Sicherheit
Angaro ist so gebaut, dass möglichst wenig über unsere Server läuft – und das, was dort liegt, für uns nicht lesbar ist.
Ende-zu-Ende-Verschlüsselung
Aus deinem Passwort wird auf deinem Gerät mit PBKDF2-SHA256 (210.000 Durchläufe) ein Schlüssel abgeleitet. Kontakte, Einstellungen und Mail-Konten samt Passwörtern werden mit AES-256-GCM verschlüsselt, bevor sie dein Gerät verlassen. Unser Server bekommt nie dein Passwort, nur einen daraus abgeleiteten Anmelde-Hash, den er zusätzlich mit scrypt speichert.
Deine Mails bleiben bei dir
Die Apps holen Mails direkt bei deinem Anbieter und speichern sie auf deinem Gerät. Der Webmailer verbindet sich für jede Aktion mit deinem Mailserver und speichert weder Zugangsdaten noch Inhalte; eine offene Verbindung bleibt höchstens 5 Minuten im Arbeitsspeicher.
Server in der EU
Angaro Cloud läuft in Frankfurt am Main, der Push-Dienst in Nürnberg, Sicherungen liegen in Frankreich. Angaro wird in Österreich betrieben und unterliegt der DSGVO.
Safety Check
Jede Mail wird auf gefälschte Absender (SPF, DKIM, DMARC), nachgeahmte Domains, verdächtige Links, geänderte Bankverbindungen und gefährliche Anhänge geprüft. Für die Sperrliste bekannter Phishing-Domains werden nur die ersten Zeichen eines SHA-256-Kurzwerts abgefragt – Angaro sieht keine Links aus deinen Mails.
Push ohne Einblick
Für Benachrichtigungen werden deine Zugangsdaten auf deinem Gerät für den Schlüssel des Push-Dienstes versiegelt (ECIES mit P-256 und AES-256-GCM). Nur dieser Dienst kann sie öffnen. Absender und Betreff werden für dein Gerät verschlüsselt zugestellt.
Verschlüsselte Mails (PGP)
PGP-Schlüssel entstehen auf deinem Gerät. Der private Schlüssel wird nur Ende-zu-Ende verschlüsselt abgeglichen; Ver- und Entschlüsselung finden ausschließlich auf deinem Gerät statt.
Gehärtete Server
HTTPS mit HSTS überall, Mails werden ohne Skripte und Formulare in einem abgeschotteten Rahmen angezeigt, Verbindungen ins interne Netz sind gesperrt, Anmeldungen und Abfragen sind gegen zu viele Versuche begrenzt. Abhängigkeiten werden regelmäßig auf bekannte Schwachstellen geprüft.
Sicherheitslücke melden
Du hast eine Schwachstelle gefunden? Schreib uns an support@angaro.io mit dem Betreff „Security“ und einer kurzen Beschreibung, wie sie sich nachvollziehen lässt. Wir antworten so schnell wie möglich und halten dich auf dem Laufenden, bis sie behoben ist.
Bitte greife dabei nicht auf Daten anderer zu, verändere oder lösche nichts und belaste unsere Dienste nicht (keine Überlastungsangriffe). Wer sich daran hält und uns die Lücke zuerst meldet, muss keine rechtlichen Schritte von uns befürchten.
Maschinenlesbar: angaro.io/.well-known/security.txt
support@angaro.io