Hilfe & Fragen

Juhuu! Wir sind stolz und voller Freude, tunnl. der Welt als öffentlichen Beta-Test zu zeigen.

Das heisst: Du kannst alles benutzen, was hier steht – Nachrichten, Dateien, Konto, Optionen. Es heisst auch, dass wir noch feilen. Es kann sein, dass sich etwas ändert, dass eine Ecke noch eckig ist oder dass wir einen Fehler erst durch dich bemerken.

Was sich nicht ändert: Deine Nachrichten werden in deinem Browser verschlüsselt, und wir können sie nicht lesen. Das ist der Kern, nicht ein Versprechen für später.

Gefällt dir etwas nicht, fehlt dir etwas, ist etwas kaputt? Schreib uns ein Echo – verschlüsselt, direkt, und wir lesen jedes.

Du schreibst deine Nachricht, und dein Browser verschlüsselt sie, bevor sie das Gerät verlässt. Du bekommst einen Link. Der Schlüssel steckt im Teil nach dem # – diesen Teil schickt der Browser nie an den Server.

Die empfangende Person öffnet den Link, ihr Browser entschlüsselt die Nachricht. Die erste Nachricht lässt sich nur einmal öffnen, danach ist ihr Inhalt gelöscht. Anschliessend könnt ihr in derselben Konversation vertraulich weiterschreiben.

Mehr dazu: So funktioniert tunnl. →

• Link für die empfangende Person: den schickst du weiter. Er öffnet die erste Nachricht einmal.
• Dein Link zur Konversation: nur für dich. Damit siehst du, ob gelesen wurde, und kannst Antworten lesen und schreiben. Setz ein Lesezeichen und gib ihn nicht weiter.

Verlierst du deinen Link, kommst du nicht mehr in die Konversation – ausser du hast sie in deinem Konto gespeichert.

• Immer den ganzen Link kopieren, inklusive des Teils nach dem #.
• Für Heikles ein Passwort setzen und es über einen anderen Kanal teilen: Link per E-Mail, Passwort per SMS oder Telefon.
• Den Link nicht öffentlich posten. Wer ihn zuerst öffnet, sieht die Nachricht.

Das Passwort ist ein zweites Schloss: Ohne es nützt der Link allein nichts. Es wird ebenfalls nur im Browser verwendet und nie an uns geschickt.

Nach 10 falschen Versuchen wird die Konversation gelöscht. Vergessene Passwörter können wir nicht wiederherstellen.

So lange wartet die erste Nachricht darauf, geöffnet zu werden – zwischen 1 Minute und 3 Tagen. Wird sie nicht rechtzeitig geöffnet, wird sie gelöscht.

Sobald sie geöffnet wurde, bleibt die Konversation 30 Tage nach der letzten Aktivität bestehen.

• bleibt lesbar: Die Antwort bleibt in der Konversation für beide sichtbar, bis die Konversation abläuft oder gelöscht wird.
• nur einmal lesbar: Die Antwort lässt sich einmal anzeigen. Danach ist ihr Inhalt auf dem Server gelöscht. Angehängte Dateien werden nach dem ersten Herunterladen gelöscht.

Ja, solange sie ungelesen ist. Tippe bei deiner Nachricht auf den Stift, ändere den Text, füge Bilder oder Dateien hinzu oder entferne sie, und speichere. Dein Browser verschlüsselt die neue Fassung, die alte wird auf dem Server überschrieben.

Die Nachricht zeigt danach für beide «bearbeitet». Sobald dein Gegenüber sie geöffnet hat, verschwindet der Stift.

Weiterschreiben geht erst, wenn die empfangende Person die erste Nachricht geöffnet hat. So kann niemand eine Konversation füllen, bevor sie überhaupt angekommen ist.

Dem Link fehlt der Teil nach dem # – dort steckt der Schlüssel. Manche Apps oder Mailprogramme schneiden Links ab. Bitte die absendende Person, den Link nochmals vollständig zu schicken, zum Beispiel über einen anderen Messenger.

• Erste Nachricht: sofort nach dem Öffnen, oder wenn sie nicht rechtzeitig abgeholt wird.
• -Antworten: nach dem ersten Anzeigen.
• Ganze Konversation: 30 Tage nach der letzten Aktivität, nach 10 falschen Passwörtern oder wenn jemand auf «Konversation löschen» klickt.
• Danach zeigt tunnl. noch 7 Tage lang an, dass es die Konversation gab – ohne Inhalt.

Fahr mit der Maus über eine Nachricht und drück auf den zurückgebogenen Pfeil oben rechts. Über dem Schreibfeld erscheint dann ein Streifen mit dem Verfasser und der ersten Zeile – das ist der Bezug deiner Antwort. Mit dem Kreuz wirst du ihn wieder los.

Willst du eine bestimmte Stelle zitieren, markiere sie einfach. Dann taucht ein kleiner Knopf Zitieren auf, und der Wortlaut steht danach in deiner Antwort. Ein Klick auf das Zitat springt zurück zur Nachricht, aus der es stammt.

Aus einer -Nachricht lässt sich nicht zitieren, und auf eine verbrannte kannst du nicht antworten. Sonst überlebte die Passage das Verbrennen – und genau das soll sie nicht.

Der Bezug und das Zitat sind Teil deiner verschlüsselten Nachricht. Unser Server erfährt nicht einmal, welche Antwort zu welcher Nachricht gehört.

Jeder Teilnehmer bekommt seinen eigenen Zugang – nur so heisst «einmalig» auch, dass jeder die Nachricht genau einmal sieht. Wer bei dir im Adressbuch steht, bekommt ihn versiegelt direkt zugestellt und braucht gar keinen Link.

Für alle Übrigen stehen die Links auf der Seite, und wo du eine Adresse hinterlegt hast, steht daneben Einladung senden. Betreff und Begleittext schreibst du einmal für alle; Alle einladen schickt sie der Reihe nach hinaus, und jede Zeile sagt für sich, wie es ihr ergangen ist.

Was das kostet: Das Mail trägt den Zugangslink – und damit den Schlüssel. Beim Versand läuft er durch unseren Server; wir speichern ihn nicht, aber wir sehen ihn in diesem Moment. Willst du das nicht, kopier den Link und verschick ihn selbst – dann kommt er bei uns nie vorbei. Und mit einem Passwort nützt das Mail allein ohnehin niemandem, auch uns nicht.

Ein Aushang ist das Gegenstück zur Gruppennachricht: ein Link, beliebig viele Leser, und schreiben darf nur, wer ihn angelegt hat. Wer den Link öffnet, liest mit – ohne Konto, ohne Namen, ohne dass irgendwo steht, dass er da war.

Dazu gibt es einen QR-Code und ein Blatt zum Ausdrucken. Häng es an die Tür, zeig es auf der Leinwand, leg den Link in einen Chat. Für eine Vereinsmitteilung, eine Baustelleninfo, einen Sammelpunkt.

Was ein Aushang nicht kann: Er sagt nicht, wer ihn gelesen hat – das ist Absicht, nicht eine fehlende Funktion. Und wer den Link hat, kann ihn weitergeben; du kannst niemanden wieder ausschliessen. Soll etwas nur an bestimmte Leute gehen, nimm die Gruppennachricht: dort bekommt jeder seinen eigenen Zugang.

Der Inhalt ist verschlüsselt wie alles bei tunnl.: der Schlüssel steht im Link hinter dem # und erreicht unseren Server nie. Wir sehen auch einen Aushang nicht.

Von Haus aus läuft eine Konversation wie ein Briefwechsel: oben fängt sie an, unten steht das Neueste, darunter das Schreibfeld.

Wer es lieber umgekehrt hat, schaltet es in den Einstellungen unter Darstellung um. Dann steht die neueste Nachricht zuoberst und das Schreibfeld gleich darüber – so musst du nach dem Lesen nicht wieder hinunterrollen, um zu antworten.

Die Wahl bleibt in diesem Browser und ändert nur, wie es hier aussieht. An den Nachrichten selbst ändert sich nichts, und beim Gegenüber auch nichts.

Ja. Konversationen, die du im selben Browser-Tab ohne Konto erstellt oder geöffnet hast, übernimmt tunnl. automatisch, sobald du dich anmeldest oder ein Konto eröffnest. Am einfachsten geht es über den Knopf «Anmelden, um diese Konversation im Konto zu behalten».

Hast du den Tab inzwischen geschlossen, öffne die Konversation nochmals über ihren Link und speichere sie dort im Konto.

Solange tunnl. in einem Tab offen ist und du angemeldet bist, schaut tunnl. alle 30 Sekunden nach (im Hintergrund alle 2 Minuten). Neue Nachrichten erscheinen als oranger Punkt am «Konto»-Knopf und als Zahl im Tab-Titel, die Konto-Liste aktualisiert sich von selbst.

In den Einstellungen unter «Hinweise auf neue Nachrichten» kannst du zusätzlich einschalten:

• E-Mail: kommt auch, wenn tunnl. geschlossen ist – ohne Inhalt, höchstens eine pro Stunde und mit etwas Verzögerung (bis ca. 20 Minuten).
• Browser-Hinweise: dein Computer blendet einen Hinweis ein, solange tunnl. in einem Tab offen ist – auch im Hintergrund, ohne Inhalt oder Namen.
• Ablaufwarnung: wenn eine deiner Nachrichten nach der halben Abholfrist noch niemand geöffnet hat, bekommst du einmal eine E-Mail. So merkst du, wenn etwas im Spam gelandet ist, bevor es verfällt.

Nein. Nachrichten verschicken und beantworten geht ohne Konto. Ein Konto brauchst du für:

• eine Übersicht aller Konversationen, auch wenn du deinen Link verlierst,
• Bilder und Dateien,
• deinen Namen in Konversationen und Passkeys.

Die Liste deiner Konversationen ist mit einem Schlüssel verschlüsselt, den nur du hast.

Es gibt kein Passwort: Du gibst deine E-Mail-Adresse ein und bekommst einen 6-stelligen Code. Er gilt 15 Minuten.

• Kein Code? Schau im Spam-Ordner nach, der Absender ist no-reply@tunnl.ch.
• Du kannst höchstens 3 Codes pro 15 Minuten anfordern. Nach 5 falschen Eingaben brauchst du einen neuen Code.
• Schneller geht es mit einem Passkey.

Mit Häkchen bleibst du 30 Tage angemeldet, und dein Schlüssel bleibt in diesem Browser gespeichert. Ohne Häkchen endet die Anmeldung nach 12 Stunden, und der Schlüssel wird beim Schliessen des Browsers vergessen – beim nächsten Mal brauchst du den Wiederherstellungscode.

Setz das Häkchen nur auf deinen eigenen Geräten.

Deine gespeicherten Konversationen sind mit einem Schlüssel verschlüsselt, der nur in deinem Browser liegt. Der Wiederherstellungscode holt diesen Schlüssel auf ein neues Gerät oder einen neuen Browser.

• Speichere ihn im Passwort-Manager oder drucke ihn aus. Nicht per E-Mail an dich selbst schicken.
• Wir haben ihn nicht und können ihn nicht wiederherstellen – das ist der Preis dafür, dass wir nichts lesen können.
• Auch mit Passkey brauchst du ihn auf jedem neuen Gerät einmal.

Auf einem Gerät, auf dem du noch angemeldet bist, funktioniert alles weiter. Auf einem neuen Gerät wählst du «Code verloren? Neu beginnen»: Du bekommst einen neuen Schlüssel und Code.

Deine bisherige Liste wird dabei entfernt, weil sie ohne den alten Schlüssel nicht lesbar ist. Die Konversationen selbst bleiben bestehen und sind über ihre Links weiter erreichbar.

In den Einstellungen kannst du einen Namen festlegen. Lässt du das Feld leer, bekommst du einen zufälligen Fantasienamen wie «Flinker Otter». Dein Gegenüber sieht den Namen, sobald du die Konversation in deinem Konto speicherst.

Deine E-Mail-Adresse wird nie angezeigt.

Eine Ausnahme: Was du über den Rechnungslauf oder den Einzelversand verschickst, zeigt deine Firma statt deines Namens – dort ist genau das gewollt.

Eine Adresse, die du in deine Mail-Signatur schreiben kannst. Wer sie öffnet, schreibt dir etwas Vertrauliches – ohne Konto, ohne Anmeldung, und ohne dass ihr je einen Schlüssel getauscht habt. Die Nachricht landet in deiner Liste, mit einem Kasten-Zeichen davor.

Warum das ohne Vorbereitung geht: Dein Konto hat zwei Schlüssel. Der öffentliche darf jeder sehen – er kann nur zuschliessen. Der private liegt in deinem Browser und geht nie irgendwohin. Dein Besucher würfelt für seine Nachricht einen eigenen Schlüssel, sperrt den Text damit zu und legt diesen Schlüssel in ein Kästchen, das dein öffentlicher zuschnappen lässt. Aufmachen kannst nur du.

Einrichten: in den Einstellungen unter «Dein Briefkasten» eine Kennung wählen – drei bis dreissig Zeichen, Buchstaben, Ziffern und Bindestriche. Ein paar Wörter sind für tunnl. selbst reserviert.

Für deine Signatur – eine davon:

• Sachlich: Vertrauliches? Bitte verschlüsselt an meinen Briefkasten: tunnl.ch/an/deinname
• Kürzer: Für Vertrauliches: tunnl.ch/an/deinname — verschlüsselt, ohne Konto.
• Mit Bild: Schick es mir durch den Tunnel: tunnl.ch/an/deinname

Die dritte ist die schönste und die riskanteste – sie setzt voraus, dass man den Namen schon kennt. «Ohne Konto» würde ich nie weglassen: das ist der Grund, warum jemand klickt statt zurückzuschrecken.

Dein Gegenüber behält seinen eigenen Link und liest darüber deine Antwort. Ihr schreibt danach wie in jeder anderen Konversation weiter. Die Nachricht liegt dreissig Tage, damit die Antwort Zeit hat.

Was du wissen solltest: Du kannst nicht vorsortieren, was hereinkommt – ein offener Briefkasten nimmt auch, was du nicht lesen möchtest. Pro Tag nimmt er 40 Nachrichten an, aus derselben Ecke des Netzes 5. Du kannst ihn jederzeit abstellen; die Kennung wird dann wieder frei, und wer sie noch in einer alten Signatur von dir hat, landet ins Leere.

Auf Englisch zeigt tunnl.ch/to/deinname auf dieselbe Seite.

Mit einem Echo: Du schreibst uns direkt über tunnl. – verschlüsselt wie jede andere Nachricht. Unsere Antwort erscheint in deinem Konto bei der Konversation «Echo an tunnl.».

Echos gehen nur mit Konto, damit die Antwort dich sicher erreicht. Pro Tag sind 5 Echos möglich.

In den Einstellungen ganz unten unter «Konto löschen». Gelöscht werden dein Konto, deine E-Mail-Adresse, deine Liste, deine Passkeys und deine Anhänge. Die Konversationen selbst laufen normal ab.

Ein Passkey ersetzt den E-Mail-Code: Du meldest dich mit Fingerabdruck (Touch ID), Gesicht (Face ID) oder der PIN deines Geräts an. Es gibt nichts abzutippen und nichts, das jemand abfangen könnte.

Der Passkey ersetzt nur die Anmeldung. Damit ein neues Gerät auch deine Konversationen lesen kann, braucht es zusätzlich den Kontoschlüssel – am einfachsten über Gerät koppeln.

Am schnellsten mit dem QR-Code – dann musst du nichts abtippen:

1. Auf dem Gerät, auf dem du angemeldet bist, in den Einstellungen bei Weiteres Gerät auf Gerät koppeln drücken.
2. Mit der Kamera des Handys auf den Code halten und den Hinweis antippen.
3. Das war es. Das Handy ist angemeldet und kann deine Konversationen lesen.

Der Code gilt zwei Minuten und lässt sich genau einmal einlösen. Danach ist er wertlos – auch für jemanden, der ihn abfotografiert hat.

Dein Kontoschlüssel reist dabei verschlüsselt. Der Schlüssel, der ihn aufmacht, steckt im QR-Code selbst und erreicht unseren Server nie. Wir könnten das Paket also nicht öffnen, auch wenn wir wollten.

Der Schlüssel gehört zu einem Browser, nicht zum Gerät. Scanne darum mit dem Browser, den du danach nutzen willst – viele Browser haben dafür einen eigenen QR-Leser. Willst du tunnl. als App auf dem Startbildschirm, dann lege sie zuerst dort ab, öffne sie und koppel von dort aus: eine App auf dem Startbildschirm hat unter iOS einen eigenen Speicher und erbt nichts vom Browser.

Ohne Kamera geht es weiterhin über den Wiederherstellungscode. Und wenn du ein Gerät wieder loswerden willst: in den Einstellungen auf allen Geräten abmelden.

1. Einmal mit E-Mail-Code anmelden.
2. In den Einstellungen bei Passkeys optional einen Namen eingeben (z. B. «MacBook») und Passkey hinzufügen klicken.
3. Mit Touch ID, Face ID oder PIN bestätigen.
4. Ab jetzt auf der Anmeldeseite Mit Passkey anmelden wählen.

Dann ist auf diesem Gerät noch kein Passkey für tunnl.ch gespeichert. Der Browser bietet Touch ID oder Face ID nur an, wenn er einen passenden Passkey findet.

• Noch keinen eingerichtet? Abbrechen, mit Code anmelden und einen Passkey hinzufügen.
• In einem anderen Browser oder Profil erstellt? Passkeys aus Chrome liegen je nach Einstellung im Chrome-Profil, solche aus Safari im iCloud-Schlüsselbund.
• Passkeys gelten nur für die Adresse, auf der sie erstellt wurden. Passkeys von einer früheren Adresse funktionieren auf tunnl.ch nicht.

Wenn dein Passkey-Speicher synchronisiert (iCloud-Schlüsselbund, Google Passwortmanager, 1Password …), ja. Sonst fügst du auf jedem Gerät einen eigenen Passkey hinzu. Nicht mehr benötigte Passkeys entfernst du in den Einstellungen.

Optionen verlängern, was tunnl. offen hält. Sie gelten für dein Konto und lassen sich derzeit nur mit einem Aktivierungscode freischalten (in den Einstellungen unter «Optionen» eingeben).

• Standard: Abholfrist 1 Minute bis 3 Tage. Die erste Nachricht ist einmal lesbar.
• seelisbrg: zusätzlich 7 Tage und 9.25 Tage – die Länge des Seelisbergtunnels.
• gotthrd: zusätzlich 7 Tage, 16.942 Tage – die Länge des Gotthard-Strassentunnels – sowie 1, 2, 3, 6 und 12 Monate.
• Mit beiden Optionen kannst du beim Schreiben «Mehrfach lesbar» ankreuzen: Die erste Nachricht bleibt bis zum Ablauf lesbar, statt sich beim ersten Öffnen zu löschen. Auch Anhänge bleiben so lange abrufbar.

Gedacht für Unterlagen, die nicht nach dem ersten Blick verschwinden sollen – Rechnungen, Verträge, Zugangsdaten für ein Projekt. Vertraulich bleibt alles gleich: Verschlüsselt wird weiterhin nur im Browser.

Die Optionen tragen die Namen der beiden längsten Strassentunnel der Schweiz – und ihre Länge in Kilometern ist zugleich die längste Abholfrist in Tagen. Geschrieben werden sie wie tunnl. selbst: klein und ohne den letzten Vokal.

• Gotthard-Strassentunnel: 16.942 km, eröffnet 1980, längster Strassentunnel der Schweiz und der Alpen.
• Seelisbergtunnel: 9.25 km, ebenfalls 1980 eröffnet, Teil der A2 zwischen Beckenried und Seedorf – der zweitlängste Strassentunnel der Schweiz.

Eigene Zeichnung, kein Foto: Damit müssen wir keine fremden Bildrechte einkaufen – und sie passt besser zum orangen Punkt am Ende des tunnl.

Mit der Option gotthrd kann tunnl. das Benachrichtigungs-Mail für dich verschicken – mit deinem Logo, deinem Firmennamen und deiner Antwortadresse. Du legst das einmal in den Einstellungen fest.

• Absender: technisch bleibt es tunnl.ch, sichtbar steht «Deine Firma via tunnl.». Das ist nötig, damit die Mails nicht im Spam landen. Willst du deine eigene Domäne im Absender, geht das – siehe Versand über deine Domäne.
• Antwort: Antwortet jemand auf das Mail, landet es bei deiner Adresse.
• Logo: liegt im Mail selbst, wird also nicht von einem Server nachgeladen. Damit verrät das Öffnen nichts.

Im Rechnungslauf zeigt dir Vorschau das fertige Mail samt Umschlag – Von, Antwort an, Betreff –, bevor du etwas verschickst.

Firmenname, Antwortadresse und Logo liegen bei uns im Klartext – sie gehören ins Mail und sind dort ohnehin sichtbar. Textbausteine und Adressbuch bleiben verschlüsselt.

Mit der Option gotthrd kann die Post unter deiner eigenen Domäne rausgehen statt unter unserer: no-reply@deine-firma.ch statt no-reply@tunnl.ch. Dafür musst du drei Einträge bei deinem Namensdienst setzen – dort, wo deine Domäne verwaltet wird.

• DKIM – die Unterschrift. Wir erzeugen ein Schlüsselpaar; der öffentliche Teil kommt in den Eintrag, der private bleibt bei uns. Dass du diesen Eintrag setzen kannst, ist zugleich dein Nachweis, dass die Domäne dir gehört – ein zusätzlicher Bestätigungscode wäre derselbe Beweis ein zweites Mal.
• SPF – die Erlaubnis, in deinem Namen zu senden. Achtung: eine Domäne darf genau einen SPF-Eintrag haben. Stehen zwei da, gelten beide nicht, und niemand warnt dich. Darum zeigen wir nicht «füge dies hinzu», sondern deine vorhandene Zeile mit unserem Baustein an der richtigen Stelle. Die alte ersetzen, keine zweite anlegen.
• DMARC – freiwillig, aber empfohlen: damit erfährst du, wenn jemand in deinem Namen schreibt. Fang mit p=none an und schau zwei Wochen zu.

In den Einstellungen steht bei jedem Eintrag die fertige Zeile; ein Klick darauf kopiert sie. Danach Jetzt prüfen – meist dauert es ein paar Minuten, bei manchen Anbietern ein paar Stunden, bis die Einträge überall gelten.

Nichts wird umgestellt, bevor es geprüft ist. Solange ein Eintrag fehlt, geht die Post wie bisher über uns. Das ist Absicht: eine Mail unter deinem Namen ohne die Einträge käme im Spam an oder gar nicht. Fällt später ein Eintrag weg – etwa beim Umzug zu einem anderen Anbieter –, fällt der Versand still auf tunnl.ch zurück und du bekommst ein Mail darüber.

Am Inhalt ändert das nichts: der bleibt verschlüsselt hinter dem #. Unterschrieben wird das Begleitmail, nicht die Nachricht.

Die Domäne trägt eine Person ein – ihr gehört sie. In den Einstellungen steht darunter Wer sonst noch darf: dort nimmt sie Kolleginnen dazu, und jede sendet danach unter ihrem eigenen Namen vor dem @ – anna@deine-firma.ch statt no-reply@deine-firma.ch.

Zwei Bedingungen, beide mit Absicht: die Adresse muss auf dieser Domäne liegen, und es muss dort schon ein Konto geben. Das Erste verhindert, dass jemand fremde Adressen durchprobiert und so erfährt, wer bei uns ein Konto hat – auf der eigenen Domäne weiss er das ohnehin. Das Zweite gibt es, weil wir niemanden ungefragt anlegen.

Geteilt wird der Auftritt, nicht die Post. Schlüssel, Selektor und Prüfstand gehören der Domäne; jede Konversation gehört weiter dem Konto, in dem sie liegt. Wer die Domäne eingetragen hat, sieht von der Post der anderen nichts – dafür gibt es keine Funktion, nicht einmal für uns.

Ehrlich dazu: Solange die Domäne einer Person gehört, hängt sie an dieser Person. Gibt sie die Domäne ab oder löscht ihr Konto, fällt der Versand bei allen anderen still auf tunnl.ch zurück. Wer das nicht will, legt eine Firma an und übergibt ihr die Domäne – dann führt sie jeder Administrator, und sie überlebt jedes einzelne Konto.

In den Einstellungen legst du eine Firma an und nimmst Kolleginnen auf. Es gibt zwei Rollen: Administrator verwaltet – aufnehmen, entfernen, Rollen setzen –, Mitglied sieht, wer dabei ist. Aufnehmen kannst du, wer bei tunnl. schon ein Konto hat, und jedes Konto gehört zu höchstens einer Firma.

Die Firma verwaltet, sie liest nicht – im Alltag. Deine Konversationen liegen unter deinem Kontoschlüssel, und der liegt in deinem Browser. Ein Administrator bekommt durch seine Rolle keinen einzigen Brief zu sehen.

Zwei Ausnahmen, und sie sind wichtig genug, um sie hier hinzuschreiben: wenn jemand die Firma verlässt, und wenn eine Vertretung erklärt ist. Für diese beiden Fälle wird alles, was unter dem Firmenauftritt rausgeht – über die Firmendomäne oder mit der Firmenmarke –, beim Senden zusätzlich für die Firma verschlüsselt. Ein Administrator kann es dann öffnen. Nicht heimlich: jedes Öffnen steht im Protokoll, und die betroffene Person erfährt davon.

Der Grund ist unangenehm konkret. Ein Treuhänder, dessen Mitarbeiter kündigt, kommt sonst an die Mandantenpost nicht mehr heran – und wir können sie ihm nicht geben, weil wir sie nie hatten. Das lässt sich nicht nachträglich reparieren: was beim Senden nicht für die Firma mitverschlüsselt wurde, bekommt sie nie. Darum geschieht es beim Senden oder gar nicht.

Wie eine Vertretung entsteht: Du kannst sie für dich selbst erklären, bevor du in die Ferien gehst – dann weisst du es ohnehin. Oder ein Administrator erklärt sie für dich, wenn du kurzfristig ausfällst; dann bekommst du ein Mail, bevor irgendetwas geöffnet wird. Eine Vertretung ist immer befristet, höchstens ein halbes Jahr, und beide Seiten können sie vorzeitig beenden.

Was du danach siehst: In deinen Einstellungen steht Wer deine Post geöffnet hat – mit Datum, Name und Anzahl. Diese Liste wird nie gelöscht und nie überschrieben, und sie bleibt dir auch, wenn du die Firma verlässt. Dazu bekommst du bei jedem Zugriff ein Mail. Ein Zugriff, den niemand mitbekommt, wäre etwas anderes als das, was hier steht.

Was es ausdrücklich nicht gibt: einen Anlass «weil ich Administrator bin». Ohne Austritt und ohne laufende Vertretung gibt unser Server die Siegel nicht heraus – und ohne Siegel nützt auch der Firmenschlüssel nichts.

Was privat bleibt: alles, was du ohne Firmendomäne und ohne Firmenmarke verschickst. Daran kommt die Firma nicht, auch nicht später, auch nicht mit unserer Hilfe. Ebenso deine Textbausteine, deine Vorlagen und dein Adressbuch.

Und der Schlüssel liegt nicht bei uns. Die Firma hat ein eigenes Schlüsselpaar; der Teil, der aufschliesst, liegt bei ihren Administratoren – jeder hält eine Kopie unter seinem eigenen Kontoschlüssel. Auch dieser Weg führt nicht über uns: ein neuer Administrator bekommt ihn von einem, der ihn schon hat. Deshalb sind zwei Administratoren Pflicht. Verliert der einzige seinen Zugang, ist der Firmenschlüssel weg – und damit die Post, auf die sich die Firma verlassen hat.

Zwei Administratoren sind Pflicht, und der letzte kann sich weder selbst entfernen noch herabstufen. Der Grund ist unangenehm konkret: Verliert der einzige Administrator seinen Zugang, käme niemand mehr an die Verwaltung – und wir können ihn nicht zurückgeben, weil wir ihn nie hatten.

Tritt jemand aus, bleibt sein Konto bestehen, samt allem darin. Was endet, ist die Zugehörigkeit – mit Datum, damit später nachvollziehbar ist, wer wann dabei war.

Die Domäne kann ihr gehören. In den Einstellungen steht unter deiner Domäne An deine Firma übergeben. Danach führt sie jeder Administrator, und sie überlebt jedes einzelne Konto – gibt der, der sie eingetragen hat, sein Konto auf, sendet der Rest ungestört weiter. Am Versand ändert die Übergabe nichts: kein neuer Schlüssel, kein angefasster Eintrag im Namensdienst, keine unterbrochene Post. Und sie geht zurück – jeder Administrator kann die Domäne wieder auf sein eigenes Konto nehmen.

Der Auftritt kann ihr auch gehören. Unter Dein Absender steht An deine Firma übergeben. Danach senden alle unter demselben Firmennamen, derselben Antwortadresse und demselben Logo, und jeder Administrator kann das ändern. Ein Mitglied sieht, unter welchem Namen es sendet, ändern kann es ihn nicht. Auch das geht zurück.

Was dabei nicht mitgeht: Deine Textbausteine, Vorlagen und dein Adressbuch. Die liegen verschlüsselt unter deinem Kontoschlüssel, und den haben wir nicht – die Firma bekommt sie also nicht, auch wenn sie wollte. Dieselbe Grenze gilt für eure Konversationen: an die Post ihrer Leute kommt die Firma nicht. Das ist keine Einstellung, sondern die Bauart.

Eine einzelne Nachricht mit deinem Absender – für Offerten, Workshopresultate oder was sonst anfällt. Du findest sie über den Pfeil am roten Knopf Neue Nachricht – er steht auf jeder Seite, und dort stehen Nachricht per Mail, Rechnungen per Mail und darunter deine eigenen Vorlagen.

• Titel: steht als Betreff im Mail und zuoberst in der Nachricht.
• Text für das Mail: der Begleittext, den dein Gegenüber im Posteingang liest. Er ist unverschlüsselt – also nichts Vertrauliches hineinschreiben. Mit «Begleittext merken» steht er beim nächsten Mal wieder da.
• Text für die Nachricht: der vertrauliche Teil, im Browser verschlüsselt.
• Anhänge: wie sonst auch, bis 5 Dateien – verschlüsselt, samt Dateinamen.

Empfänger und Passwort kommen aus demselben verschlüsselten Adressbuch wie im Rechnungslauf. Die Vorschau zeigt dir vorher, wie das Mail ankommt.

Deine Marke: Was du so verschickst, trägt deinen Absender auch in der Konversation: Als Name steht dort deine Firma statt deines Anzeigenamens. Der Name kommt aus dem Absenderprofil und liegt bei uns ohnehin im Klartext; sichtbar wird er nur für die Person mit dem Link. Dein Logo bleibt im Mail.

Vorlagen: Hast du eine Nachricht so, wie du sie öfter brauchst, klick auf Als Vorlage speichern und gib ihr einen Namen – «Offerte», «Workshopresultat». Gespeichert werden Titel, beide Texte, die Empfänger und die Frist, verschlüsselt im Konto. Danach steht die Vorlage im Pfeil am roten Knopf und du beginnst mit einem Klick statt mit einem leeren Blatt.

Mehrere Empfänger: Trenn die Adressen mit Komma – alle bekommen dasselbe Mail mit demselben Link, etwa Controlling und Kreditoren. Damit nicht die erste Person die Nachricht für alle anderen verbrennt, bleibt sie dann automatisch mehrfach lesbar. Das geht im Rechnungslauf genauso.

Adressbuch: Häkchen «Empfänger merken als» setzen, Namen vergeben – «Meier AG», «Controlling & Kreditoren» –, und beim nächsten Mal tippst du den Namen ins Empfängerfeld und bekommst alle Adressen zurück. Nimmst du eine weg und merkst erneut, ist sie auch weg. Das Adressbuch gilt für beide Wege und liegt verschlüsselt im Konto.

Ja. In jeder Konversation gibt es unten Vertretung: Zugang teilen. Dahinter steht der Link, mit dem diese Konversation aufgeht – derselbe, mit dem du sie öffnest. Gib ihn der Person, die dich vertritt; sie sieht dann alles, kann antworten und weiterarbeiten, und kann die Konversation in ihrem eigenen Konto ablegen.

Ehrlich dazu: Es ist dein Zugang, kein kleinerer. Wer ihn hat, kann auch bearbeiten und löschen. Und zurücknehmen lässt er sich nicht – wer den Link hat, behält ihn, bis die Konversation verfällt oder du sie löschst. Teile ihn deshalb nur mit Menschen, denen du diese Konversation anvertraust, und am besten über einen anderen Weg als den, über den sie gekommen ist.

Hat die Konversation ein Passwort, nützt der Link allein nichts – das Passwort schickst du getrennt.

Ein gemeinsames Konto für mehrere Personen gibt es bewusst nicht: Der Kontoschlüssel liegt nur in deinem Browser, und ein geteilter Schlüssel liesse sich nie wieder einsammeln.

In jeder Konversation gibt es unten Zustellprotokoll. Es nennt die Kennung der Konversation, den Beginn, die erste Abholung, den Verfall und je Nachricht: von wem, wann gesendet, wann abgeholt, welche Anhänge und einen Prüfwert des gespeicherten Chiffrats. Du kannst es drucken oder als PDF sichern.

Das Protokoll entsteht in deinem Browser aus dem, was ohnehin da ist – es wird dafür nichts zusätzlich gespeichert und nichts an uns geschickt. Beide Seiten sehen dieselbe Kennung, damit zwei Protokolle zusammenpassen.

Ehrlich gesagt: Es belegt, dass mit dem Link abgeholt wurde – nicht, wer abgeholt hat. Ein rechtlich anerkannter Zustellnachweis ist es nicht; dafür braucht es eine anerkannte Zustellplattform. Für den Alltag («ich kann zeigen, wann es abgeholt wurde») reicht es.

Im Rechnungslauf legst du mehrere Dateien ab. tunnl. liest aus jedem Dateinamen, was es kann – nach einem Muster, das du einmal hinterlegst, etwa {nr}_{kunde}_{periode}.

Du bekommst eine Prüfliste: eine Zeile pro Rechnung, mit Nummer, Periode, Kunde, Empfänger, Betreff und Passwort. Alles lässt sich ändern, Zeilen kannst du entfernen. Erst wenn du sendest, passiert etwas – jede Rechnung wird eine eigene verschlüsselte Nachricht mit eigenem Link.

Zum Passwort: Schickt tunnl. das Mail, läuft der Link mit dem Schlüssel im Moment des Versands durch unseren Server; gespeichert wird er nicht. Setzt du ein Passwort, nützt der Link allein niemandem – auch uns nicht. Für Stammkunden kannst du ein festes Passwort im Adressbuch hinterlegen; es liegt verschlüsselt dort und wird beim nächsten Mal von selbst eingesetzt.

Deine Marke: Bei jeder so verschickten Rechnung steht in der Konversation deine Firma als Absender – siehe Einzelversand.

Stundenabrechnung: Leg die Rechnung und die CSV zusammen ab – tunnl. erkennt am Dateinamen, was zusammengehört (Kunde, Nummer, Periode), und macht daraus eine Sendung. Beim Kunden steht dann die Rechnung, darunter die Stunden als Tabelle und darunter die CSV zum Herunterladen.

Serienversand mit einer Liste: Wer vierzig Lohnabrechnungen verschickt, tippt keine vierzig Adressen. Leg die Dateien ab und lies eine Liste (CSV) dazu ein – eine Zeile je Sendung, mit den Spalten datei, empfaenger, kunde, betreff, passwort. tunnl. ordnet über den Dateinamen zu und füllt die Zeilen aus; was nicht passt, wird dir genannt. Die Liste wird nur in deinem Browser gelesen und nie hochgeladen. Eine Beispielliste zum Ausfüllen findest du auf der Seite.

Solange eine Rechnung nicht abgeholt ist, kannst du sie im Konto noch ändern.

Dateien werden wie Nachrichten im Browser verschlüsselt, auch der Dateiname. Hochladen geht nur mit Konto, herunterladen kann jede Person mit dem Link.

Zum Dateinamen: Er ist verschlüsselt und kommt beim Empfänger richtig an. Beim Speichern ersetzt Chrome allerdings Umlaute und Sonderzeichen – aus «Pläne.pdf» wird «Plaene.pdf». Das ist eine Eigenheit des Browsers, nicht von tunnl.

• bis 25 MB pro Datei, höchstens 5 Dateien pro Nachricht
• 100 MB Speicher pro Konto – es zählen nur Dateien, die noch nicht verbrannt sind
• jede Datei verbrennt automatisch nach 1, 3 oder 7 Tagen – tunnl. ist zum Verschicken da, nicht zum Aufbewahren

Ja. Bei einer CSV-Datei – etwa einer Stundenabrechnung aus deinem CRM – steht neben Herunterladen auch «Als Tabelle zeigen». Die Tabelle klappt unter der Datei auf, mit Kopfzeile, rechtsbündigen Zahlen, Datum links – und einer Summe unter der letzten Zahlenspalte.

• Semikolon, Komma und Tabulator werden selber erkannt, ebenso Anführungszeichen und Umlaute aus älteren Ausgaben.
• Ab 300 Zeilen zeigen wir die ersten 300 und sagen, wie viele noch folgen. Herunterladen geht weiterhin.
• Gelesen wird die Datei erst nach dem Entschlüsseln, in deinem Browser. Der Server sieht keine einzige Zelle.

Im Rechnungslauf geht es umgekehrt: Dort legst du die Stundenabrechnung zusammen mit der Rechnung ab, und sie steht beim Kunden ohne einen Klick unter dem PDF – als Tabelle, mit der Datei darunter.

Ein Excel-Export (.xlsx) wird noch nicht als Tabelle gezeigt – speichere ihn als CSV, wenn du das möchtest.

Nein. Tippe auf die Büroklammer: Unter Schon hochgeladen findest du deine Dateien, die noch nicht verbrannt sind. Wählst du eine davon, wird dieselbe verschlüsselte Datei angehängt, statt sie ein zweites Mal zu speichern. Wählst du dieselbe Datei nochmals vom Gerät, erkennt dein Browser das selbst.

Sie zählt nur einmal für deinen Speicher und steht unter Speicher und Anhänge nur einmal – mit dem Hinweis, wie oft sie angehängt ist. Für jede neue Nachricht gilt die dort gewählte Frist. Verbrennst du die Datei dort, verschwindet sie aus allen Nachrichten.

Verbrennen heisst: Die Datei wird endgültig gelöscht. In deinem Konto siehst du alle Anhänge mit ihrer Restzeit. Du kannst sie sofort verbrennen oder die Frist verkürzen – verlängern geht nicht.

Anhänge an einer -Nachricht verbrennen nach dem ersten Herunterladen. Nicht verschickte Uploads werden nach einer Stunde gelöscht.

Deine 100 MB sind belegt. Verbrenne unter Speicher und Anhänge Dateien, die schon heruntergeladen wurden, oder warte, bis sie ablaufen. Meldet tunnl., der Speicher sei allgemein voll, versuch es später nochmals.

Nein. Verschlüsselt und entschlüsselt wird ausschliesslich in den Browsern von dir und deinem Gegenüber (AES-256-GCM). Der Schlüssel steht im Link nach dem #, und dieser Teil wird nie an den Server gesendet. Ein optionales Passwort wird mit PBKDF2 (600 000 Runden) zu einem Schlüssel verarbeitet.

Auf dem Server liegt nur verschlüsselter Datensalat. Selbst wer die Datenbank kopiert, kann damit nichts lesen.

Die Verschlüsselung im Detail →

• tunnl. selbst speichert keine IP-Adressen. Gegen Missbrauch zählt tunnl. Anfragen mit einem anonymen Wert, der sich täglich ändert.
• Verschlüsselte Nachrichten und Dateien, Ablaufzeiten und Prüfwerte (Hashes) der Links.
• Mit Konto: deine E-Mail-Adresse – verschlüsselt gespeichert –, deine verschlüsselte Liste, dein Anzeigename und öffentliche Passkey-Schlüssel.

Wie bei jeder Website protokolliert unser Hosting-Anbieter technische Zugriffe (etwa IP-Adresse, Zeitpunkt und aufgerufene Seite) für Betrieb und Sicherheit und löscht sie nach seinen Fristen. In diesen Protokollen stehen weder Inhalte noch Schlüssel noch Hinweise darauf, welche Konversation geöffnet wurde – Token und Schlüssel stehen im Link hinter dem #, und dieser Teil wird nie an den Server gesendet.

Alles wird automatisch gelöscht, siehe Wann wird was gelöscht? Die Einzelheiten stehen in der Datenschutzerklärung.

• Wer den vollständigen Link hat (und das Passwort, falls gesetzt), kann die Nachricht öffnen.
• Ein verseuchtes Gerät, Screenshots oder eine Person, die den Inhalt weitergibt.
• Dass jemand weiss, dass du eine Nachricht verschickt hast – etwa, weil er den Link in deinem Mail-Verlauf sieht. Deshalb löscht sich der Inhalt.

Hast du über tunnl. etwas Rechtswidriges oder Belästigendes erhalten? Schick uns ein Echo oder schreib an echo@tunnl.ch. Mit dem Link zur Konversation können wir sie löschen und das Konto dahinter sperren, falls es eines gibt.

Wichtig: Wer den vollständigen Link hat, kann die Nachricht lesen. Gib ihn nur weiter, wenn du damit einverstanden bist, dass wir den Inhalt sehen können – zum Löschen genügt uns der Teil bis zum ersten Punkt nach dem #.

Alle aktuellen Browser: Safari, Chrome, Firefox, Edge – auf Computer und Handy. JavaScript muss eingeschaltet sein, weil die Verschlüsselung im Browser läuft.

Ja, mit dem runden Knopf oben neben «Konto»: automatisch (wie dein System) → hell → dunkel. Die Wahl wird nur in deinem Browser gespeichert.