Kurz gefasst
- Was es leistet
- Nur Absender und Empfänger können den Inhalt lesen, der Anbieter nicht.
- Was es nicht leistet
- Betreffzeile und Metadaten bleiben unverschlüsselt.
- Heute nötig
- Kein Zusatzprogramm mehr, Thunderbird bringt OpenPGP seit Version 78 mit.
Das Briefgeheimnis endet in der elektronischen Post an der Serverkante. Wer will, dass niemand außer dem Empfänger mitliest, verschlüsselt selbst. Der Aufwand dafür ist heute deutlich kleiner als früher.
Die erste Fassung dieses Beitrags beschrieb 2007 das Zusammenspiel aus GnuPG, Thunderbird und dem Zusatz Enigmail. Diese Dreierkombination brauchen Sie nicht mehr: Seit Thunderbird 78 ist OpenPGP direkt eingebaut. Das Verfahren dahinter ist unverändert geblieben, und es lohnt, es einmal verstanden zu haben.
Wie das Verfahren funktioniert
Sie besitzen zwei zusammengehörige Schlüssel. Den öffentlichen geben Sie frei heraus, mit ihm verschlüsseln andere Nachrichten an Sie. Den privaten behalten Sie und entschlüsseln damit. Umgekehrt können Sie mit dem privaten Schlüssel signieren, und jeder mit Ihrem öffentlichen Schlüssel kann prüfen, dass die Nachricht wirklich von Ihnen stammt und unverändert ist.
Daraus folgen zwei Dinge: Verschlüsseln können Sie nur an Empfänger, deren öffentlichen Schlüssel Sie haben. Und der private Schlüssel darf niemals das eigene Gerät verlassen.
Schritt 1: Schlüsselpaar erzeugen
In Thunderbird öffnen Sie die Konto-Einstellungen, den Punkt Ende-zu-Ende-Verschlüsselung, und legen einen neuen OpenPGP-Schlüssel an. Wählen Sie eine Gültigkeitsdauer, drei Jahre sind ein guter Kompromiss, und vergeben Sie ein starkes Hauptpasswort. Der Vorgang dauert wenige Sekunden.
Schritt 2: Widerrufszertifikat und Sicherung
Exportieren Sie sofort zwei Dinge und legen Sie beide an einen sicheren, vom Rechner getrennten Ort:
- Das Widerrufszertifikat. Damit erklären Sie Ihren Schlüssel für ungültig, falls er verloren geht oder in fremde Hände gerät. Ohne dieses Zertifikat können Sie das nicht mehr.
- Eine Sicherung des privaten Schlüssels. Geht er verloren, sind alle an Sie verschlüsselten Nachrichten dauerhaft unlesbar. Es gibt keine Wiederherstellung.
Diesen Schritt jetzt zu erledigen, dauert zwei Minuten. Ihn nachzuholen, wenn der Schlüssel weg ist, ist unmöglich.
Schritt 3: Öffentlichen Schlüssel verteilen
Ihren öffentlichen Schlüssel hängen Sie an Ausgangsnachrichten an, laden ihn auf einen Schlüsselserver oder hinterlegen ihn auf Ihrer Website. Thunderbird bietet dafür einen Menüpunkt beim Verfassen.
Schritt 4: Schlüssel prüfen
Der wichtigste und am häufigsten übersprungene Schritt. Ein öffentlicher Schlüssel aus einer E-Mail beweist nichts, jeder kann einen Schlüssel mit beliebiger Adresse erzeugen. Gleichen Sie den Fingerabdruck über einen zweiten Kanal ab, per Telefon oder persönlich. Erst danach markieren Sie den Schlüssel in Thunderbird als akzeptiert und verifiziert.
Schritt 5: Verschlüsselt senden
Beim Verfassen aktivieren Sie im Menü Sicherheit die Verschlüsselung und optional die digitale Unterschrift. Thunderbird zeigt an, ob für alle Empfänger ein Schlüssel vorliegt. Fehlt einer, geht die Nachricht nicht verschlüsselt hinaus, darauf sollten Sie achten.
Grenzen des Verfahrens
- Betreff, Absender, Empfänger und Zeitpunkt bleiben lesbar. Verschlüsselt wird nur der Inhalt.
- Ein kompromittierter Rechner hebelt alles aus. Verschlüsselung schützt den Transport, nicht das Endgerät.
- Beide Seiten müssen mitmachen. An einen Empfänger ohne Schlüssel lässt sich nicht verschlüsseln.
Häufige Fragen
Was ist der Unterschied zu S/MIME?
S/MIME arbeitet mit Zertifikaten einer offiziellen Stelle, OpenPGP mit einem Vertrauensnetz zwischen Nutzern. In Unternehmen mit zentraler Verwaltung ist S/MIME verbreiteter, im privaten Umfeld OpenPGP. Thunderbird beherrscht beides.
Brauche ich GnuPG noch separat?
Für Thunderbird nicht. Wer Dateien außerhalb von E-Mail verschlüsseln oder Signaturen von Downloads prüfen will, installiert es weiterhin.
Und auf dem Smartphone?
Es gibt Apps mit OpenPGP-Unterstützung. Beachten Sie, dass Ihr privater Schlüssel dann auf einem weiteren Gerät liegt, mit allem, was das an Sorgfalt verlangt.
Weiterlesen
Zur passenden Software-Umgebung siehe die freie Grundausstattung. Welche Datenschutzpflichten für Betreiber einer Website gelten, steht unter Impressumspflicht und Datenschutzerklärung.