der Server speichert nur Chiffretext. Denselben Klartext nicht noch einmal in den Mailtext legen.
Drei Dinge vor der nächsten Mail
Erstens: Senden schreibt auf die Platte. Gesendet, Posteingang, synchronisierte Geräte und Relais können je einen lesbaren Text behalten. Die aktuelle Seite zu ändern holt keine Kopie zurück, die schon gelandet ist. Zweitens: Löschen startet nur eine Uhr. Der Gmail-Papierkorb hält etwa 30 Tage. Die wiederherstellbaren Elemente in Exchange stehen standardmäßig 14 Tage. Workspace-Admins haben nach dem Papierkorb etwa 25 weitere Tage. Firmenarchiv und Vault sind ein anderes Set, und die Nutzerin löscht sie nicht. Drittens: Vertraulicher Modus und „Senden rückgängig“ stoppen Fehlklicks. Sie sind kein Ende-zu-Ende. Ein echter Schlüssel, der ankommen muss, geht über Einmal-Link. Ein geleaktes Passwort wird zuerst widerrufen, dann ersetzt.
Wenn die nächste Frage lautet, was nach einmaligem Lesen auf dem Server bleibt, lesen Sie Was bleibt auf dem Server, nachdem ein Einmal-Link einmal gelesen wurde. Wenn Sie prüfen wollen, ob der Schlüssel hinter der Raute in HTTP eingeht, lesen Sie Warum ein URL-Fragment hinter der Raute ein passender Ort für einen Schlüssel ist – und wann dieser Schutz wegfällt. Diese Notiz zieht nur eine Linie, die Sie in eine Schlussfolgerung schreiben können: Was Gesendet, Backups und Postfachadmins noch behalten, nachdem Sie ein Passwort in den Mailtext gelegt haben.