Moinsen,
die verschiedenen von dir angesprochenen Punkte führen zu einer Komplexität und machen dadurch auch Antworten kompliziert. Ich sehe auch keinen roten Pfaden und genaue Ziele, somit ist aus Sicht der IT-Sicherheit „das“ Konzept eh brüchig.
Weg von Google
Im Thread später hast du formuliert, dass du von Google/GMX weg wolltest. Nun bist du bei Mailbox.org. Prima, einen guten Schritt getan.
Postfach schützen gegen nachträglichen Missbrauch
Bei mailbox.org siehst du dann Features wie z.B. Guard, also Postfachverschlüsselung, was eines von vielen Features dort ist. Das Feature macht (nur) Sinn, wenn du eh schon mit Mailverschlüsselung aktiv arbeitest und alles, was unverschlüsselt reinkommt, dann nachträglich verschlüsselt werden soll.
Würde es nur darum gehen, einen nachträglichen Missbrauch zu unterbinden, wäre ein einfacherer Weg, die E-Mails vom IMAP-Server zu verschieben in das Lokal-Verzeichnis von Thunderbird auf deinen gepflegten Computer.
Verschleierung / Domain
Du nutzt addy.io und ähnliche Verschleierer. Das geht auch mit den Alias-Adressen und vor allem den temporären Mailadressen bei Mailbox.org sehr gut.
Eine Domain ist ganz nett, bedeutet aber Whois-Daten deiner Person preisgeben. Die sind zwar nicht mehr für die Öffentlichkeit auslesbar, sind aber dennoch personenbezogener Daten, die leicht abfragbar sind für (behördliche) Dienste.
Die Domain-Einbindung bei mailbox.org klappt sehr gut. Aber hast du im DNS deiner Domain auch alle notwendigen Features aktiviert, DKIM, SPF, DMARC etc. und getestet mit MECSA? Auch alles wieder Arbeit und benötigt Kompetenz 
Verschlüsselung
In Anbetracht der politischen Entwicklungen Richtung Diktaturen/Oligarchen-Systemen und insbesondere der Missachtung von Rechtsstaatlichkeit ist Verschlüsselung sehr sinnvoll. Und zwar jetzt, damit du Erfahrungen sammelst.
Dabei geht es aber nicht nur um Verschlüsselung, sondern auch um die Herstellung von Authentizität, die m.E. genauso wichtig ist. Denn dadurch kann ich meine digitale Identität beweisen und die Gegenseite das prüfen. Genauso andersrum: denn wie soll ich z.B. prüfen können, dass die Rechnung von XY im Posteingang auch tatsächlich vom Absender ist.
OpenPGP zu beherrschen hat sehr große Vorteile, die Anwendung ist sehr mächtig. Im Thunderbird ist davon nur eine abgespeckte Version vorhanden. Das Hauptpasswort bei Thunderbird Desktop gesetzt zum Schutz der Logindaten und PGP-Keyphrasen?
Ansonsten sollte mensch sich positionieren auf der Skala der Bedrohung, woraus sich dann ergibt, wie stark und weitgehend Verschlüsselung angewendet werden sollte.
Bei Mail-Verschlüsselung sind auch die Orte wichtig zu beachten, von wo aus auf das Mailpostfach zugegriffen werden soll. Du hast da auch erwähnt:
- Thunderbird Desktop-Computer
- Thunderbird auf Android / Mobile
- Webmail
Es müssten also an drei Orten der Private Key verfügbar sein. Und du musst den zugrundeliegenden Computern vertrauen. Beim Mobile tue ich das nur bei einem GrapheneOS-System, bei Desktop-Computern nur mit Virtualisierung & Isolierung und im Besten Fall das dann mit Qubes. Das gilt dann auch zu bedenken.
Wiederherstellung
Einem Backup ist es egal, ob die Daten schon verschlüsselt sind. Von der Denke her sollte aber immer aus der Sicht der Wiederherstellung drauf geschaut werden. Wenn du da kein tragfähiges und geprüftes Konzept der Wiederherstellung hast, ist jede Erhöhung der Komplexität gefährlich, z.B. mit Verschlüsselung einfach anfangen
Testen
Testen ist immer wichtig und das am Besten nicht in der produktiven Umgebung. Investiere doch einfach ein paar Euro in einen zusätzlichen Account bei mailbox.org und hack da gnadenlos rum im Test-Account. Und prüfe dabei auch die Wiederherstellung usw.
Was dir genehm ist an Features und du auch beherrscht, übernimmst du in den regulären Account.
Die Mindestvertragslaufzeit ist ein Monat beim Tarif Standard (3€ im Monat).
Falls du Mailadressen übertragen willst vom Test- in den Produktivaccount, reduzieren für die Mailadresse die Sperrzeit auf „keine“ bei Löschung und trage sie dann sofort im anderen Account bei Alias-Adressen ein.
Volltextsuche
Die wurde hier ja angesprochen, weil bei Verschlüsselung des Postfaches das ja nun nicht mehr geht im Thunderbird und so. Ok, ein Nachtteil und muss erwähnt werden.
Siehe folgenden Punkt, Ordnung der Daten. Bei guter Datenstruktur kann eine fehlende Volltextsuche gut ausgeglichen werden.
Technisch ist es ansonsten auch möglich, E-Mails automatisch wieder zu entschlüsseln und im Klartext abzulegen. Logischerweise an einem lokalen, vertrauenswürdigen Ort. Jedenfalls kann dort dann wieder mit einer Volltextsuche gearbeitet werden.
Ordnung der Daten
Wenn ich mir aber Gedanken mache, um in der Praxis im Bereich Datensicherheit und Privatsphäre besser aufgestellt zu sein, sehe ich zwingend auch die Behandlung der eigenen Datenstruktur als beachtenswert, und das auch aus verschiedenen Blickwinkeln, z.B. die Spreu vom Weizen zu trennen, dem Löschverfahren, dem Archivierungskonzept (95% der Daten werden meist nie wieder angefasst nach 8 Wochen) usw.
Hilfreich und möglich bei Mailbox.org sind
- Alias-Mailadressen für bestimmte Rollen / Szenarien
- Temporäre Mailadressen mit automatischen Verfallsdatum
- Filter, gesetzt direkt am Mailserver, die anhand deiner Mailadressen wegsortieren
- Ziel: der eigentliche Posteingang ist leer bzw. beinhaltet nur wichtige, persönliche E-Mails. Der Rest ist in Unterordnern des Posteingangs.
soweit mein Beitrag zum Sonntag
