Wie wir Tempy.email mit Privacy-First-Design gebaut haben

Die meisten E-Mail-Dienste speichern deine Nachrichten in Datenbanken, indexieren sie für die Suche, erstellen Backups und bewahren sie unbegrenzt auf.

Wir machen das Gegenteil: Alles lebt im Arbeitsspeicher. Wenn dein Timer abläuft, sind die Daten weg.

Das Datenschutzproblem bei traditioneller E-Mail

Wenn du Gmail, Outlook oder einen anderen traditionellen E-Mail-Dienst nutzt:

1. E-Mails auf der Festplatte gespeichert → Können gerichtlich angefordert, geleakt oder verkauft werden
2. Für Suche indexiert → Erstellt Metadaten über deine Kommunikation
3. Gesichert → Mehrere Kopien existieren, erhöhen die Exposition
4. Unbegrenzt aufbewahrt → Deine 10 Jahre alten E-Mails existieren noch
5. Für Werbung gescannt → Inhalt wird für zielgerichtete Werbung analysiert
6. Logs aufbewahrt → IP-Adressen, Zeitstempel, Zugriffsmuster verfolgt

Du löschst nie wirklich etwas.

Selbst wenn du "Löschen" drückst, könnten die Daten existieren in:

• Backup-Bändern
• Suchindizes
• Server-Logs
• Compliance-Archiven
• Legal-Hold-Systemen

Unser Ansatz: Nur-Speicher-Architektur

tempy.email basiert auf einem Prinzip: Wenn es nicht im RAM ist, existiert es nicht.

Traditionelle E-Mail:
Benutzer → Webserver → Datenbank → Festplatte → Backups → Archive
(Daten leben ewig)

tempy.email:
Benutzer → Webserver → Redis (nur RAM) → Läuft ab → Weg
(Daten leben 10 Minuten)

Kein persistenter Speicher

Was wir NICHT haben:

• ❌ Kein PostgreSQL, MySQL oder irgendeine festplattenbasierte Datenbank
• ❌ Kein Dateispeicher (S3, Festplatte, NAS)
• ❌ Keine Backups
• ❌ Keine Archive
• ❌ Keine Logs von E-Mail-Inhalten
• ❌ Kein "Soft Delete" (als gelöscht markieren, aber Daten behalten)

Was wir HABEN:

• ✅ Redis (In-Memory-Key-Value-Speicher)
• ✅ TTL (Time-To-Live) auf jedem Schlüssel
• ✅ Automatische Ablaufzeit

Wie E-Mail-Speicherung funktioniert

Wenn eine E-Mail ankommt:

// E-Mail in Redis mit TTL speichern
await redis.set(
  `mailbox:${address}:emails`,
  JSON.stringify(email),
  'EX', 600  // Läuft in 600 Sekunden ab (10 Min)
);

Nach 10 Minuten:

• Redis löscht automatisch den Schlüssel
• Speicher wird freigegeben
• Daten sind komplett weg (nicht als gelöscht markiert, tatsächlich weg)

Es gibt keinen "Wiederherstellungs"-Prozess, weil es nichts gibt, von dem man wiederherstellen könnte.

Was ist mit Server-Logs?

Wir minimieren das Logging:

Traditionelle Server-Logs:

2026-02-12 10:15:23 Benutzer [email protected] hat sich von 203.0.113.5 eingeloggt
2026-02-12 10:15:45 [email protected] hat E-Mail "Passwort zurücksetzen" geöffnet
2026-02-12 10:16:12 [email protected] hat 3 E-Mails gelöscht

tempy.email-Logs:

2026-02-12 10:15:23 Postfach erstellt (keine E-Mail-Adresse protokolliert)
2026-02-12 10:15:45 E-Mail empfangen (kein Inhalt protokolliert)
2026-02-12 10:25:23 Postfach abgelaufen

Wir protokollieren Ereignisse, keine identifizierbaren Daten.

Datenschutzfunktionen

1. Keine Benutzerkonten

Du kannst kein Konto erstellen, selbst wenn du wolltest:

• Kein Anmeldeformular
• Keine Passwörter
• Keine "Mein Konto"-Seite
• Keine Benutzerdatenbank

Warum: Konten schaffen Identität. Wir wollen nicht wissen, wer du bist.

2. Kein Tracking oder Analytik

Viele "datenschutzorientierte" Dienste verwenden trotzdem:

• Google Analytics
• Facebook Pixel
• Mixpanel
• Hotjar

Wir verwenden: Keines der obigen.

Wir erfassen nur:

• Gesamtzahl erstellter Postfächer (Zähler)
• Gesamtzahl verarbeiteter E-Mails (Zähler)

Wir erfassen nicht:

• Wer sie erstellt hat
• Wann sie erstellt wurden
• Von welcher IP sie kamen
• Welcher Browser verwendet wurde

3. Kein Scannen von E-Mail-Inhalten

Wir analysieren niemals E-Mail-Inhalte für:

• Werbung
• Machine-Learning-Training
• Mustererkennung
• Inhaltsklassifizierung

E-Mails durchlaufen unser System ungelesen von Menschen oder Algorithmen.

4. Kein IP-Logging

Wir protokollieren nicht:

• Deine IP-Adresse
• Deine Geolocation
• Deinen ISP
• Deinen Geräte-Fingerabdruck

Warum: Selbst "anonymisierte" IP-Logs können oft durch Korrelationsangriffe de-anonymisiert werden.

5. Keine Drittanbieter-Dienste

Wir verwenden nicht:

• CDNs, die tracken (Cloudflare nur im Datenschutzmodus)
• Analytik-Plattformen
• Werbenetzwerke
• Social-Media-Widgets
• Drittanbieter-Schriftarten (Google Fonts lokal bereitgestellt)

Warum: Jeder Drittanbieter-Dienst ist ein potenzielles Datenleck.

Technische Implementierung

Redis-Konfiguration

// Alle Schlüssel haben standardmäßig TTL
const DEFAULT_TTL = 600; // 10 Minuten

// Postfach-Schlüssel
await redis.setex(
  `mailbox:${address}`,
  DEFAULT_TTL,
  JSON.stringify({ created: Date.now() })
);

// E-Mail-Schlüssel
await redis.rpush(`mailbox:${address}:emails`, emailJson);
await redis.expire(`mailbox:${address}:emails`, DEFAULT_TTL);

Automatische Bereinigung

Redis behandelt die Ablaufzeit automatisch:

T+0: E-Mail kommt an → In Redis gespeichert
T+600s: TTL läuft ab → Redis löscht Schlüssel → Speicher freigegeben

Keine Cron-Jobs. Keine manuelle Bereinigung. Keine "Soft Deletes."

E-Mail-Sanitisierung

Bevor E-Mails gespeichert werden, bereinigen wir das HTML, um zu verhindern:

• XSS-Angriffe
• Tracking-Pixel
• Bösartige Skripte
• Datenschutz-Lecks

var sanitizer = new HtmlSanitizer();
sanitizer.AllowedTags = ["p", "a", "b", "i", "ul", "ol", "li"];
// Kein <img>, kein <script>, kein Tracking
var cleanHtml = sanitizer.Sanitize(rawHtml);

Was wir nicht zugreifen können

Selbst wenn wir wollten (wollen wir nicht), können wir physisch nicht:

1. Gelöschte E-Mails wiederherstellen → Keine Backups vorhanden
2. Historische Daten einsehen → TTL löscht alles
3. Benutzerverhalten verfolgen → Keine Logs zum Analysieren
4. Benutzer identifizieren → Keine Konten, keine IPs protokolliert
5. Datenanfragen erfüllen → Keine Daten zum Übergeben

Das ist keine politische Entscheidung. Es ist architektonisch.

Kompromisse, die wir akzeptieren

Privacy-First-Design bedeutet, Einschränkungen zu akzeptieren:

Wir KÖNNEN NICHT bieten:

• ❌ E-Mail-Suche (keine Indexierung)
• ❌ Langzeitspeicherung (standardmäßig 10 Min)
• ❌ E-Mail-Wiederherstellung (einmal abgelaufen, ist es weg)
• ❌ Benutzerkonten (Postfächer können nicht "gespeichert" werden)
• ❌ E-Mail-Weiterleitung an deinen echten Posteingang

Wir KÖNNEN bieten:

• ✅ Vollständige Privatsphäre
• ✅ Null Tracking
• ✅ Sofortige Löschung
• ✅ Kein Datenleck-Risiko (es gibt keine Daten, die geleakt werden könnten)
• ✅ Seelenfrieden

Vergleich mit "datenschutzorientierter" E-Mail

ProtonMail und Tutanota sind ausgezeichnet für permanente private E-Mail.

tempy.email ist für Wegwerf-Nutzung, wenn du nicht willst, dass Daten überhaupt existieren.

Das Fazit

Die meisten Dienste sagen: "Wir werden deine Daten nicht ansehen" Wir sagen: "Wir können deine Daten nicht ansehen (sie existieren nicht lange genug)"

Die meisten Dienste sagen: "Wir löschen sie, wenn du fragst" Wir sagen: "Sie werden nach 10 Minuten automatisch gelöscht, ob du fragst oder nicht"

Die meisten Dienste sagen: "Wir sind datenschutzorientiert" Wir sagen: "Datenschutz ist unsere Architektur"

Das ist Privacy by Design, nicht Privacy by Policy.

Probiere es aus: Generiere eine temporäre Adresse und überzeuge dich selbst. In 10 Minuten wird diese E-Mail für immer verschwunden sein. Nicht "archiviert." Nicht "gelöscht." Weg.