Freie Exchange-Alternative: grommunio Web mit OpenPGP

grommunio hat die Version 5.0 seines Web-Clients veröffentlicht. Das Update erweitert die Mailoberfläche vor allem um OpenPGP-Unterstützung, eine Befehlspalette und Funktionen zum Rückgängigmachen von Aktionen. Außerdem soll der Client Anhänge deutlich vielseitiger direkt im Browser anzeigen und bei Kategorien sowie Junk-Mail-Regeln enger mit Outlook zusammenarbeiten.

Bei grommunio handelt es sich um eine quelloffene Kommunikations- und Groupware-Plattform für E-Mail, Kalender, Kontakte, Dateien und Zusammenarbeit. Sie richtet sich an Organisationen, die eine selbst betriebene Alternative zu Microsoft Exchange und M365 suchen. Die Plattform entstand 2021 zunächst unter dem Namen grammm.

OpenPGP im Browser und mehr Tastatursteuerung

Die wichtigste funktionale Neuerung ist die Unterstützung von OpenPGP. grommunio Web kann E-Mails damit signieren, verschlüsseln, entschlüsseln und Signaturen prüfen. Die bereits zuvor implementierte S/MIME-Unterstützung bleibt erhalten. Beide Verfahren dienen dazu, Mailinhalte vor unbefugtem Zugriff zu schützen und Absender kryptografisch zu verifizieren.

Nach Angaben von grommunio erzeugt und entsperrt der Browser die Schlüssel lokal. Private Schlüssel liegen demnach verschlüsselt im eigenen Postfach; entschlüsselte Mailinhalte sollen den Browser nicht verlassen. Beim Verschlüsseln unterbricht der Client zudem das automatische Speichern von Entwürfen. Damit soll kein Klartextentwurf auf dem Server landen. Öffentliche Schlüssel kann der Client von Schlüsselservern abrufen, die Administratoren freigegeben haben.

Für häufige Bedienabläufe führt Version 5.0 eine Befehlspalette ein, die Nutzer mit Strg+K öffnen können. Darüber lassen sich Ordner, Ansichten und Einstellungen per Eingabe aufrufen sowie neue Elemente erstellen. Mit Strg+Z und Strg+Y kann man Aktionen wie Löschen, Verschieben, Kopieren, Markieren, Lesestatus ändern und Kategorisieren rückgängig machen oder wiederholen. Das gilt auch für verschobene Kalendereinträge. Die Funktion lässt sich in den Einstellungen unter „Allgemein“ aktivieren.

Vorschau für Office-Dateien

Der überarbeitete Dokumentbetrachter kann zahlreiche Dateiformate direkt im Browser öffnen und anzeigen. Dazu zählen PDF, Word-Dateien einschließlich des alten DOC-Formats, Excel-Dateien, CSV, Präsentationen, OpenDocument-Dateien, RTF, Markdown, JSON und Quelltext. Auch Bilder, Audio- und Videodateien sowie angehängte EML-Nachrichten lassen sich laut Hersteller damit öffnen. Die Vorschau kann im Dialog, in einem eigenen grommunio-Tab oder in einem separaten Browserfenster erscheinen.

Mehrere Anhänge lassen sich künftig markieren und per Drag-and-drop in eine Nachricht ziehen, die der Nutzer parallel in einem anderen Tab oder Fenster verfasst. Beim Ablegen auf dem Desktop bündelt grommunio Web die Auswahl als ZIP-Archiv. Alternativ lassen sich einzelne Dateien in einem Zielordner speichern. Neu ist außerdem die Option, Anhänge aus bereits gespeicherten Nachrichten zu entfernen. Der Nachrichtentext und Metadaten wie Absender und Datum bleiben dabei erhalten; Administratoren können diese Funktion zentral abschalten.

Auch bei der Suche gibt es Neuerungen. Sie bezieht nun öffentliche Ordner samt Unterordnern ein und akzeptiert Suchpräfixe in der Sprache der Oberfläche. In einer deutschsprachigen Installation funktionieren damit etwa von:, an: und betreff:. Für freigegebene Postfächer ergänzt der Client eine Konversationsansicht und individuell sortierbare Ordnerlisten.

Kategorien und Absenderlogos wie in Outlook

Bei der Interoperabilität mit Outlook setzt grommunio Web 5.0 auf gemeinsame Farbkategorien. Der Client speichert diese in der Hauptkategorieliste des Postfachs. Damit sollen Namen und Farben in grommunio Web, Outlook und auf Mobilgeräten übereinstimmen. Das gilt auch für gemeinsam genutzte Postfächer, deren Kategorien für alle Berechtigten sichtbar werden.

Vertrauenswürdige und blockierte Absender sowie vertrauenswürdige Empfänger verwaltet grommunio künftig über dieselbe Junk-Mail-Regel wie Outlook. Der Lesebereich soll diese Einstellung auch berücksichtigen, wenn externe Bilder in einer Nachricht geladen werden. Zusätzlich zeigt der Client bei Marken mit gültigem BIMI-Eintrag ein Logo neben dem Absender an. BIMI steht für Brand Indicators for Message Identification und erlaubt es Unternehmen, ein verifiziertes Markenlogo an authentifizierte E-Mails zu knüpfen.

Neu sind außerdem Notizen zu einzelnen E-Mails. Sie erscheinen beim erneuten Öffnen der Nachricht und sind auch für alle anderen Nutzer sichtbar, die Zugriff auf das betreffende Postfach haben. Benachrichtigungen lassen sich auf bestimmte Ordner beschränken; statt nur die Zahl ungelesener Nachrichten anzuzeigen, nennen sie Absender und Betreff einer neu eingetroffenen E-Mail. Weitere neue Funktionen und Performanceverbesserungen listet der Blogeintrag der Entwickler zur Version 5.0 auf.

SBOM für den Cyber Resilience Act

grommunio verknüpft das Release zudem mit Anforderungen des EU-Cyber-Resilience-Act (CRA). Seit dem 11. September 2026 gelten dessen Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Eine Frühwarnung muss binnen 24 Stunden erfolgen, eine weitere Meldung innerhalb von 72 Stunden. Die übrigen zentralen CRA-Pflichten greifen erst ab dem 11. Dezember 2027.

Mit jeder Version will grommunio daher eine maschinenlesbare Software-Stückliste, kurz SBOM (Software Bill of Materials), im CycloneDX- und SPDX-Format ausliefern. Darin verzeichnet der Hersteller nach eigenen Angaben 421 Laufzeit- und Build-Komponenten samt Version, Lizenz und Herkunft. Der Build soll abbrechen, wenn die SBOM nicht mehr zum Quellbestand passt. Außerdem verweist grommunio auf eine veröffentlichte Sicherheitsrichtlinie und zusätzliche Schutzmaßnahmen etwa gegen Cross-Site-Request-Forgery bei Anmelde-, Token- und Abmeldevorgängen.

Namenswechsel für Plugins und Konfiguration

Mit der Hauptversion schließt grommunio außerdem die Umbenennung von Altlasten aus der Zarafa- und WebApp-Herkunft des Clients ab. Namespaces, CSS-Klassen und Konfigurationspfade tragen nun durchgängig den Namen grommunio. Gespeicherte Benutzereinstellungen verschiebt der Client bei der ersten Anmeldung automatisch nach grommunio/v1; Layouts und Fenstergrößen sollen erhalten bleiben.

Für Plugin-Entwickler hält Version 5.0 vorübergehend Kompatibilitäts-Aliase bereit. So wird etwa window.Zarafa noch auf Grommunio abgebildet, allerdings mit einer einmaligen Warnung in der Browserkonsole. Alte CSS-Klassen mit dem Präfix zarafa- müssen Entwickler hingegen direkt anpassen. Eine Migrationsanleitung im Projekt-Repository dokumentiert die betroffenen Bezeichner.