Schlüssel entstehen im Browser
Das OpenPGP-Schlüsselpaar erzeugst du auf deinem eigenen Gerät. Der Server erhält deinen privaten Schlüssel nie im Klartext.
OpenPGP · Curve25519
Sicherheit
Privatsphäre per Design, nicht per Richtlinie.
So funktioniert die Verschlüsselung in mbox: konkret, mit Algorithmennamen und einer ehrlichen Liste der Kompromisse. Ohne „Militärstandard“, ohne Magie.
- EU-Server (Hetzner, Falkenstein)
- Keine Werbung
- Kein Datenverkauf
- Kein KI-Training mit deiner Post
Architektur
Sechs Schichten, eine Regel: Der Server soll so wenig wie möglich wissen.
Von der Schlüsselerzeugung bis zum Transport. Du kannst jeden Schritt nachvollziehen, denn die Verschlüsselung läuft in deinem Browser.
Dein BrowserDu erzeugst die Schlüssel
Das OpenPGP-Paar entsteht lokal.
Dein BrowserDu verschlüsselst den privaten Schlüssel
Mit deiner Passphrase, vor dem Hochladen.
mbox-Server · EUWir speichern Chiffretext
Den öffentlichen und den verschlüsselten privaten Schlüssel.
Privater Schlüssel mit deiner Passphrase verschlüsselt
Damit du dich auf einem anderen Gerät anmelden kannst, speichern wir deinen privaten Schlüssel, aber erst nachdem er mit einer Passphrase verschlüsselt wurde, die nur du kennst. Ohne sie sind es zufällige Bytes.
Passphrase → verschlüsselter privater Schlüssel
Ende-zu-Ende zwischen Nutzern
Der Inhalt wird im Browser mit den öffentlichen Schlüsseln der Empfänger und deinem eigenen verschlüsselt, damit die Nachricht in „Gesendet“ lesbar bleibt. Unterwegs kann sie niemand lesen, auch wir nicht.
clientseitige Verschlüsselung
Passwort-Mails an alle
Ein Empfänger ohne mbox erhält einen Link. Aus dem Passwort wird ein Schlüssel abgeleitet, der die Nachricht in seinem Browser entschlüsselt. Das Passwort schicken wir nie an den Server.
AES-256-GCM · PBKDF2-SHA256 · 310.000 Iterationen
Zero-Access für eingehende Post
Schalte den Modus ein, und jede neue Mail wird direkt nach dem Eingang mit deinem öffentlichen Schlüssel verschlüsselt. Auf der Platte bleibt nur Chiffretext, den nur du lesen kannst.
Verschlüsselung beim Empfang · nur Chiffretext gespeichert
Transport und Absenderidentität
TLS überall. Ausgehende Mails sind mit DKIM signiert, eingehende werden auf SPF, DKIM und DMARC geprüft. Obendrauf sitzt ein Phishing-Schutz.
TLS · DKIM · SPF · DMARC
Vier Modi, eine Entscheidung, die bei dir liegt
Du wählst die Schutzstufe. Mehr Schutz heißt: Der Server, und damit die KI, sieht weniger.
| Modus | Wer den Inhalt lesen kann | KI und Inhaltssuche | Wann |
|---|---|---|---|
| Standard (TLS) | Du; der Server verarbeitet die Post, um sie zuzustellen | Funktionieren | Alltägliche Post |
| Ende-zu-Ende (OpenPGP) | Nur Absender und Empfänger | Nein, der Server sieht den Inhalt nicht | Vertrauliche Gespräche |
| Passwortgeschützt | Ein Empfänger, der das Passwort kennt | Nein, der Server sieht den Inhalt nicht | Nachrichten an Leute ohne Schlüssel |
| Zero-Access | Nur du | Nein, der Inhalt ist verschlüsselt | Postfach mit höchster Vertraulichkeit |
Kompromisse
Ehrlich darüber, was Privatsphäre kostet.
Verschlüsselung hat ihren Preis, und du sollst ihn vor der Entscheidung kennen, nicht danach.
- 1
Die KI kann Zero-Access-Post nicht lesen
Wenn der Server den Inhalt nicht sieht, sieht ihn auch kein Modell. Das wählst du pro Postfach.
- 2
Verlorene Passphrase heißt verlorene Nachrichten
Dein privater Schlüssel ist mit deiner Passphrase verschlüsselt. Wir kennen sie nicht und können sie nicht wiederherstellen, also auch keine verschlüsselten Mails retten.
- 3
Metadaten verschwinden nicht
Absender, Empfänger und Zeitpunkt werden für die Zustellung gebraucht und sind von der Inhaltsverschlüsselung nicht erfasst.
- 4
Verschlüsseln geht nur, wo ein Schlüssel ist
Außerhalb der mbox-Nutzer brauchen wir den öffentlichen Schlüssel des Empfängers oder ein Passwort. Sonst geht die Nachricht als Standardmail raus, geschützt durch TLS.
Die übrigen Schutzmaßnahmen
2FA und Wiederherstellungscodes
TOTP-Zwei-Faktor-Authentifizierung und einmalige Wiederherstellungscodes. Passwörter haben mindestens 10 Zeichen.
Sitzungskontrolle
Eine Liste aktiver Sitzungen mit Gerät und IP, jede per Klick beendbar.
Phishing-Schutz
Jede eingehende Mail erhält eine Risikobewertung mit Gründen, verdächtige Links werden markiert.
SPF, DKIM, DMARC
Du siehst an jeder Nachricht, ob der Absender die Prüfung bestanden hat. Unsere ausgehende Post ist DKIM-signiert.
Hosting in der EU
Hetzner-Server in Falkenstein, Deutschland. Deine Post selbst verlässt Europa nicht.
Keine Werbung, kein Datenhandel
Wir erstellen keine Profile, verkaufen keine Daten und nutzen deine Post nicht zum Training von Modellen.
Sicherheitslücke gefunden? Schreib an kontakt@mbox.ulewicz.space. Wir antworten wie Menschen und bedanken uns wie Menschen.
Ein Postfach, das endlich für dich arbeitet.
Zwei Minuten, keine Kreditkarte. Du bekommst eine Adresse @mbox.ulewicz.space, 15 GB und eine KI, die ab der ersten Mail hilft.
Kostenlose Adresse @mbox.ulewicz.space · keine Werbung · keine Karte