Ein privater Gmail-Client für den Mac, der deine Mails nie sieht

Ein privater E-Mail-Client ist eine Behauptung, die du überprüfen können solltest. Diese Seite beschreibt die Architektur hinter der Behauptung von Hark – deine Mails berühren nie unsere Server – so genau, dass du genau das kannst, einschließlich der wenigen Dinge, die doch bei uns ankommen, der Dritten, mit denen eine Nachricht in Berührung kommen kann, und der Einstellungen, die jeweils darüber entscheiden.

Das Grundprinzip

Zwei Beteiligte: dein Mac und Google. Hark läuft auf dem einen und spricht mit dem anderen über die Gmail-, Calendar-, Tasks- und People-APIs von Google, per TLS, direkt von deinem Rechner aus. Dazwischen gibt es keinen Dritten. Wir betreiben keinen Server, der deine Mails synchronisiert, weiterleitet, indexiert, sichert oder „beschleunigt“ – es gibt in unserer Infrastruktur also keine Kopie davon, die gehackt, per Gerichtsbeschluss angefordert oder geleakt werden könnte.

Das ist keine Richtlinie, die in einer späteren Version stillschweigend geändert werden könnte; so ist die App gebaut. Die Synchronisierung steckt in der App, und einen Server dazwischenzuschalten hieße, sie um einen solchen herum neu zu bauen.

Wo deine Daten genau liegen

• Deine Google-Tokens: im macOS-Schlüsselbund. Die Anmeldedaten, mit denen Hark in deinem Konto handeln darf, sind als Schlüsselbund-Einträge gespeichert, verschlüsselt und mit Zugriffskontrolle durch macOS. Sie werden nie in die eigenen Dateien von Hark geschrieben.
• Dein Cache: in Application Support, nur für dich lesbar. Nachrichten, Termine und Aufgaben liegen in einer lokalen Datenbank unter ~/Library/Application Support/Hark, ein Ordner pro Konto, mit Dateirechten, die nur deinem Benutzer das Lesen erlauben. Geladene Anhänge werden unter ~/Library/Caches/Hark zwischengespeichert; externe Bilder, Absenderfotos und Logos unter ~/Library/Caches/hark-url-cache, ~/Library/Caches/hark-image-cache und im WebKit-Speicher der App – alles in deinem eigenen Library-Ordner. FileVault verschlüsselt das alles auf der Festplatte. Hark legt keine eigene Verschlüsselungsschicht darüber – das sagen wir offen, damit du entscheiden kannst, ob FileVault für dich wichtig ist.
• Deine Einstellungen: in einer Einstellungsdatei. Fensterpositionen, gewählte Ansichten und Ähnliches stehen in der normalen macOS-Einstellungsdatei der App, zusammen mit deinen letzten Suchanfragen (den letzten 25) und den IDs stummgeschalteter Konversationen. Nachrichteninhalte landen dort nicht.
• Beim Abmelden: widerrufen, gelöscht, entfernt. Hark widerruft seine Freigabe bei Google, löscht die Schlüsselbund-Einträge und entfernt den Cache dieses Kontos von der Festplatte.

Was doch bei uns ankommt – und wann

Bei normaler Nutzung – lesen, schreiben, organisieren, deine Woche ansehen – nichts über deine Mails. Fünf Dinge betreffen einen unserer Server; vier davon passieren nur, wenn du etwas tust:

• Aktive Macs zählen. Einmal täglich, solange Hark geöffnet ist, sendet es eine nur dafür erzeugte zufällige Nutzungs-ID, das Datum, Version, Build und Update-Kanal von Hark sowie die macOS-Hauptversion an logs.harkmail.app. Das ist mit keinem Konto verknüpft und enthält nichts aus deinen Mails; der Server speichert keine IP-Adresse und löscht die Einträge nach 13 Monaten.
• Nach Updates suchen. Sobald du automatische Prüfungen erlaubt hast (Hark fragt beim zweiten Start), lädt es etwa einmal täglich (bei Beta-Versionen stündlich) eine kleine Update-Feed-Datei von updates.harkmail.app und von dort einen neuen Build, wenn du ihn annimmst. Unabhängig davon liest Hark – auch bei ausgeschalteten automatischen Prüfungen – beim Start und einmal täglich dieselbe öffentliche Datei, bei fehlender Verbindung alle 15 Minuten erneut, nur um zu erfahren, ob deine Version noch unterstützt wird. Dabei werden keine Kennungen gesendet: Der Server sieht deine IP-Adresse und die Uhrzeit, der User-Agent der Anfrage enthält die App- und die macOS-Version, und die Anfrage enthält deine Accept-Language-Einstellung. Nichts über dein Konto.
• Ein Fehlerbericht, den du sendest. „Help › Report a Bug“ sendet an logs.harkmail.app, was du getippt hast, ob du es als Fehler oder als Wunsch markiert hast, welchen Bereich du gewählt hast, Bilder, die du selbst anhängst, das Feld für Name oder E-Mail (vorausgefüllt mit deiner angemeldeten Adresse und änderbar – leere es, um den Bericht anonym zu senden) sowie Angaben zu App und Gerät – App-Version, Build und Commit, macOS-Version, Hardwaremodell, Anzahl der CPU-Kerne, Arbeitsspeicher, freier Speicherplatz, Region, Zeitzone, thermischer Zustand, Stromsparmodus, Stunden seit dem Start, der Sendezeitpunkt, wie viele Konten verbunden sind (nur die Anzahl) und eine zufällige ID pro Installation. Er sendet nie Nachrichteninhalte, Betreffzeilen, Adressen anderer Personen, Tokens oder Logs. Bei den Bildern solltest du nachdenken: Ein Screenshot deines Posteingangs ist dein Posteingang.
• Absturzberichte, nur wenn du sie einschaltest. Standardmäßig aus. Ist der Schalter in den Einstellungen an, sendet ein Absturz den Stacktrace, den Ausnahmetyp, das Signal und den Beendigungsgrund, welcher Thread abgestürzt ist, wann es passiert ist und die macOS-ID dieses Absturzes, App-Version, Build und Commit sowie die macOS-Version und das Hardwaremodell. Kein Feld in diesem Bericht kann Mails enthalten.
• Eine Google-Drive-Datei anhängen. Die Dateiauswahl von Google ist eine Web-Komponente, daher öffnet die Auswahl einer Drive-Datei eine Seite auf harkmail.app in deinem Browser. Unser Host sieht dasselbe wie jede Website – deine IP, die Uhrzeit, eine einmalige ID –, aber nicht deine Adresse, deine Dateien oder welche du ausgewählt hast. Die Google-Berechtigung der Auswahl entsteht in deinem Browser und kann immer nur Zugriff auf Dateien gewähren, die du selbst auswählst.

Eins noch, später: ein Abrechnungskonto, falls du nach dem Ende der Beta ein Abo abschließt. Es ist eine von deinem Google-Konto getrennte Identität – eine E-Mail-Adresse deiner Wahl oder eine Google-Anmeldung über einen Client ohne Zugriff auf Gmail –, und die vollständige Liste dessen, was es speichert, steht in der Datenschutzerklärung.

Dritte, mit denen eine Nachricht in Berührung kommen kann

E-Mail ist kein geschlossenes System, und ein Client, der dir nichts von außerhalb von Google zeigt, würde dir viele kaputte Nachrichten zeigen. Das sind die Verbindungen nach außen, die eine Nachricht auslösen kann, und die Einstellung, die jeweils darüber entscheidet:

• Externe Bilder in einer Nachricht. Newsletter und Quittungen laden ihre Bilder von den Servern des Absenders. Mit der Standardeinstellung „Always display external images“ lädt Hark sie direkt, wodurch dieser Server deine IP-Adresse erfährt und dass die Nachricht geöffnet wurde. Wähl unter „Settings › General“ die Option „Ask before displaying external images“, und nichts wird geladen, bis du klickst.
• Absenderlogos und Avatare. Das Foto einer Person kommt von Google, über dieselbe Verbindung wie deine Mails. Das Logo eines Unternehmens kann aus dem veröffentlichten Eintrag der Marke stammen (eine Abfrage der Absenderdomain über den DNS-Dienst von Google, dann die Logodatei vom Server der Marke) oder vom Favicon-Dienst von Google. Beides folgt derselben Einstellung „External images“: Stell sie auf „Ask“, und keine der beiden Abfragen findet statt.
• Gravatar, nur wenn du es einschaltest. Standardmäßig aus. Ist es an, sendet Hark einen Hash der Adresse jedes Kontakts an gravatar.com, um nach einem Bild zu suchen – damit erfährt dieser Dienst, mit wem du korrespondierst. Das steht in der Einstellung direkt neben dem Schalter.

So überprüfst du es selbst

Du musst dich nicht auf diese Seite verlassen. Eine Firewall für ausgehende Verbindungen auf deinem Mac zeigt jeden Host, mit dem eine App spricht. Bei normaler Nutzung von Hark solltest du beim Anmelden accounts.google.com sehen, die API-Hosts von Google (googleapis.com und seine Subdomains) für Mail, Kalender, Aufgaben und Kontakte und den Bild-Host von Google (in der Praxis lh3.googleusercontent.com) für Kontaktfotos. updates.harkmail.app solltest du sehen, wenn nach Updates gesucht wird, und logs.harkmail.app einmal täglich für die anonyme Zählung aktiver Macs, ansonsten nur, wenn du einen Bericht sendest (oder, falls du Absturzberichte eingeschaltet hast, nach einem Absturz). Steht „External images“ auf „Ask“, solltest du keinen Server eines Absenders sehen, bis du die Bilder anforderst. Wenn du jemals etwas anderes siehst, wollen wir es wissen: support@souplin.com.

Hark fragt Google für jede Funktion nach der engsten Berechtigung, die sie umsetzt – zum Beispiel fragt es nicht nach der Berechtigung, Mails endgültig zu löschen, daher kann die App eine Nachricht immer nur in den Papierkorb verschieben –, und die Nutzung von Google-Daten unterliegt der Limited-Use-Richtlinie von Google. Die Berechtigungen und wofür jede dient, stehen auf der Hilfeseite.

Fragen