Sicherheit
Sicherheit bei Mail.Land
Die Maßnahmen, die wir heute betreiben, aufbereitet für Sicherheitsprüfungen und Lieferantenfragebögen. Wir führen nur auf, was heute umgesetzt ist, und sagen, wo etwas noch nicht verfügbar ist.
Zertifizierungsstatus
Mail.Land verfügt heute über keine Sicherheitszertifizierung: kein Zertifikat nach ISO 27001, keinen Bericht nach SOC 2 und keinen veröffentlichten Penetrationstest durch Dritte. Diese Seite beschreibt unsere Maßnahmen in ihrem aktuellen Stand. Ändert sich das, ändert sich auch diese Seite.
Umgesetzte Maßnahmen
Jeder der folgenden Punkte beschreibt eine Maßnahme, die heute im Produktivbetrieb läuft.
Hosting und Netzwerk
- Die Produktivsysteme laufen bei Hetzner in Deutschland, in Nürnberg und Falkenstein. Unsere Datenbanken und Mailserver befinden sich in Nürnberg.
- Eine verschlüsselte sekundäre Backup-Kopie wird auf von uns betriebener Infrastruktur in Warschau, Polen, gespeichert.
- Der Webverkehr zur Website, zum Dashboard und zur API wird über Cloudflare geleitet, das Schutz vor DDoS-Angriffen bietet.
- Die Server sind durch Firewalls geschützt, und auf den Anwendungs- und Message-Queue-Hosts blockiert eine automatische Erkennung (CrowdSec) missbräuchliche Verbindungsversuche.
Verschlüsselung
- Verbindungen zum Dashboard und zur API verwenden HTTPS.
- Das SMTP-Relay akzeptiert eine Anmeldung erst, nachdem die Verbindung mit STARTTLS verschlüsselt wurde.
- Die Zustellung an die Mailserver der Empfänger erfolgt über TLS, sofern der empfangende Server dies unterstützt.
- API-Schlüssel werden nur als Hashwerte gespeichert und können daher nicht ausgelesen werden. Passwörter werden als bcrypt-Hashwerte gespeichert.
- Geheimnisse für die Zwei-Faktor-Authentifizierung und Signaturgeheimnisse für Webhooks werden verschlüsselt gespeichert.
- Externe Backups werden verschlüsselt, bevor sie unsere Server verlassen. Die Schlüssel liegen bei uns, nicht beim Speicheranbieter.
Kontosicherheit
- Die Zwei-Faktor-Authentifizierung mit einer Authenticator-App steht jedem Benutzer zur Verfügung, mit einmalig verwendbaren Wiederherstellungscodes.
- Single Sign-on mit Google, Microsoft, Okta oder einem beliebigen OpenID Connect-Anbieter ist in jedem Tarif enthalten. Sie können SSO für Ihre E-Mail-Domain verpflichtend machen; damit wird die Anmeldung per Passwort für diese Domain deaktiviert.
- Teamrollen: Owner, Admin, Member und Viewer.
- Ein Aktivitätsprotokoll erfasst die in Ihrem Konto ausgeführten Aktionen.
- Wiederholte fehlgeschlagene Anmeldeversuche werden vorübergehend blockiert.
Noch nicht verfügbar
- Ein Konto kann die Zwei-Faktor-Authentifizierung noch nicht für alle Mitglieder vorschreiben; jeder Benutzer aktiviert sie für sich selbst.
- Single Sign-on über SAML und Passkeys werden nicht unterstützt.
API-Schlüssel
- Jeder Schlüssel kann auf die API oder auf SMTP, auf ausgewählte Absender-Domains und auf eine Liste zulässiger IP-Adressen beschränkt werden.
- Schlüssel können ein Ablaufdatum und eigene Ratenlimits erhalten.
- Wenn Sie einen Schlüssel rotieren, funktioniert der bisherige Schlüssel während einer von Ihnen festgelegten Übergangsfrist weiter, sodass Sie den neuen Schlüssel ohne Ausfallzeit ausrollen können.
- Mit einem auf reine Protokollierung eingestellten Sandbox-Schlüssel testen Sie, ohne dass E-Mails zugestellt werden.
E-Mail-Authentifizierung
- Sie können nur von einer Domain senden, die Sie per DNS verifiziert haben. Bei der Verifizierung werden Ihre SPF-, DKIM-, DMARC- und Return-Path-Einträge geprüft.
- Mail.Land fügt jeder Nachricht eine eigene, zweite DKIM-Signatur hinzu, sodass Postfachanbieter erkennen können, welche Plattform sie versendet hat.
Signierte Webhooks
- Anfragen von Ereignis-Webhooks werden mit HMAC-SHA256 signiert, und zwar mit einem Geheimnis, das für jeden Webhook eindeutig ist.
- Der Signatur-Header enthält einen Zeitstempel, sodass Ihr Endpunkt alte oder wiedereingespielte Anfragen ablehnen kann. Unsere Dokumentation empfiehlt ein Zeitfenster von fünf Minuten.
Missbrauchsprävention
- Jeder Kunde stimmt unserer Richtlinie zur akzeptablen Nutzung zu.
- Bevor ein Konto für den Versand freigegeben wird, prüfen wir die Organisation und ihre wirtschaftlich Berechtigten anhand amtlicher Sanktionslisten.
- Links in Kampagnen sowie getrackte Links beim Anklicken werden mit Google Web Risk auf Phishing und Schadsoftware geprüft.
- Jede Person kann einen Missbrauch des Dienstes über unser Formular zur Missbrauchsmeldung melden.
Betrieb
- Die Produktivdienste werden mit zentralisierten Metriken, Protokollen und Alarmen überwacht.
- Wiederherstellungen aus Backups werden in isolierten Umgebungen geübt.
- Unsere .NET-Abhängigkeiten werden in unserer Build-Pipeline auf bekannte Schwachstellen geprüft, und ein Befund mit hohem oder kritischem Schweregrad stoppt den Build.
- Der Zugriff auf Produktivsysteme und personenbezogene Daten ist auf eine kleine Zahl befugter Mitarbeitender beschränkt.
Benachrichtigung über Vorfälle und Datenpannen
Betrifft eine Datenpanne Ihre Daten, benachrichtigen wir Sie unverzüglich, nachdem sie uns bekannt geworden ist, wie Artikel 33 Absatz 2 der DSGVO es verlangt. Die Meldung erfolgt an Ihren benannten Sicherheitskontakt oder, falls keiner benannt wurde, an die Owner- und Admin-Benutzer Ihres Kontos. Abschnitt 6 des AVV legt fest, was die Meldung enthält und wie wir Sie bei der Erfüllung Ihrer eigenen Pflichten unterstützen.
Eine Schwachstelle melden
Wenn Sie ein Sicherheitsproblem in Mail.Land finden, schreiben Sie uns eine E-Mail. Bitte geben Sie die Schritte zur Reproduktion und die betroffenen Teile des Dienstes an. Wir sind bestrebt, Meldungen innerhalb von 72 Stunden zu bestätigen, und folgen dem Verfahren der koordinierten Offenlegung. Ein bezahltes Bug-Bounty-Programm betreiben wir nicht.
- Sicherheitskontakt:
- [email protected]
Sicherheitsfragebögen
Senden Sie Ihren Fragebogen an unseren Sicherheitskontakt. Wir beantworten ihn auf Grundlage der Fakten auf dieser Seite, im AVV und in unserer Datenschutzerklärung. Für Fragen zum Datenschutz lesen Sie unsere DSGVO-Seite.
Häufig gestellte Fragen
Haben Sie SOC 2 oder ISO 27001?
Nein. Mail.Land verfügt heute über keine Sicherheitszertifizierung. Stattdessen führt diese Seite die Maßnahmen auf, die wir betreiben.
Wo werden meine Daten gehostet?
Unsere Produktivsysteme laufen bei Hetzner in Deutschland, mit einer verschlüsselten Backup-Kopie in Warschau, Polen. Einige Anbieter wie Cloudflare, Stripe und Google können begrenzte Daten außerhalb der EU verarbeiten. Unsere DSGVO-Seite führt jeden davon auf.
Können wir die Zwei-Faktor-Authentifizierung für unser Team erzwingen?
Noch nicht. Jeder Benutzer kann die Zwei-Faktor-Authentifizierung aktivieren, und Sie können SSO für Ihre E-Mail-Domain verpflichtend machen, aber ein Konto kann die Zwei-Faktor-Authentifizierung noch nicht für alle Mitglieder erzwingen.
Unterstützen Sie SAML?
Nein. Single Sign-on funktioniert mit Google, Microsoft, Okta und jedem OpenID Connect-Anbieter.
Wie prüfe ich, ob ein Webhook von Mail.Land stammt?
Prüfen Sie den Header X-MLND-Signature: ein HMAC-SHA256 über den Zeitstempel und den Anfragetext, mit dem Geheimnis Ihres Webhooks als Schlüssel. Unsere Dokumentation enthält Beispiele in acht Sprachen.
Fragen zur Sicherheit?
Schreiben Sie an unseren Sicherheitskontakt, oder lesen Sie den AVV mit der vollständigen Liste der Maßnahmen.