Übersicht zur Sicherheit der TrekMail-Plattform

TrekMail schützt Ihr Konto und Ihre E-Mail-Daten mit üblichen Sicherheitsmaßnahmen der Plattform. Diese Übersicht erläutert die im Produkt sichtbaren Kontrollen.

Von Ihnen verwaltete Sicherheitskontrollen

• E-Mail-Verifizierung: Neue Konten bestätigen ihre E-Mail-Adresse. Der Versand ist nicht verfügbar, bis die Verifizierungsanforderung für das Konto erfüllt ist. Wird die Konto-E-Mail-Adresse geändert, beginnt die Verifizierung erneut.
• Zwei-Faktor-Authentifizierung (TOTP) für die Kontoanmeldung.
• Rollenbasierter Zugriff über Kontoinhaberschaft und Administratorberechtigungen, sofern verfügbar.
• Passwortrichtlinien und Passwortverwaltungsabläufe für Konten und Postfächer, einschließlich des Portals zum Ändern des Postfachpassworts.
• API-Token mit konfigurierbaren Berechtigungsbereichen, Domainbeschränkungen und Ablaufdaten. Kopieren Sie ein neues Token, wenn es angezeigt wird, und halten Sie es geheim.
• Drive-Gerätepasswörter (Synchronisierung): Verwenden Sie für jede Synchronisierungs-App oder jedes Gerät ein eigenes beschränktes Passwort. Erstellen Sie es im Dashboard oder Webmail unter Drive → Sync devices. Geben Sie ihm einen Namen, wählen Sie Berechtigungen und legen Sie optional ein Ablaufdatum fest. Administratoren können kontoweite Passwörter erstellen; Postfachnutzer können im Webmail reine Postfachpasswörter erstellen. Beim Widerruf eines Passworts bleiben andere Geräte verbunden. Ein neues Passwort wird nur bei seiner Erstellung angezeigt. Administratoren können Geräte in beiden Oberflächen sehen und widerrufen. Der vollständige Lebenszyklus ist unter Synchronisierte Geräte beschrieben.
• Das API-Auditprotokoll hilft Administratoren, API-Aktivitäten zu prüfen und unerwartete Änderungen zu untersuchen.

Datenverschlüsselung

• Geschützte Geheimnisse: Vertrauliche Zugangsdaten, die TrekMail für einen Vorgang wiederherstellen können muss, etwa bestimmte Anbietertoken oder Migrationszugangsdaten, werden mit Anwendungsverschlüsselung gespeichert. Passwörter, die nur zur Authentifizierung dienen, werden als Einweg-Hashes gespeichert.
• Sicherheitswartung: TrekMail pflegt die Schutzmaßnahmen für gespeicherte Daten, ohne dass Sie Ihr Konto neu konfigurieren müssen.
• Compliance-Unterlagen: Begrenzte Abrechnungs- und Verwaltungsunterlagen können bei der Kontolöschung aufbewahrt werden. Die geltenden Regeln finden Sie unter Datenschutz und Datenaufbewahrung.
• Passwortschutz: Passwörter sind geschützt und werden nach ihrer Erstellung oder Änderung nicht erneut angezeigt. Verwenden Sie den verfügbaren Ablauf zum Ändern oder Zurücksetzen, wenn Sie ein neues benötigen.

Betriebliche Verfahren

• TLS ist für die unter Apps & devices angezeigten IMAP- und SMTP-Verbindungen erforderlich. Verwenden Sie genau den Host, Port und die TLS-Methode, die für das Postfach oder die Marke angezeigt werden, statt Werte aus einer alten Anleitung zu kopieren.
• DNS-Authentifizierung (SPF, DKIM, DMARC) ist für den Versand erforderlich, um Ihre Domainidentität zu schützen.
• Wegwerf- und Einmal-E-Mail-Adressen werden bei der Registrierung blockiert, um Missbrauch zu verhindern.
• Eingehende E-Mails werden durch mehrere Spam- und Sicherheitskontrollen geprüft, einschließlich Schutz vor gefährlichen Anhängen.
• Ratenbegrenzungen und Missbrauchskontrollen schützen öffentliche Anmeldungen und E-Mail-Dienste.
• Browser-Sicherheitskontrollen tragen zum Schutz von Dashboard und Webmail bei.
• Deaktivierte und gesperrte Postfächer sind von der Zustellung ausgeschlossen. TrekMail nimmt keine E-Mails für ein inaktives Postfach an und leitet sie nicht weiter.
• Ausgehende E-Mails werden pro Postfach überwacht. Deuten ausgehende Nachrichten eines Postfachs auf ein gestohlenes Passwort hin, kann TrekMail den Versand dieses Postfachs stoppen, ohne andere Postfächer des Kontos zu unterbrechen. Ändern Sie das Passwort und wenden Sie sich an den Support, um die Wiederherstellung des Versands prüfen zu lassen. Weitere Informationen finden Sie unter Postfachsicherheit.
• Automatisierte Auditprüfungen blockieren anfällige Abhängigkeiten während der Bereitstellung.

Unabhängige Forschende können vor Tests oder der Meldung eines Problems unsere Richtlinie zur Offenlegung von Sicherheitslücken lesen. Forschende, deren gültige Meldungen zum Schutz von TrekMail beitragen, können in unserer Security Hall of Fame gewürdigt werden.

API- und MCP-Sicherheit

• API-Token verwenden Bearer-Authentifizierung über HTTPS. Halten Sie ein Token geheim und widerrufen Sie es, wenn Sie eine Offenlegung vermuten.
• Berechtigungsbereiche begrenzen die möglichen Aktionen eines Tokens. Domainbeschränkungen begrenzen die Domains, auf die es zugreifen kann.
• Die Postfachlöschung erfordert einen zweistufigen Ablauf aus Absicht und Bestätigung, der nach 10 Minuten abläuft.
• Der MCP-Server deaktiviert destruktive Vorgänge standardmäßig. Löschwerkzeuge müssen ausdrücklich aktiviert werden.
• Verbindungseinstellungen und Migrationsanfragen werden vor der Verwendung validiert.
• Administratoren können API-Aktivitäten unter AI Agents & API → Audit Log prüfen.
• Anfragelimits schützen Postfachdaten vor automatisierter Erfassung.

Schnelle Maßnahmen und Fehlerbehebung

• Aktivieren Sie 2FA für alle Administratoren, um das Risiko einer Kontoübernahme zu verringern.
• Halten Sie DNS-Einträge aktuell, um Spoofing und Zustellbarkeitsprobleme zu verhindern.
• Widerrufen Sie API-Token sofort, wenn Sie eine Kompromittierung vermuten.
• Prüfen Sie das API-Auditprotokoll regelmäßig auf unerwartete Aktivitäten.
• Melden Sie verdächtige Aktivitäten mit Zeitstempeln und betroffenen Konten über das Support Center.