Fast jeder weiß heute, dass eine E-Mail nur so offen ist wie eine Postkarte. Jeder, der sie in die Hand kriegt, kann sie lesen. So lange Sie Ihren Lieben zuhause nur schreiben, wie schön das Wetter in Spanien und die Stimmung super und die Verpflegung super, dürfte das unproblematisch sein. Aber Sie würden einer Postkarte keine Geheimnisse anvertrauen, oder?

Die elektronische Post ist in puncto Sicherheit auf dem selben Level. Von den Kopfdaten bis zum Inhalt mitgesendeter Bilder oder Dokumente ist alles frei zugänglich. Für jeden, der Zugang zum Netz in einem Knotenpunkt des internationalen Netzes hat, ist ihre E-Mail lesbar wie die Postkarte für den Briefboten.

Was können Sie tun, um ihrer „elektronischen Postkarte“ einen Umschlag zu verpassen? Dazu gibt es verschiedene Maßnahmen. Ich will hier nur auf PGP eingehen. PGP steht für Pretty Good Privacy, was soviel wie „ziemlich gute Sicherheit“ heißt. Vom ursprünglichen PGP wurde irgendwann ein open source Projekt abgeleitet, das unter der Gnu-Lizenz verbreitet wurde. Es heißt demnach auch GnuPG oder GPG (Ich werde in diesem Blogpost nur PGP nennen, meine damit aber auch GnuPG bzw. GPG). Wer mit Windows unterwegs ist, findet seine Werkzeuge unter https://www.gpg4win.de. Über gpgtools.org steht dem Mac-User kostenlos die GPG Suite zur Verfügung. Diese Werkzeuge ermöglichen Ihnen, Schlüsselpaare zur „ziemlich sicheren“ Kommunikation via E-Mail zu generieren, zu verwalten und zu nutzen. Wer den beliebten und ausgereiften Thunderbird nutzt, sollte sich das kostenlose Add On namens Enigmail installieren. Das bildet die Schnittstelle zwischen dem E-Mail-Programm und den GPG-Werkzeugen. Eine antiquierte Verschlüsselungsmaschine aus dem Zweiten Weltkrieg lässt also freundlich grüßen.

Für Freunde, die nicht so gern viel Text lesen, werde ich am Ende dieses Posts eine gute Videoanleitung nennen. Da es schon viele gute derartige Anleitungen gibt, erspare ich es mir, eine eigene zu produzieren.

Wie funktioniert PGP/GPG?

Um ein Motorfahrzeug zu fahren, muss man nicht unbedingt wissen, was einen Zweitakter vom Viertakter unterscheidet, wie ein Automatikgetriebe funktioniert oder warum eine Xenonlampe heller als eine Halogenlampe ist. Nice to know, aber nicht zwingend notwendig. Ebensowenig ist Detailwissen nötig, um mit PGP seine Mails zu ver- bzw. verschlüsselte Mails zu entschlüsseln. Für PGP erzeugt man seinen eigenen Schlüssel, genauer gesagt, sein Schlüsselpaar, bestehend aus einem öffentlichen und privaten oder geheimen Schlüssel (public und secret key). Den öffentlichen darf und sollte man großzügig verteilen. Den geheimen Schlüssel peinlich unter Verschluss halten und niemals aus der Hand geben. Am besten auf einen USB-Stick speichern, der nur im Bedarfsfall in den Rechner gesteckt wird. Mindestens muss der aber mit dem öffentlichen Schlüssel in der so genannten Schlüsselverwaltung des eigenen Computers verharren. Die sorgt für die schnelle Bereitstellung zum Ver- und Entschlüsseln.

Den öffentlichen Schlüssel haben beide, Sender und Empfänger. Ihren privaten nur Sie, also der Absender. Mit dem privaten Schlüssel und dem öffentlichen Schlüssel des Empfängers wird der Inhaltstext verschlüsselt, also unkenntlich gemacht. Der Empfänger benutzt Ihren öffentlichen und seinen privaten Schlüssel, um den Buchstabensalat in Klartext umzuwandeln. Umgekehrt das gleiche. Wenn Sie den öffentlichen Schlüssel Ihres Freundes haben und von ihm eine verschlüsselte Mail bekommen, benutzen Sie Ihren privaten und seinen öffentlichen Schlüssel, um das Buchstabenchaos zu entwirren. Das müssen Sie sich nicht merken, denn das regelt das PGP-Werkzeug selbsttätig.

Die Schlüsselverwaltung kann man noch sinnvoll erweitern, indem man seinen öffentlichen Schlüssel auf einen der zahlreichen Key-Server hochlädt. Dort findet Ihr Empfänger Ihren Schlüssel, indem er nach Ihrem Namen oder Ihrer E-Mail-Adresse sucht. Er lädt sich Ihren public key auf seinen Rechner (richtig: der landet in der Schlüsselverwaltung) und nutzt ihn dann. Im Idealfall hat man genau so viele Schlüssel wie Partner, mit denen man sicher kommunizieren will.

Von Gregorerhardt – Eigenes Werk, CC-BY-SA 4.0, https://commons.wikimedia.org/w/index.php?curid=37163956

Wie generiere ich ein eigenes Schlüsselpaar?

Man rufe die Schlüsselverwaltung auf (Windows: GPA, Mac: GPG Keychain). Dort findet sich im Menü der Punkt „Schlüssel(paar) erzeugen“. Namen und Mail-Adresse eintragen und idealerweise eine Passphrase, die als zusätzliches Sicherheitsmerkmal dient. Die sollte so sicher geartet sein, wie ein gutes Passwort und wird beim Eintreffen einer verschlüsselten Nachricht zur Eingabe verlangt. Das Programm legt das fertige Schlüsselpaar in der Schlüsselverwaltung oder dem Schlüsselbund ab.

Wie viele Schlüssel brauche ich?

Theoretisch kann ich für jede meiner Mail-Adressen je einen Schlüssel generieren. In der Praxis genügt oft ein Schlüssel. Eine Adresse wird die Hauptadresse des Schlüssels. Die anderen sind dann die Aliase oder Zweit-Identitäten.

Was ist mit der Gültigkeit?

Wie lange soll der Schlüssel gültig sein? Das entscheiden Sie selbst. Wenn Sie ein Quäntchen Mehr an Sicherheit wollen, erstellen Sie sich vielleicht jedes Jahr einen neuen. Das hieße, jeder Partner müsste sich jedes Jahr Ihren aktuellen öffentlichen Schlüssel einholen. Über den Key Server kein großes Problem, darf aber eben nicht vergessen werden, besonders wenn Ihre Partner nur zwangsweise IT nutzen und wenig Erfahrung damit haben.

Ich selbst setze die Gültigkeit auf einige Jahre und muss mich demnach nicht jedes Jahr mit der Schlüsselgenerierung befassen. Sehen Sie es als Empfehlung oder nicht. Es bleibt Ihnen überlassen.

Wenn Sie die Gültigkeit eines Schlüssels nicht begrenzen, sollten Sie auf folgendes achten:

Was ist ein Widerrufszertifikat? Und wofür brauche ich sowas?

Durchaus möglich, dass einer Ihrer privaten Schlüssel in falsche Hände gerät. Dann sollten Sie Ihren öffentlichen Schlüssel unbrauchbar machen. Vom Schlüsselserver können Sie ihn zwar löschen. Aber diese Server haben eine Eigenschaft, die dafür sorgt, dass er gleich wieder erscheint. Die Server sind untereinander synchronisiert. Heißt, dass Ihr Schlüssel, den Sie auf Server A hochladen, in wenigen Tagen auf allen key servern der Welt landen. Löschen nützt also rein gar nichts. Sie müssen einen Schlüssel zurückziehen (engl. revoke) oder widerrufen. Dazu brauchen Sie ein Widerrufszertifikat und natürlich auch Ihren privaten Schlüssel. Damit erklären Sie den Schlüssel, der auf dem Server quasi für immer stehen wird („ewige Jagdgründe“?), für ungültig. Jemand, der nach Ihrem Schlüssel sucht, findet auch die ungültigen alten Schlüssel, weiß dann aber, dass er mit denen nichts anfangen kann. Lokal kann er sie dann ihn seiner Schlüsselverwaltung (oder Schlüsselbund) getrost ignorieren oder löschen.

Haben Sie Ihren private key verloren und auch kein Widerrufszertifikat, bleibt Ihnen nichts anderes übrig, als jedesmal Ihrem Gegenüber zu erklären, dass der betreffende Schlüssel nicht funktioniert. Und wenn der etwas IT-Kenntnisse hat, weiß er, dass Ihre Arbeitsweise hier nachlässig war.

Geht PGP mit allen Geräten?

Das ist leider eine Schwachstelle. Für populäre E-Mail-Programme wie Outlook, Thunderbird, Apple-Mail.app usw. stehen Plugins oder Erweiterungen zur Verfügung. Auf z.B. iOS Geräten wie iPad und iPhone wird es komplizierter. Da brauchen Sie ein spezielles Werkzeug, um verschlüsselte Mails lesen zu können. Antworten ist auch möglich. Aber alles ungleich komplizierter. Deswegen nutze ich die mobilen Geräte nur zur unverschlüsselten Kommunikation oder bestenfalls zum ENTschlüsseln einer Eingangsnachricht, die verschlüsselt ist und wichtig zu sein scheint.

Anleitung per Video

Wie gesagt, gibt es eine ganze Reihe von Videos, in denen die Funktion und Handhabung von GPG/PGP erklärt wird. Nicht alle sind gut. Die folgende erklärt die Funktion gut und kurzweilig. https://www.youtube.com/watch?v=ieuHHu4MoMo