In vielen Betrieben läuft die Firmen-E-Mail bis heute so: Beim Hoster liegt ein Paket mit ein paar Postfächern, jeder Mitarbeiter trägt Benutzername und Passwort in Outlook oder auf dem Handy ein, fertig. Das kostet ein paar Euro im Monat und funktioniert. Bis etwas passiert.
Der Unterschied zu einer modernen Plattform wie Google Workspace oder Microsoft Exchange Online ist größer, als es auf den ersten Blick wirkt. Er betrifft nicht nur den Komfort, sondern vor allem die Sicherheit. Dieser Artikel erklärt in einfacher Sprache, woran das liegt.
Was POP3 und IMAP eigentlich sind
POP3 und IMAP sind Abholprotokolle. Mehr nicht. Sie regeln, wie ein Mailprogramm Nachrichten von einem Server holt. POP3 lädt die Mails auf ein Gerät herunter und löscht sie oft danach vom Server. IMAP lässt die Mails auf dem Server liegen, sodass mehrere Geräte dieselben Ordner sehen.
Beide stammen aus einer Zeit, in der eine Firma einen Rechner hatte und Sicherheit hauptsächlich bedeutete, dass niemand ins Büro einbricht. Sie kennen keine Benutzerverwaltung, keine Geräte, keine Rollen, keine Schutzfunktionen. Sie prüfen genau eine Sache: Stimmen Benutzername und Passwort.
Die Alltagsprobleme, die jeder kennt
- Mails liegen unterschiedlich auf Rechner und Handy, gesendete Nachrichten fehlen auf einem der Geräte.
- Das Postfach läuft voll, weil die Speichergrenze beim Hoster niedrig ist. Dann werden Mails abgewiesen, oft ohne dass es jemand merkt.
- Kalender und Kontakte laufen getrennt oder gar nicht. Termine werden per Mail hin und her geschickt.
- Es gibt kein echtes Gruppenpostfach. Stattdessen kennt das halbe Team das Passwort von info@.
- Verlässt jemand die Firma, liegt die gesamte Korrespondenz auf seinem Notebook. Eine Vertretung einzurichten ist Handarbeit.
- Geht ein Gerät kaputt und war POP3 eingerichtet, sind die Mails schlicht weg.
Das ist ärgerlich, aber verkraftbar. Der eigentliche Grund für einen Wechsel liegt woanders.
Der Sicherheitsunterschied
Fast jeder erfolgreiche Angriff auf einen kleinen Betrieb beginnt am Postfach. Wer Zugriff auf die Mail hat, kann Passwörter anderer Dienste zurücksetzen, Rechnungen abfangen und im Namen der Firma schreiben. Genau an dieser Stelle sind klassische Postfächer schwach.
Anmeldung nur mit Passwort
POP3 und IMAP kennen keinen zweiten Faktor. Wer das Passwort hat, ist drin, egal von wo und egal von welchem Gerät. Moderne Plattformen melden Nutzer über ein Anmeldeverfahren an, das einen zweiten Faktor verlangt, etwa eine Bestätigung auf dem Handy, einen Passkey oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein reicht dann nicht mehr.
Keine Erkennung von Angriffen
Ein einfacher Mailserver bemerkt nicht, dass sich jemand aus einem anderen Land anmeldet oder in einer Stunde tausend Passwörter durchprobiert. Google Workspace und Exchange Online erkennen genau solche Muster, fragen zusätzlich nach oder blockieren den Zugriff.
Keine Protokolle, keine Aufklärung
Nach einem Vorfall lautet die erste Frage: Wer hatte wann Zugriff und welche Mails wurden gelesen? Beim klassischen Postfach gibt es darauf oft keine belastbare Antwort. Moderne Plattformen protokollieren Anmeldungen, Geräte, Regeln und Weiterleitungen. Das ist auch für die Meldung an die Aufsichtsbehörde wichtig, siehe Datenpanne nach DSGVO.
Kein zentraler Notaus
Wird ein Notebook gestohlen oder verlässt jemand die Firma im Streit, muss der Zugang sofort weg sein. Zentral verwaltet dauert das eine Minute: Konto sperren, alle Sitzungen beenden, Firmendaten auf dem Gerät aus der Ferne löschen. Bei IMAP heißt es Passwort ändern und hoffen, dass niemand die Mails schon lokal kopiert hat.
Schwacher Schutz vor Phishing und Schadanhängen
Hoster filtern Spam, mehr aber meist nicht. Moderne Plattformen prüfen Links erst beim Anklicken, öffnen verdächtige Anhänge in einer geschützten Umgebung, warnen bei Absenderfälschung und markieren externe Nachrichten. Passend dazu: Phishing erkennen.
Missbrauch der eigenen Absenderadresse
Ohne saubere Einträge im Domainnamen kann jeder Mails im Namen Ihrer Firma verschicken. Mit SPF, DKIM und DMARC legen Sie fest, wer das darf, und bekommen Berichte über Missbrauch. Diese Einträge sind auch bei einem Hosterpostfach möglich, gehören bei den großen Plattformen aber zum Standardablauf und lassen sich dort sauber durchsetzen.
Wiederherstellung und Aufbewahrung
Gelöschte Postfächer, versehentlich geleerte Ordner, Anforderungen aus der Aufbewahrungspflicht: Dafür gibt es Aufbewahrungsregeln und eine Wiederherstellung über einen definierten Zeitraum. Ein zusätzliches eigenes Backup bleibt trotzdem sinnvoll, siehe Backup-Strategie.
Direkter Vergleich
| Punkt | POP3 oder IMAP beim Hoster | Google Workspace oder Exchange Online |
|---|---|---|
| Zugriff von mehreren Geräten | bei POP3 nicht, bei IMAP eingeschränkt | überall gleicher Stand, inklusive Kalender und Kontakte |
| Anmeldung | nur Benutzername und Passwort | moderne Anmeldung mit zweitem Faktor oder Passkey |
| Angriffserkennung | praktisch keine | ungewöhnliche Anmeldungen werden erkannt und blockiert |
| Protokollierung | selten nutzbar | Anmeldungen, Regeln und Freigaben nachvollziehbar |
| Schutz vor Phishing | einfacher Spamfilter | Link- und Anhangsprüfung, Warnhinweise, Absenderprüfung |
| Geräteverwaltung | nicht vorhanden | Bildschirmsperre, Verschlüsselung, Fernlöschung |
| Ausscheiden von Mitarbeitern | Handarbeit, Daten oft nur lokal | Konto sperren, Postfach übergeben, Vertretung setzen |
| Gemeinsame Postfächer | geteiltes Passwort | echte Gruppenpostfächer mit eigenen Rechten |
| Speicher | oft wenige Gigabyte | im Regelfall deutlich mehr, plus Ablage |
| Kosten je Nutzer | sehr niedrig | höher, dafür Mail, Ablage, Kalender und Sicherheit in einem |
Was der Wechsel praktisch bedeutet
Die häufigste Sorge lautet: Bleiben unsere Adressen und alten Mails erhalten? Ja. Die Domain bleibt dieselbe, die Adressen bleiben dieselben, und die vorhandenen Postfächer werden mit Ordnerstruktur übernommen. Der Umzug läuft in fünf Schritten ab, die weiter unten im Ablaufplan stehen. Für einen Betrieb mit fünf bis fünfzehn Postfächern ist das meist an einem Arbeitstag erledigt, der Mailversand steht dabei nicht still.
Wichtig ist die Nacharbeit. Alte Anmeldeverfahren gehören anschließend gesperrt, sonst bleibt die Hintertür offen, die man gerade schließen wollte. Welche Einstellungen danach sinnvoll sind, steht in Microsoft 365 und Google Workspace absichern. Welche der beiden Plattformen besser passt, klärt der direkte Vergleich.
Wann ein einfaches Postfach genügt
Ehrlich bleiben gehört dazu. Wer allein arbeitet, wenig Mailverkehr hat, keine sensiblen Kundendaten verarbeitet und ohnehin alles auf einem Gerät erledigt, kommt mit einem IMAP-Postfach zurecht. Zwei Dinge sollten dann trotzdem stehen: ein eigenes, langes Passwort nur für die Mail und ein Backup des Postfachs. Sobald ein zweiter Mensch mitliest, Rechnungen per Mail laufen oder Auftraggeber nach Sicherheitsstandards fragen, ist die Grenze erreicht.
