Die Architektur: IMAP-Transport → lokaler Speicher → Analyse

GravesMail nutzt den IMAP-Server Ihres E-Mail-Anbieters ausschließlich als Transportschicht. Ich lese nie aus IMAP, um Nachrichten anzuzeigen – das wäre langsam und unzuverlässig. Stattdessen geschieht Folgendes:

1. Abruf über IMAP – Die Nachrichten werden über eine verschlüsselte Verbindung vom Server Ihres Anbieters heruntergeladen.
2. Zwischenablage in der DMZ – Neue Nachrichten landen in einem lokalen Bereitstellungsbereich (SQLite), bevor Sie sie sehen.
3. Sicherheitsanalyse in 7 Ebenen – Jede Nachricht und jeder Anhang durchläuft auf Ihrem Rechner alle sieben Schutzebenen, einschließlich der Schadsoftware-Prüfung mit YARA.
4. Filterung durch Schnellregeln – Nachrichten, auf die Ihre persönlichen Schnellregeln zutreffen, werden von Ihrer Regel automatisch einsortiert: zur Prüfung in der Spam-Falle beiseitegelegt, verschoben oder gelöscht.
5. Übergabe an Posteingang, Spam oder Schadsoftware – Saubere Nachrichten erreichen Ihren Posteingang. Spam geht in den Ordner „Spam“. Nachrichten mit Schadsoftware-Fund gehen in einen eigenen Ordner „Schadsoftware“; gefährliche Anhänge werden dabei entfernt und zurückgehalten.
6. Vom Server löschen (optional) – Wenn Sie „Nach dem Herunterladen vom Server löschen“ aktiviert haben, wird die Nachricht bei Ihrem Anbieter entfernt.

SQLite ist die einzige maßgebliche Datenquelle. Alles, was Sie in der Oberfläche sehen, stammt aus Ihrer lokalen Datenbank, nicht aus IMAP.

Synchronisierung in zwei Phasen für große Postfächer

Wenn Sie ein Konto zum ersten Mal verbinden – besonders eines mit Tausenden von Nachrichten –, geht GravesMail in zwei Phasen vor:

Phase 1 (Schnellstart): Zuerst werden die neuesten 500 Nachrichten je Ordner abgerufen, in der Regel in weniger als einer Minute. Sie können sofort lesen und arbeiten.

Phase 2 (Hintergrundsynchronisierung): Die übrigen Nachrichten werden unauffällig im Hintergrund heruntergeladen. Eine Fortschrittsanzeige in der Statusleiste zeigt den Fortschritt in Prozent und die geschätzte Restzeit. Sie können jederzeit pausieren, fortsetzen oder anhalten. Der Fortschritt bleibt gespeichert, wenn Sie die App schließen.

Die sieben Schutzebenen

Jede eingehende Nachricht durchläuft mit ihren Anhängen sieben voneinander unabhängige Schutzebenen. Jede Ebene sucht nach einer anderen Art von Problem und entscheidet für sich. Schlägt auch nur eine einzige Ebene Alarm, wird die Nachricht als Spam behandelt – es gibt keine Mittelwertbildung und keine Gesamtpunktzahl, die erreicht werden müsste. Ein Alarm genügt. Das ist das Modell „7-Ebenen-ODER“.

Ehrliche Meldungen – keine falsche Sicherheit

Öffnen Sie die Eigenschaften einer beliebigen Nachricht, um eine Aufschlüsselung nach Ebenen zu sehen: den Wert jeder Ebene, die Schwelle, ab der sie Alarm schlägt, und ihren Zustand – Ausgelöst, Sauber oder Nicht verfügbar. Wenn ein Scanner nicht laufen konnte, meldet GravesMail „Nicht verfügbar“. Als „Sauber“ wird das nie angezeigt. Ein Antivirenprogramm, das nicht startet und dann trotzdem „sauber“ meldet, ist die schlimmste Art von Sicherheitswerkzeug, denn Sie vertrauen einem Urteil, das nie tatsächlich gefällt wurde.

Im Bildschirm „Sicherheitsmodul“ (Extras → Sicherheitsmodul, auf Mobilgeräten Einstellungen → Sicherheitsmodul) stellen Sie jede der sieben Ebenen einzeln mit einem Empfindlichkeitsregler von 0–100 % ein – 0 % schaltet eine Ebene ab, 100 % ist die höchste Empfindlichkeit. Einen einzelnen globalen Regler gibt es nicht; Sie stellen die Ebenen einzeln ein. Derselbe Bildschirm zeigt den aktuellen Status der Schadsoftware-Scanner, einen Editor für die Länderrichtlinie und ein schreibgeschütztes Verzeichnis aller Detektoren mit ihrer jeweiligen Gewichtung.

Geolokalisierung ohne Abfrage

Die heuristische Ebene berücksichtigt, woher eine Nachricht stammt. Diese Ermittlung erfolgt rein lokal. GravesMail wird mit einer eingebetteten Tabelle ausgeliefert, die IP-Bereiche Ländern zuordnet, und schlägt darin auf Ihrem Gerät nach – es gibt keine DNS-Abfragen, keine externen API-Aufrufe und keinen Drittanbieterdienst auf dem Weg. Die Metadaten Ihrer Nachrichten verlassen Ihr Gerät nie, um geolokalisiert zu werden.

Was das Ergebnis bedeutet, entscheiden Sie. Im Bildschirm „Sicherheitsmodul“ können Sie Länder als Sicher (kein zusätzliches Spam-Signal) oder als Bedrohung (ein starkes Signal) markieren. Beide Listen sind anfangs leer, sodass gewöhnliche internationale Post nie benachteiligt wird, bevor Sie eine Richtlinie festlegen.

IP-Geolokalisierungsdaten von DB-IP (db-ip.com), lizenziert unter CC BY 4.0.

Blockieren externer Bilder und Entfernen von Zählpixeln

In E-Mails, die Sie erhalten, können Absender externe Bilder einbetten, die von ihren Servern geladen werden. Wird das Bild geladen, erfährt der Absender Ihre IP-Adresse, dass Sie die E-Mail geöffnet haben, wann Sie sie geöffnet haben und welches Gerät Sie verwendet haben.

GravesMail blockiert externe Bilder standardmäßig. Unabhängig davon erkennt und entfernt es unsichtbare Zählpixel (1×1-Bilder, die allein der Nachverfolgung von Lesebestätigungen dienen). Das sind voneinander unabhängige Einstellungen – Sie können Bilder laden, ohne Tracker zu laden, oder umgekehrt.

Ende-zu-Ende-Verschlüsselung (OpenPGP)

GravesMail unterstützt OpenPGP – den offenen, interoperablen Standard für Ende-zu-Ende-verschlüsselte und signierte E-Mails. Sie können vertrauliche Post mit jedem austauschen, der PGP verwendet, auf jedem Mailsystem (Proton Mail, Thunderbird, gpg und andere), nicht nur mit anderen GravesMail-Nutzern. Das ist echtes PGP/MIME, kein GravesMail-Dialekt.

Schlüssel

Erzeugen Sie einen Schlüssel in der PGP-Schlüsselverwaltung – empfohlen wird Ed25519/Curve25519; RSA-4096 steht für die Kompatibilität mit älterer PGP-Software zur Verfügung. Exportieren Sie Ihren öffentlichen Schlüssel, damit andere Ihnen schreiben können, und importieren Sie deren Schlüssel, um ihnen zu schreiben. Nach dem Import zeigt GravesMail den Fingerabdruck des Schlüssels an; gleichen Sie ihn mit der Person auf einem anderen Weg ab – per Anruf oder persönlich – und markieren Sie ihn als verifiziert. Ein nicht verifizierter Schlüssel funktioniert trotzdem, bleibt aber als nicht verifiziert gekennzeichnet, denn diese Kennzeichnung bedeutet genau eines: Sie haben noch nicht bestätigt, dass dieser Schlüssel wirklich dieser Person gehört.

Schlüssel werden anhand des Fingerabdrucks identifiziert, nicht anhand der E-Mail-Adresse. Zwei Schlüssel für eine Adresse sind normal – ein alter und ein neuer oder ein RSA- und ein Ed25519-Schlüssel nebeneinander –, daher wirkt jede Aktion auf den Schlüssel, den Sie ausgewählt haben, nicht auf den ersten, der zufällig zur Adresse passt.

Sie können einen Schlüssel mit einem Kontakt verknüpfen, sodass das Verschlüsseln an diese Person einfach funktioniert, ohne dass Sie in der Schlüsselverwaltung suchen müssen. Das Verknüpfen eines Schlüssels schaltet die Verschlüsselung nicht ein; Sie wählen sie weiterhin für jede Nachricht einzeln.

Senden und Lesen

Das Fenster „Verfassen“ hat eine Einstellung Sicherheit mit drei Modi – Signieren, Verschlüsseln oder Signieren + Verschlüsseln (empfohlen für vertrauliche Post). Standardmäßig ist sie aus, gewöhnliche Post bleibt also unverändert. Verschlüsselte Post, die Sie erhalten, wird automatisch entschlüsselt und zeigt ein geschlossenes Vorhängeschloss 🔒; signierte Post zeigt ihren Signaturstatus, und eine ungültige Signatur wird deutlich und nicht beiläufig angezeigt. Eine Nachricht, die an einen Schlüssel verschlüsselt ist, den Sie auf diesem Gerät nicht haben, sagt das ausdrücklich, statt Ihnen einen leeren Nachrichtentext zu zeigen.

Wenn Sie verschlüsselte Post senden, verschlüsselt GravesMail sie auch an Ihren eigenen Schlüssel, damit die Kopie in Ihrem Ordner „Gesendet“ für Sie lesbar bleibt. Ohne das könnten Sie Ihre eigene aufbewahrte Kopie nicht entschlüsseln. Das ist immer eingeschaltet.

Die Regel, die sich nicht beugen lässt

Wenn Sie Verschlüsselung wählen und ein Empfänger keinen verwendbaren Schlüssel hat, wird das Senden blockiert. GravesMail hält an und fragt: abbrechen oder ausdrücklich unverschlüsselt senden – eine bewusste zweite Handlung, die die gefährdeten Empfänger nennt, nie eine Voreinstellung und nie automatisch. Es gibt keinen Codepfad, auf dem die Wahl der Verschlüsselung stillschweigend zu einem Versand im Klartext führt. Das wird im Modul selbst erzwungen, nicht nur in der Oberfläche, und ist durch einen automatisierten Test abgedeckt.

Was PGP schützt und was nicht

PGP verschlüsselt Text und Anhänge der Nachricht. Es verbirgt nicht die Betreffzeile, die Felder An/Von/Cc oder den Zeitpunkt, zu dem eine Nachricht gesendet wurde – diese Angaben werden im Klartext übertragen. Diese Grenze hat jedes PGP/MIME-System, auch Proton; es ist kein Mangel von GravesMail, aber Sie sollten sie kennen, bevor Sie sich darauf verlassen.

PGP schützt Ihre Post auf dem Transportweg – vor dem Abfangen und vor Ihrem Mailanbieter. Es ist kein Anti-Forensik-Werkzeug: Einmal entschlüsselt, wird die Post in der lokalen verschlüsselten Datenbank von GravesMail zwischengespeichert, damit Sie sie offline durchsuchen und lesen können.

Zwei weitere Grenzen, offen benannt: GravesMail führt keine automatische Schlüsselserver- oder WKD-Abfrage durch und hat kein Web of Trust – Sie importieren Schlüssel selbst und prüfen Fingerabdrücke selbst. Das ist eine bewusste Entscheidung, um keinem Netzwerkdienst vertrauen zu müssen, wenn es darum geht, wer jemand ist. Und inline klartextsignierte Nachrichten werden als lesbarer Text ohne Signaturprüfung angezeigt; GravesMail zeigt sie an, statt eine Signatur zu behaupten, die es nicht tatsächlich geprüft hat.

Interoperabilität

Das PGP von GravesMail ist in beiden Richtungen gegen GnuPG – die Referenzimplementierung von OpenPGP – geprüft, mit von GravesMail erzeugten Schlüsseln, sowohl für Ed25519 als auch für RSA-4096: GravesMail verschlüsselt und gpg entschlüsselt, gpg verschlüsselt und GravesMail entschlüsselt, und Signaturen lassen sich in beiden Richtungen prüfen. Das ist eine automatisierte Testsuite, keine einmalige Prüfung von Hand.

Auch Proton Mail ist bestätigt – von Hand, nicht durch einen automatisierten Test. Zwischen GravesMail und einem echten Proton-Konto wurde tatsächlich verschlüsselte Post in beiden Richtungen gesendet und gelesen. Bei diesen Tests wurden auch drei echte Fehler gefunden und behoben: Die strenge Schlüsselprüfung von Proton wies die Ed25519-Schlüssel von GravesMail zurück, es gab einen Fehler beim Schlüsselablauf, und Anhänge verschlüsselter Post gingen beim Entschlüsseln stillschweigend verloren. Alle drei sind behoben, und die Interoperabilität mit Proton funktioniert in beiden Richtungen.

Thunderbird habe ich speziell für PGP nicht getestet, also behaupte ich es hier auch nicht. Es ist ein standardkonformer OpenPGP-Client und sollte funktionieren, aber „sollte“ ist nicht dasselbe wie geprüft, und ich sage Ihnen lieber, was tatsächlich überprüft wurde.

Passwortgeschützte E-Mail (kein Schlüssel nötig)

PGP ist das richtige Werkzeug, wenn Ihr Gegenüber ebenfalls PGP verwendet. Wenn nicht – und die meisten Menschen tun es nicht –, verwenden Sie stattdessen die unten beschriebene passwortgeschützte Variante.

Manchmal müssen Sie etwas Vertrauliches an jemanden senden, der keine Schlüssel und keine besondere Software hat – nur ein gewöhnliches E-Mail-Konto. Die Option Passwortschutz (kein Schlüssel nötig) von GravesMail versiegelt Ihre Nachricht und alle Anhänge in einer echten, standardkonformen, mit AES-256 verschlüsselten ZIP-Datei, die der Empfänger mit kostenloser, gewöhnlicher Software auf jeder Plattform öffnet.

Verwendet wird das als Industriestandard etablierte Format WinZip AES-256 (AE-2) – dieselbe starke Verschlüsselung, die 7-Zip, Keka und die Archiv-Apps auf Mobilgeräten bereits beherrschen. Es ist kein Container, den nur GravesMail versteht, und es ist nicht das schwache, knackbare „ZipCrypto“ älterer ZIP-Programme. Die Interoperabilität ist gegen echte, verbreitete Archivprogramme nachgewiesen, und das AE-2-Verschlüsselungsformat des Archivs ist durch einen automatisierten Test festgeschrieben – was hinausgeht, ist also eine wirklich standardkonforme Datei und nichts, das nur zwischen zwei Exemplaren derselben App zu funktionieren scheint.

Was tatsächlich hinausgeht, ist ein einziger Anhang: protected-message.zip. Ihre eigentliche Nachricht und jeder Anhang sind darin verschlüsselt; der sichtbare E-Mail-Text enthält nur eine allgemein verständliche Anleitung zum Öffnen. Die Namen der Anhänge im Archiv werden durch neutrale Platzhalter ersetzt; die echten Namen stehen in einem verschlüsselten Verzeichnis, das erscheint, sobald der Empfänger das Passwort eingibt – so sickern auch die Dateinamen nicht durch.

Beim Senden fordert GravesMail Sie auf, ein starkes Passwort festzulegen (mindestens 12 Zeichen mit Groß- und Kleinbuchstaben, zwei Ziffern und zwei Sonderzeichen), mit einer mitlaufenden Checkliste und einem Bestätigungsfeld, damit ein Tippfehler den Empfänger niemals aussperren kann. Danach zeigt es das Passwort ein einziges Mal an, mit einer Schaltfläche „Kopieren“, und erinnert Sie daran, es auf einem anderen Weg weiterzugeben – per Telefon, SMS oder Chat. GravesMail bietet nie an, das Passwort per E-Mail zu senden, und speichert oder überträgt es nirgendwohin. GravesMail kann geschützte Nachrichten, die es empfängt, auch selbst an Ort und Stelle öffnen, auf jeder Plattform.

Schnellregeln: Ihre persönliche E-Mail-Vorsortierung

Mit Schnellregeln erstellen Sie Sortierregeln für bestimmte Absender, Domänen oder Betreffmuster, die sich mit einem Klick anwenden lassen. Jede Regel erhält eine eigene Schaltfläche in der Symbolleiste. Wenn Sie eine Regel auf eine Nachricht anwenden, wird der Absender automatisch in die Trefferliste dieser Regel aufgenommen – die Regel wird mit der Nutzung immer besser.

Eine Regel kann passende Post in die Spam-Falle schicken, wo sie zur Prüfung beiseitegelegt wird, sie in einen Ordner verschieben, sie löschen oder sie nach einer Anzahl von Tagen automatisch löschen. Regeln können so eingestellt werden, dass sie bei der Synchronisierung automatisch angewendet werden, sodass passende Nachrichten Ihren Posteingang nie erreichen, und Sie können ganze Ordner in Sekunden durchsuchen, um alte Post gesammelt zu erfassen. Alles, was eine Regel abgefangen hat, lässt sich jederzeit prüfen, wiederherstellen oder endgültig löschen.

Ihre Regeln haben Vorrang vor dem Spamfilter. Eine Nachricht, auf die eine Ihrer Regeln zutrifft, wird von Ihrer Regel einsortiert, bevor der Spamfilter sie umleiten kann – ein Absender, für den Sie eine Regel geschrieben haben, landet also nicht fälschlich im Spam. Der Filter läuft trotzdem und bewertet die Nachricht weiterhin, und sein Urteil sehen Sie in den Eigenschaften; er setzt sich nur nicht über Ihre Regel hinweg. Die eine Ausnahme ist Schadsoftware: Die Schadsoftware-Prüfung gewinnt immer, sodass eine Regel niemals einen gefährlichen Anhang in Ihren Posteingang zustellen kann.

Die Liste Gefiltert zeigt alles, was Ihre Regeln insgesamt innerhalb eines gleitenden Zeitfensters abgefangen haben (auf dem Desktop 1 bis 96 Stunden, standardmäßig 24). Jede Prüfliste – Regeln, Gefiltert und Spam – hat ein eigenes Suchfeld.

Öffnen Sie eine abgefangene Nachricht, und die erste Registerkarte ist die Sichere Vorschau: die Nachricht, dargestellt wie in Ihrem Lesebereich, aber mit unschädlich gemachten Skripten, blockierten Zählpixeln und externen Bildern, die nur für vertrauenswürdige Absender geladen werden. Sie hat die Schaltflächen Antworten, Allen antworten und Weiterleiten, sodass Sie auf eine abgefangene Nachricht antworten können, ohne sie zuerst in Ihren Posteingang zurückzuholen – die Nachricht bleibt, wo sie ist, und Ihre Antwort geht als normale Nachricht hinaus.

Zurückgehaltene Anhänge

Wenn YARA oder Ihr Antivirenprogramm Schadsoftware in einem Anhang erkennt, ergreift GravesMail automatisch folgende Maßnahmen:

• Nachricht beiseitegelegt – in einen eigenen Ordner „Schadsoftware“ verschoben, getrennt vom Spam.
• Anhang entfernt – die gefährliche Datei wird aus der Nachricht entfernt. Der Nachrichtentext bleibt erhalten, damit Sie sehen können, wer sie gesendet hat.
• Daten bleiben erhalten – die Bytes des Anhangs werden lokal aufbewahrt. Über Zurückgehaltene Anhänge können Sie jedes zurückgehaltene Element prüfen, den Grund dafür einsehen, es auf der Festplatte speichern, wenn Sie ihm vertrauen, oder es endgültig löschen. Zurückgehaltene Elemente bleiben erhalten, bis Sie entscheiden; sie gehen nie stillschweigend verloren.
• Vollständige Erklärung – die Nachrichteneigenschaften zeigen genau, welche YARA-Regel oder welches AV-Modul ausgelöst hat, welche Datei betroffen war und welche Maßnahme ergriffen wurde.

Sie können außerdem jederzeit mit der rechten Maustaste auf einen Anhang klicken und Auf Schadsoftware prüfen wählen, um eine Prüfung bei Bedarf zu starten. YARA-Regeln lassen sich in den Einstellungen manuell oder automatisch nach einem wöchentlichen Zeitplan aktualisieren.

Automatische verschlüsselte Sicherungen

GravesMail erstellt automatisch verschlüsselte Sicherungen Ihres gesamten Profils – nicht nur Ihrer E-Mail-Datenbank, sondern auch Ihrer Kontakte, Ihres Kalenders, Ihrer Regeln, der Listen sicherer und blockierter Absender, der angepassten Schwellenwerte, der Absenderreputation, des trainierten Spamfilters, des PGP-Schlüsselbunds und der gespeicherten Kontoanmeldedaten. (Dateien, die mit der App ausgeliefert und bei einem Update ersetzt werden, etwa die geografische Nachschlagetabelle und das Basis-Spammodell, bleiben bewusst außen vor.)

• Vollständige Sicherungen – eine komplette Kopie des Profils, mit AES-256 verschlüsselt
• Differenzielle Sicherungen – nur das, was sich seit der letzten vollständigen Sicherung geändert hat; beim Wiederherstellen wird die Kette automatisch zurückverfolgt
• Schnappschüsse vor Vorgängen – vor jedem destruktiven Vorgang (Schnellregel-Prüfung, Bereinigen, Papierkorb leeren)

Den Zeitplan steuern Sie in der Sicherungsverwaltung: entweder über ein Intervall (aus, täglich, wöchentlich oder eine benutzerdefinierte Anzahl von Stunden, mit einer vollständigen Sicherung alle N Tage) oder über ein Wochenraster, in dem jeder Tag auf Keine, Vollständig oder Differenziell gesetzt wird. Die Aufbewahrungsgrenzen für vollständige Sicherungen, differenzielle Sicherungen und Schnappschüsse sind einstellbar und entfernen nie Ihre einzige Kopie.

Wie diese Sicherungen verschlüsselt werden

Die geplanten und manuellen Sicherungen von GravesMail werden mit einem Sicherungs-Hauptschlüssel versiegelt, den die App für Sie erzeugt und verwaltet. Der Schlüssel selbst wird nie im Klartext auf die Festplatte geschrieben – gespeichert werden nur verpackte Kopien, und er wird auf zwei Arten verpackt:

• Mit dem sicheren Schlüsselspeicher Ihres Geräts – damit Routinesicherungen im Hintergrund ablaufen, ohne jemals nach einem Passwort zu fragen.
• Mit Ihrer Wiederherstellungs-Passphrase – sie entpackt denselben Schlüssel auf jedem Rechner, ganz ohne Schlüsselspeicher.

Diese zweite Verpackung macht die Sicherungen geräteunabhängig. Frühere Versionen banden automatische Sicherungen an einen einzigen physischen Rechner; sie lassen sich jetzt nicht mehr nur dort wiederherstellen, wo sie erstellt wurden.

Die Wiederherstellungs-Passphrase legen Sie einmal fest, bei Ihrer ersten Sicherung. Sie ist erforderlich und lässt sich nicht überspringen – eine Sicherung wird erst abgeschlossen, wenn eine Passphrase festgelegt ist, damit Sie nie auf Sicherungen sitzen, die Sie nicht wiederherstellen können. Danach laufen Sicherungen ohne weitere Abfrage. Sie können die Passphrase jederzeit in der Sicherungsverwaltung ändern; alle vorhandenen Sicherungen bleiben dabei wiederherstellbar.

In der Sicherungsverwaltung können Sie den Inhalt jeder Sicherung durchsuchen, in allen Sicherungen suchen, mit Ihrer aktuellen Datenbank vergleichen und einzelne Nachrichten gezielt wiederherstellen. Eine Wiederherstellung prüft, ob die Sicherung vollständig und unbeschädigt ist, bevor sie Ihr aktuelles Profil anrührt – eine abgeschnittene oder beschädigte Sicherung wird abgelehnt, Ihre vorhandenen Daten bleiben unberührt – und zeigt am Ende Datenbestand für Datenbestand, was zurückgekommen ist.

Löschprotokoll und Wiederherstellung

Jede gelöschte Nachricht wird mit vollständigem Inhalt in einem lokalen Löschprotokoll festgehalten. Bis zu 90 Tage lang (einstellbar) können Sie gelöschte Nachrichten durchsehen, durchsuchen und mit einem Klick wiederherstellen. Eine Sicherungsdatei ist dafür nicht nötig – die Wiederherstellung erfolgt sofort aus dem Löschprotokoll.