PGP in der Anwendung

Im Zuge der endgültigen Einführung der DSGVO sind endlich auch Fragen zur eMail-Verschlüsselung aufgekommen. Ich möchte in diesem Artikel mal kurz das Grundprinzip von PGP schildern, das genauso auch für die freie Implementation „GnuPG“ gilt.

Eines vorab: Der Spruch „dazu gehören immer zwei“ ist in diesem Fall wirklich von Bedeutung, denn eine Mail kann ich nur verschlüsseln, wenn ich den Schlüssel des Empfängers habe. Damit können wir allein leider nicht viel ausrichten, aber es gibt schon ein paar Sachen, die wir vorbereiten können und sollten.

Signieren oder Verschlüsseln?

Die erste Frage ist vielleicht, was das eigentlich bedeutet. Im Grunde ähnelt es der Unterschrift, die wir alle schon sehr oft geleistet haben. Stellen wir uns einen „normalen“ Brief vor, der — wie üblich — besagte Unterschrift trägt. Damit bestätigt der Verfasser, dass der Brief von ihm ist (oder von ihr, ich spare mir das sinnlose Gegendere hier, ok?). Gleichzeitig erlangt das Dokument meines Wissens einen besonderen rechtlichen Status, aber das nur am Rande.

Eine eMail kann mittels PGP ebenfalls unterschrieben werden, dort nennt man das dann „signieren“. Ist eine eMail digital signiert, kann der Empfänger mittels des Schlüssels des Absenders überprüfen, ob

  1. die Mail wirklich von diesem ist
  2. die Mail während des Transports verändert wurde

Verschlüsseln wiederum bedeutet, dass niemand mehr den Inhalt der Mail lesen kann (außer dem beabsichtigten Empfänger). Dazu braucht der Absender den Schlüssel des Empfängers.

Zwei Schlüssel

Wenn ich oben von einem Schlüssel gesprochen habe, ist das im Grunde nicht ganz richtig. Genau genommen besitzt jeder zwei Schlüssel. Man nennt sie privaten und öffentlichen Schlüssel (engl. private und public key). Beide Schlüssel hängen voneinander ab, man nennt sie „Schlüsselpaar“. Für die Signatur verwende ich meinen privaten Schlüssel, während der Empfänger mit meinem öffentlichen Schlüssel die Signatur überprüfen kann. Beim Verschlüsseln ist es genau umgekehrt: Ich verwende den öffentlichen Schlüssel des Empfängers, um die Mail für ihn zu verschlüsseln, während er seinen privaten Schlüssel verwendet, um diese Mail zu entschlüsseln.

Man spricht auch von „Public-Key-Verfahren“. Selbstverständlich kann man eine Mail zugleich verschlüsseln und signieren! Dadurch ist sie für Unbefugte nicht lesbar, und der Empfänger kann die Echtheit überprüfen.

(UPDATE) Das angesprochene Schlüsselpaar erzeugt man nach der Installation selbst (mit PGP, GnuPG oder einer passenden graphischen Oberfläche). Dadurch kann man sicherstellen, dass der private Schlüssel wirklich nur auf dem eigenen System existiert. Von verschiedenen Certificate Authorities wird (gegen Entgeld oder kostenfrei) angeboten, den öffentlichen Schlüssel zu signieren, um damit „offiziell“ zu bestätigen, dass der Inhaber mit dem im Key eingetragenen Namen identisch ist.

Praxis

In der Praxis läuft das nun so ab: Ich erzeuge mein Schlüsselpaar und verteile den Teil davon, den man öffentlichen Schlüssel nennt, an meine (potentiellen) Kommunikationspartner. Beispielsweise kann ich den public key auf meiner Website veröffentlichen, wie ich es hier getan habe. Den private key behalte ich tunlichst für mich, sichere ihn aber vielleicht auf einem USB-Stick oder einer CD.

Jeder, der mit mir verschlüsselte Mails austauschen will, macht es genauso. Nun benötige ich „nur noch“ :-) den public key meiner Kommunikationspartner, und schon kann ab sofort jede Mail verschlüsselt und signiert werden.

Auf „Nummer Sicher“ gehen

Nun kann natürlich jeder einen Schlüssel erzeugen, in dem die Benutzerkennung „Christoph Juengling <chris@juengling-edv.de>“ steht. Wie kann ich überprüfen, ob ich den richtigen Schlüssel von dem richtigen Christoph Jüngling habe? Das geht mit dem Fingerabdruck (engl. „fingerprint“). In dem Programm, mit dem der Schlüssel verwaltet wird, kann dieser angezeigt werden. Übermittele ich diesen Fingerprint auf einem sog. „sicheren Kanal“, dann kann mein Gesprächspartner mit dessen Hilfe die Echtheit meines Schlüssels überprüfen. Kleiner Hinweis: Zu diesem Zeitpunkt ist die eMail, auch wenn wir sie verschlüsseln, noch kein sicherer Kanal, denn wir können ja noch nicht sicher sein, mit dem richtigen Menschen zu sprechen (mailen). Der Fingerprint meines Schlüssels lautet 27E5 F212 E12B 1E55 9CA0 BCA3 416A C762 1331 68CD.

Ein sicherer Kanal kann zum Beispiel das Telefon sein. Wenn wir die Stimme unseres Gegenüber zuverlässig erkennen können, und vielleicht auch ein paar Details über unser Leben austauschen, die kein anderer wissen kann, dann ist vielleicht hinreichend sicher. Eine persönliche Übergabe per Datenträger wäre ebenfalls möglich, aber dann kann man natürlich auch gleich den ganzen public key auf den USB-Stick kopieren.

UPDATE: In diesem Artikel gibt es noch ein paar Gedankenspiele dazu.

Applikationen

Natürlich wird allein von der Existenz eines Schlüssels noch keine einzige Mail verschlüsselt sein. Dazu bedarf es des richtigen Programms. Im Falle von Mozilla Thunderbird kann das zum Beispiel das Plugin „Enigmail“ sein. Für Outlook empfehle ich einen Blick auf Gpg4Win. Für beide gibt es Tutorials, und  vielleicht beschreibe ich die Einrichtung in einem späteren Artikel.

UPDATE: Hinweis zur Erzeugung des Schlüsselpaars ergänzt.


SmallInvoice Logo

Ähnliche Artikel:

AuthorChristoph Jüngling

Selbständiger Softwareentwickler und Seminarleiter

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

vier × drei =