Sicherheit

2. Die beiden Versandarten: Der Unterschied ist wichtig

Wir empfehlen „Einfach", weil es für die meisten Fälle genügt und tatsächlich benutzt wird. Wer einer Verschwiegenheitspflicht unterliegt, sollte „Sicherer" wählen. Dort ist das Mitlesen technisch ausgeschlossen.

3. Empfangs-Postfächer

Ein Postfach ist ein dauerhafter Link, den Sie einmal einrichten und dann weitergeben, zum Beispiel auf Ihrer Website, in der E-Mail-Signatur oder in einer Terminbestätigung. Wer den Link öffnet, kann Ihnen darüber verschlüsselte Nachrichten und Dateien schicken, ohne selbst ein Konto oder eine Software zu brauchen. Für Kanzleien, Steuerberatungen und Praxen ist das der laufende, sichere Belegeingang: Mandanten, Patienten oder Bewerber senden Unterlagen ein, ohne dass diese unverschlüsselt per E-Mail unterwegs sind. Postfächer sind Teil des Pro-Tarifs (und in Business enthalten); im kostenlosen Tarif gibt es sie nicht.

Beim Anlegen wählen Sie eine von fünf Stufen: Einmal-Code per E-Mail, nur den Konto-Passkey, Code plus Passkey, Code plus zweiten Faktor oder eine eigene Passphrase mit echter Ende-zu-Ende-Verschlüsselung. Die Passkey-Varianten verwenden denselben Passkey wie die Anmeldung. Wer keinen Passkey eingerichtet hat oder dessen Gerät WebAuthn nicht unterstützt, kann Code, Authenticator oder eigene Passphrase verwenden.

Mit Business können Sie für die Einsendung zusätzlich durchsuchbare Vorlagen freischalten, etwa für Instagram, WordPress, FTP/SFTP, SSH, E-Mail, Hosting, Datenbank oder API-Zugang. Die Vorlage zeigt der einsendenden Person nur die Angaben, die für den gewählten Zugang normalerweise nötig sind. Diese Werte werden nicht als einzelne Metadaten übertragen, sondern im Browser zu einem Nachrichtenblock zusammengefügt und gemeinsam verschlüsselt. Für einzelne Kunden lassen sich außerdem widerrufbare persönliche Formulare mit vorausgefülltem Namen, E-Mail-Adresse, Einleitung und einer festen Vorlage erzeugen. Die Vorbelegung liegt verschlüsselt in der Kontodatenbank; die URL selbst enthält nur eine zufällige Kennung.

Die folgende Sicherheitsbewertung vergleicht diese fünf Stufen untereinander auf einer Skala von 0 bis 100. Sie zeigt, wie viele voneinander unabhängige Dinge jemand für den Zugriff bräuchte. Das ist SchlüsselBots eigene, nicht extern geprüfte Einschätzung und keine absolute Sicherheitszertifizierung.

Der Passkey bestätigt Ihre Identität mit WebAuthn/FIDO2; biometrische Merkmale verlassen das Gerät nicht. Er ist kein Verschlüsselungsschlüssel. Nur bei der E2E-Passphrase erzeugt der Browser ein eigenes Schlüsselpaar: Der private Schlüssel wird ausschließlich passphrase-verschlüsselt gespeichert, und ohne die Passphrase kann niemand offene Einsendungen wiederherstellen.

Neue Einsendungen öffnen Sie direkt aus Ihrem angemeldeten Eingang; die frühere Benachrichtigungs-Mail müssen Sie dafür nicht suchen. Bei den vier Stufen ohne E2E-Passphrase liegt das URL-Fragment dafür AES-256-GCM-verschlüsselt auf dem Edge-Server, getrennt vom Chiffrat und nur bis Abruf, Ablauf oder Ausblenden. Der zugehörige root-geschützte Serverschlüssel liegt außerhalb der Datenbank und wird nicht in die Anwendungssicherung aufgenommen. Code, Passkey oder zweiter Faktor werden durch den direkten Knopf nicht umgangen. Nur die E2E-Passphrase schließt eine Kenntnisnahme durch uns technisch vollständig aus.

3a. Die Ausnahme: Klartext über die Programmierschnittstelle

Alles bisher Gesagte gilt für die Website. Über unsere Programmierschnittstelle hat ein Entwickler zusätzlich die Wahl: Er kann selbst verschlüsseln und uns nur das Chiffrat schicken (Feld ciphertext). Oder er übergibt uns den Klartext (Feld message); dann verschlüsseln wir für ihn, und der Inhalt erreicht uns lesbar.

Wir überschreiben ihn unmittelbar danach im Arbeitsspeicher und schreiben ihn nirgends auf die Platte. Aber für diesen einen Vorgang besteht die oben beschriebene Server-Blindheit nicht. Das gehört auf diese Seite, auch wenn es unbequem ist. Wer sie braucht, verschlüsselt selbst. Die Schnittstelle unterstützt beides.

Und auch beim Selbstverschlüsseln gibt es eine Bedingung, die wir hier ausdrücklich nennen: Wer zusätzlich zum ciphertext das Feld fragment mitschickt, übergibt uns damit seinen Schlüssel. Wir benötigen das Fragment, um den fertigen Abruf-Link zu bauen und per E-Mail zuzustellen. Wir speichern und protokollieren den Schlüssel nicht, aber für diesen Versand erreicht er unseren Server, genau wie bei der Versandart „Einfach" auf der Website. Vollständige Server-Blindheit über die Schnittstelle heißt deshalb: ciphertext ohne fragment senden und den Link selbst zustellen.

Über die Website passiert das nie: Dort gibt es keinen Weg, uns Klartext zu übergeben.

4. Aufbau

• Zwei getrennte Server. Ein Edge-Server nimmt entgegen und liefert aus. Ein Tresor-Server hält die Chiffrate und ist aus dem Internet nicht erreichbar.
• Verbindung nur über WireGuard, zusätzlich mit beidseitigem Zertifikat (mTLS). Ohne gültiges Client-Zertifikat nimmt der Tresor nichts an.
• Standort Deutschland. Edge-Server bei der netcup GmbH, Karlsruhe (mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO). Der Tresor-Server steht ebenfalls in Deutschland.
• Verfahren: AES-256-GCM für die Inhalte und WebAuthn/FIDO2 für die Passkey-Bestätigung des Postfach-Inhabers.
• Anmeldung per Passkey (WebAuthn) oder Passwort plus zweitem Faktor. Sicherheitsrelevante Änderungen verlangen eine frische Bestätigung.

5. Was SchlüsselBot sehen kann

Nicht die Inhalte. Wohl aber: Empfänger-Adresse, Zeitpunkte, Dateigröße und Abrufstatus. Diese Metadaten liegen bei uns verschlüsselt, aber wir könnten sie entschlüsseln. Wir brauchen die Adresse, um die Benachrichtigung zu verschicken. Für eine Kanzlei kann schon die Empfängerliste ein Mandatsverhältnis verraten. Das gehört gesagt.

6. Was SchlüsselBot nicht kann

• Nichts wiederherstellen. Geht der Link, der Schlüssel oder der Einmal-Code verloren, ist der Inhalt endgültig weg. Auch für uns. Senden Sie in dem Fall einfach neu.
• Keine Zustellung garantieren. Ob eine Benachrichtigungs-E-Mail ankommt, hängt auch vom Postfach des Empfängers und dessen Spamfilter ab.
• Keine Verfügbarkeit zusichern. Wir bemühen uns um einen durchgehenden Betrieb, schulden ihn aber nicht (§ 13 der AGB). Ein Archiv ist SchlüsselBot nicht.
• Kein Prüfsiegel vorweisen. Es gibt bislang kein externes Sicherheitsaudit, keine ISO-27001-Zertifizierung und keinen veröffentlichten Penetrationstest. Wer so etwas für eine Freigabe braucht, hat es hier nicht. Das sagen wir lieber, als es zu umschreiben.

7. Für Berufsgeheimnisträger

Zu den Berufsgeheimnisträgern zählen Rechtsanwälte, Notare, Steuerberater, Ärzte und Psychotherapeuten. Für sie sind zwei Fragen getrennt zu prüfen: Verarbeitet SchlüsselBot personenbezogene Daten in ihrem Auftrag, ist regelmäßig ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Werden fremde Geheimnisse einer sonstigen mitwirkenden Person zugänglich, verlangt § 203 Abs. 4 StGB außerdem, für deren Verpflichtung zur Geheimhaltung zu sorgen. Business stellt für beide Fälle die passenden Dokumente bereit; der AVV wird im Konto erzeugt und die Verpflichtungserklärung anschließend dazu abgeschlossen.

Was ist der Unterschied, in einfachen Worten? Der AVV regelt das Verhältnis zwischen Ihnen und SchlüsselBot als Unternehmen und betrifft die Verarbeitung personenbezogener Daten im Auftrag. Die Verpflichtungserklärung nach § 203 Abs. 4 StGB schützt dagegen ein Berufsgeheimnis und verpflichtet die tatsächlich mitwirkenden Personen zur Geheimhaltung. Ob beide Regelungen im Einzelfall greifen, hängt von Ihrer Rolle und dem konkreten Einsatz ab. Ein AVV ersetzt eine erforderliche Geheimhaltungsverpflichtung nicht; deshalb enthält Business beide Dokumente. Die rechtliche Einordnung des eigenen Einsatzes bleibt beim nutzenden Unternehmen.

Wählen Sie für technisch erzwungene Server-Blindheit beim direkten Versand die Versandart „Sicherer" und übermitteln Sie den Abruf-Link über einen getrennten Kanal.

8. Was Sie tun können

• Wählen Sie für sensible Inhalte „Sicherer" statt „Einfach".
• Verschicken Sie Link und Einmal-Code über zwei verschiedene Wege: Geben Sie den Link selbst weiter (im Termin, am Telefon oder per Messenger), den Einmal-Code mailen wir. Genau das ist die Versandart „Sicherer".
• Sagen Sie dem Empfänger vorher, dass sich der Link nur einmal öffnen lässt und dass er Dateien sofort speichern muss. Sie werden beim Öffnen direkt in die Seite geladen und sind weg, sobald er sie schließt oder neu lädt. Auf unserem Server löschen wir sie ohnehin spätestens 10 Minuten nach dem Öffnen. Und: Er soll den Link an dem Gerät öffnen, auf dem die Datei liegen soll.
• Schalten Sie in Ihrem Konto einen zweiten Faktor oder einen Passkey ein.

9. Schutz vor Betrug

Ein echter SchlüsselBot-Link beginnt immer mit https://schluesselbot.de/. Steht dort eine andere Adresse, ist er nicht von uns.

Wir fragen Sie niemals nach Ihrem Passwort, Ihrer Bankverbindung oder Ihrem Einmal-Code, weder am Telefon noch per E-Mail. Wer das tut, versucht zu betrügen. Das Öffnen des Links allein verbraucht übrigens noch nichts: Erst wenn Sie den Einmal-Code eingeben, wird die Nachricht angezeigt und danach gelöscht. Sie können den Link also in Ruhe ansehen.

Eine Lücke gefunden?

Wir freuen uns über die Meldung und antworten. Sie dürfen für die Prüfung unsere eigenen Systeme benutzen, solange Sie keine fremden Daten lesen, verändern oder löschen und den Betrieb nicht stören. Gegen Personen, die sich daran halten und uns vor einer Veröffentlichung Zeit zur Behebung geben, leiten wir keine rechtlichen Schritte ein.

Der maschinenlesbare Meldeweg steht unter /.well-known/security.txt (RFC 9116). Am liebsten ist uns der Weg über den Dienst selbst: Schreiben Sie Ihren Befund auf der Startseite, wählen Sie die Versandart „Sicherer" und schicken Sie uns den Link. Dann liegt Ihr Fund verschlüsselt vor.

Was uns besonders interessiert, weil dort unser Kernversprechen hängt: alles, wodurch wir selbst Inhalte lesen könnten, die wir nicht lesen dürfen; Wege, eine Nachricht ohne Einmal-Code oder Link abzurufen; und Wege, über unseren Versand fremde Adressen anzuschreiben.

Per E-Mail erreichen Sie uns an abuse (at) schluesselbot punkt de. Wir antworten, und wir bedanken uns.