Postfach beim Hoster oder Microsoft Exchange: was reicht wirklich?

Für viele kleine Betriebe reicht das Postfach beim Hosting-Anbieter völlig aus, wenn es richtig abgesichert ist. Genau daran hapert es aber oft: Bei vielen Hostern ist das Postfach nur mit einem Passwort geschützt, und wer es kennt, kann sich von überall auf der Welt anmelden. Microsoft Exchange lohnt sich vor allem für Teams, die Kalender teilen, Mitarbeiter zentral verwalten und eine Zwei-Faktor-Anmeldung für alle Zugänge erzwingen wollen.

Das Wichtigste in Kürze

• Ein Hoster-Postfach ist nicht automatisch unsicher. Entscheidend ist, ob der Anbieter eine Zwei-Faktor-Anmeldung (2FA) anbietet und ob sie auch für Mail-Programme wie Outlook und Thunderbird gilt.
• Viele Postfächer lassen sich weiterhin nur mit Passwort öffnen. Grund sind die alten Mail-Protokolle IMAP, POP3 und SMTP, die keinen zweiten Faktor kennen.
• IONOS bietet für Mail Basic und Mail Business 2FA samt App-Passwörtern. Hostinger bietet 2FA im Webmail. Strato beschreibt offiziell 2FA für den Kunden-Login.
• Exchange Online kostet ab etwa 3,50 Euro netto pro Nutzer und Monat bei Jahresvertrag. Dort ist die reine Passwort-Anmeldung für Mail-Programme seit Ende 2022 abgeschaltet.
• Egal welche Lösung: 2FA auch im Kundenkonto des Hosters einschalten, Weiterleitungen prüfen und die Domain mit SPF, DKIM und DMARC absichern.

Warum gerade das Postfach so begehrt ist

Wer Ihr Postfach übernimmt, übernimmt mehr als Ihre Mails. Er kann Passwörter für andere Dienste zurücksetzen, laufende Rechnungsgespräche mitlesen und im richtigen Moment eine geänderte Kontonummer schicken. Ihre Kunden zahlen dann an den Betrüger, weil die Mail wirklich von Ihrer Adresse kommt und sogar im richtigen Gesprächsverlauf steht.

Im Oktober 2026 hatte ich genau so einen Fall bei einem Betrieb, den ich betreue. Das Postfach war übernommen, im Hintergrund lief eine unauffällige Weiterleitung, und niemand hatte etwas bemerkt, bis die ersten Rückfragen kamen. Das Passwort allein war die einzige Hürde gewesen.

Warum es bei vielen Postfächern keine 2FA gibt

Die Ursache ist älter als die meisten Websites. Mail-Programme holen Ihre Mails über IMAP oder POP3 ab und versenden über SMTP. Diese Protokolle stammen aus einer Zeit, in der niemand an Phishing dachte. Sie übergeben Benutzername und Passwort und sonst nichts. Für einen sechsstelligen Code aus einer App ist in diesem Ablauf schlicht kein Platz.

Anbieter haben deshalb zwei Wege. Entweder sie verlangen für Mail-Programme ein eigenes App-Passwort, das nur für dieses eine Gerät gilt und sich einzeln widerrufen lässt. Oder sie stellen auf eine moderne Anmeldung um (OAuth), bei der das Programm einmal über den Browser mit zweitem Faktor freigeschaltet wird. Beides kostet den Anbieter Entwicklungsaufwand, und viele kleinere Hoster haben ihn bisher nicht betrieben.

Wo Sie die 2FA einschalten

Wichtig ist eine Unterscheidung, die viele Anleitungen verwischen. Es gibt die 2FA für das Kundenkonto beim Hoster, also dort, wo Sie Rechnungen, Domains und Postfächer verwalten. Und es gibt die 2FA für das einzelne Postfach. Beide sind wichtig, denn wer ins Kundenkonto kommt, kann jedes Postfach-Passwort neu setzen. Die folgende Übersicht beruht auf den Hilfeseiten der Anbieter, Stand 22. Oktober 2026.

Ändert sich bei einem Anbieter etwas, gilt immer dessen aktuelle Hilfeseite. Auch beim Kundenkonto lohnt der Blick: Hostinger, IONOS und Strato bieten dort jeweils eine Anmeldung mit Authenticator-App. Schalten Sie sie ein, bevor Sie sich um alles andere kümmern.

Postfach beim Hoster: Vor- und Nachteile

Microsoft Exchange: Vor- und Nachteile

Zum Datenschutz eine ehrliche Einordnung: Die Datenschutzkonferenz der deutschen Aufsichtsbehörden kam im November 2022 zu dem Ergebnis, dass sich der datenschutzkonforme Einsatz von Microsoft 365 auf Basis des damaligen Vertrags nicht nachweisen lasse. Der Hessische Datenschutzbeauftragte hat die Punkte im November 2025 erneut geprüft und kommt zu einem differenzierteren Ergebnis. Wer Exchange nutzt, sollte den Auftragsverarbeitungsvertrag abschließen, die Einstellungen dokumentieren und im Zweifel den Datenschutzbeauftragten einbeziehen.

Wann reicht das Postfach beim Hoster?

Das Postfach beim Hoster reicht in der Regel, wenn Sie allein oder zu zweit arbeiten, keine gemeinsamen Kalender brauchen und Ihr Anbieter eine 2FA bietet, die auch Mail-Programme einschließt. Bietet Ihr Hoster keine 2FA für Postfächer, ist das kein Grund zur Panik, aber ein Grund zum Handeln: ein langes, einmaliges Passwort, regelmäßige Kontrolle der Weiterleitungen und als Nächstes ein Gespräch über einen Wechsel zu einem Anbieter, der 2FA anbietet.

Exchange lohnt sich, sobald ein Team zusammenarbeitet, Kalender und Sammelpostfächer geteilt werden oder Mitarbeiter kommen und gehen. Auch Kanzleien und Steuerbüros, die nachweisen müssen, wer wann Zugriff hatte, sind mit einer zentralen Verwaltung meist besser aufgestellt. Neben Microsoft gibt es weitere Business-Mail-Anbieter, auch aus der EU, die 2FA und App-Passwörter anbieten. Vergleichen lohnt sich.

Was BSI, Polizei und Datenschützer sagen

Sicherheitsbehörde, Polizei und Datenschutz schauen aus verschiedenen Richtungen auf das Thema. Eine Pflicht zur 2FA für Postfächer steht zwar nirgends ausdrücklich im Gesetz. Zusammen ergeben die Empfehlungen drei klare Punkte: zweiter Faktor, Weiterleitungen prüfen, Zahlungsänderungen nie per Mail bestätigen.

• Das BSI empfiehlt, die Zwei-Faktor-Authentisierung überall einzuschalten, wo ein Dienst sie anbietet, und rät davon ab, sie wieder abzuschalten. E-Mail nennt es ausdrücklich als Konto mit weitreichenden Rechten. Als sichere Verfahren gelten ein Code aus einer Authenticator-App oder ein Hardware-Schlüssel nach FIDO-Standard.
• Die Polizei beschreibt das Muster aus der Praxis: Die Bayerische Polizei berichtete im Juli 2025 von Angreifern, die im Postfach einer Firma mitlasen und dann im Namen von Geschäftspartnern sechsstellige Zahlungen auf ausländische Konten forderten. Der Einstieg war meist eine Phishing-Mail. Ihr Rat: ungewöhnliche Zahlungsaufforderungen immer über einen bekannten Weg prüfen, etwa per Telefon.
• Die Schweizer Cybersicherheitsbehörde BACS nennt 2FA eine Maßnahme, die die Sicherheit um ein Vielfaches erhöht. Nach einem Vorfall rät sie: Passwörter ändern, Filter und Weiterleitungen prüfen, mögliche Empfänger warnen und Anzeige erstatten.
• Aus Sicht des Datenschutzes verlangt Art. 32 DSGVO Schutzmaßnahmen nach dem Stand der Technik und passend zum Risiko. Eine ausdrückliche 2FA-Pflicht enthält die DSGVO nicht, viele Datenschutzberater zählen sie für Postfächer mit Kundendaten aber inzwischen zum Stand der Technik. Wird ein solches Postfach übernommen, kann eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nötig sein (Art. 33 DSGVO).

So sichern Sie Ihr Postfach heute ab

• 1. Kundenkonto zuerst: 2FA im Kundenkonto beim Hoster einschalten. Wer dort hineinkommt, kann jedes Postfach-Passwort neu setzen.
• 2. 2FA fürs Postfach: Wenn Ihr Anbieter sie bietet, einschalten und die Ersatzcodes sicher aufbewahren, nicht im selben Postfach.
• 3. App-Passwörter für Programme: Für Outlook, Thunderbird und das Handy je ein eigenes App-Passwort anlegen. Geht ein Gerät verloren, widerrufen Sie nur dieses.
• 4. Starkes, einmaliges Passwort: Das Postfach-Passwort nirgendwo sonst verwenden. Ein Passwortmanager hilft dabei.
• 5. Weiterleitungen und Filter prüfen: Einmal im Monat nachsehen, ob Regeln existieren, die Sie nicht selbst angelegt haben.
• 6. Domain absichern: SPF, DKIM und DMARC einrichten, damit niemand Mails in Ihrem Namen fälschen kann. Wie das geht, steht im Beitrag zum SPF-Eintrag.
• 7. Bei Verdacht sofort handeln: Passwort ändern, alle Sitzungen abmelden, Weiterleitungen löschen, Ihre Kunden warnen und den Vorfall dokumentieren.

Wenn Sie das nicht allein angehen wollen: Bei meiner Website-Betreuung berate ich Sie zu Postfächern, Weiterleitungen und dem Mail-Schutz der Domain und helfe beim Wechsel, wenn Ihr Anbieter keine 2FA bietet. Die Postfächer buchen und verwalten Sie selbst, Passwörter und 2FA bleiben bei Ihnen. Für eine einmalige Einschätzung schreiben Sie mir über die Kontaktseite. Wie Sie die Seite selbst prüfen, steht im Beitrag Website selbst prüfen.

Dieser Beitrag gibt technische Hinweise nach bestem Wissen zum Stand 22. Oktober 2026 und ersetzt keine Rechtsberatung. Menüs und Funktionen der Anbieter können sich ändern, maßgeblich sind jeweils deren aktuelle Hilfeseiten.