E-Mail-Archivierung für macOS
MailVault archiviert Ihre IMAP-Konten lokal auf dem Mac. Unveränderbar, volltextdurchsuchbar, mit lückenlosem Prüfprotokoll für die Revision.
Ein Archiv, das vier Regelwerke gleichzeitig erfüllt. Massgebend ist immer die längste Frist.
Schweiz
GeBüV / OR 957-958f
Zehn Jahre ab Geschäftsjahresende, unveränderbare Ablage, Integritätsnachweis.
Deutschland
GoBD / HGB 257 / AO 147
Unveränderbarkeit, Nachvollziehbarkeit, maschinell auswertbarer Export.
EU
DSGVO Art. 17
Selektive Löschung durch Schlüsselvernichtung, ohne den Integritätsnachweis zu brechen.
USA
SEC 17a-4 / FINRA 4511
WORM-Ablage, herunterladbarer Index, vollständiger Prüfpfad.
Oberfläche und Kontrollbericht in Deutsch, Englisch, Französisch, Italienisch und Spanisch. Weitere Sprachen sind in Arbeit und auf Anfrage erhältlich.
Ein Postfach kann geleert, ein Ordner verschoben, eine Nachricht gelöscht werden. Beim Anbieterwechsel bleibt oft nur ein Export übrig, den niemand mehr öffnen kann. Und wer nach acht Jahren belegen muss, was am 14. März vereinbart wurde, hat selten noch den Server, auf dem es stand.
Die Aufbewahrungspflicht verlangt nicht, dass Sie E-Mails irgendwo liegen haben. Sie verlangt, dass Sie belegen können, dass sich nichts daran geändert hat.
Die Aufbewahrung hat so zu erfolgen, dass die Geschäftsbücher und die Buchungsbelege bis zum Ablauf der Aufbewahrungsfrist jederzeit eingesehen und gelesen werden können.
Sinngemäss nach OR Art. 958f in Verbindung mit der GeBüVWas die Software tut
Postfächer werden mit EXAMINE geöffnet und mit BODY.PEEK gelesen. Keine Nachricht wird als gelesen markiert, kein Flag verändert. Der IMAP-Client verweigert schreibende Befehle, bevor ein Byte die Leitung erreicht.
Dazu Import aus mbox, Maildir, Apple Mail, Thunderbird, MH und einzelnen EML-Dateien. Das Format wird erkannt, nicht abgefragt.
61%
Speicherbedarf gegenüber dem Original im abgebildeten Demoarchiv. Nachrichten und Anhänge werden über ihren SHA-256 nur einmal abgelegt und einzeln komprimiert.
SQLite FTS5 über Betreff, Beteiligte, Anhangnamen und Text. Umlaute und ihre ASCII-Schreibweise finden einander, Terminbestätigung also auch Terminbestaetigung.
Eine gespeicherte Suche ist eine flache Liste. Ein intelligenter Ordner ist ein Baum: vierundzwanzig Felder, vier Ebenen tief verschachtelbar, mit zwischengespeicherten Zählern, die verworfen werden, sobald sich das Archiv ändert.
Mailboxen, Jahre, Absender und intelligente Ordner, jeweils mit Anzahl.
Export als EML, mbox, Maildir oder als portables HTML-Archiv, das ohne Server und ohne Installation im Browser läuft. Der Export trägt Index, Prüfprotokoll und Siegel mit sich.
Und zurück: mailvault upload stellt ein Archiv mit Originalordnern, Flags und Zustellzeiten wieder auf einen IMAP-Server.
Das ist keine Absichtserklärung, sondern eine Eigenschaft des Clients. Solange die Verbindung nicht ausdrücklich schreibend geöffnet wurde, und das ist nur die Zielseite einer Migration, weist der Client jeden schreibenden Befehl vor dem Senden zurück.
Integrität
Jede Handlung wird protokolliert, und jeder Eintrag enthält den Hash seines Vorgängers. Ein nachträglich geänderter oder entfernter Eintrag bricht die Kette an genau dieser Stelle.
In regelmässigen Abständen wird der Kopf der Kette signiert. Der öffentliche Schlüssel lässt sich einer Revisionsstelle getrennt aushändigen, die damit ohne diese Software prüfen kann.
Auf Wunsch holt jedes Siegel ein RFC-3161-Token bei einer Zeitstempelstelle. Die Uhr des eigenen Rechners lässt sich zurückstellen, die Aussage eines Dritten nicht.
verify --deep liest jede Nachricht neu aus dem Speicher, setzt sie aus ihren Bestandteilen zusammen und vergleicht sie Byte für Byte mit dem Hash, der beim Einlesen genommen wurde.
Die GeBüV verlangt eine periodische Kontrolle. Eine Kontrolle ist eine Person, die an einem Datum hinschaut und mit ihrem Namen dafür einsteht. Genau das erzeugt MailVault als datiertes PDF zur Unterschrift.
23MB/s
Einlesen auf gemischter Geschäftspost. Parsen, Hashen und Komprimieren laufen auf allen Kernen.
564MB
Spitzenspeicher beim Import von 435 MB. Der Bedarf wächst nicht mit der Archivgrösse.
377000
Nachrichten im Testarchiv. Seitenleiste in 17 ms, Wechsel der Mailbox in 14 ms.
1GiB
Grösse je Pack-Datei. Jede wird beim Abschluss versiegelt und mit ihrer Prüfsumme festgehalten.
Alle Werte auf einem Apple-Silicon-Mac erhoben. Der Speicherbedarf hängt stark vom Bestand ab: Text komprimiert vier- bis sechsfach, bereits komprimierte Anhänge wie PDF oder JPEG kaum. Für gemischte Geschäftspost ist mit 40 bis 60 Prozent des Originals zu rechnen.
Im Einzelnen
Mehrere Regelwerke können gleichzeitig gelten. Die wirksame Frist ist immer die längste.
index.csv und index.json neben den Originaldateien.mailvault request stellt alles zu einer Person zusammen.Ein Teil der Anforderungen ist organisatorisch. Wo das so ist, weist MailVault den Punkt als offen aus, statt ihn als erfüllt zu zeigen.
Der Ort wird im Archiv festgehalten und in jeder Prüfung genannt. Angelegt und aktuell gehalten wird die Kopie von Ihrer Sicherung.
GeBüV Art. 5Eine Vorlage liegt bei, der technische Teil ist ausgefüllt. Wer im Haus was tut und wer vertritt, kann nur Ihr Haus beschreiben.
GeBüV Art. 4Die Prüfung läuft auf Knopfdruck und der Bericht wird gesetzt. Hinschauen und unterschreiben muss eine Person.
GeBüV Art. 9Jedes Siegel kann ein RFC-3161-Token tragen. Welche Stelle das ausstellen soll, ist eine Entscheidung Ihres Hauses.
GeBüV Art. 7 Abs. 2In keiner Einstellung. Eine abgelaufene Frist ist die Erlaubnis zu vernichten, nicht die Anweisung dazu. Wer vernichten will, muss die Liste zuvor geprüft haben, eine verantwortliche Person und einen Grund angeben und die Bestätigung von Hand tippen. Rechtliche Sperren stechen alles.
Der portable Export ist ein Ordner mit einer index.html. Ohne Server, ohne Installation, ohne Netz. Die Seite öffnet unabhängig von der Grösse sofort, weil Zeilen, Suchindex und Nachrichtentexte erst beim Bedarf nachgeladen werden.
Wer lieber unter die Haube schaut: das Format ist dokumentiert. Der Katalog ist eine gewöhnliche SQLite-Datei, ein Pack-Datensatz besteht aus zwanzig Byte Kopf und einem Deflate-Strom, Kette und Siegel lassen sich mit sha256sum und einer beliebigen Ed25519-Implementierung nachrechnen.
Etwas offen geblieben? Schreiben Sie uns, wir antworten mit einer Einschätzung zu Ihrem Bestand.
Nein. Postfächer werden mit EXAMINE geöffnet und mit BODY.PEEK gelesen, es wird nichts als gelesen markiert und kein Flag angefasst. Der Client lehnt schreibende Befehle ab, solange die Verbindung nicht ausdrücklich schreibend geöffnet wurde. Das ist nur bei der Zielseite einer Migration der Fall.
Nie von selbst. Es gibt in keiner Einstellung eine automatische oder zeitgesteuerte Vernichtung. Die Voreinstellung meldet abgelaufene Nachrichten nur. Wer sie vernichten will, muss die Liste zuvor geprüft haben, eine verantwortliche Person und einen Grund angeben und die Bestätigung von Hand tippen. Jede Nachricht wird im Moment der Vernichtung noch einmal geprüft, damit eine zwischenzeitlich gesetzte Sperre greift.
Sie kollidieren seltener, als es aussieht: Wo eine gesetzliche Aufbewahrungspflicht besteht, geht sie dem Löschbegehren vor. Wo keine besteht, muss gelöscht werden können, ohne den Nachweis für alles Übrige zu zerstören. MailVault verschlüsselt darum jeden Nachrichtentext unter einem eigenen Schlüssel und vernichtet im Löschfall diesen Schlüssel. Der Datenträger bleibt unangetastet, die Kette bleibt prüfbar, und dass gelöscht wurde, steht im Protokoll.
Sie ist ein abgeleiteter Index, nicht der Bestand. mailvault rebuild-catalog baut sie vollständig aus den Pack-Dateien neu auf: Nachrichten, Ordnerzuordnung, Flags, Aufbewahrungsdaten, Volltextindex, rechtliche Sperren. Ein Test löscht die Datenbank und prüft, dass Suchergebnisse und alle Prüfsummen unverändert zurückkommen.
Nein, und externe Inhalte in HTML-Mails werden bewusst nicht geladen. Ein nachgeladenes Bild würde dem Absender melden, dass und wann ein Archiv gelesen wurde, und die Nachricht so darstellen, wie sein Server heute antwortet, statt wie sie ankam. Was fehlt, wird über der Nachricht benannt, statt stillschweigend zu fehlen.
Auf Ihrem Mac oder auf Ihrem Speicher, in einem einzigen Archivordner. Es gibt keinen Dienst dahinter, kein Konto und keine Übermittlung an uns. Für die Datenbank ist lokaler Speicher nötig, weil SMB, NFS und AFP unzuverlässig sperren. Diesen sichern Sie dann auf das Netzlaufwerk.
Ja. Mailboxen werden nach Konto gruppiert, und dieselbe Nachricht aus zwei Konten wird einmal gespeichert und von beiden verlinkt. Ein Archiv bis etwa eine Million Nachrichten bleibt in der Bedienung unauffällig.
Wenn ein Export vorliegt, lässt er sich importieren: mbox, Maildir, Apple Mail, Thunderbird, MH oder lose EML-Dateien. Nicht gelesen werden PST, OST, OLM und MSG. Diese müssen vorher in ein offenes Format überführt werden.
Oberfläche und Kontrollbericht laufen auf Deutsch, Englisch, Französisch, Italienisch und Spanisch. Übersetzt wird nicht nur die Bedienung: auch die Prüfungen, ihre Befunde und die offenen Punkte im Bericht erscheinen in der gewählten Sprache. Gesetzliche Bezeichnungen wie GeBüV Art. 9 oder Verfahrensdokumentation bleiben als Fachbegriff stehen, weil eine übersetzte Fundstelle auf nichts mehr verweist.
Weitere Sprachen sind in Arbeit und können angefragt werden.
macOS 14 oder neuer, auf Apple Silicon oder Intel. Für IMAP eine Verbindung mit TLS auf Port 993. Ein Server, der ausschliesslich STARTTLS auf Port 143 anbietet, wird gemeldet statt stillschweigend unverschlüsselt verwendet.
Sagen Sie uns, wie viele Postfächer Sie haben und welche Regelwerke für Sie gelten. Sie erhalten eine Einschätzung zu Aufwand, Speicherbedarf und Lizenz.