Whiteout Email indiegogo-Kampagne

Ich will Whiteouts indiegogo-Kampagne vorstellen.

Emails sind wichtig. Mögen Teenager sie auch nicht mehr/noch nicht nutzen, für mich und viele andere sind sie das Zentrum der digitalen Identität, noch vor dem Blog, denn alle Dienste inklusive ihm senden ihre Benachrichtigungen an die eine Email-Adresse.

Gleichzeitig sind Email ein Relikt aus einer anderen Zeit. Teils werden sie vollständig unverschlüsselt vom Nutzer an den Server gesendet. Ist der Anfang verschlüsselt, ist immer noch nicht klar, dass die Server sie nicht unverschlüsselt weitersenden. Selbst wenn der Transportweg sicher wäre, sind die Server es nicht, sie lesen die Emails im Klartext. Nicht bei jeder Email ist das schlimm, aber gesammelt sagen sie so viel über jeden von uns - und sie werden gesammelt - dass der Gedanke jeden erschrecken sollte.

Email-Clients sind nicht unbedingt erschreckend, aber richtig glücklich bin ich noch mit keinem geworden. Thunderbird machte mich vor einiger Zeit mit seinen Macken mal so ernsthaft wütend, dass ich ihn seitdem weiträumig meide. Ein paar andere Clients habe ich mir angeguckt, letztendlich bin ich bei Sylpheed gelandet. Aber auch Sylpheed ist weder hübsch noch besonders effizient, und es hat ärgerliche Macken - wie die Suche, die nicht funktioniert, wenn man nicht vorher auf den Posteingang geklickt hat. Und eigentlich sollte ein Email-Client eine Webapp sein, wie Gmail. Doch Gmail fällt raus - da könnte ich die NSA und den BND auch gleich in den CC setzen. Uberspaces Roundcube-Installation ergänzt bei mir nun Sylpheed, das funktioniert soweit. Aber mehr auch nicht.

Das eigentliche Problem ist die fehlende Verschlüsselung, und dafür ist Roundcube nicht die Lösung. Jede Email-Adresse sollte einen PGP-Key haben, jede Email verschlüsselt sein. Das erreichen wir nur, wenn zwei Sachen zusammenkommen:

1. Email-Cloudanbieter wie Gmail müssen die Verschlüsselung integrieren, beim Anlegen eines Kontos den PGP-Key miterstellen
2. Email-Clients wie Thunderbird müssen diesen Key sofort und ohne Aufwand nutzen

Vor ein paar Jahren wäre das noch einfach gewesen, da hätte einfach der Email-Client beim ersten Start einen Key angelegt und hochgeladen. Heute müssen die Cloudanbieter dazu, aber das ist nicht alles: Es müssen alle Endgeräte dazu. Eine verschlüsselte Email muss auch auf dem Handy lesbar sein. Das ist zwar unsicher, weil alle Smartphones unsicher sind. Aber es ist nötig, denn noch schlechter als unsicher ist unbenutzbar.

Whiteout geht vielleicht in die richtige Richtung. Sie haben einen FOSS-Client, der auf einigen Systemen läuft, inklusive der Webapp, die sich trotzdem mit jedem Email-Konto nutzen lässt. Die Verschlüsselung ist per default an, Keys werden wenn nötig generiert. Ich konnte das nicht ausgiebig testen, aber auch abgesehen von der Verschlüsslung machte das einen guten Eindruck, hübscher als roundcube allemal. Das Ganze von einem kleinen deutschen Entwickler.

Nicht ausgiebig testen konnte ich es, weil Whiteout mit dem uberspace imap-Server nicht gut zusammenspielt. Damals lief ich in Timeouts, der Client lief nur manchmal. Inzwischen bekomme ich gar keine Verbindung mehr hin, die TLS-Version sei inkompatibel.

Wenn ihre indiegogo-Kampagne erfolgreich abläuft, wird dieses Problem vielleicht behoben. Die Kampagne hat laut der Seite vier Ziele:

1. Den Client auf alle Smartphones bringen
2. Mithilfe von Experten die Usability des Clients verbessern
3. Zusammen mit der Open-Source-Communitiy einen Standard zum Syncen von Pricate und Public Key finden
4. Ihre Server für ihren Webservice vorbereiten

Von den vieren ist der dritte in meinen Augen derjenige, der am wichtigsten ist. Ein guter Weg, Keys zu syncen, würde dabei helfen, Email-Verschlüsselung einfacher zu machen.

Ich glaube nicht, dass am Ende jeder diesen Client nutzen wird - besonders nicht, da der Client bei mir nichtmal funktioniert. Aber es wäre cool, wenn das ein bisschen erfolgreich wäre und die anderen Clients und Mail-Anbieter diese Grundideen umsetzen würden. Emails sollten immer verschlüsselt sein, aber die letzten Jahre zeigen: Es reicht nicht, wenn die daran interessierten sich Keys erstellen und sie wo möglich nutzen. Stattdessen müssen solche Clients existieren und für Anwender die Standardwahl sein, sodass die Verschlüsselung möglichst einfach, möglichst im Hintergrund abläuft.