Proton moest accountdata afstaan aan Zwitserse en Amerikaanse autoriteiten

Proton Mail heeft betaalgegevens van een klant aan de Zwitserse politie moeten overhandigen, waarna die informatie uiteindelijk bij de Amerikaanse FBI terechtkwam. 404 Media schrijft over die afgifte, die een zeldzaam kijkje geeft in de informatie die de versleutelde maildienst aan opsporingsdiensten afstaat.

404 Media schrijft dat op basis van rechtbankdocumenten. Proton stond informatie over een Amerikaanse gebruiker die achter een belangengroep genaamd Stop Cop City zat af aan de Zwitserse autoriteiten. De Zwitserse opsporingsdiensten dwongen Proton de betaalgegevens van een gebruiker achter een bepaald e-mailadres af te staan.

Dat deden de Zwitsers na een verzoek van de Amerikaanse FBI, specifiek van een rechercheur van de binnenlandse terrorismeafdeling. De FBI vermoedt dat de beheerder van een bepaalde blogpost aan dat account kon worden gekoppeld.

Een woordvoerder van Proton benadrukt tegenover 404 Media dat het bedrijf de informatie alleen heeft afgedragen omdat het daartoe verplicht werd door Zwitserse autoriteiten. "Proton geeft de beperkte informatie die we hebben enkel als we een juridisch bindend bevel krijgen van de Zwitserse autoriteiten", zegt het bedrijf.

Proton is gevestigd in Zwitserland omdat dat land goede privacybeschermende wetgeving kent, zegt het bedrijf. Dat beleid staat wel op losse schroeven; Zwitserland werkt aan een herziening van zijn surveillancewetgeving en Proton is het daar niet mee eens. Het bedrijf dreigt al sinds vorig jaar Zwitserland te verlaten en is daar naar eigen zeggen technisch klaar voor. Proton biedt end-to-endversleutelde mail- en officediensten aan. Het gebeurt niet vaak dat er nieuws naar buiten komt over dwangbevelen waarbij het bedrijf informatie moet afstaan aan autoriteiten en al helemaal als die informatie in de VS belandt.

Reacties (51)

[Robbierut4]

Reactie van proton kun je op reddit vinden. Top comment. Of hieronder gecopypaste.

First, let's correct the headline: Proton did not provide information to the FBI. What happened is that the FBI submitted a Mutual Legal Assistance Treaty (MLAT) request, which was processed by the Swiss Federal Department of Justice and Police. Proton operates exclusively under Swiss law, and we only respond to legally binding orders from Swiss authorities, after all Swiss legal checks have been passed. This is an important distinction.

Second, let's talk about what this case actually involved. This wasn't a routine investigation. Swiss authorities determined that the legal threshold was met because a law enforcement officer was shot, and explosive devices were found during a protest in 2024. Switzerland has one of the strongest legal frameworks for privacy in the world, and its standard for granting international legal assistance is exceptionally high. This case met that standard.

Third, let's talk about what was actually disclosed. No emails were handed over. No message content. No metadata about who the user communicated with. The only information Proton could provide was a payment identifier because the user chose to pay with a credit card. This is information the user themselves provided to us through their choice of payment method. Proton also accepts cryptocurrency and cash payments, which would not have been linkable to an identity.

If anything, this case demonstrates exactly what we've always said: Proton holds very little user data by design. Even under the most serious legal circumstances, the only data that could be produced was a payment record. Our encryption means we simply cannot access email content even if ordered to.

We understand that stories like this can be alarming, and we take our users' trust seriously. We will continue to fight for privacy and challenge any legal order we believe does not meet the strict requirements of Swiss law. But we also want to be transparent: no service can operate outside the law entirely, and Swiss law requires compliance with valid legal orders in serious criminal cases. What we can promise is that the legal bar in Switzerland is among the highest in the world, and our architecture ensures we have as little data as possible to hand over.

For users who want maximum anonymity: use Proton VPN or Tor, pay with cash or cryptocurrency, and don't add a recovery email.

[jfdaniels]

Dit geeft wel meer context dan de andere antwoorden en toont goed aan hoe Proton zich onderscheidt van de anderen.

Hoewel er al veel layers zijn in Zwitserland zijn er toch grenzen aan privacy vs politieonderzoeken. Echter Proton encrypteerd alle data waardoor ze zelfs in dit geval bijna geen data kunnen opleveren, wat goed is. En creditcard info kan je nu eenmaal niet encrypteren want dan kan je de betalingen niet clearen.

[Reactie gewijzigd door jfdaniels op 6 maart 2026 17:22]

[Llopigat]

Hoewel er al veel layers zijn in Zwitserland zijn er toch grenzen aan privacy vs politieonderzoeken. Echter Proton encrypteerd alle data waardoor ze zelfs in dit geval bijna geen data kunnen opleveren, wat goed is. En creditcard info kan je nu eenmaal niet encrypteren want dan kan je de betalingen niet clearen.

Je moet alleen niet vergeten dat Proton wel bijna al je emails in plain tekst op hun servers ziet wanneer die binnen komen en uitgaan *). De enige uitzondering is als je met andere proton gebruikers mailt, dan is het echt end to end encrypted.

Maar als je een mailtje stuurt naar welke andere email dienst dan ook, dan moeten hun servers die in plain tekst (wel met TLS transport encryptie meestal) versturen naar de andere partij. Kan proton niks aan doen, zo werkt SMTP nou eenmaal. Maar op dat moment kunnen ze dus ook gelogd worden, en technisch zouden ze emailtjes kunnen loggen op het moment dat ze binnenkomen of naar buiten gaan naar andere providers. Als ze daartoe gedwongen worden zouden ze dat zeker kunnen.

Dit is iets dat veel mensen vergeten bij Proton en wat ze ook niet duidelijk maken in hun marketing. Mensen zien het als een soort Signal maar die kunnen echt niet zien wat je communiceert. Proton wel. Ik wou dat Proton dat wat duidelijker aan zou geven.

In dit geval is dit niet gebeurd, maar ik zie om die reden hun encryptie niet echt als een serieuze verdediging tegen staatsspionage. En zelfs niet tegen corporate spionage, want 90% van je emails gaan toch naar de servers van google, amazon of microsoft waar ze uitgebreid in kaart kunnen worden gebracht. Dus ik zie eigenlijk de hele toegevoegde waarde niet zo. Als je nadenkt over "waar beschermt het nu eigenlijk wel tegen", dan is dat eigenlijk alleen het scenario van iemand die inbreekt op hun servers maar jouw paswoord niet weet (want als ze dat wel weten hebben ze ook de decryptiesleutel). Dus voor keylogging aanvallen ben je nog steeds even kwetsbaar bijvoorbeeld.

De encryptie van wat er op hun server blijft staan vind ik eigenlijk helemaal niet zo belangrijk want dat haal ik er toch gelijk vanaf na het inlezen.

edit:
*) Dit nog even verder verduidelijkt, het stond verderop wel maar veel mensen lezen blijkbaar alleen de eerste zin

[Reactie gewijzigd door Llopigat op 6 maart 2026 18:56]

[watercoolertje]

Dat is niet waar!

Ze kunnen mail in theorie wel lezen op het moment dat het binnen komt. Dat kan ook niet anders want het komt leesbaar binnenop hun server, maar door het niet plain text op te slaan kan je het niet met terugwerkende kracht terug lezen.

Emails from non-Proton Mail users to Proton Mail users

The email is encrypted in transit using TLS. It is then unencrypted and re-encrypted (by us) for storage on our servers using zero-access encryption. Once zero-access encryption has been applied, no-one except you can access emails stored on our servers (including us). It is not end-to-end encrypted, however, and might be accessible to the sender’s email service.

https://proton.me/support/proton-mail-encryption-explained

[Llopigat]

Dat is niet waar!

Ze kunnen mail in theorie wel lezen op het moment dat het binnen komt. Dat kan ook niet anders want het komt leesbaar binnenop hun server, maar door het niet plain text op te slaan kan je het niet met terugwerkende kracht terug lezen.

Dat is ook precies wat ik zeg.

En ja ze zeggen het ook wel maar het is verborgen in een artikeltje op hun support pagina dat niemand leest.

[Reactie gewijzigd door Llopigat op 6 maart 2026 18:37]

[watercoolertje]

Ja sorry las het anders maar je hebt gelijk!

[sll]

Dat klopt niet. De mails staan encrypted op de storage en Proton kan de mails dus niet lezen. De mails worden pas unencrypted als je de mail opent en verzend naar een niet-Proton-gebruiker. Deze mails kun je wel zelf encrypten (PGP, mailserver met TLS etc.)

[Llopigat]

Ja dat zeg ik toch. Proton ziet de mails als ze binnen komen en uitgaan.

[CR2032]

Dit is niet waar, waar haal je dit vandaan?

Dit kun je gewoon vinden op de Proton site:

https://proton.me/support/proton-mail-encryption-explained

• All messages in your Proton Mail mailbox are stored with zero-access encryption. This means we cannot read any of your messages or hand them over to third parties. This includes messages sent to you by non-Proton Mail users, although keep in mind if an email is sent to you from Gmail, Gmail likely retains a copy of that message as well.

[Llopigat]

Ja maar ze kunnen ze wel lezen bij het inkomen/uitgaan. Zoals watercoolertje zegt:

Emails from non-Proton Mail users to Proton Mail users

The email is encrypted in transit using TLS. It is then unencrypted and re-encrypted (by us) for storage on our servers using zero-access encryption. Once zero-access encryption has been applied, no-one except you can access emails stored on our servers (including us). It is not end-to-end encrypted, however, and might be accessible to the sender’s email service.

Maar niemand leest wat ik schrijf blijkbaar.

Op het moment van verzenden en ontvangen naar andere partijen (iedereen die niet bij proton zit), moeten hun mailservers de plaintext hanteren.

[Reactie gewijzigd door Llopigat op 6 maart 2026 18:47]

[zordaz]

Idd, en het toont ook weer eens aan hoe simplistisch en onkundig de berichtgeving in de media doorgaans is.

Een mooi geval van Gell-Mann Annesia als je niet oppast!

[Noresponse]

Was het niet zo dat Proton hierdoor ook zijn server uit Zwitserland zou halen.

[Myri]

Nee, dit is gewoon een legally binding request wat voldoet aan de rechtsorde van een staat voor het opvragen van (zeer) beperkte data ivm. een user.

Waar Proton Zwitserland voor wil verlaten is een mogelijke wet die oa. VPN encryption afzwakt.
Link: https://www.vice.com/en/article/proton-says-it-will-leave-switzerland-if-controversial-swiss-law-passes/

Zelfs al verhuist Proton, dan zou deze aanvraag nog steeds behandeld en, de informatie, overgedragen moeten worden.

[PWR.]

Proton rocks! Erg blij met deze mensen

[CR2032]

Precies. Wat is hiervan nu de nieuwswaarde?

Proton volgt hierbij gewoon hun eigen voorwaarden, die algemeen bekend zijn.

[Clu3M0r3]

Dank voor deze uitstekende post.

Even under the most serious legal circumstances, the only data that could be produced was a payment record. Our encryption means we simply cannot access email content even if ordered to.

Hieruit trek ik de conclusie (met een slag om de arm) dat bij een gratis account Proton geen enkele data aan de FBI had kunnen overdragen die tot de identiteit van de accounthouder zou kunnen leiden.

[aileron]

Als een rechter een bevel geeft om deze informatie vrij te geven, dan is het aannemelijk dat er dus gegronde redenen zijn om deze informatie te geven.

Ik snap niets van alle commotie hierover.

Mijn doel voor het gebruik van proton is dat mijn data niet wordt gebruikt of gelezen door anderen waar ik nooit toestemming voor heb gegeven. Als de politie gegronde redenen heeft om mijn informatie te willen inzien dan vind ik dat ze dat moeten doen.

[Olympus user]

Ik ben het helemaal met je eens.
Ik kan je helaas geen waardering geven.

[Mit-46]

Ik schrok wel van het artikel. Gister toevallig met een collega gesproken over Proton waarbij hij aangaf begonnen te zijn met alles (rustig) over te zetten naar Proton. Een gedachte waarmee ik ook al langer speel en dan lees ik nu dit.

Nu gaat het ons niet per se om de privacy, maar meer om van de VS diensten af te stappen. Desalniettemin alarmerend zo leek het, maar dit gaat om criminele/terroristische activiteiten.
Je wilt ook niet dat een dienstverlener waar je klant bent bewust onderdak biedt aan desbetreffende personen met criminele activiteiten.

Dank voor de informatieve reacties onder het artikel!

[Reactie gewijzigd door Mit-46 op 6 maart 2026 17:35]

[uiltje]

Ik neem aan dat je besloten hebt om door te gaan met de overstap. 100% zekerheid bestaat niet bij een clouddienst, en het zelf hosten kent ook z'n beperkingen zelfs op het gebied van veiligheid. Ik denk ook wel dat we betreffende dit soort onderzoeken geen 100% zekerheid moeten eisen. Een Zwitsers gerechtelijk bevel voor elke aanvraag voor wat meta-gegevens lijkt me een flinke hobbel.

[Mit-46]

Jazeker!
Ik ben niet van gedachte veranderd. Helemaal niet na het lezen van de reacties onder het artikel. Sterker nog, ik vond het fijn om die reacties m.b.t. Proton te lezen!

[pim1896]

inb4 "zie je wel ze staan data af"

Proton zegt al sinds jaar en dag dat ze alleen iets overhandigen als er geldig verzoek is van Zwitserse autoriteiten. Overigens weet ik niet zo goed wat de nieuwswaarde van dit bericht is. Ja, het gebeurd niet vaak dat we het lezen maar echte details hebben we niet toch?

[uiltje]

Vreemd ik vind het juist heel belangrijk om te weten wat die theoretische bescherming je in de praktijk brengt en wat de reactie van Proton is op dit verhaal.

[Cambionn]

Dat kun je ook gewoon vinden op hun website. Meer dan wat daar staat (we verzamelen wat in onze policies staat) ga je ook niet krijgen, want over het algemeen mag je niet zeggen wat je gedeeld hebt. Zelfs reactie op dit soort media-aandacht komt eigenlijk neer op hetzelfde als wat er in hun policies en documentatie staat. Overigens geld dit voor elk bedrijf dat dingen verwerkt (source: ik ben 1 van de mensen op mijn werk die daar deze verzoeken afhandelt, en dit soort verzoeken komen met aardige regelmaat binnen. En dan zie ik al vrijwel enkel de rechtsgeldige omdat we via het NBIP werken). Dat dit gebeurd is echt geen nieuws, maar eens in de zoveel tijd denkt iemand lekker Proton-haat te kunnen verspreiden door te doen alsof privacy en je verstoppen voor de politie hetzelfde is.

Ook post Proton jaarlijks hoe veel van deze verzoeken ze krijgen, wat een mooi beeld geeft van hoe normaal dit is. Vorig jaar waren dat er 9301, waarvan 988 zijn voldaan en de rest afgekeurd. Ik vraag me dan ook af waar die 988 nieuwberichten waren als dit zo nieuwswaardig zou zijn... Neem aan dat dit nu puur op Tweakers staat omdat andere media het post en het "raar" is als Tweakers er dan niks over zou zeggen @TijsZonderH? Want verder geeft dit enkel credit aan het incorrecte idee dat dit buitengewoon zou zijn...

[Reactie gewijzigd door Cambionn op 6 maart 2026 20:44]

[watercoolertje]

Inderdaad, de bevestiging van hun beloftes/principes zijn imo ook nieuwswaardig.

[Hans C]

Van de autoriteiten of de rechtspraak? Groot verschil voor mij.

[R_Zwart]

De autoriteiten nadat ze toestemming hebben gekregen van de rechter. Een rechter doet verder niets.

[Cambionn]

Dit was in Het Algemene Proton Topic al genoemd, met meteen weer de opmerking dat ze "dus helemaal niet zo goed voor privacy zijn", dus ik ga ff mijn bericht van daar kopieëren.

Cambionn schreef op vrijdag 6 maart 2026 @ 11:21

Niks zorgwekkends aan. Het is een privacy dienst, geen "verstop je voor de politie" dienst. Met een rechtsgeldig sub poena van Zwitzerse authoriteiten zullen ze moeten meewerken. En wie worden niet zomaar uitgegeven. Hou je aan de wet en zorg dat je geen links hebt met illegale praktijken en zo'n sub poena komt er niet. Dan komt ook niemand bij je data.

Als het iets doet, laat het zien dat Proton goed is voor je privacy. Ze hebben geen mailinhoud etc. opgeleverd. Dat wijst erop dat hun zero-access encryption voor opslag idd waar is. Dat kan menig mail provider niet zeggen.

Oke nuance, het kán zijn dat de politie daar gewoon niet om vroeg. Maar het is niet de eerste sub poena die Proton krijgt (en elke keer weer hetzelfde, men valt erover omdat ze privacy en verstoppen voor justitie niet kunnen onderscheiden), en afaik hebben ze nog nooit zo iets kunnen opleveren. En de kans dat er nooit om gevraagt wordt is vrijwel nihil, dus dat duid wel op dat hun beloftes kloppen.

[Reactie gewijzigd door Cambionn op 6 maart 2026 17:12]

[Mushroomician]

De verdenking moet ook in Zwitserland strafbaar zijn. Daarmee is dit waarschijnlijk een terechte afweging.

[miguelin]

is het zo nodig dat Proton de betaalgegevens opslaat? je zou denken dat als de betaling eenmaal voldaan is de gegevens verwijderd kunnen worden

[GeleKoplamp]

Volgens de reactie van Andy Yen weet Proton allen dat je hebt betaald en dat je met een CC hebt betaald. Zodra de CC-gegevens zijn verwijderd door de gebruiker, is het niet meer terug te vinden bij Proton; zie deze comments

https://www.reddit.com/r/ProtonMail/comments/1rlt75p/comment/o8y5xem/?utm_source=share&utm_medium=web3x&utm_name=web3xcss&utm_term=1&utm_content=share_button

[Reactie gewijzigd door GeleKoplamp op 6 maart 2026 18:22]

[Llopigat]

Bij Proton hameren ze er anders wel op dat je automatisch verlengt en daarvoor moeten ze je betalingsgegevens wel bewaren voor de volgende rekening (na een jaar meestal).

De meeste mensen zullen dit doen dus van die hebben ze de betaalgegevens wel.

[The Zep Man]

Dat deden de Zwitsers na een verzoek van de Amerikaanse FBI, specifiek van een rechercheur van de binnenlandse terrorismeafdeling. De FBI vermoedt dat de beheerder van een bepaalde blogpost aan dat account kon worden gekoppeld.

Het nieuws is Proton, maar zoals genoemd doet die enkel wat wet- en regelgeving opdraagt. Dit is het werkelijke nieuws: de Zwitserse autoriteiten geven vrijwillig gegevens af wanneer autoriteiten van een bananenrepubliek erom vragen gebaseerd op een vermoeden en wat referenties naar een aanslag die alle vinkjes plaatst op een formulier. Dit toont aan dat Zwitserland niet goed voor privacy is.

De oplossing is uiteraard ervoor zorgen dat Zwitserland en bedrijven die daar gevestigd zijn geen gegevens hebben die naar je terug te herleiden zijn. Zwitserse bedrijven moeten bepaalde gegevens bewaren als je die aandraagt, zoals betaalgegevens. Dat hoef je niet te doen. Proton accepteert ook anonieme betaalopties.

[Reactie gewijzigd door The Zep Man op 6 maart 2026 17:18]

[Gwaihir]

Ik ben bang dat je conclusie er compleet naast zit: we weten dit nu juist omdat Zwitserland zo goed voor privacy is.

Het verzoek van de FBI is in dit geval weliswaar toegekend, maar dat is wel via een publiekelijk zichtbaar en controleerbaar proces gebeurd. De meeste landen gaan mee in de wens/eis van de VS om dit stil te houden. Op deze manier weet de betrokkene exact welke gegevens over hem / haar zijn doorgespeeld en met welke reden.

Noem me de landen die dit beter doen?

En waarom noem je het trouwens 'vrijwillig'? Heb je na kunnen gaan dat dit verder ging dan wat internationale afspraken voorschrijven? (De post van @Robbierut4 suggereert toch anders...)

[Reactie gewijzigd door Gwaihir op 6 maart 2026 17:32]

[The Zep Man]

En waarom noem je het trouwens 'vrijwillig'? Heb je na kunnen gaan dat dit verder ging dan wat internationale afspraken voorschrijven?

Het ging niet verder dan wat internationale afspraken voorschrijven. Dit komt voort uit internationale afspraken met een bananenrepubliek.

Swiss authorities determined that the legal threshold was met because a law enforcement officer was shot, and explosive devices were found during a protest in 2024.

Dus zolang Amerikanen (die zeer betrouwbaar zijn) maar noemen dat iets voor een onderzoek is gerelateerd aan een protest waarbij iemand van een gelegaliseerde georganiseerde bende werd beschoten en waarbij een explosie betrokken was, dan is het goed.

[Reactie gewijzigd door The Zep Man op 6 maart 2026 17:59]

[Gwaihir]

De afspraak in deze lijkt te zijn dat de FBI kan krijgen wat onder Zwitsers recht ook opgevraagd kan worden. Dat klinkt eigenlijk als een afspraak die je ook veilig met elke bananenrepubliek kunt en wilt maken.

Hoewel dus onterecht, raak je wel aan een interessant punt: op welk moment herzie je als land (eenzijdig?) internationale afspraken omdat je vindt dat het land waarmee je ze hebt is afgegleden?

[Gwaihir]

Net als beweringen op een forum, waarin iemand stelt dat die integriteit niet gecontroleerd is?

[DataMan]

Je cap bekleden met aluminium folie, migreren naar Panama en geen telecom meer gebruiken en je bent veilig.

[rayx]

Alufolie is beter voor vis op de bbq. Panama is niet veilig en je telefoon en laptop weggooien zou niet nodig moeten zijn....

[MrMonkE]

Wel naar Noord Panama. Zuid Panama is niet veilig.

[bram_001]

De titel klopt dus eigenlijk niet, toch? De zwitserse autoriteiten hebben dus blijkbaar de info aan de Amerikaanse autoriteiten doorgeven. Dat zij het nu doorsluisen naar Amerika, daar kan Proton niets aan doen.

[Dakdak]

Eventueel weggaan uit Zwitserland, waar Proton al voorbereidingen voor heeft getroffen (voor het geval dat). Ik denk dat op termijn een EU land sterker kan zijn dan Zwitserland, mocht bijvoorbeeld de VS kwaad willen. Voor mij als normale burger niet zo belangrijk deze theoretische gevallen, maar mensen met een gevoelige positie misschien wel. Zoals advocaten, journalisten enz.

[R_Zwart]

Qua handelsdeal (nog steeds niet getekend) had de EU ook een beter resultaat bereikt dan Zwitserland. Dus op andere gebieden zou dat ook moeten kunnen. Zwitserland is leuk maar als economisch blok een kabouter, slechts interessant voor een niche segment.

[SuperDre]

De titel is wel meer niet correct, 'accountdata' vs werkelijk alleen 'betalingsgegevens', maarja als er 'betalingsgegevens' had gestaan dan hadden waarschijnlijk veel minder personen op de link geklikt.