Speicherverschlüsselung

Stand: Oktober 2026

Alle E-Mails, Kontakte und Notizen liegen in einer lokalen Datenbank auf deinem Rechner. Die Speicherverschlüsselung sorgt dafür, dass diese Datei ohne Schlüssel unlesbar ist. Wer die Festplatte ausbaut oder die Datei kopiert, hält nur Datenmüll in den Händen.

Standardmäßig ist sie eingeschaltet. Die Entscheidung fällt einmal, im Einrichtungsassistenten, und lässt sich später nicht mehr ändern. Unter Linux braucht sie einen Schlüsselbund wie GNOME Keyring oder KWallet. Fehlt er, bleibt die Datenbank unverschlüsselt, und die Einstellungsseite meldet Verschlüsselung auf diesem System nicht verfügbar.

Wie es funktioniert

Die Datenbank wird mit einem zufällig erzeugten 64-stelligen Schlüssel verschlüsselt (SQLCipher, AES-256). Diesen Schlüssel legt YouniqMail versiegelt in seiner Einstellungsdatei config.json ab. Das Siegel hält das Betriebssystem: die Keychain unter macOS, die Datenschutz-Schnittstelle von Windows (an dein Benutzerkonto gebunden), der Schlüsselbund der Desktop-Umgebung unter Linux.

Im Alltag merkst du davon nichts: Beim Start entsiegelt YouniqMail den Schlüssel mit Hilfe deiner Systemanmeldung. Kein zusätzliches Passwort, kein Extra-Schritt.

Dasselbe Siegel schützt auch die Passwörter deiner Mail-Konten und die Anmeldungen bei verbundenen Diensten, also Tokens, CalDAV-Passwörter und Webhook-Adressen. Sie liegen einzeln versiegelt, auch wenn die Speicherverschlüsselung aus ist. Nur unter Linux ohne Schlüsselbund bleiben sie unverschlüsselt.

Der Wiederherstellungsschlüssel

Die Kette hat zwei Schwachstellen: den Schlüsselbund und die Datei config.json. Wird das Betriebssystem neu installiert, das Benutzerkonto zurückgesetzt oder config.json gelöscht, ist der versiegelte Schlüssel nicht mehr zu öffnen, und mit ihm der Zugang zur Datenbank.

Dafür gibt es den Wiederherstellungsschlüssel: dieselben 64 Zeichen, einmal bei der Einrichtung angezeigt zum Sichern. Fehlt der Schlüssel beim Start, zeigt YouniqMail den Dialog Datenbank-Schlüssel fehlt. Über Schlüssel eingeben… öffnest du die Datenbank mit dem Wiederherstellungsschlüssel wieder, ohne etwas neu herunterzuladen.

Nicht gesichert? Solange die Anwendung normal läuft, ist nichts verloren: Unter Einstellungen → Sicherheit → Speicherverschlüsselung zeigt Wiederherstellungsschlüssel anzeigen ihn jederzeit erneut an, und Als PDF speichern legt ihn ab. Auf einem Mac mit Touch ID bestätigst du das mit deinem Fingerabdruck, auf anderen Rechnern erscheint er ohne weitere Abfrage. Sperre deinen Rechner also, wenn du ihn verlässt.

Ohne Schlüsselbund und ohne Schlüssel gibt es keinen Weg zurück

Die Verschlüsselung wäre wertlos, wenn ein Hersteller sie umgehen könnte. Das heißt aber auch: Sind der versiegelte Schlüssel und der Wiederherstellungsschlüssel verloren, bleibt nur Lokale Daten zurücksetzen, und die lokalen Daten sind endgültig weg. Die Mails selbst liegen zum Glück meist noch auf dem Server und kommen zurück, sobald du deine Konten neu eingerichtet hast. Notizen, Regeln, Kontakte, Signaturen, Textbausteine, Tags und die Mails in lokalen Ordnern aber nicht. Die Einstellungen der App bleiben erhalten, sie stehen in config.json.

Lokale Ordner ohne die App öffnen

E-Mails in lokalen Ordnern gibt es nur auf deinem Gerät, als eine Datei pro E-Mail im Ordner local_mail deines Profils. Sie sind genauso geschützt wie die Datenbank:

• Speicherverschlüsselung aus: Es sind gewöhnliche .eml-Dateien, die jedes Mailprogramm per Doppelklick öffnet.
• Speicherverschlüsselung an: Die Dateien enden auf .ymraw und sind mit dem Schlüssel der Datenbank verschlüsselt. Ohne ihn sind sie so unlesbar wie die Datenbank selbst.

Im Alltag brauchst du die Dateien nie direkt. Über Datei → Exportieren speicherst du lokale Ordner als mbox oder als einzelne .eml-Dateien, und die vollständige Sicherung nimmt sie mit.

Startet YouniqMail nicht mehr, helfen der Wiederherstellungsschlüssel und ein kleines Notfallprogramm:

1. Installiere Node.js in Version 18 oder neuer.

2. Lade das Notfallprogramm herunter: youniqmail-local-mail-decrypt.mjs.

3. Öffne ein Terminal (unter Windows die Eingabeaufforderung) und rufe es mit dem Ordner local_mail und einem Zielordner auf:

   node youniqmail-local-mail-decrypt.mjs <Ordner local_mail> <Zielordner>

4. Gib den Wiederherstellungsschlüssel ein, wenn danach gefragt wird. Die Eingabe bleibt unsichtbar.

Danach liegt jede E-Mail als .eml-Datei im Zielordner, benannt nach Datum und Betreff. Eine beschädigte Datei meldet das Programm und lässt sie aus, und bei einem zweiten Lauf überschreibt es nichts. Es braucht keine Internetverbindung und schickt nichts irgendwohin. Wie die Dateien aufgebaut sind, steht offen lesbar am Anfang des Programms.

Der Ordner local_mail liegt in deinem Profil:

Betriebssystem:macOSWindowsLinux

~/Library/Application Support/YouniqMail/local_mail/

%APPDATA%\YouniqMail\local_mail\

~/.config/YouniqMail/local_mail/

Willst du lokale Daten zurücksetzen, rette lokale Ordner vorher mit dem Notfallprogramm: Nach dem Zurücksetzen räumt YouniqMail die nicht mehr benötigten Dateien in local_mail nach drei Tagen auf.

Was außerhalb der Datenbank liegt

Einige Dateien legt YouniqMail neben der Datenbank ab, und diese sind nicht verschlüsselt:

• Zwischengespeicherte Anhänge, die du geöffnet oder angesehen hast (Ordner attachment_cache, höchstens 500 MB),
• Anhänge von Entwürfen und von Mails im Postausgang (Ordner draft_attachments und outbox_attachments),
• Mails, die gerade versendet werden, bis ihre Kopie im Gesendet-Ordner angekommen ist (Ordner sent_pending),
• das Protokoll (Ordner logs), aus dem Adressen und Inhalte herausgefiltert werden,
• die Einstellungen in config.json, darunter der Hinweis zum Master-Passwort.

Alle liegen im selben Profilordner wie local_mail. Wer den Rechner vor fremdem Zugriff auf die Festplatte schützen will, schaltet zusätzlich die Festplattenverschlüsselung des Systems ein (FileVault, BitLocker, LUKS).

Was sie schützt und was nicht

Die Speicherverschlüsselung schützt die Datei auf der Festplatte: gegen Diebstahl des Rechners, gegen Kopieren der Datenbank, gegen neugierige Blicke auf ein Backup-Laufwerk.

Sie schützt nicht vor jemandem, der an deinem entsperrten Rechner sitzt. Dort ist die Datenbank ja bestimmungsgemäß lesbar. Dafür gibt es das Master-Passwort. Und sie verschlüsselt nicht den Transport zur Gegenseite. Das leisten PGP und S/MIME.