Sie sind hier

Informationen zum Verschlüsseln und Signieren

Informationen zum Verschlüsseln und Signieren

 

 

Warum Mails verschlüsseln?

Eine E-Mail ist auf dem Weg vom Absender zum Empfänger für jeden am Transport beteiligten so gut lesbar wie eine Postkarte – also für vertrauliche Mitteilungen völlig ungeeignet. Mit der Verschlüsselung Ihrer E-Mail sorgen Sie dafür, dass nur der Empfänger den Inhalt Ihrer E-Mail lesen kann. Für jeden anderen Mitleser ist der Inhalt völlig unverständlich.

 

Warum E-Mails signieren?

Bei unverschlüsselten E-Mails können von jedem, der darauf Zugriff hat, sowohl der Inhalt als auch der -vorgebliche- Absender verändert werden. Mit Ihrer Signatur geben Sie dem Empfänger Ihrer E-Mail ein Werkzeug an die Hand, mit dem er überprüfen kann, dass er die E-Mail genauso bekommen hat, wie Sie sie abgeschickt haben – und dass sie tatsächlich von Ihnen stammt.

 

Technische Voraussetzungen:

Sie brauchen einen E-Mail-Zugang mit einen eigenen Programm auf ihrem Rechner. Haben Sie einen E-Mail-Zugang, der auf einen Web-Mailer wie Freenet oder GMX über den Browser zugreift und bei dem Ihre E-Mail bei diesem E-Mail-Provider gelagert wird, können Sie den hier angebotenen Weg für Verschlüsselung und Signierung nicht nutzen. Sie müssen zudem sich das frei verfügbare Schlüsselverwaltungssoftware GnuPG installieren und Ihr E-Mail-Programm mit Tools für Verschlüsselung und Signierung erweitern (wie das geht siehe unten).

 

Wichtige Vorinformation:

Es gibt im Internet viele weitere Anleitungen für Verschlüsselungen; einfache, deutschsprachige und aktuelle sind jedoch nicht so leicht zu finden. Aber ich bitte Sie ausdrücklich, sich der Suchmaschine Ihrer Wahl zu bedienen und sich nicht allein auf diese Anleitung zu verlassen. Diese Anleitung stellt keinen Anspruch auf Vollständigkeit und Präzision in allen Punkten. Ansprüche aus ihr lassen sich nicht ableiten, jegliche Handlung erfolgt auf eigene Gefahr. Um Rückmeldung bei Problemen wird jedoch gebeten, um die Anleitung ggf. zu verbessern.

 

 

 

 

Zum Praktischen Vorgehen:

 

Öffentlicher und privater Schlüssel

 

Verschlüsselung und Signatur funktionieren mit einem asymmetrischen Schlüsselpaar, der aus einem privaten und einem zugehörigen öffentlichen Schlüssel besteht. Ihren privaten Schlüssel geben Sie niemals, unter keinen Umständen, an andere weiter, und niemand außer Ihnen darf ihn lesen können. Den öffentlichen Schlüssel bekommt Ihr E-Mail-Partner, mit dem Sie verschlüsselte E-Mails austauschen wollen. Um mit möglichst vielen verschlüsselte E-Mails austauschen zu können, verbreiten Sie Ihren öffentlichen Schlüssel so weit wie möglich.

 

Signieren

Sie signieren mit Ihrem Schlüssel, hierbei wird der Inhalt Ihrer E-Mail auf eine Zeichenfolge abgebildet, der dann an Ihre E-Mail angehängt wird. Der Empfänger kann dann mit Ihrem öffentlichen Schlüssel diese Signatur entschlüsseln und mit dem Inhalt Ihrer E-Mail vergleichen.

 

Verschlüsseln

Wenn Sie eine verschlüsselte E-Mail verschicken wollen, brauchen Sie dazu also den öffentlichen Schlüssel des Empfängers. Ihre eigenen Schlüssel sind dabei unnötig (es sei denn, zum zusätzlichen Signieren).

Wenn Ihnen ein E-Mail-Partner eine verschlüsselte E-Mail schickt, so hat dieser dafür Ihren öffentlichen Schlüssel verwendet. Damit hat er sichergestellt, dass nur Sie diese E-Mail -mit Ihrem privaten Schlüssel- wieder entschlüsseln können.

 

Erzeugen und Verwalten der Schlüssel

Zum Erzeugen und Verwalten der Schlüssel wird eine Schlüsselverwaltungssoftware, wie die vorgeschlagene GnuPG benutzt.

Grundsätzlich muss Ihr eigener privater Schlüssel vor dem Zugriff anderer geschützt, aber für Sie zugänglich gelagert werden, und Ihre öffentlichen Schlüssel müssen leicht verfügbar sein. Sie können so die Datei, die Ihren privaten Schlüssel enthält, im Dateiverzeichnis Ihres Rechners speichern, wenn Sie sicherstellen, dass niemand darauf Zugriff hat. Da dies häufig problematisch ist, gibt es die Möglichkeit, diese private Schlüsseldatei wiederum mit einem Kennwort (auch Passphrase oder Mantra genannt) zu schützen, so dass auch Sie nur mit Angabe des Kennwortes diese Datei lesen können. Alternativ -oder ergänzend- ist es häufig sinnvoller,den privaten Schlüssel auf einen externen Datenträger auszulagern – früher Diskette, heute Speicherkarte oder USB-Stick. Diesen externen Datenträger geben Sie dann ebenso wenig aus der Hand wie den Schlüssel zu Ihrem Banktresor. (Für den Fall des Verlustes mag es jedoch sinnvoll sein, irgendwo eine Kopie zu haben.)

Damit die öffentlichen Schlüssel, die Sie verwenden, gut zugänglich sind, ist es sinnvoll, dass diese im Internet -auf Schlüsselservern- zu finden sind, Sie brauchen sie nur bei Bedarf auf Ihrem Rechner speichern. Um die Richtigkeit eines öffentlichen Schlüssels zu überprüfen, kann man von diesem einen Fingerabdruck erzeugen; eine recht kurze Ziffernfolge, die sich z. B. bei einem Telefongespräch vergleichen läßt. Ein anderer Nutzer kann also Ihren öffentlichen Schlüssel bekommen, indem er Sie in einer E-Mail bittet, ihm diesen zu schicken, Sie Ihren öffentlichen Schlüssel an Ihre E-Mail hängen oder den öffentlichen Schlüssel auf einen öffentlichen Schlüsselserver laden, z.B mit dem Schlüsselverwaltungsprogramm GPA. Welcher Schlüsselserver ausgewählt wird, ist i. a. im Schlüsselverwaltungsprogramm vorkonfiguriert und kann akzeptiert werden; die (bekannten) öffentlichen Schlüsselserver gleichen ihre Datensätze miteinander ab, so dass sie nach wenigen Stunden allgemein verfügbar sind.

 

Exkurs: Der Ring oder das Netz des Vertrauens (ring of trust, web of trust)

Für den Nutzer ist es wichtig, dass ein öffentlicher Schlüssel eindeutig seinem Eigentümer zugeordnet werden kann (und nicht von irgendjemand sonst erzeugt worden ist). Um eine Sicherheit und ein Vertrauen in öffentliche Schlüssel zu ermöglichen, wird ein Ring oder Netz des Vertrauens errichtet, d.h. Nutzer bekunden öffentlich, bzw. beglaubigen, dass sie durch bereits vollzogenen persönlichen Kontakt mit den Eigentümer des jeweiligen Schlüssels wissen, dass dieser wirklich dem Eigentümer gehört. Sie selbst können einen öffentlichen Schlüssel eines E-Mail-Partners durch ihre Signatur beglaubigen. Diese Signatur können Personen, die Ihnen vertrauen, überprüfen und damit Vertrauen in den fremden öffentlichen Schlüssel fassen. Die Beglaubigung führen Sie mit Ihrem privaten Schlüssel durch; die Gültigkeit der Signatur wird mit Ihrem öffentlichen Schlüssel überprüft. Natürlich kann auch Ihr öffentlicher Schlüssel wieder von anderen beglaubigt werden, usw. Diese fortlaufende Zusicherung von Vertrauen kann wieder auf den ursprünglichen öffentlichen Schlüssel zurückführen und bildet dann einen Ring des Vertrauens, bei dem alle beteiligten Schlüssel als vertrauenswürdig angesehen werden. Die Beglaubigung eines öffentlichen Schlüssels kann mit diesem abgespeichert werden, und jeder öffentliche Schlüssel kann eine beliebige Anzahl von Beglaubigungen erhalten. Wenn diese so beglaubigten Schlüssel in großer Anzahl mit wechselseitigen Beglaubigungen auf öffentlichen Schlüsselservern abgelegt werden, erhält man ein Netz des Vertrauens. Je besser Sie die Vertrauenswürdigkeit einer Beglaubigung einschätzen können (d. h. je weniger Zwischenschritte zu einer Ihnen bekannten Signatur notwendig sind), desto größer ist für Sie die Vertrauenswürdigkeit eines fremden öffentlichen Schlüssels.

 

 

Installation und Einrichtung der Schlüsselverwaltungs­software GnuPG

 

Unix-basierte Systeme

Bei den meisten Linux-, *BSD und OS-X-Distributionen ist GnuPG vorinstalliert. Falls nicht, installieren Sie das Paket gnupg (oder gnupg2; neuere Version) mit Ihrer Paketverwaltung, oder holen Sie sie von http://www.gnupg.org/download index.de.html. Als graphische Schnittstelle ist häufig die Anwendung seahorse verfügbar; eine Alternative ist GPA, der GNU Privacy Assistent, oder auch andere Programme. Zur Einrichtung starten Sie bitte die graphische Anwendung seahorse (manchmal als „Passwörter und Verschlüsselung“ zu finden) oder GPA.

 

Windows-Betriebssystem

Für Windows wird Gpg4win empfohlen (http://www.gpg4win.de/download-de.html). Folgen Sie den Installationshinweisen auf dieser Seite; wählen Sie dabei bitte auch GPG2 aus. Zu Gpg4win gehören ein „Einsteiger“- und ein bdquo;Durchblicker“-Handbuch, mit dem die in dieser Anleitung skizzierten Methoden ausführlicher dargestellt werden. Zur Einrichtung starten Sie bitte die Anwendung GPA, den Gnu Privacy Assistent, oder WinPT, den Windows Privacy Tray.

 

Übliche Fragen bei der Einrichtung der graphischen GnuPG-Anwendung

Beim ersten Start werden Sie wahrscheinlich gefragt, ob ein neuer Schlüssel, (genauer gesagt: ein neues Schlüsselpaar) angelegt werden soll. Sie brauchen einen eigenen privaten Schlüssel mit dem zugehörigen öffentlichen Schlüssel, also wollen Sie dies. Nach Ihrem Namen und Ihrer E-Mail- Adresse werden Sie nach einer Passphrase gefragt, mit der Sie ihren privaten Schlüssel schützen. Diese Passphrase sollte nicht mit einem anderen Passwort von Ihnen übereinstimmen, nicht zu einfach sein, aber von Ihnen gut zu merken. Da eine geknackte Passphrase für Sie kritisch sein kann, sollte sie aufwendig genug sein – GPA zeigt die Güte graphisch an. Die Erzeugung eines neuen Schlüssels können Sie auch aus der laufenden Anwendung heraus erzeugen. Wenn Sie die Anwendung beenden, sollten Sie einen eigenen Schlüssel haben. Weitere Schlüssel (insbesondere die öffentlichen Schlüsselteile anderer Personen) brauchen Sie jetzt noch nicht zu importieren; diese sollten sich im Laufe der Zeit „automatisch“ ansammeln und können dann mit GnuPG verwaltet werden.

 

 

Erweiterung Ihres E-Mail-Programms um Verschlüsselung und Signierung

Die meisten graphischen E-Mail-Programme für Unix-basierte Systeme beinhalten von vornherein Unterstützung für GnuPG; die meisten reinen Windows-Programme (insbesondere Outlook Express) ist dies nicht möglich.

Plattform& uml;bergreifend ist der Einsatz des freien E-Mail-Programms Thunderbird (http://www.thunderbird-mail.de/wiki/Hauptseite) möglich. Zur Unterstützung von GnuPG wird die freie Erweiterung Enigmail – falls noch nicht geschehen – installiert. Folgen Sie hierfür http://www.thunderbird-mail.de wiki/Enigmail_OpenPGP. Thunderbird sollte in der Lage sein, Ihr E-Mail-Konto (POP3 oder IMAP) zu verwalten; die dazu notwendigen Kontoeinstellungen können Sie ggf. Ihrem bisherigen E-Mail-Programm entnehmen. Nach der Installation von Thunderbird mit der Enigmail-Erweiterung sollten zunächst keine weitere Einstellungen nötig sein; unter OpenPGP/Einstellungen (bzw. OpenPGP/Preferences) können Sie in Thunderbird überprüfen, dass GnuPG gefunden wurde – und damit der Zugriff auf die verwalteten Schlüssel möglich ist.

Signierte E-Mails empfangen

Die Signatur einer E-Mail wird in einem Anhang mitgeschickt. In einem E-Mail-Programm, das PGP bzw. GnuPG nicht unterstützt, sieht dieser Anhang etwa so aus1:

-----BEGIN PGP MESSAGE-----

Version: GnuPG v1.4.5 (Darwin)

hQIOA4K2kJAMeBjsEAf9GsZ/5HTwlv9iQL6+4Eg+TbbzrMNEdu+QeIPvzf2Hg9p4

3ektNsOV8wBWSRzj37j13TlZKHGYTZyYtO9sPeu04NthtLCWvpI8SgTfzTr16W/n

...einige weitere derartige Zeilen...

F6OBIx26waxju7H4ax55ZwV6b8VwOjL076qjV0s0YpYpPqYzp2OMdYbbVndbPeQR

PqTy4vHCcuqlWQj4Mq+8h53dTabMzSDjaW0hfvhw7qJxW7Ky775iH6Fo

=lDAt

-----END PGP MESSAGE-----

Bei Signaturen unterstützenden E-Mail Programmen sehen Sie diesen Anhang jedoch nicht; stattdessen wird ein Symbol (üblicherweise ein Schloss oder Schlüssel) eingeblendet. Wenn Sie dieses Symbol anklicken, werden Sie entweder gefragt, ob der zugehörige öffentliche Schlüssel von einem Schlüsselserver geladen (und in ihrem Schlüsselverzeichnis abgelegt) werden soll, oder der Schlüssel ist Ihnen bereits bekannt, und die in ihm gespeicherten Informationen über den Absender werden Ihnen angezeigt.

Insbesondere enthält der öffentliche Schlüssel des Absenders einen Fingerabdruck -eine kurze Zeichenfolge-, über den Sie durch persönlichen Kontakt die Richtigkeit des öffentlichen Schlüssels überprüfen können. Oder aber Sie sehen sich eventuell vorhandene Beglaubigungen an, um Vertrauen in die persönliche Identität des Absenders zu gewinnen. Damit haben Sie den öffentlichen Schlüssel des Absenders importiert – also genau das, was Sie brauchen, um ihm eine verschlüsselte E-Mail zu senden. Diesen öffentlichen Schlüssel finden Sie jetzt auch mit Ihrem Schlüsselverwaltungsprogramm, z. B. GPA..

 

Signierte E-Mails verschicken

Wenn Sie eine mit Ihrem privaten Schlüssel signierte E-Mail verschicken wollen, müssen Sie das Ihrem E-Mail-Programm beim Verfassen der E-Mail mitteilen. Bei Thunderbird mit Enigmail aktivieren Sie dazu im Menü OpenPGP den Punkt „Nachricht signieren“ bzw. „Sign Message“. Dann wird beim Versenden der E-Mail mit Ihrem öffentlichen Schlüssel und dem Inhalt der E-Mail ein entsprechender Anhang erzeugt und an die E-Mail angehängt – der Empfänger bekommt damit dann die Möglichkeit, Sie als Absender durch Ihren öffentlichen Schlüssel zu identifizieren. Ihren öffentlichen Schlüssel erhält er, indem er Sie bittet, ihm diesen per separater E-Mail zuzuschicken, oder er ihn bereits erhalten hat, da Sie Ihren öffentlichen Schlüssel an Ihre E-Mail angehängt haben, oder er ihn auf einem öffentlichen Schlüsselserver findet (auf den Sie den öffentlichen Schlüssel natürlich zuvor hochgeladen haben müssen z.B. mit GPA).

 

Hilfestellung für den Empfänger

Wenn das E-Mail-Programm des Empfängers jedoch nichts mit Signaturen anfangen kann, sieht der Empfänger nur den „unverständlichen Anhang“, der mit „-----BEGIN PGP MESSAGE-----“ anfängt und mit „-----END PGP MESSAGE-----“ aufhört. Dies trifft u. a. für die meisten Nutzer von werbefinanzierten Online-E-Mail-Diensten wie Freenet., GMX, Hotmail, etc. pp. zu. Dazu ist es eventuell hilfreich, einen kurzen Hinweis in die eigentliche E-Mail einzufügen:

Die Integrität dieser E-Mail wird durch die PGP-Signatur gewährleistet.

Mein öffentlicher Schlüssel ist auf hkp://keys.gnupg.net verfügbar.

Der angegebene Schlüsselserver sollte natürlich derjenige sein, zu dem Sie Ihren öffentlichen Schlüssel hochgeladen haben. Sinnvollerweise bindet man einen solchen Text in die Unterschrift (verwirrenderweise auch wieder Signatur genannt) ein, die man automatisch an seine eigene E-Mail anhängen kann2.

Wenn Sie -aus welchen Gründen auch immer- Ihren öffentlichen Schlüssel nur eingeschränkt verfügbar machen wollen, können Sie ihn in eine Textdatei umwandeln und beispielsweise auf einer geschützten Website bereitstellen. Oder der Empfänger, kennt Ihre Website bereits und vertraut darauf, dass der Inhalt von Ihnen stammt – auch dann ist ein Verweis auf sie angebracht, und obiger Hinweis sollte entsprechend angepasst werden.

 

Verschlüsselte E-Mails verschicken

Zum Verschicken von verschlüsselten E-Mails brauchen Sie den öffentlichen Schlüssel des Empfängers. Wenn Sie diesen kennen (z. B. weil Sie eine signierte E-Mail von ihm bekommen haben), bietet Ihnen Ihr E-Mail-Programm entweder automatisch an, die E-Mail zu verschlüsseln, oder Sie fordern dies explizit an (in Thunderbird mit OpenPGP/Encrypt Message). Natürlich ist es auch möglich und sinnvoll, verschlüsselte E-Mails zu signieren, damit auch Ihr E-Mail-Partner Ihnen verschlüsselte E-Mails schicken kann. Bei Thunderbird kann man diese Unterschrift, Signatur, einstellen, indem man unter den Kontoeinstellungen eine entsprechende Textdatei unter dem Punkt Datei als „Signatur“ anhängen angibt.

 

Verschlüsselte E-Mails empfangen

Der Empfang von E-Mails, die mit Ihrem öffentlichen Schlüssel verschlüsselt sind, sollte für Ihr E-Mail-Programm keine Schwierigkeit bereiten. Beim Lesen der E-Mail werden Sie ggf. aufgefordert, die Passphrase anzugeben, mit der Ihr privater Schlüssel geschützt ist.

 

 

Weiterführendes:

Die hier beschriebene Methode verwendet die freie Software GNU Privacy Guard (GnuPG) für die Schlüsselverwaltung, die auf OpenPGP Pretty Good Privacy (PGP) aufsetzt. OpenPGP ist eine Standardisierung von PGP (Pretty Good Privacy), einer kommerziellen Anwendung für E-Mail- Verschlüsselung, die lange Zeit einen Quasi-Standard darstellte. Dass es sich nicht allgemein durchgesetzt haben, liegt vor allem daran, dass PGP bezahlt werden musste, an jahrelangen Exportbeschränkungen durch die US-Regierung und dass insbesondere unter Windows kein E-Mail-

Programm diese Möglichkeiten ohne eine Erweiterung und/oder Konfiguration durch den Nutzer unterstützt. Deswegen scheint es heutzutage normal zu sein, dass E-Mail als völlig unsicheres Medium genutzt wird – also ein klassisches Henne-Ei-Problem. Aber keine Angst – Sie sperren niemanden aus, der seine E-Mail ungesichert an Sie verschickt oder auf den sicheren Empfang verzichtet.

 

Anregungen zu dieser Anleitung sind willkommen: praxis@zoerb-langen.de.
Letzte Änderung: 2009-07-18

 

1Vielleicht haben Sie so etwas ja schon mal gesehen und sich darüber gewundert. Da nicht alle E-Mail-Programme (und deren Administratoren) den Sinn dieses „unverständlichen Anhangs“ begreifen, können sie E-Mail-Filter so einstellen, dass sie diese -sichereren- E-Mails als verdächtig ausfiltern. Deswegen mag es bei manchen Empfängern sinnvoll sein, nicht signierte E-Mails zu verwenden.