Roadmap
Vier Phasen, von funktionierender E-Mail mit KI bis zu Enterprise-Installationen. Wir zeigen, was fertig ist, was wir als Nächstes bauen und woran wir erkennen, dass etwas wirklich abgeschlossen ist.
Das sind Schätzungen für ein Team aus 2–3 Personen, keine Versprechen. Wir überprüfen sie jedes Quartal, der Umfang kann sich ändern. Zuerst liefern wir, was alles andere blockiert: Zahlungen und Zustellbarkeit.
Stand: 19. Oktober 2026 (v1.2): Erste Versionen einiger Punkte aus den Phasen 1 und 2 sind bereits verfügbar.
Phase 0 · Stand: 2026-10
Funktionierende E-Mail im Browser mit KI, Tracking und Verschlüsselung. Das ist die Version, die du heute nutzt.
100 % des Umfangs geliefert
FertigRegistrierung einer Adresse name@mbox.ulewicz.space, Sitzungen, TOTP-Zwei-Faktor-Authentifizierung mit Wiederherstellungscodes, Passwortänderung und Sitzungsliste.
Threads, Ordner, Kategorien, Suchoperatoren, Labels, Sterne, Zurückstellen, Sammelaktionen, Anhänge bis 25 MB, Abbestellen per Klick und Live-Aktualisierung.
Entwürfe, Senden rückgängig, später senden, DKIM-Signatur und ein eigener Mailserver. Eingehende Post wird auf SPF, DKIM, DMARC, Spam und Phishing geprüft.
Ein Pixel und umgeschriebene Links, Ereignisse mit Mail-Programm und Gerät, eine Kennzeichnung für Proxy-Öffnungen, ein Live-Feed und Statistiken.
„Erinnern, falls keine Antwort“, automatische Follow-ups und eigene Erinnerungen.
Zusammenfassungen, Morgen-Briefing, Entwürfe, Umschreiben, intelligente Antworten, Copilot, Suche in natürlicher Sprache, Betreffzeilen, Vorschläge zu Zusagen und Fristen sowie optionale automatische Sortierung.
OpenPGP im Browser mit einem durch deine Passphrase verschlüsselten privaten Schlüssel, WKD, passwortgeschützte Nachrichten (AES-256-GCM, PBKDF2) und Zero-Access.
Vorlagen mit Variablen, Sequenzen, Buchungslinks mit Reservierungen und ICS-Einladung sowie das Teilen von Konversationen per Link.
Free, Pro und Business mit Limits, eigene Domains mit DNS-Einträgen und Verifizierung sowie Aliasse.
Der Planwechsel funktioniert ohne echte Zahlung. Das ist der erste Punkt von Phase 1.
Phase 1 · Q4 2026 – Q2 2027
Die ersten zahlenden Konten, Domains, Mail-Programme und Apps. Das Ziel: mindestens 98 % Posteingangsquote bei Gmail und Outlook.
0 von 7 vollständig fertig · 5 mit erster Version in v1.2
In ArbeitStripe Billing mit Karte, Apple Pay und Google Pay, SEPA sowie BLIK und Przelewy24. EU-Umsatzsteuer (OSS), PDF-Rechnungen und Umgang mit fehlgeschlagenen Zahlungen.
Schon in v1.2Zahlungen per Karte, BLIK und Przelewy24 (PLN) sowie SEPA (EUR), die neuen Pläne Domain (9 PLN) und Team (29 PLN pro Nutzer) und Rechnungen mit Umsatzsteuer. Der übrige Umfang, etwa Apple Pay und Google Pay, ist geplant.
Fertig, wennDer Kauf von Pro im Livebetrieb ändert den Plan in unter 30 s, und Planänderungen laufen ausschließlich über signierte Webhooks.
Planabhängige Sendelimits, Rspamd und ClamAV für eingehende Post, Umgang mit Bounces und Beschwerden, IP-Warm-up und Prüfung neuer Konten.
Fertig, wennEin mail-tester-Wert von mindestens 9/10, Beschwerden unter 0,1 % und harte Bounces unter 2 %.
Ein Assistent erkennt deinen DNS-Anbieter und richtet MX, SPF, DKIM, DMARC und MTA-STS über die Cloudflare-API oder Domain Connect ein. Wo das nicht geht, bekommst du Einträge zum Einfügen.
Schon in v1.2Der DNS-Assistent führt Schritt für Schritt durch die Einträge, und für Domains bei Cloudflare genügt ein Klick. Domain Connect ist geplant.
Fertig, wennEine Domain bei Cloudflare ist in unter 2 Minuten fertig, und SPF, DKIM und DMARC bestehen bei Gmail.
Thunderbird, Outlook, Apple Mail und K-9 funktionieren mit mbox: IMAP mit IDLE, SMTP-Submission, App-Passwörter und Autokonfiguration. Zero-Access-Nachrichten bleiben außerhalb von IMAP, weil der Server keinen Schlüssel hat.
Schon in v1.2Externe Postfächer per IMAP verbinden mit Synchronisation in beide Richtungen, dazu App-Passwörter und Senden per SMTP für Desktop-Programme. Es folgt noch: ein eigener IMAP-Server zum Empfangen von Post in Thunderbird, Outlook und Apple Mail.
Fertig, wennAutokonfiguration und Push in unter 5 s in vier Programmen, imaptest-Konformität von mindestens 95 %.
Windows, macOS und Linux auf Basis von Tauri 2: Benachrichtigungen, Systemtray, mailto:-Verknüpfung, Offline-Arbeit, signierte Updates und Schlüssel im System-Schlüsselbund.
Fertig, wennInstaller unter 25 MB, Start unter 2 s und 99 % der Sitzungen ohne Absturz in der Beta.
iOS und Android auf Basis von Capacitor. Push-Benachrichtigungen ohne Nachrichteninhalt, Biometrie und ein Briefing-Widget. Das Abo schließt du im Browser ab.
Schon in v1.2Eine installierbare App (PWA) und Push-Benachrichtigungen im Browser. Native iOS- und Android-Apps folgen noch.
Fertig, wennPush in unter 10 s, kein Inhalt in der Payload und mindestens 99,5 % absturzfreie Sitzungen.
Rollen Owner, Admin und Member, eine Admin-Konsole, Einladungen, Team-Vorlagen, Postfach-Import aus Gmail und Outlook per IMAP und ein einfaches Audit-Log.
Schon in v1.2Team-Workspaces mit gemeinsamen Postfächern, Zuweisung von Threads und internen Kommentaren (Business), Import aus Gmail und Outlook per IMAP mit vollständigem Export sowie ein Audit-Log im Sicherheitscenter. Der übrige Umfang ist geplant.
Fertig, wennEin Admin richtet einen Workspace mit 10 Personen und Domain in 30 Minuten ein, und ein 5-GB-Import verliert keine Nachrichten.
Phase 2 · Q3 2027 – Q1 2028
Gemeinsame Postfächer, CRM- und Kalender-Integrationen sowie ein KI-Agent, der Aufgaben für dich erledigt, aber nur mit deiner Zustimmung.
0 von 9 vollständig fertig · 5 mit erster Version in v1.2
Geplantsupport@ und buero@ gemeinsam bearbeitet: Zuweisung von Threads, Status, interne Notizen, ein Signal „Anna schreibt gerade eine Antwort“ und Zuweisungsregeln.
Schon in v1.2Die Grundlagen: gemeinsame Postfächer mit Zuweisung von Threads und internen Kommentaren (Business). Zuweisungsregeln und SLAs sind geplant.
Fertig, wennFünf Personen in einem Postfach ohne doppelte Antworten, und Änderungen erscheinen in unter 2 s.
Zeit bis zur ersten Antwort, Volumen, Wirkung von Vorlagen und Sequenzen pro Person und eine Heatmap nach Uhrzeit.
Fertig, wennKennzahlen stimmen mit den Rohdaten überein (±1 %), Export als CSV.
HubSpot, Pipedrive und Salesforce: Kontaktabgleich in beide Richtungen, automatisches Protokollieren von Threads, eine CRM-Karte neben der Konversation und das Anlegen von Deals und Aufgaben aus einer Mail.
Fertig, wenn100 Threads ohne doppelte Kontakte protokolliert, Synchronisationsverzögerung unter 5 Minuten.
CalDAV, Google und Microsoft: frei und belegt in Buchungslinks, ICS-Einladungen mit Antwort im Thread und ein eigener mbox-Kalender.
Schon in v1.2Ein integrierter Kalender mit Einladungen und Zu-/Absage. Die Synchronisation mit Google, Microsoft und CalDAV ist geplant.
Fertig, wennEine Buchung kollidiert nie mit einem belegten Termin (Test mit 100 Versuchen).
Claude sucht, liest, schreibt, plant, setzt Erinnerungen und bucht Termine. Immer nach dem Muster Plan, Vorschau, Freigabe, Ausführung, mit vollständigem Protokoll und Rückgängig-Option.
Fertig, wennMindestens 90 % richtige Ergebnisse in 20 Testszenarien und keine Mail ohne Freigabe versendet.
Diktieren von Entwürfen, Sprachbefehle und Vorlesen in den Apps. Verarbeitung in der EU, mit Option auf dem Gerät.
Schon in v1.2Sprachdiktat für Entwürfe in KI+. Sprachbefehle und Vorlesen sind geplant.
Fertig, wennEine Worterkennungsfehlerrate bis 8 % für Polnisch und Deutsch und eine Diktierlatenz unter 1,5 s.
Eine Zeitleiste der Beziehung, Notizen, Tags, Erkennung von Firmen anhand der Domain und das Zusammenführen von Duplikaten.
Schon in v1.2Kontakte und Mini-CRM: Kontaktkarten mit Verlauf und eine Funktion „in Kontakt bleiben“. Tags, Firmenerkennung und das Zusammenführen von Duplikaten sind geplant.
Fertig, wennZusammenführen ohne Verlust der Historie, Kontaktsuche unter 200 ms bei 50.000 Kontakten.
CSV-Import, A/B-Tests einzelner Schritte, KI erkennt die Art der Antwort (abwesend, interessiert, Absage), bedingte Variablen und Warm-up.
Fertig, wennKlassifizierung der Antworten mit mindestens 92 % F1 für PL und DE und keine Sendungen außerhalb des Zeitfensters des Empfängers.
API-Token, Webhooks, Zapier und Make sowie eine öffentliche OpenAPI-Spezifikation.
Schon in v1.2API-Token, Webhooks und ein MCP-Server für KI-Agenten. Zapier, Make und eine öffentliche OpenAPI-Spezifikation sind geplant.
Fertig, wennDokumentation mit Limits und drei Referenzintegrationen.
Phase 3 · Q2 2028 – Q1 2029
Funktionen für Organisationen mit rechtlichen und sicherheitstechnischen Anforderungen: SSO, DLP, Datenresidenz, On-Prem und Kryptografie der nächsten Generation.
0 von 10 Punkten fertig
GeplantEntra ID, Okta, Google Workspace und Keycloak, JIT-Provisioning und SSO-Pflicht pro Domain.
Fertig, wennDie Anmeldung über Entra ID und Okta funktioniert Ende-zu-Ende, und erzwungenes SSO sperrt Passwörter (außer einem Notfallkonto).
Automatisches Anlegen und Deaktivieren von Nutzern und Gruppen aus deinem Identitätsanbieter.
Fertig, wennEine Änderung im IdP erscheint in unter 60 s, und das Deaktivieren eines Nutzers beendet seine Sitzungen in unter einer Minute.
Inhaltsregeln (Ausweisnummern, Steuernummern, IBANs, Kartennummern, Schlüsselwörter, KI-Klassifikatoren) und Aktionen: warnen, blockieren, Verschlüsselung erzwingen, Quarantäne oder Freigabe durch Vorgesetzte.
Fertig, wennErkennung von Ausweisnummern, IBANs und Karten mit mindestens 99 % Trefferquote und unter 2 % Fehlalarmen.
Postfachübergreifende Suche mit Berechtigung und Protokoll, Export (MBOX, PST, EML) mit Hash-Manifest und eine Löschsperre für die Dauer eines Verfahrens.
Fertig, wennLegal Hold verhindert dauerhaftes Löschen, und Exporte lassen sich mit SHA-256-Hashes prüfen.
Wahl der Workspace-Region (DE, PL, FR, CH…): getrennte Cluster mit lokaler Speicherung von Inhalten, Indizes, Backups und KI-Inferenz.
Fertig, wennStandortnachweis in einem Bericht und einem externen Audit, kein Inhaltsverkehr zwischen Regionen.
Installation beim Kunden (Helm oder Docker Compose), ein Air-Gapped-Modus mit lokalem Modell oder eigenem Modellanbieter und eine Lizenz.
Fertig, wennInstallation an einem Tag nach Anleitung, Updates ohne Ausfallzeit.
Ein KMS mit HSM, BYOK und HYOK für Workspace-Schlüssel, Rotation ohne Ausfallzeit und eine Schlüsselzeremonie.
Fertig, wennDer Hauptschlüssel verlässt das HSM nie, und das Widerrufen eines Mandantenschlüssels macht die Daten unzugänglich (getestet).
Ein hybrides KEM aus X25519 + ML-KEM-768 für Nachrichten und Schlüssel, optionale ML-DSA-Signaturen und MLS (RFC 9420) für gemeinsame Postfächer mit E2E. Abwärtskompatibel zu OpenPGP.
Fertig, wennDie NIST-Testvektoren bestehen, und das Verschlüsseln von 1 MB dauert unter 100 ms.
Ein unveränderliches Audit-Log (WORM) mit SIEM-Export, ISO 27001, SOC 2 Type II, ein jährlicher externer Pentest und ein Bug-Bounty-Programm.
Fertig, wennEin ISO-27001-Zertifikat und keine kritischen Pentest-Funde, die länger als 30 Tage offen sind.
Ein SLA, Prioritäts-Support mit technischem Ansprechpartner, ein Auftragsverarbeitungsvertrag (AVV) und eine öffentliche Statusseite.
Fertig, wennEin Verfügbarkeitsbericht, der das SLA über 6 Monate erfüllt.
Wie wir planen
Es zählt, dass eine Funktion bei den Nutzern ankommt, nicht dass der Code geschrieben ist.
Jeder Punkt hat eine Abschlussbedingung, die sich mit einem Test prüfen lässt und nicht mit einer Meinung.
Wir planen für ein Team aus 2–3 Personen und prüfen den Plan jedes Quartal. Muss etwas weichen, kürzen wir Phase 2, bevor Phase 1 leidet.
Zustellbarkeit, Skalierung und rechtliche Konformität warten nicht bis zum Schluss. Ohne sie ist alles andere nichts wert.
Unter der Haube
E-Mail muss im Posteingang ankommen, ohne Ausfälle wachsen und im Rahmen des Rechts bleiben. Diese drei Stränge laufen neben den Funktionen her.
Wir wachsen in Stufen, von einem einzelnen Server über PostgreSQL, Objektspeicher und Warteschlangen bis zu getrennten Mailknoten und mehreren Regionen. Zur nächsten Stufe gehen wir, wenn die Messwerte es sagen, nicht der Kalender.
IP-Warm-up, SPF, DKIM und DMARC, MTA-STS, TLS-RPT, DANE und BIMI, Filterung mit Rspamd und ClamAV sowie ein Ersatz-Relay. Deine Mails sollen im Posteingang landen, nicht im Spam.
DSGVO und Auftragsverarbeitungsverträge, ePrivacy für Tracking-Pixel und der AI Act: Transparenz bei KI-generierten Inhalten und kein Training mit deiner Post.
Diese Roadmap lebt. Sag uns, was du zuerst sehen willst, und wir melden uns bei dir.
Zwei Minuten, keine Kreditkarte. Du bekommst eine Adresse @mbox.ulewicz.space, 15 GB und eine KI, die ab der ersten Mail hilft.
Kostenlose Adresse @mbox.ulewicz.space · keine Werbung · keine Karte
