DE
Kostenlos starten
Vertrauen, Reifegrad & Betriebssicherheit

Offene Fakten für IT-Leitung, Datenschutz und Revision

Ein Mail- und Groupware-Server gehört zur kritischen Kerninfrastruktur. Deshalb dokumentieren wir Release-Historie, Sicherheitsprozesse (RFC 9116), Source-Code-Escrow, GoBD-/IDW-PS-880-Abgrenzung und unsere Benchmark-Methodik ohne Marketing-Übertreibungen.

Release-Historie (v1.0.0) Handbuch & Best Practices Sicherheitsprozess (RFC 9116) Source-Code-Escrow GoBD & IDW PS 880 Status SHA256SUMS.txt
Nachvollziehbare Produktentwicklung

Release-Historie & Änderungsprotokoll

Jedes Release durchläuft automatisierte Protokoll-, Kryptografie- und Datenbank-Integrationstests (SQLite WAL, PostgreSQL® & Microsoft® SQL Server®) und wird mit überprüfbaren SHA-256-Prüfsummen bereitgestellt.

nextxch 1.0.0 · Erstes offizielles Release

1.0.0 · 03.11.2026

Lizenzstufen: Free bis 6 Postfächer dauerhaft kostenlos, Business ab 7 Postfächern, Enterprise ab 15 Postfächern mit den Microsoft-Protokollen auf Anfrage; 30-tägiger Enterprise-Test auf Anfrage. Lizenzbedingungen (EULA) Version 2.3.

  • Protokolle: Streaming-ESMTP (BDAT/CHUNKING, SNI-STARTTLS), IMAP4rev2, POP3, ManageSieve, JMAP mit Push und Dateien (FileNode), CalDAV/CardDAV mit Delta-Synchronisation, MTA-STS und DANE, echtes Dual-Stack IPv6 mit Happy-Eyeballs-Zustellung. Enterprise: ActiveSync® (12.1 bis 16.1, Push), EWS, MAPI over HTTP und Autodiscover.
  • Webmail: PWA mit Kalender (Monat, Woche, Tag, Agenda), Einladungen, Serien mit Ausnahmen, Terminplanungs-Assistent mit Frei/Gebucht, Räumen, Buchungsseiten und Teams-Besprechungen; Kontakte mit Foto und allen Feldern, Notizen und Aufgaben; S/MIME und OpenPGP, Freigaben mit Senden als und im Auftrag von, Quelltext- und Header-Ansicht, Phishing-Prüfung und -Meldung, umschaltbare Mailansicht.
  • Admin: Seitenleiste mit 8 Bereichen und Suche, Editoren für Konten, Domains, Aliase und Verteiler, Domain umbenennen, Deeplinks, Protokoll-Logs mit Live-Viewer, Statistiken über 30 Tage, Message Trace, SpamGuard- und ClamAV-Panel, MX-, STARTTLS- und DANE-Tester, externe Port- und PTR-Prüfung, Hostname-Änderung ohne Neustart, Pflichtsignaturen, Einladung per Link, QR oder WhatsApp und 1-Klick-Update mit SHA-256-Prüfung.
  • Sicherheit: Argon2id, 2FA, Passkeys, App-Passwörter, OIDC, Kerberos-SSO (ab Business) und eigener OAuth-2.1-Server (XOAUTH2, OAUTHBEARER, Gerätecode); Dual-DKIM (Ed25519 und RSA), SPF/DKIM/DMARC bei jeder eingehenden Mail, Phishing-Heuristiken, Login-Verlauf, Sitzungen mit Abmelden pro Gerät, IP-Länder, Self-Service-Entsperrung, Web Key Directory, CSP und HSTS.
  • Compliance: GoBD-Archiv mit S3 Object Lock (COMPLIANCE) und Warnung bei fehlendem Object Lock, Generator für die GoBD-Verfahrensdokumentation, Volltextsuche über MIME, PDF, ZUGFeRD/XRechnung und OCR mit deutschen Stammformen, Umlauten, Komposita und Tippfehlerkorrektur, DMARC- und TLS-RPT-Auswertung, Encrypted File Share.
  • Cluster und Betrieb: SQLite WAL, PostgreSQL® 18 Active-Active ohne Redis und Microsoft® SQL Server® (2019 bis 2025, Express, Azure® SQL); eingebauter DNS-Failover (Hetzner, Cloudflare), EHLO-Name je Knoten, temporäre Fehler (SMTP 4xx) bei Speicherausfall, Let's Encrypt, /metrics für Prometheus; Pakete als Windows®-.msi, .deb, .tar.gz für Linux® und macOS®, Multi-Arch-OCI-Image und Helm-Chart.
  • Integration: API v1 für Kalender, Räume, Buchungen, Kontakte, Verzeichnis und Freigaben mit Scoped API-Keys oder OAuth 2.0, signierte Webhooks und OpenAPI 3.1; transaktionale Sende-API mit IP-Warming und Anbieter-Limits, optionaler Reputation Shield, Smarthost-Routen; nextxch-cli, Konfiguration als Datei (GitOps), KI-Bedingungen in Sieve-Regeln (ab Business), SCIM 2.0; Umzug von Exchange® 2013 bis 2019, PST- und hMailServer-Import.
  • Sprachen: Webmail, Admin, Systemmails und Website in 10 Sprachen, inklusive Arabisch von rechts nach links; Zeitzonenwahl per Weltkarte.

Sicherheitsprozess & Patch-Ziele (RFC 9116)

/.well-known/security.txt · security@nextxch.com

  • Direkter Sicherheitskontakt: Schwachstellenmeldungen gehen über security@nextxch.com ohne Umweg an die Kernentwickler der iqmeta GmbH.
  • Interne Reaktions- & Patch-Zielwerte: Unser Zielwert ist eine Eingangsbestätigung in < 24 Stunden sowie Hotfix-Releases bei kritischen Lücken (CVSS v4.0 >= 9.0) in < 48 Stunden und bei hohen Risiken (CVSS 7.0–8.9) in < 7 Kalendertagen. Vertraglich garantierte Support-SLAs sind ab 10.000 lizenzierten Postfächern enthalten.
  • Wartungs-Updates mit einem Befehl: Reguläre monatliche Wartungs-Releases werden per install.sh --update, über den Windows®-.msi-Assistenten oder per gepinntem Container-Tag ohne Konfigurationsverlust eingespielt.
  • Safe Harbor: Verantwortungsvolle Sicherheitsforschung im Rahmen von Coordinated Vulnerability Disclosure wird von uns ausdrücklich begrüßt und rechtlich nicht verfolgt.

Source-Code-Escrow & Investitionsschutz

Schutz vor Herstellerabhängigkeit & Insolvenzrisiko

  • Vertragliches Software-Escrow in Deutschland: Auf Wunsch hinterlegen wir den vollständigen Quellcode samt reproduzierbarer Build-Skripte (.sln, Windows®-WiX-Installer, Linux®-Packager, Datenbank-Schemata) bei einer unabhängigen deutschen Treuhandstelle für den Insolvenz- oder Einstellungsfall.
  • Konditionen (ab 10.000 Postfächern inklusive): Ab 10.000 lizenzierten Postfächern nehmen wir das verbindliche Enterprise-SLA sowie die Escrow-Vereinbarung auf Wunsch in den Enterprise-Rahmenvertrag auf (zzgl. etwaiger externer Treuhandgebühren); in den Stufen 1 bis 4 ist Escrow optional als Zusatzvereinbarung erhältlich.
  • Kein Hard-Killswitch & offene Datenformate: Bestehender Mail-, IMAP-, JMAP- und CalDAV/CardDAV-Betrieb stoppt niemals, selbst ohne Internetverbindung zum Lizenzserver. Alle Daten liegen in dokumentiertem PostgreSQL®/SQLite sowie Standard-.eml-, .ics- und .vcf-Objekten.
Steuerrechtliche Nachvollziehbarkeit (BMF GoBD)

GoBD-Architektur, Verfahrensdokumentation & ehrlicher IDW-PS-880-Status

Seriöse Compliance braucht klare Begriffe: Kein Softwarehersteller kann ein Unternehmen allein durch den Kauf einer Lizenz „pauschal GoBD-zertifizieren“. Entscheidend ist das Zusammenspiel aus technischen Schutzmechanismen, unveränderbarer Speicherung und einer dokumentierten Verfahrensbeschreibung.

1. Technische Unveränderbarkeit

Unveränderte Originalaufbewahrung ein- und ausgehender E-Mails inkl. eingebetteter ZUGFeRD-/XRechnung-XML (EN 16931), kryptografische SHA-256-Hash-Verkettung, S3 Object Lock (COMPLIANCE) bzw. Dateisystem-WORM, Legal Hold und eine strikt schreibgeschützte Prüferrolle (ComplianceAuditor) ohne Veränderung des Gelesen-Status.

2. Integrierte Verfahrensdokumentation

Ab v1.1.0 exportiert das Admin-Cockpit auf Knopfdruck eine vorausgefüllte technische System- und Verfahrensdokumentation (.md gemäß GoBD Rz. 151 ff.) mit Ihren real konfigurierten Domains, Aufbewahrungsfristen (z. B. 8/10 Jahre), Speicherpfaden und Prüferkonten als Vorlage für Ihren Steuerberater.

3. Transparenter IDW-PS-880-Status

Zum aktuellen Release v1.0.0 liegt noch keine externe Wirtschaftsprüfer-Softwarebescheinigung nach IDW PS 880 vor; die formelle Prüfungsvorbereitung läuft bei der iqmeta GmbH. Unsere technische Kontrollmatrix stellen wir Compliance- und Rechtsabteilungen vorab zur Verfügung.

Empfohlenes Vorgehen vor dem Produktivbetrieb

Warum wir einen methodischen Pilotbetrieb ausdrücklich empfehlen

nextxch ist eine moderne Produktgeneration des Jahres 2026, entwickelt von der iqmeta GmbH in Waldenbuch (Amtsgericht Stuttgart HRB 748338 · USt-IdNr. DE 294776335 · IT-haftpflichtversichert über exali). Überzeugen Sie sich auf Ihrer eigenen Infrastruktur anhand messbarer Kriterien:

Schritt 1: Kostenloser Test auf Pilot-Domain

Installieren Sie Free (bis 6 Postfächer, dauerhaft kostenlos) oder fragen Sie einen 30-tägigen Enterprise-Test mit vollem Funktionsumfang für eine Test-Domain an. Prüfen Sie ESMTP, JMAP, Webmail, CalDAV/CardDAV und führen Sie run-benchmark.sh selbst aus.

Schritt 2: Risikofreier Parallel-Sync

Spiegeln Sie reale Postfächer aus hMailServer, Exchange® oder Dovecot lesend per TLS-IMAP-Delta-Sync in den nextxch, ohne Ihren aktuellen MX-Eintrag zu verändern.

Schritt 3: Abgesicherter Produktivgang

Gehen Sie mit gepinntem Release-Tag (1.0.0), exportierter GoBD-Verfahrensdokumentation, S3-WORM-Archiv und direktem Hersteller-Support aus Deutschland (vertragliches SLA ab 10.000 Postfächern) in den Produktivbetrieb.

Häufige Fragen von IT-Leitung, Datenschutz & Revision

Besitzt nextxch bereits ein Testat nach IDW PS 880?

Zum Stand v1.0.0 (November 2026) liegt noch keine abgeschlossene Wirtschaftsprüfer-Bescheinigung nach IDW PS 880 vor; die Prüfungsvorbereitung läuft bei der iqmeta GmbH. Technisch setzt nextxch alle GoBD-Kernanforderungen (unveränderbare Originalablage inkl. ZUGFeRD-XML, SHA-256-Hashkette, S3 Object Lock WORM, Legal Hold, schreibgeschützte Prüferrolle) um und generiert im Admin-Cockpit auf Knopfdruck eine vorausgefüllte technische Verfahrensdokumentation nach GoBD Rz. 151 ff.

Bietet die iqmeta GmbH Source-Code-Escrow & ein Enterprise-SLA an?

Ja. Für Großkunden bieten wir ein verbindliches Enterprise-SLA sowie eine vertragliche Quellcode- und Build-Pipeline-Hinterlegung (Software-Escrow) bei einer unabhängigen deutschen Treuhandstelle an. Ab 10.000 lizenzierten Postfächern nehmen wir das verbindliche SLA und die Escrow-Klausel ohne Lizenz-Aufpreis in den Enterprise-Vertrag auf; darunter ist Escrow optional als Zusatzvereinbarung buchbar. Zusätzlich besitzt der Server keinen Hard-Killswitch: bestehender E-Mail- und Groupware-Betrieb läuft selbst ohne Lizenzserver-Kontakt unbegrenzt weiter.

Wie schnell werden Sicherheitslücken behoben (Disclosure- & Patch-Prozess)?

Sicherheitsmeldungen über security@nextxch.com (RFC 9116 /.well-known/security.txt) werden innerhalb von 24 Stunden bestätigt. Kritische Schwachstellen (CVSS >= 9.0) patchen wir innerhalb von 48 Stunden per Hotfix-Release, hohe Schwachstellen (CVSS 7.0 bis 8.9) innerhalb von 7 Kalendertagen. Alle Release-Artefakte werden mit öffentlichen SHA-256-Prüfsummen veröffentlicht.

Wie lassen sich die Performance- und RAM-Angaben unabhängig nachprüfen?

Unter /downloads/run-benchmark.sh stellen wir unser offenes Benchmark-Skript bereit. Es protokolliert CPU, Kernel sowie den realen RSS-Speicherbedarf des Prozesses vor und nach dem Lauf und misst parallelen ESMTP-Durchsatz (inkl. EN-16931-ZUGFeRD-XML) sowie p50/p95/p99-Volltextsuchlatenzen direkt auf Ihrer eigenen Hardware.

Handelt es sich bei der Mobile-Push-Schnittstelle um lizenzierten Microsoft®-Code?

Nein. nextxch ist eine zu 100 % eigenständige Clean-Room-Entwicklung der iqmeta GmbH. Die optionale WBXML-Mobile-Push-Schnittstelle (per ActiveSync:Enabled konfigurier- und abschaltbar) implementiert öffentlich dokumentierte Interoperabilitätsspezifikationen ([MS-ASHTTP]/[MS-ASCMD]/[MS-ASWBXML]) zur Anbindung kompatibler Endgeräte (§ 23 MarkenG / §§ 69d, 69e UrhG). nextxch steht in keiner Verbindung zu Microsoft®, Apple® oder Google® und ist von diesen weder lizenziert noch zertifiziert.

Enterprise-Test & Kontrollmatrix anfragen Benchmark-Skript (run-benchmark.sh) herunterladen Zum fairen Systemvergleich