Tuta Mail

Die Tutao GmbH ist in der Deisterstr. 17a, 30449 Hannover unter HRB 208014 beim Amtsgericht Hannover eingetragen. Die drei Geschäftsführer sind Mitgründer Arne Möhle, Mitgründer Matthias Pfau und Hanna Bozakov. Möhle und Pfau sind die alleinigen Gesellschafter -- Tuta erklärte wörtlich im Unternehmensblog: „the company is wholly owned by Matthias and Arne, and is not liable to anyone else.“ Postfächer werden auf eigener Infrastruktur in Deutschland gespeichert: Die Tutao GmbH ist Local Internet Registry bei RIPE und betreibt AS210909, das 185.205.69.0/24 und 2a10:e000:1::/48 direkt ankündigt. Tuta gibt an, die Rechenzentren seien „ISO 27001 certified data centers in Germany“; die Zertifizierung erfasst die Rechenzentrumsbetreiber, nicht die Tutao GmbH als Rechtsträger. Die Tuta-Nutzungsbedingungen unterliegen deutschem Recht, Gerichtsstand ist Hannover.

Nein, nicht direkt. Die Tutao GmbH hat keine US-Muttergesellschaft, keine US-Tochter und keine Niederlassungen außerhalb Deutschlands; Gründer, Hauptsitz und Produktivinfrastruktur sind deutsch. Tuta erklärte wörtlich: „Tutao GmbH only responds to valid warrants issued by German courts“ und „German companies are not allowed to share customer's information with foreign law enforcement.“ Eine mittelbare Exposition besteht über eine kleine Auswahl in den USA ansässiger Auftragsverarbeiter: autoritatives DNS für tuta.com und tutanota.com läuft über AWS Route 53; die iOS-Abrechnung von Abonnements läuft seit dem 12. Juli 2024 über Apple (In-App-Kauf); die Android-Abrechnung läuft über Google Play; PayPal sowie ein nicht genannter Kreditkartenabwickler verarbeiten Abonnementzahlungen. Keiner dieser Auftragsverarbeiter kann verschlüsselte Postfachinhalte entschlüsseln.

Mail-Inhalte, Betreffzeilen und Anhänge; vollständige Kalender inklusive Ereignis-Metadaten wie Titel, Benachrichtigungen und Erinnerungen; Kontakte (Geburtstag, Kommentar, Firma, Vorname, Nachname, Spitzname, Rolle, Titel, Adressen, Mailadressen, Telefonnummern, Social-IDs); Posteingangsregeln und Filter; sowie den vollständigen Suchindex, der auf dem Endgerät erstellt und gespeichert wird. Unverschlüsselt bleiben ausschließlich Absender- und Empfänger-Mailadressen sowie Zeitstempel, weil die E-Mail-Protokollstandards verlangen, dass Routing-Metadaten im Klartext bleiben. Push-Benachrichtigungen werden über den eigenen quelloffenen Benachrichtigungsdienst von Tuta ausgeliefert und bleiben vor Apple und Google verborgen. Die kryptografischen Primitive sind AES-256 / HMAC-SHA-256 symmetrisch, Argon2 / HKDF-SHA-256 zur Schlüsselableitung und seit dem 11. März 2024 der Post-Quanten-Hybrid-Austausch TutaCrypt aus Kyber-1024 + x25519 für neue Konten (RSA-2048 bleibt aus Gründen der Abwärtskompatibilität mit Bestandskonten erhalten).

Die Tuta-Clients für Web, iOS, Android und Desktop (Windows / macOS / Linux) sowie der Backend-Infrastrukturcode sind unter GPL-3.0 quelloffen auf github.com/tutao/tutanota (7.580 Sterne, 619 Forks, 938 getaggte Releases). Die Android-App wird über Google Play sowie als Build ohne Google-Play-Services auf F-Droid veröffentlicht (Tuta ist laut Wikipedia der erste E-Mail-Anbieter, der auf F-Droid veröffentlicht). Tuta ist seit 2017 Mitglied des Open Invention Network. Die Marke Tutao gehört dem Unternehmen. Für die Serverseite gibt es keinen dokumentierten Self-Hosting-Pfad -- das Betreiben eines eigenen Tuta-Postfach-Clusters ist aus dem öffentlichen Quellbaum technisch möglich, aber kein produktisierter Weg. Die meisten beschaffungsorientierten Kunden werden die gehosteten Business-Tarife (Essential, Advanced oder Unlimited) unter einem Auftragsverarbeitungsvertrag nutzen.

Der Transparenzbericht wird halbjährlich aktualisiert und enthält einen Warrant Canary. Der Bericht für H2 2025 (1. Juli bis 31. Dezember 2025) weist 165 Bestandsdatenanfragen mit 19 Auskünften aus (rund 88 % abgelehnt), 25 Echtzeit-Verkehrsdaten-Anfragen mit 19 Auskünften, 16 Anfragen zu gespeicherten Inhaltsdaten mit 8 Auskünften und 14 Echtzeit-Inhaltsdaten-Anfragen mit 12 Auskünften. Tuta erklärte, im Kalenderjahr 2025 75 % aller Behördenanfragen abgelehnt zu haben. Selbst mit gültigem deutschem Gerichtsbeschluss kann Tuta Postfachinhalte nicht entschlüsseln -- nur Bestandsdaten (Bank / PayPal / Kartenmetadaten) und Routing-Metadaten (Absender / Empfänger / Zeitstempel) können herausgegeben werden. Der Canary lautet wörtlich: „Tuta (formerly Tutanota) has never received any National Security Letters or FISA court orders, and we have not been subject to any gag order by a FISA court.“

Tuta veröffentlicht keine zentrale Subprozessoren-URL, wie es bei den meisten B2B-SaaS-Anbietern üblich ist. Die Dienstleister, die Kundendaten berühren, werden verstreut in der Datenschutzerklärung, im Blogbeitrag zur iOS-Abrechnung und im Impressum aufgeführt. Die Liste ist bewusst klein gehalten: AWS Route 53 für autoritatives DNS, PayPal Europe S.à r.l. et Cie S.C.A. für PayPal-Zahlungen, ein nicht genannter Kreditkartenabwickler für Kartenzahlungen, deutsche Kreditinstitute für SEPA-Lastschrift, Apple Inc. für iOS-In-App-Abonnements (seit 12. Juli 2024), Google LLC für die Android-Abrechnung über Google Play, INWX GmbH als Domain-Registrar sowie BGP-Transit über Arelion (AS1299, Schweden) und kyberio GmbH (AS24679, Deutschland). Die Business-Tarife enthalten auf Anfrage über den Vertrieb einen Auftragsverarbeitungsvertrag.