Verschlüsselung mit PGP/GnuPG

 

„If privacy is outlawed, only outlaws will have privacy“ (Phil Zimmermann)

Warum Verschlüsselung?

In kaum einer Infrastuktur gibt es so viele Manipulationsmöglichkeiten wie im Internet. Dies betrifft insbesondere den Email-Verkehr, bei dem der übliche Vergleich mit dem Versand einer Postkarte, die jeder auf dem Weg zum Empfänger lesen kann, noch dramatisch untertrieben ist. Emails durchlaufen auf ihrem Weg vom Sender zum Empfänger eine Vielzahl von Servern, deren Vertrauenswürdigkeit nicht zu klären ist.

Jede Email kann auf dem Weg vom Sender zum Empfänger nicht nur von jedem gelesen werden, der Zugriff auf einen der Server auf ihrem Weg hat, sie kann auch automatisch analysiert, kategorisiert und archiviert werden ohne dass wir einen Einfluss darauf hätten.

Interessiert an diesen Informationen sind nicht nur staatliche und geheimdienstliche Stellen (es gibt auch Staaten denen man nicht vertraut!) sondern auch die Wirtschaft, die durch die Analyse unserer Kommunikation immer genauere Persönlichkeitsprofile erstellen kann, was bestenfalls in mehr Werbung in unserem Email-Postfach bedeutet aber auch ungemeine Misbrauchsmöglichkeiten eröffnet, falls diese Informationen in die falschen Hände gelangt. Durch unbedachte Kommunikation setzen wir die Selbstbestimmung über unsere persönlichen Informationen leichtfertig aufs Spiel.

Böswillige Zeitgenossen können sogar unsere Kommunikation abfangen und ändern bevor sie beim Adressaten ankommt oder gar Emails in unserem Namen verfassen. Das ist einfacher, als man gemeinhin glaubt.

Wie kann uns Verschlüsselung auf dem Weg zu sicherer Kommunikation helfen und wie funktioniert das?

Email-Verschlüsselung mit PGP oder der freien Variante GnuPG geht die oben genannten Probleme auf zwei Wegen an: Signieren von Nachrichten und Verschlüsseln von Nachrichten. Die dabei verwendete Technik ist ein asynchrones Verschlüsselungsverfahren, bei dem zwei Schlüssel verwendet werden, die ein sogenanntes Schlüsselpaar bilden. Ein solches Schlüsselpaar besteht aus einem (geheimen) privaten Schlüssel, den nur der Eigentümer kennt, sowie einem öffentlichen Schlüssel, der für alle Kommunikationspartner frei verfügbar ist (hier in der linken Seitenleiste ganz unten im Kasten „Public Key“).

  • Signieren von Nachrichten

    Wenn ich eine Email versende, kann ich sie mit Hilfe meines privaten Schlüssels unterschreiben (signieren). Dabei wird ein seltsam aussehender Block aus Buchstaben und Ziffern an die Mail angehängt. Der Empfänger kann mit Hilfe meines öffentlichen Schlüssels diese Signatur überprüfen. War die Prüfung erfolgreich kann sich der Empfänger sicher sein, dass diese Nachricht von mir stammt, da nur ich im Besitz des passenden privaten Schlüssels bin.

    Aber die Signatur einer Email geht noch über das Konzept einer „Unterschrift“ hinaus. War die Prüfung meiner Signatur erfolgreich, kann sich der Empfänger nicht über über die Herkunft der Nachricht sicher sein, sondern auch darüber, dass die Nachricht auf dem Weg zu ihm nicht verändert wurde, denn der genaue Inhalt des des seltsamen Blocks am Ende der Nachricht hängt – je nach verwendeter Software – auch von Nachrichteninhalt und sogar den angehängten Dateien ab.

    Allerdings ist beim Signieren von Nachrichten zu beachten, dass der eigentliche Nachrichteninhalt hiernach immer noch für jeden lesbar ist, lediglich nicht mehr änderbar ist. Um die Kommunikation auch in dieser Hinsicht abzusichern, muss die Nachricht (zusätzlich) verschlüsselt werden.

  • Verschlüsseln von Nachrichten

    Um eine Nachricht an einen bestimmten Empfänger verschlüsseln zu können benötigt man (wie für die Prüfung seiner Signatur) dessen öffentlichen Schlüssel. Die Verschlüsselungssoftware benutzt diesen um aus dem Nachrichtentext einen unleserlichen Haufen von Ziffern und Buchstaben zu erzeugen, die nur vom Besitzer des zugehörigen privaten Schlüssels wieder lesbar gemacht werden kann.

    Für eine vollständig sichere Kommunikation zwischen zwei Personen benötigen demnach beide ein Schlüsselpaar aus einem privaten sowie einem öffentlichen Schlüssel. Die dazu benötigten Verschlüsselungssoftware sind gewöhnlich in den gängigen Email-Programmen enthalten oder lassen sich als Plugin nachrüsten.

Möchte ich eine Nachricht auf sicherem Wege an einen Bekannten schicken, tue ich folgendes:

  1. Ich signiere die Nachricht mit meinem privaten Schlüssel
  2. Ich verschlüssele die Nachricht mit dem öffentlichen Schlüssel des Empfängers
  3. Der Empänger entschlüsselt die Nachricht mit Hilfe seines privaten Schlüssels
  4. Der Empfänger überprüft die Signatur der Nachricht mit Hilfe meines öffentlichen Schlüssels

Die gängigen Email-Programme übernehmen diese Schritte gewöhnlich automatisch, ohne dass sich für mich oder meinen Bekannten der Kommunikationsaufwand erhöht.

Ich benutze als Email-Programm Mozilla Thunderbird. Die Verschlüsselung und die Verwaltung der Schlüssel übernimmt das Enigmail-Plugin. Zusätzlich ist als Backend die Verschlüsselungssoftware GnuPG installiert.

Aber auch andere Email-Programme können mit Signaturen und verschlüsselten Mails umgehen. Einen recht guten Überblick bietet beispielsweise Martin Bretschneider.

Fazit

Da die gängigen Email-Programme Verschlüsselung und Signieren von Emails für den Benutzer nahezu transparent machen, gibt es keinen besonderen Grund mehr, bei der Kommunikation hierauf zu verzichten.

Christian

 Leave a Reply

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

(required)

(required)