SharpMailserver SHARPMAILSERVER
DEEN
30 Tage testen
Vertrauen, Reifegrad & Betriebssicherheit

Offene Fakten für IT-Leitung, Datenschutz und Revision

Ein Mail- und Groupware-Server gehört zur kritischen Kerninfrastruktur. Deshalb dokumentieren wir Release-Historie, Sicherheitsprozesse (RFC 9116), Source-Code-Escrow, GoBD-/IDW-PS-880-Abgrenzung und unsere Benchmark-Methodik ohne Marketing-Übertreibungen.

Release-Historie (v1.2.0) Sicherheitsprozess & Patch-SLAs Source-Code-Escrow GoBD & IDW PS 880 Status SHA256SUMS.txt
Nachvollziehbare Produktentwicklung

Release-Historie & Änderungsprotokoll

Jedes Release durchläuft automatisierte Protokoll-, Kryptografie- und Datenbank-Integrationstests (SQLite WAL & PostgreSQL) und wird mit überprüfbaren SHA-256-Prüfsummen bereitgestellt.

SharpMailserver v1.2.0 — Microsoft Exchange ActiveSync (EAS 16.1), Apple-Notizen-Brücke & Aufgaben (VTODO/VJOURNAL)

2026-10-30 · Stable
  • Microsoft Exchange ActiveSync (EAS 12.1–16.1 über WBXML 1.3): Vollständiger /Microsoft-Server-ActiveSync-Protokollstack (Provision, FolderSync, Sync, SendMail, SmartReply/SmartForward, Search GAL, ResolveRecipients, Settings/Oof->Sieve, MoveItems, ItemOperations & Echtzeit-Ping-Push) für Android (Gmail, Samsung Mail, Nine, Outlook), iPhone/iPad Exchange-Konten und Windows Outlook ganz ohne Zusatz-Apps — mit zustandslosen SyncKeys für Active-Active-Cluster.
  • Bidirektionale Apple-Notizen-Brücke & CalDAV VJOURNAL / VTODO: Nahtlose Synchronisation zwischen der nativen Apple Notizen-App auf iPhone/iPad/macOS (IMAP "Notes" com.apple.mail-note inkl. APPEND/EXPUNGE-Revisionsschutz), Exchange ActiveSync Notes, CalDAV (/dav/calendars/{email}/notes/ & /tasks/) sowie den neuen Notizen- und Aufgaben-Ansichten in der SharpMail Webmail PWA.
  • MobileSync Autodiscover & Exchange-.mobileconfig: Erweiterte Autodiscover-Unterstützung (mobilesync/responseschema/2006 XML sowie Autodiscover v2 JSON Protocol=ActiveSync) und zusätzliche PKCS#7/CMS-signierte Apple Exchange-Profile (com.apple.eas.account).

SharpMailserver v1.1.0 — Groupware (CalDAV/CardDAV), GoBD-Verfahrensdokumentation & Offene Benchmarks

2026-10-30
  • Native CalDAV- (RFC 4791) & CardDAV-Engine (RFC 6352): Vollständiger WebDAV-Groupware-Endpunkt (/dav/ sowie /.well-known/caldav und /.well-known/carddav) mit RFC 6578 sync-collection Delta-Synchronisation, optimistischer ETag-Konflikterkennung (If-Match / If-None-Match) und App-Passwort-Unterstützung für Apple Kalender/Kontakte, Thunderbird, macOS und Android (DAVx⁵).
  • Webmail Kalender & Kontakte + Kombi-QR-Profil: Integrierte Termin- und Kontaktverwaltung direkt in der SharpMail Webmail PWA (/mail/) auf derselben Datenbanktabelle; PKCS#7-signierte Apple-.mobileconfig-Profile richten E-Mail, Kalender und Kontakte in einem einzigen Scan ein.
  • Generator für die GoBD-Verfahrensdokumentation: Neuer Export im Admin-Cockpit (/api/compliance/gobd-verfahrensdokumentation?download=true) erzeugt eine vorausgefüllte technische System- und Verfahrensdokumentation nach BMF-Schreiben GoBD Rz. 151 ff. inklusive realer Domain-Aufbewahrungsfristen und Prüferkonten.
  • Gepinnte Container-Versionen & SHA-256-Verifikation: Alle Installationsskripte prüfen SHA256SUMS.txt automatisch; install.sh baut sharpmailserver/server:1.1.0 bei noch nicht gespiegelter öffentlicher Registry lokal aus dem verifizierten Release-Archiv.

SharpMailserver v1.0.2 — Kryptografische Lizenz-Härtung, RAM-Optimierung & Mobile-UI

2026-10-29
  • Mehrstufige Ed25519-Signatur- und Challenge-Nonce-Versiegelung für Cluster-Lizenzen bei garantierter Unterbrechungsfreiheit für bestehende Postfächer.
  • Sofortige Rückgabe temporärer 19-MB-Argon2id-Login-Puffer an das Betriebssystem (~40 MB Leerlauf-RAM inklusive Webmail PWA).
  • Durchgängige Smartphone- und Tablet-Bedienbarkeit im Admin-Cockpit und in der Webmail PWA.

SharpMailserver v1.0.0 — PostgreSQL 18 Active-Active Cluster, S3 WORM & Windows .msi

2026-10-18
  • Horizontale Multi-Node-Skalierung ausschließlich über PostgreSQL 18 (LISTEN/NOTIFY Push < 2 ms, UNLOGGED Koordinationstabellen, pg_try_advisory_lock) ohne Redis-Abhängigkeit.
  • Dreistufige Volltextsuche über MIME, PDF, EN-16931-ZUGFeRD/XRechnung-XML und asynchrone Scan-OCR sowie S3 Object Lock (COMPLIANCE).
  • Interaktiver Windows-Server-.msi-Installer (ohne Docker) sowie native .deb- und systemd/launchd-Pakete.

SharpMailserver v0.9.0 & v0.8.0 — JMAP, Webmail PWA, Dual-DKIM & Protokoll-Fundament

2026-06 – 2026-08
  • v0.9.0 (08/2026): JMAP (RFC 8620/8621 + SSE), SharpMail Webmail PWA, Dual-DKIM (Ed25519 + RSA-2048), DMARC/TLS-RPT-Analyzer, WebAuthn Passkeys, OIDC, SCIM 2.0 & 1-Klick hMailServer-Import.
  • v0.8.0 (06/2026): Streaming-ESMTP (BDAT/CHUNKING, 0 ms SNI-STARTTLS), IMAP4rev2 (RFC 9051), ManageSieve (Port 4190), SQLite WAL + SHA-256 Zstandard Blob-Deduplizierung.

Sicherheitsprozess & Patch-Zyklen (RFC 9116)

/.well-known/security.txt · security@sharpmailserver.com

  • Direkter Sicherheitskontakt: Schwachstellenmeldungen gehen über security@sharpmailserver.com ohne Umweg an die Kernentwickler der iqmeta GmbH.
  • Verbindliche Reaktions- & Patch-Ziele: Eingangsbestätigung in < 24 Stunden; Hotfix-Bereitstellung bei kritischen Lücken (CVSS v4.0 >= 9.0) in < 48 Stunden, bei hohen Risiken (CVSS 7.0–8.9) in < 7 Kalendertagen.
  • Wartungs-Updates mit einem Befehl: Reguläre monatliche Wartungs-Releases werden per install.sh --update, über den Windows-.msi-Assistenten oder per gepinntem Container-Tag ohne Konfigurationsverlust eingespielt.
  • Safe Harbor: Verantwortungsvolle Sicherheitsforschung im Rahmen von Coordinated Vulnerability Disclosure wird von uns ausdrücklich begrüßt und rechtlich nicht verfolgt.

Source-Code-Escrow & Investitionsschutz

Schutz vor Herstellerabhängigkeit & Insolvenzrisiko

  • Vertragliches Software-Escrow in Deutschland: Auf Wunsch hinterlegen wir den vollständigen Quellcode samt reproduzierbarer Build-Skripte (.sln, Windows-WiX-Installer, Linux-Packager, Datenbank-Schemata) bei einer unabhängigen deutschen Treuhandstelle für den Insolvenz- oder Einstellungsfall.
  • Konditionen: Ab 150 lizenzierten Postfächern nehmen wir die Escrow-Vereinbarung auf Wunsch in den Enterprise-Rahmenvertrag auf (zzgl. etwaiger externer Treuhandgebühren); unterhalb von 150 Postfächern ist sie als Zusatzvereinbarung erhältlich.
  • Kein Hard-Killswitch & offene Datenformate: Bestehender Mail-, IMAP-, JMAP- und CalDAV/CardDAV-Betrieb stoppt niemals — selbst ohne Internetverbindung zum Lizenzserver. Alle Daten liegen in dokumentiertem PostgreSQL/SQLite sowie Standard-.eml-, .ics- und .vcf-Objekten.
Steuerrechtliche Nachvollziehbarkeit (BMF GoBD)

GoBD-Architektur, Verfahrensdokumentation & ehrlicher IDW-PS-880-Status

Seriöse Compliance braucht klare Begriffe: Kein Softwarehersteller kann ein Unternehmen allein durch den Kauf einer Lizenz „pauschal GoBD-zertifizieren“. Entscheidend ist das Zusammenspiel aus technischen Schutzmechanismen, unveränderbarer Speicherung und einer dokumentierten Verfahrensbeschreibung.

1. Technische Unveränderbarkeit

Unveränderte Originalaufbewahrung ein- und ausgehender E-Mails inkl. eingebetteter ZUGFeRD-/XRechnung-XML (EN 16931), kryptografische SHA-256-Hash-Verkettung, S3 Object Lock (COMPLIANCE) bzw. Dateisystem-WORM, Legal Hold und eine strikt schreibgeschützte Prüferrolle (ComplianceAuditor) ohne Veränderung des Gelesen-Status.

2. Integrierte Verfahrensdokumentation

Ab v1.1.0 exportiert das Admin-Cockpit auf Knopfdruck eine vorausgefüllte technische System- und Verfahrensdokumentation (.md gemäß GoBD Rz. 151 ff.) mit deinen real konfigurierten Domains, Aufbewahrungsfristen (z. B. 8/10 Jahre), Speicherpfaden und Prüferkonten als Vorlage für deinen Steuerberater.

3. Transparenter IDW-PS-880-Status

Zum aktuellen Release v1.2.0 liegt noch keine externe Wirtschaftsprüfer-Softwarebescheinigung nach IDW PS 880 vor; die formelle Prüfungsvorbereitung läuft bei der iqmeta GmbH. Unsere technische Kontrollmatrix stellen wir Compliance- und Rechtsabteilungen vorab zur Verfügung.

Empfohlenes Vorgehen vor dem Produktivbetrieb

Warum wir einen methodischen Pilotbetrieb ausdrücklich empfehlen

SharpMailserver ist eine moderne Produktgeneration des Jahres 2026 — entwickelt von der iqmeta GmbH in Waldenbuch (Amtsgericht Stuttgart HRB 748338 · USt-IdNr. DE 294776335 · IT-haftpflichtversichert über exali). Überzeuge dich auf deiner eigenen Infrastruktur anhand messbarer Kriterien:

Schritt 1: Kostenloser Test auf Pilot-Domain

Installiere die dauerhaft kostenlose Community Edition (bis 10 Postfächer) oder nutze einen 30-Tage-Enterprise-Key auf einer Test-Domain. Prüfe ESMTP, JMAP, Webmail, CalDAV/CardDAV und führe run-benchmark.sh selbst aus.

Schritt 2: Risikofreier Parallel-Sync

Spiegele reale Postfächer aus hMailServer, Exchange oder Dovecot lesend per TLS-IMAP-Delta-Sync in den SharpMailserver, ohne deinen aktuellen MX-Eintrag zu verändern.

Schritt 3: Abgesicherter Produktivgang

Gehe mit gepinntem Release-Tag (1.2.0), exportierter GoBD-Verfahrensdokumentation, S3-WORM-Archiv und direktem Entwickler-SLA aus Deutschland in den Produktivbetrieb.

Häufige Fragen von IT-Leitung, Datenschutz & Revision

Besitzt SharpMailserver bereits ein Testat nach IDW PS 880?

Zum Stand v1.2.0 (Oktober 2026) liegt noch keine abgeschlossene Wirtschaftsprüfer-Bescheinigung nach IDW PS 880 vor; die Prüfungsvorbereitung läuft bei der iqmeta GmbH. Technisch setzt SharpMailserver alle GoBD-Kernanforderungen (unveränderbare Originalablage inkl. ZUGFeRD-XML, SHA-256-Hashkette, S3 Object Lock WORM, Legal Hold, schreibgeschützte Prüferrolle) um und generiert im Admin-Cockpit auf Knopfdruck eine vorausgefüllte technische Verfahrensdokumentation nach GoBD Rz. 151 ff.

Bietet die iqmeta GmbH Source-Code-Escrow für den Insolvenzfall an?

Ja. Für Unternehmenskunden bieten wir eine vertragliche Quellcode- und Build-Pipeline-Hinterlegung (Software-Escrow) bei einer unabhängigen deutschen Treuhandstelle an. Ab 150 lizenzierten Postfächern nehmen wir die Escrow-Klausel auf Wunsch ohne Aufpreis in den Enterprise-Vertrag auf; für kleinere Installationen ist sie als optionale Zusatzvereinbarung buchbar. Zusätzlich besitzt der Server keinen Hard-Killswitch: bestehender E-Mail- und Groupware-Betrieb läuft selbst ohne Lizenzserver-Kontakt unbegrenzt weiter.

Wie schnell werden Sicherheitslücken behoben (Disclosure- & Patch-Prozess)?

Sicherheitsmeldungen über security@sharpmailserver.com (RFC 9116 /.well-known/security.txt) werden innerhalb von 24 Stunden bestätigt. Kritische Schwachstellen (CVSS >= 9.0) patchen wir innerhalb von 48 Stunden per Hotfix-Release, hohe Schwachstellen (CVSS 7.0 bis 8.9) innerhalb von 7 Kalendertagen. Alle Release-Artefakte werden mit öffentlichen SHA-256-Prüfsummen veröffentlicht.

Wie lassen sich die Performance- und RAM-Angaben unabhängig nachprüfen?

Unter /downloads/run-benchmark.sh stellen wir unser offenes Benchmark-Skript bereit. Es protokolliert CPU, Kernel sowie den realen RSS-Speicherbedarf des Prozesses vor und nach dem Lauf und misst parallelen ESMTP-Durchsatz (inkl. EN-16931-ZUGFeRD-XML) sowie p50/p95/p99-Volltextsuchlatenzen direkt auf deiner eigenen Hardware.

30-Tage-Pilotlizenz & Kontrollmatrix anfragen Benchmark-Skript (run-benchmark.sh) herunterladen Zum fairen Systemvergleich