الأمانة
Ethik, mit Mechanismen
Jeder Dienst verspricht, deine Privatsphäre zu respektieren. Der Unterschied, für den es sich zu zahlen lohnt, ist die Durchsetzung — Zusagen, die halten, auch wenn der Betreiber nachlässig ist, verkauft, vorgeladen oder gehackt wird. Jede Zusage unten nennt den Mechanismus, der sie hält; wo der Mechanismus schwach ist, sagt der Eintrag es.
Diese Zusagen stehen unter der RocMail-Verfassung — dem Dokument, dem dieser Dienst Rechenschaft schuldet und dessen Artikel von Tests an ihrem Platz gehalten werden, die den Build scheitern lassen, sobald ein Schutz entfernt wird.
Wir können die Post, die wir speichern, nicht lesen
Keine Richtlinie — eine Eigenschaft. Gespeicherte Inhalte sind mit Schlüsseln versiegelt, die nur du besitzt; der Serverschlüssel, den es einmal gab, wurde aktenkundig vernichtet. Die ehrliche Grenze: Post von aussen wird bei der Ankunft gesehen und sofort versiegelt, und Post an Adressen ausserhalb wird gesehen, während sie gesendet wird. Zwischen Mitgliedern wird sie im Browser des Absenders versiegelt.
Mechanismus: Mashrabiya — Versiegelung mit ML-KEM-768 + X25519 beim Eingang; die Tresor-Passphrase verlässt dein Gerät nie.
Keine Werbung, niemals
Werbung finanziert sich mit Aufmerksamkeit und bezahlt mit Profilbildung. Ein Mailprodukt, das Werbung zeigt, liest etwas, um sie gezielt auszuspielen.
Mechanismus: Das Geschäftsmodell sind bezahlte Konten. Im Code gibt es keine Werbefläche, die man füllen könnte.
Keine Tracker, keine Anfragen an Dritte
Seiten hier laden von diesem Host und von keinem anderen. Keine Analyse-Skripte, keine Schriften von einem CDN, keine Like-Buttons, kein Tracking-Pixel in der Post, die wir dir schicken.
Mechanismus: Die Content-Security-Policy verbietet Skripte und Verbindungsziele Dritter ausnahmslos — ein Rückschritt würde sich weigern zu laden, und zwar laut.
Gehen vernichtet die Schlüssel, nicht bloss die Zeilen
Löschst du dein Konto, wird als Erstes jede Umhüllung deines Postfachschlüssels in der laufenden Datenbank vernichtet — die Post dort wird sofort unlesbar, für jeden. Backups von vor der Löschung behalten die alten Umhüllungen, bis sie auslaufen, und öffnen sich nur mit deiner alten Passphrase oder Wiederherstellungsphrase. Das Löschen von Zeilen allein könnte nicht einmal das versprechen: Datenbanken behalten Kopien gelöschter Daten in Seiten, Logs und Replikaten. Es gibt keine Hinterlegung und keinen Weg über den Support, der das rückgängig macht, für niemanden.
Mechanismus: shredVault() läuft als Erstes in der Löschkaskade, und ein Test durchsucht jede Tabelle und jede Spalte im Schema nach der ID des gelöschten Kontos — eine künftige Tabelle kann niemanden still behalten, der um seine Löschung gebeten hat.
Keine Datenwirtschaft
Wir verkaufen deine Daten nicht, teilen sie nicht, reichern sie nicht an und „anonymisieren und aggregieren“ sie nicht. Es gibt nichts, worauf sich das Produkt bauen liesse, ausser dem Produkt.
Mechanismus: Die interessanten Daten sind Chiffretext. Was man nicht lesen kann, kann man nicht zu Geld machen.
Externe Bilder standardmässig blockiert
Werbepost bettet Zählpixel ein, die melden, wann und wo du liest. RocMail zeigt dir die Nachricht, ohne sie nach Hause telefonieren zu lassen.
Mechanismus: Absender-HTML wird bereinigt, und externe Inhalte bleiben hinter einer Wahl pro Nachricht und pro Absender, die standardmässig aus ist.
Eine Ausgangstür, die funktioniert
Lock-in ist ein Geschäftsmodell, das auf den Kosten des Gehens beruht. Dein Postfach exportiert in Standard-mbox, mit Anhängen und in deinem Browser erstellt — Klartext, portabel, deins —, dazu ein versiegeltes Archivformat für verschlüsselte Backups.
Mechanismus: Beide Exporte stecken heute in den Einstellungen, nicht auf einer Roadmap. Beide umfassen das ganze Postfach.
Auch der Betreiber ist gebunden
Eine Instanz mit mehreren Nutzern braucht einen Betreiber; unserer verwaltet Konten, nicht Korrespondenz. Sperren, einladen, löschen — nie lesen. Und nicht einmal das liegt in einem Konto: Es geschieht an der Konsole des Servers selbst, sodass ein gestohlenes Passwort oder eine gestohlene Sitzung ein Postfach öffnet und nichts weiter.
Mechanismus: Es gibt keinen privilegierten Lesepfad, den man entfernen müsste, und keine Verwaltungsseite, für die man jemanden abfischen könnte. Die Befehle des Betreibers laufen gegen Chiffretext wie die Abfragen aller anderen.
Bezahlen, ohne dich zu identifizieren
Die Kosten der Privatsphäre werden mit Geld bezahlt, nie mit Identität: Bargeld per Post, Monero oder Bitcoin kaufen einen Gutschein, und der Gutschein speist ein beliebiges Konto.
Mechanismus: Die Gutscheintabelle speichert keine Verbindung zu einem Nutzer, und die Einlösung erfährt nie, welcher Code bezahlt hat — die Verbindung zwischen Zahlung und Postfach existiert nicht, also kann sie auch niemand erzwingen.
Ehrlichkeit über Grenzen
Verkehrsanalyse, das Problem des entsperrten Geräts, das Vertrauen in Client-Updates — die Schwachstellen stehen auf der Sicherheitsseite, statt in einer Datenpannen-Mitteilung entdeckt zu werden.
Mechanismus: Das Bedrohungsmodell ist öffentlich und wird mit dem Quellcode versioniert. Wo Dokumentation und Code sich widersprechen, gilt der Code, und das Dokument ist der Fehler.
لماذا
Warum ein E-Mail-Dienst, und warum so
Korrespondenz ist der Ort, an dem Menschen am meisten sie selbst sind — Verträge und Liebesbriefe, Diagnosen und Widerspruch. Der Branchenstandard behandelt diese Nähe als Lagerbestand. Wir meinen, das richtige Mass an Einblick, das ein Mailanbieter in das Leben seiner Nutzer haben sollte, ist keines, und wir haben das Produkt so gebaut, dass diese Überzeugung von Mathematik durchgesetzt wird, statt auf gutem Willen zu beruhen.
Dieselbe Überzeugung ist der Grund, warum dieses Produkt nur eines tut. Jede Funktion, die du hier nicht findest — Feeds, Boards, Tracker, Engagement-Mechaniken —, ist eine Funktion, die hätte begründen müssen, etwas über dich zu lesen, und es nicht konnte.