Die Kurzfassung

GravesMail ist ein E-Mail-Client, der lokal zuerst arbeitet. Ihre E-Mails werden auf Ihren Computer heruntergeladen und bleiben dort. Ich betreibe keine Server, die Ihre E-Mails speichern, lesen oder verarbeiten. Ich erhebe keine personenbezogenen Informationen. Ich zeige keine Werbung an. Ich verkaufe keine Daten. Nichts über Ihre E-Mails verlässt Ihren Computer; der Mailserver wird nur genutzt, um Ihre E-Mails abzurufen und zu senden.

Welche Daten GravesMail speichert

Alle Daten werden lokal in Ihrem Benutzerprofil gespeichert – unter %LocalAppData%\GravesMail unter Windows oder am entsprechenden Ort der jeweiligen Plattform unter macOS, Linux, iOS und Android. Im Folgenden steht, was aufbewahrt wird und warum:

Die verschlüsselte Datenbank. Ihre E-Mails und nahezu alle zugehörigen Daten liegen in einem einzigen, als Ganzes verschlüsselten Datenbankspeicher: jede Nachricht, jeder Betreff, jeder Absender und jeder Anhang, dazu Ihre Kontakte, Ihr Kalender, Ihre Signaturen, Schnellregeln und erweiterten Regeln, die Listen sicherer und blockierter Absender, die Absenderreputation, das Training des Spamfilters, die angepassten Schwellenwerte und die Sicherheitseinstellungen. Diese Daten lagen früher als einzelne Dateien neben der Datenbank; sie wurden in die Datenbank zusammengeführt, was ihren Schutz verstärkt hat. Sie haben Ihr Gerät nicht verlassen – am Ort Ihrer Daten hat sich nichts geändert, nur an der Art, wie sie lokal gespeichert werden.

Dateien, die außerhalb der Datenbank bleiben, weil sie benötigt werden, bevor die Datenbank geöffnet werden kann, oder weil sie deren Verlust überstehen müssen:

• Der Datenbankschlüssel – liegt im eigenen sicheren Schlüsselspeicher Ihres Geräts (DPAPI unter Windows, Keychain unter macOS/iOS, Keystore unter Android, der Geheimnisspeicher des Systems unter Linux). Er kann nicht in der Datenbank liegen, die er entsperrt.
• Gespeicherte Kontoanmeldedaten – Ihre IMAP/SMTP-Passwörter und OAuth2-Token, mit Ihrem Geräteschlüssel verschlüsselt und bewusst getrennt von der E-Mail-Datenbank aufbewahrt.
• bmk.wrap – die verpackten Kopien Ihres Sicherungs-Hauptschlüssels. Die Datei liegt bei Ihren Sicherungen und nicht in der Datenbank, eben weil eine Sicherung dazu da ist, den Verlust dieser Datenbank zu überstehen.
• Ihr PGP-Schlüsselbund – im üblichen Dateiformat auf dem Datenträger aufbewahrt, der private Schlüsselbund unter einem eigenen Verpackungsschlüssel.
• backups/ – verschlüsselte Sicherungsdateien (.gravesmail-backup), AES-256 unter dem Sicherungs-Hauptschlüssel
• Sicherungskatalog – ein lokaler Metadatenindex zum sofortigen Durchsuchen der Sicherungsinhalte (wird nie übertragen)
• Löschprotokoll – Inhalte gelöschter Nachrichten zur Wiederherstellung (einstellbare Aufbewahrung: 30–365 Tage)

Dateien, die mit der App ausgeliefert werden – das Basis-Spammodell, die Basis-YARA-Regeln und die geografische Nachschlagetabelle –, sind Programmbestandteile, nicht Ihre Daten. Sie werden bei einem Update ersetzt und sind von Sicherungen ausgenommen.

Außerhalb dieses Verzeichnisses werden keine Daten gespeichert. Auf entfernten Servern werden keine Daten gespeichert.

Welche Daten GravesMail niemals erhebt

• E-Mail-Adressen – weder Ihre noch die von Personen, die Ihnen schreiben
• E-Mail-Inhalte – keine Betreffzeilen, Nachrichtentexte oder Anhänge
• Informationen zu Absendern oder Empfängern
• Passwörter oder Anmeldedaten
• Kontaktlisten
• Kalendertermine
• IP-Adressen
• Ihren Namen, Ihren Standort oder sonstige identifizierende Informationen
• Nutzungsmuster – ich verfolge nicht, wie oft Sie die App öffnen, welche E-Mails Sie lesen oder wie Sie mit Nachrichten umgehen
• Absturzberichte oder Diagnosedaten – nichts wird jemals automatisch gesendet
• Installations- oder Registrierungsdaten – es gibt kein Konto, das angelegt werden müsste

Datenschutz bei Sicherungen

GravesMail erstellt verschlüsselte Sicherungen Ihres gesamten lokalen Profils:

• Geplante und manuelle gerätelokale Sicherungen (vollständig und differenziell) werden mit AES-256 unter einem Sicherungs-Hauptschlüssel verschlüsselt, den GravesMail erzeugt und verwaltet. Der Schlüssel wird nie im Klartext gespeichert – aufbewahrt werden nur verpackte Kopien, verpackt sowohl mit dem sicheren Schlüsselspeicher Ihres Geräts (damit Routinesicherungen kein Passwort benötigen) als auch mit einer Wiederherstellungs-Passphrase, die Sie einmal festlegen. Die Wiederherstellungs-Passphrase ist erforderlich, nicht optional, und sie ist es, die die Wiederherstellung dieser Sicherungen auf einem neuen oder ersetzten Gerät ermöglicht. Ich erhalte weder den Schlüssel noch die Passphrase, und ich kann keines von beiden für Sie wiederherstellen.
• Die Portable Passwort-Sicherung (Datei → Portable Passwort-Sicherung…) wird mit einem von Ihnen gewählten Passwort versiegelt, mit PBKDF2-SHA256-Schlüsselstreckung mit 600.000 Iterationen. Wenn Sie dieses Passwort verlieren, lässt sich die Sicherung nicht öffnen – so ist es gewollt, und zwar von niemandem, auch nicht von mir.
• Metadatenkataloge der Sicherungen werden lokal gespeichert und nie übertragen. Sie ermöglichen das sofortige Durchsuchen der Sicherungsinhalte, ohne die gesamte Sicherung zu entschlüsseln.
• Schnappschüsse vor Vorgängen werden als Sicherheitsnetz vor destruktiven Vorgängen erstellt (Schnellregel-Prüfungen, Bereinigen, Papierkorb leeren).

Alle Sicherungsdateien bleiben auf Ihrem Computer, sofern Sie sie nicht selbst an einen anderen Ort kopieren. Eine Portable Passwort-Sicherung enthält Ihr gesamtes Profil – einschließlich der gespeicherten Kontopasswörter und der Schlüssel, die Ihre E-Mails entsperren – und ist nur durch das von Ihnen gewählte Passwort geschützt. Bewahren Sie die Datei daher an einem sicheren Ort auf.

Datenschutz bei Schnellregeln

Die Daten der Schnellregeln werden in Ihrer lokalen verschlüsselten Datenbank gespeichert. Nachrichten, die Ihre Regeln in der Spam-Falle beiseitelegen, deren Trefferlisten und die Regeldefinitionen selbst verlassen Ihren Computer nie. Wenn Sie eine Regel löschen oder bereinigen, was sie abgefangen hat, werden die Daten endgültig aus Ihrer lokalen Datenbank entfernt.

Wie Ihre Anmeldedaten gespeichert werden

GravesMail hält alle Ihre E-Mails und persönlichen Daten auf jedem Gerät im Ruhezustand verschlüsselt. Der Verschlüsselungsschlüssel liegt im eigenen sicheren Schlüsselspeicher Ihres Geräts – DPAPI unter Windows, Keychain unter macOS und iOS, Keystore unter Android und der Geheimnisspeicher des Systems unter Linux –, sodass die Daten nur auf Ihrem Gerät lesbar sind. Wenn Sie Ihre E-Mail-Anmeldedaten speichern, werden sie auf dieselbe Weise verschlüsselt und können nur auf demselben Computer entschlüsselt werden, von demselben Benutzer, der sie gespeichert hat.

GravesMail überträgt Ihre Anmeldedaten niemals an einen anderen Server als den Mailserver Ihres E-Mail-Anbieters, und zwar zum Zweck der Anmeldung.

Bei Microsoft-/Outlook-Konten mit OAuth2-Authentifizierung verwendet GravesMail den Standardablauf der Microsoft Identity Platform. Authentifizierungstoken werden lokal mit derselben Verschlüsselung gespeichert. GravesMail hat keinen Zugriff auf das Passwort Ihres Microsoft-Kontos.

Die Geolokalisierung erfolgt lokal

GravesMail ermittelt die geografische Herkunft eingehender E-Mails als eines seiner Spam-Signale. Diese Ermittlung geschieht vollständig auf Ihrem Gerät, anhand einer in die App eingebetteten Tabelle, die Länder IP-Bereichen zuordnet. Es gibt keine DNS-Abfragen, keine externen API-Aufrufe und keinen Nachschlagedienst eines Dritten. Die Metadaten Ihrer Nachrichten werden nie irgendwohin gesendet, um geolokalisiert zu werden.

IP-Geolokalisierungsdaten von DB-IP (db-ip.com), lizenziert unter CC BY 4.0.

Blockierung externer Bilder und Schutz vor Zählpixeln

Externe Bilder sind standardmäßig blockiert, damit Absender nicht Ihre IP-Adresse erfahren und auch nicht, dass Sie ihre E-Mail geöffnet haben, wann und von welchem Gerät aus.

Zählpixel (unsichtbare 1×1 Pixel große Bilder, die ausschließlich dem Tracking über Lesebestätigungen dienen) werden getrennt erkannt und entfernt. Beides wird unabhängig voneinander gesteuert – Sie können Bilder laden, ohne Tracker zu laden.

Ende-zu-Ende-Verschlüsselung (OpenPGP)

GravesMail unterstützt standardkonformes OpenPGP für Ende-zu-Ende-verschlüsselte und signierte E-Mails. Alles geschieht auf Ihrem Gerät: Schlüssel werden lokal erzeugt, Ihr geheimer Schlüssel verlässt Ihren Rechner nie, und Ver- und Entschlüsselung führt die App aus. Es gibt keine Schlüsselhinterlegung, keinen Upload auf Schlüsselserver und keinen Dienst von mir auf dem Weg – ich habe keine Kopie Ihrer Schlüssel und kann Ihre verschlüsselten E-Mails nicht lesen.

Was PGP verbirgt: den Nachrichtentext und die Anhänge.

Was PGP nicht verbirgt: die Betreffzeile, die Felder An/Von/Cc und wann die Nachricht gesendet wurde. Diese Angaben werden im Klartext übertragen und bleiben für die E-Mail-Infrastruktur sichtbar, auch für Ihren Anbieter. Das ist eine Grenze von PGP/MIME selbst, die jeder Client teilt, der es umsetzt, Proton eingeschlossen – GravesMail kann das nicht beheben, und ich werde auch nicht den Eindruck erwecken, es sei anders.

PGP schützt E-Mails auf dem Transportweg – vor dem Abfangen und vor Ihrem E-Mail-Anbieter. Es ist kein Anti-Forensik-Werkzeug. Sobald eine Nachricht entschlüsselt ist, wird sie in der lokalen verschlüsselten Datenbank von GravesMail zwischengespeichert, damit Sie sie offline durchsuchen und lesen können; auf dem Datenträger ist sie also durch die Verschlüsselung Ihres Geräts geschützt und nicht durch PGP.

Wenn Sie Ihren geheimen Schlüssel verlieren, sind die für ihn verschlüsselten E-Mails dauerhaft unwiederbringlich. Ich kann sie nicht für Sie wiederherstellen – es gibt keine hinterlegte Kopie, und dieselbe Designentscheidung bedeutet auch, dass niemand sonst Ihre E-Mails lesen kann.

Passwortgeschützte E-Mail

Wenn Sie eine Nachricht mit Passwortschutz (kein Schlüssel nötig) senden, werden der Nachrichtentext und jeder Anhang auf Ihrem Gerät in ein standardkonformes AES-256-ZIP verschlüsselt, bevor die Nachricht Ihr Gerät verlässt. Das Versiegeln geschieht lokal – dafür wird nichts zu mir oder zu irgendeinem Dienst hochgeladen, und auf dem Weg liegt kein Server.

Das Passwort gehört allein Ihnen. GravesMail zeigt es Ihnen einmal an, versendet es nie per E-Mail, speichert es nie und überträgt es nie. Ich habe keine Kopie davon und keine Möglichkeit, das zu öffnen, was Sie gesendet haben. Sie geben es Ihrem Empfänger auf einem anderen Weg weiter – per Telefon, Textnachricht oder verschlüsseltem Chat.

Der Schutz besteht aus dem Passwort und aus nichts anderem. Es gibt kein Ablaufdatum und keinen Widerruf aus der Ferne, weil beides einen Server erfordern würde, den ich bewusst nicht betreibe. Wie bei jeder E-Mail werden Betreff, An/Von und Zeitpunkt der Nachricht weiterhin im Klartext übertragen.

Eine weitere Grenze, offen ausgesprochen, weil Sie sie von mir hören sollten, statt sie selbst zu entdecken: Das ZIP-Format verschlüsselt die Inhalte der Dateien, nicht die Struktur des Archivs. Wer die Nachricht abfängt, kann weiterhin sehen, wie viele Dateien enthalten sind, sowie ihre ungefähren Größen und Zeitstempel – nicht jedoch ihre Namen, die durch neutrale Platzhalter ersetzt werden, und nicht ihre Inhalte. Wenn schon diese Metadaten jemandem etwas verraten würden, das vertraulich bleiben muss, ist diese Funktion für diese Nachricht nicht das richtige Werkzeug.

Builds für fünf Plattformen

• Windows – der Build im Microsoft Store ist von Microsoft signiert
• Linux – demnächst
• macOS – demnächst
• iOS – demnächst
• Android – demnächst

Alle fünf Plattformen haben identische Datenschutzeigenschaften. Keine Plattform sendet Daten nach Hause oder verhält sich in Bezug auf den Datenschutz anders. Eine Fähigkeit unterscheidet sich tatsächlich je nach Plattform, und das ist eine Grenze der Erkennung, nicht des Datenschutzes: Die Schutzebene System-AV nutzt unter Windows Ihr installiertes Antivirenprogramm und ist unter macOS, Linux und auf Mobilgeräten nicht verfügbar; dort meldet sie „nicht verfügbar“, statt eine Prüfung anzudeuten, die sie nie durchgeführt hat.

Dienste Dritter

GravesMail verbindet sich ausschließlich mit Ihrem E-Mail-Anbieter (über verschlüsselte TLS/SSL-Verbindungen) und, bei Microsoft-Konten, mit der Microsoft Identity Platform für die OAuth2-Authentifizierung. GravesMail verwendet keinerlei Werbenetzwerke, Analysedienste, Dienste für Absturzberichte oder Tracking-Plattformen.

Käufe

Käufe von GravesMail über den Microsoft Store werden von Microsoft abgewickelt. GravesWare, LLC erhält oder speichert keine Zahlungskartendaten.

Offen zur Einsicht

Ihre Datenbank, Ihre Sicherungsdateien und Ihr Löschprotokoll sind allesamt gewöhnliche lokale Dateien unter Ihrer Kontrolle – auf Ihrem Datenträger, in Ihrem Benutzerprofil, wo Sie sie sehen, kopieren oder löschen können. Nichts ist in einem Dienst verborgen, den Sie nicht einsehen können, und nichts telefoniert nach Hause.

Datenschutz für Kinder

GravesMail erhebt wissentlich von niemandem Informationen, auch nicht von Kindern unter 13 Jahren. Da GravesMail standardmäßig keine personenbezogenen Informationen erhebt, birgt es keine besonderen Risiken für die Privatsphäre von Kindern.

Änderungen dieser Erklärung

Wird diese Datenschutzerklärung aktualisiert, werden die Änderungen auf dieser Seite mit einem neuen Datum unter „Zuletzt aktualisiert“ veröffentlicht. Da GravesMail keine E-Mail-Adressen oder Kontaktinformationen erhebt, kann ich Sie nicht direkt über Änderungen benachrichtigen. Ich empfehle Ihnen, diese Seite regelmäßig aufzurufen.

Kontakt

Zusammenfassung