Sicherheit

Stand: Der Dienst ist im Aufbau. Diese Seite beschreibt die Architektur, die wir bauen. Audits und Pentests folgen vor dem Start und werden hier veröffentlicht.

Grundsätze

• Speichersichere Sprachen für eigene Komponenten (Rust), keine selbst erfundene Kryptografie.
• Geringste Rechte und Vier-Augen-Prinzip für alle Zugriffe auf Produktionssysteme.
• Keine Inhalte in Logs. Protokolle enthalten weder Mailtexte noch Betreffzeilen.
• Offener Code für alles, was auf Ihren Geräten läuft oder Ihre Schlüssel verarbeitet.

Verschlüsselung

Transport

TLS 1.3 bevorzugt, TLS 1.2 als Minimum. Beim Versand an andere Server nutzen wir DANE und MTA-STS, wenn die Gegenseite sie anbietet.

Compatible (Standard)

Jedes Konto hat ein eigenes Schlüsselpaar. Eingehende Mails werden mit Ihrem öffentlichen Schlüssel verschlüsselt, auch wenn Sie gerade nicht angemeldet sind. Der private Schlüssel ist mit Ihrem Passwort geschützt und liegt nur während Ihrer Sitzung entschlüsselt im Arbeitsspeicher.

Was wir technisch könnten: Während Sie angemeldet sind, verarbeitet der Server Klartext. Ein Angreifer mit vollem Zugriff auf den laufenden Server könnte in diesem Moment mitlesen. Dagegen setzen wir Zugriffskontrollen, signierte Deployments und Audit-Logs.

Sealed (Zero-Access)

Ordner im Sealed-Modus werden mit OpenPGP (RFC 9580) verschlüsselt. Der private Schlüssel verlässt Ihr Gerät nie unverschlüsselt. Wir können diese Inhalte nicht lesen und deshalb auch nicht herausgeben.

Anmeldung

• Passkeys (WebAuthn) und Einmalcodes (TOTP) als zweiter Faktor. Keine SMS.
• Für Mailprogramme eigene App-Passwörter, einzeln widerrufbar.
• Wiederherstellungscodes beim Einrichten. Wir haben keinen Generalschlüssel.

Sicherheitslücken melden

Wir freuen uns über Hinweise. Bitte melden Sie Schwachstellen vertraulich; wir antworten innerhalb von 72 Stunden und veröffentlichen nach Behebung gemeinsam mit Ihnen. Die Kontaktadresse und unser OpenPGP-Schlüssel stehen in /.well-known/security.txt, sobald der Dienst startet.

Geplante Prüfungen