Mein digitaler SchutzschildOpenPGP – E-Mails verschlüsseln, damit sie keine Postkarten mehr sind

Die Verschlüsselung von E-Mails mit OpenPGP ist nicht einfach. Einmal eingerichtet ist es aber ein praktikabler Weg, die eigene Privatsphäre zu schützen. von 

Verschlüsselte E-Mails sind nicht zwingend anonym. Denn die Adresse des Absenders wird unverschlüsselt übertragen. Dennoch ist die Technik bestens geeignet, um sich ein Stück Privatsphäre zu bewahren. Denn mit Ausnahme des jeweiligen Empfängers kann sie niemand lesen. Der Vorteil: Ein normales E-Mail-Konto reicht, zum Beispiel ein Gmail-Konto mit dem tatsächlichen Namen. Normalerweise durchsucht Google die Mails automatisiert nach werberelevanten Schlagworten. Mit verschlüsselten Mails aber kann Google nichts anfangen.

Die Einrichtung ist allerdings aufwändig. Anstatt ein Handbuch zu nehmen, frage ich Samuel Carlisle, ob er mir zeigt, wie ich mein ThinkPad ausrüsten muss, um verschlüsselte Mails senden und empfangen zu können. Ich treffe ihn beim 29C3, dem Kongress des Chaos Computer Clubs. Carlisle, 25, ist einer der Organisatoren der CryptoPartys in London. Er hat viel Erfahrung damit, Anfängern die Grundlagen der Verschlüsselung beizubringen.

Anzeige

Drei Dinge brauche ich dafür, sagt Sam: Erstens ein Konto bei einem der üblichen Webmail-Anbieter, also zum Beispiel Gmail oder GMX, zweitens das Mailprogramm Thunderbird – das wie der Firefox-Browser von Mozilla kommt –  und drittens die Erweiterung Enigmail für die eigentliche Verschlüsselung. An diesr Stelle ein Hinweis für alle, die kein Linux-System verwenden: Mitunter wird noch ein vierter Baustein benötigt, nämlich das Programm GnuPG. Enigmail ist lediglich die Benutzeroberfläche für GnuPG in Thunderbird. Die meisten Linux-Systeme haben GnuPG an Bord, Windows-System dagegen nicht.  Details dazu gibt es hier.

Welchen Webmail-Anbieter ich nehme, spielt keine allzu große Rolle. Wichtig ist nur, dass er den Zugriff auf meine E-Mails in Thunderbird über IMAP oder POP3 ermöglicht. Ich nehme deshalb einfach mein Gmail-Konto.

Mein digitaler Schutzschild

Wie schwierig ist es, sich anonym im Internet zu bewegen, E-Mails zu verschlüsseln, die eigene Privatsphäre zu schützen und Daten sicher zu speichern? Wie alltags- und laientauglich sind die entsprechenden Programme?

In der Serie "Mein digitaler Schutzschild" beantwortet ZEIT ONLINE diese Fragen. Digital-Redakteur Patrick Beuth hat ein Notebook mit der nötigen Software ausgerüstet und seine Erfahrungen dokumentiert. Er hat dazu Handbücher gelesen, Wikis und Anleitungen, und er hat Hacker und andere Experten um Rat gebeten.

Das Ergebnis ist eine Schritt-für-Schritt-Anleitung für diejenigen, die noch keine Erfahrung mit Linux, Anonymisierungssoftware oder Verschlüsselung haben – und das ändern möchten.

Inhalte der Serie

Teil 1: Ubuntu (Linux) als Betriebssystem

Teil 2: Anonymes Surfen mit Tor

Teil 3: Anonymes Surfen mit VPN

Teil 4: Ein anonymes E-Mail-Konto Einrichten mit Hushmail und Tor

Teil 5: E-Mails verschlüsseln mit Enigmail / OpenPGP

Teil 6: Daten auf der Festplatte mit TrueCrypt verschlüsseln

ALS E-BOOK

Die Serie Mein digitales Schutzschild gibt es auch als E-Book. Erfahren Sie in dieser für eReader hochwertig aufbereiteten Fassung, wie Sie Ihre Daten auf dem PC und im Internet besser schützen können.

Unser E-Book steht Ihnen dabei als EPUB-Version für Ihren eReader, sowie als MOBI-Version für Ihr Kindle Lesegerät von Amazon zur Verfügung.

Entdecken Sie auch weitere E-Books von ZEIT ONLINE unter www.zeit.de/ebooks.

Die Installation

Thunderbird selbst ist schon in Ubuntu enthalten. (Eine Installationsanleitung für Enigmail in Thunderbird unter Windows gibt es übrigens auch im Wiki der Piratenpartei.) Und Enigmail bekomme ich in Thunderbird über den Reiter Extras, wo ich dann auf Add-ons klicke. Dort suche ich die Erweiterung und installiere sie mit einem Klick und einem Neustart von Thunderbird. Alternativ kann man Enigmail auf von der Website der Entwickler herunterladen und dann installieren. Enigmail taucht dann als Reiter OpenPGP oben im Thunderbird-Menü auf. OpenPGP ist der zugrundeliegende technische Standard, der das Verschlüsselungsverfahren beschreibt.

Enigmail Add-on

Enigmail Add-on  |  © Patrick Beuth / ZEIT ONLINE

Nun habe ich die drei Bausteine. Als nächstes muss ich sie verknüpfen. In Thunderbird richte ich mir zuerst das Gmail-Konto ein. Wer Thunderbird zum ersten Mal benutzt, bekommt dabei Hilfe von einem Einrichtungsassistenten. Ich belasse einfach alles bei den Voreinstellungen und wähle an der entsprechenden Stelle IMAP, um mit Thunderbird auf den Gmail-Server zuzugreifen. Die Alternative zu IMAP heißt POP3. Die hat den Nachteil, dass E-Mails nach dem Herunterladen in Thunderbird vom Gmail-Server verschwinden.

Praktischerweise kennt Thunderbird die Servereinstellungen von Gmail für IMAP und POP3 schon, was die Verbindung kinderleicht macht. Wer einen anderen Dienst als Gmail nimmt, muss hier eventuell die Server- und Portnamen unter manuell einrichten selbst eintragen. Die entsprechenden Informationen sollten auf der Seite des jeweiligen Anbieters zu finden sein.

Nun gehe ich über den Reiter OpenPGP zum Assistenten des Verschlüsselungsprogramms. Auch hier ist es ratsam, alles bei den Voreinstellungen zu belassen, auch beim Punkt Nein, ich möchte in den Empfängerregeln festlegen, wann verschlüsselt werden soll. Denn andernfalls, erklärt Sam, werden alle ausgehenden Nachrichten verschlüsselt. Das kann im Alltag unpraktisch sein, denn wenn der Empfänger gerade nur mit einem Gerät auf seine Mails zugreifen kann, auf dem er seinen privaten Schlüssel nicht hinterlegt hat – zum Beispiel auf dem Smartphone – kann er nicht lesen, was ich ihm schreibe.

Beim letzten Punkt sollte man einfach auf Nein, danke klicken.

Enigmail-Assistent

Enigmail-Assistent  |  © Patrick Beuth / ZEIT ONLINE

Als nächstes brauche ich einen Schlüssel. Hier ist noch ein kleiner Exkurs nötig, um zu erklären, wie die Ver- und Entschlüsselung abläuft: Jeder Teilnehmer hat ein Schlüsselpaar: ein Schlüssel ist öffentlich, der andere privat. Der öffentliche wird verteilt, und zwar an jeden, mit dem man kommunizieren will. Der private bleibt bei einem selbst und darf unter keinen Umständen herausgegeben werden. Wer eine Mail verschlüsseln will, tut das mit dem öffentlichen Schlüssel des Empfängers. Der braucht seinen privaten, um die Mail dann wieder entschlüsseln zu können. Wer diesen privaten Schlüssel nicht hat, kann die Mail nicht lesen. Hier wird das Ganze ausführlich und anschaulich erklärt.

Ich lege nun ein neues Schlüsselpaar an. Dazu klicke ich unter dem Reiter OpenPGP auf den Assistenten, der mich durch die selbsterklärende Prozedur leitet. Sie beginnt damit dass ich eine Passphrase für meinen privaten Schlüssel festlege. Die Passphrase sollte stark sein, aber nicht unmerkbar. Denn sie wird jedes Mal benötigt, wenn man eine empfangene verschlüsselte Mail lesen will. Außerdem ist es ratsam, ein Widerrufszertifikat anzulegen, um den eigenen Schlüssel unbrauchbar machen zu können, wenn er doch mal in falsche Hände gerät.

Leserkommentare
  1. Nachdem die Schlüssel ausgetauscht wurden sollten Empfänger und Absender den Fingerprint abgleichen um zu verhindern das eine man-in-the-middle-attack während des Schlüsselaustauschs stattgefunden hat (Ein Angreifer fängt den gesendeten (öffentlichen) Schlüssel ab und schickt den eigenen öffentlichen weiter. Dann werden alle weiteren Mails abgefangen, mit dem eigenen privaten Schlüssel entschlüsselt, abgelegt, mit dem öffentlichen Schlüssel des Senders wieder verschlüsselt und weitergeleitet.
    Ohne Kontrolle ob der Schlüssel der abgeschickt wurde auch ankam nicht zu entdecken.

    Reaktionen auf diesen Kommentar anzeigen
    Redaktion

    Ich habe den Bereich Fingerprint / Signatur absichtlich nicht mit aufgenommen. Nicht, weil ich davon abraten würde. Sondern schlicht, weil dies in erster Linie eine Anleitung sein soll, mit der man sich ein Stück Privatsphäre zurückholt, indem man den E-Mail-Provider daran hindert, persönliche Nachrichten automatisiert zu durchleuchten.

    Ein Angriffs-/Überwachungsszenario, wie Sie es beschreiben, ist natürlich möglich. Ich deute das mit Bemerkungen wie "hundert verschlüsselte Mails sind Alltag, nur zwei verschlüsselte zwischen hundert unverschlüsselten fallen einem eventuellen Beobachter auf" ja auch an. Der normale Privatanwender wird so etwas aber wohl nie erleben.

    Wenn Sie eine gute, möglichst leicht verständliche Anleitung zur Signatur kennen, werde ich sie aber gerne noch im Text verlinken.

  2. Wer OpenPGP flexibler nutzen möchte, kann neben der bereits genannten App APG für Smartphones auch einen USB-Stick mit PortableApps in Erwägung ziehen. Hier sind Firefox und Thunderbird auch enthalten. Gerade, wenn man oft in Internet Cafes unterwegs wäre, bietet sich das an, da die gewohnten Addons installiert werden können und man eventuell noch einen Passwortmanager (Keepassx) dort nutzen kann.
    http://portableapps.com

    Es gibt wohl auch die Möglichkeit, einen solchen USB-Stick vorher mit Truecrypt zu verschlüsseln und diesen auch starten zu können, ohne das Truecrypt auf dem Rechner installiert sein muss. Einziges mir bekanntes "Hindernis" war, dass man Adminrechte am Zielrechner benötigte. (=> Internet Cafe?)

    Amnesia wurde mal vom AK Vorrat "empfohlen" - weiß aber nicht, ob dieses Projekt noch gepflegt wird.
    http://multiget.sourcefor...

  3. Ich habe mir schon vor langem mal PGP eingerichtet, aber nie benutzt - wie auch? Es geht ja nur, wenn auch der Empfänger PGP hat, und es gibt schlicht und einfach niemanden, der es hat.

    Und ich kenne niemanden in meinem Umfeld, der bereit wäre für dieses Prozedere.

    Mal eine andere Frage, können verschlüsselte PDFs eine Alternative sein? Vorausgesetzt natürlich, das Passwort wird nur persönlich und nicht digital mitgeteilt.

  4. Diese Technik ist/war relativ selten (wie in K3 schon sagt) beansprucht, obwohl sie seit den 1990ern exisitert.
    Eigentlich unerklärlich.
    Danke für den Artikel/die gute Beschreibung.

  5. Der Grund, warum ich das nicht schon längst verwende. Ich habe schlicht keinen einzigen potenziellen Empfänger. Aber vielleicht klappt es ja mal mit Hilfe dieses Artikel, liegt jetzt auch jeden Fall in den Lesezeichen.

    Die Nachfrage besteht prinzipiell schon, es fehlt nur die Rechtssicherheit. Was zur Folge hat, dass sich so ein (technisch gesehen) Müll, wie de-mail etabliert.
    Hätte man dagegen von politischer Seite aus pgp-mails für rechtskräftig erklärt, hach...

    Eine Leserempfehlung
    • elvis99
    • 30. Januar 2013 13:33 Uhr

    ob sich all die Mühe lohnt, jede belanglose Mail über das Mittagessen zu verschlüsseln? Oder einfach der generelle Hintergedanke ausreicht, keine brisanten Dinge per Mail zu kommunizieren ..

    Eine Leserempfehlung
  6. Redaktion
    15. Absicht

    Ich habe den Bereich Fingerprint / Signatur absichtlich nicht mit aufgenommen. Nicht, weil ich davon abraten würde. Sondern schlicht, weil dies in erster Linie eine Anleitung sein soll, mit der man sich ein Stück Privatsphäre zurückholt, indem man den E-Mail-Provider daran hindert, persönliche Nachrichten automatisiert zu durchleuchten.

    Ein Angriffs-/Überwachungsszenario, wie Sie es beschreiben, ist natürlich möglich. Ich deute das mit Bemerkungen wie "hundert verschlüsselte Mails sind Alltag, nur zwei verschlüsselte zwischen hundert unverschlüsselten fallen einem eventuellen Beobachter auf" ja auch an. Der normale Privatanwender wird so etwas aber wohl nie erleben.

    Wenn Sie eine gute, möglichst leicht verständliche Anleitung zur Signatur kennen, werde ich sie aber gerne noch im Text verlinken.

    Antwort auf "Da fehlt etwas"
    Reaktionen auf diesen Kommentar anzeigen

    Der User hat schon Recht, der korrekte Abgleich des Key gehört zur vollständigen Konfiguration. Warum die Arbeit mit der Einrichtung machen und dann eine entscheidende "Kleinigkeit" vergessen? Auch können Sie nur einen verifizierten Schlüssel als uneingeschränkt vertrauenswürdig unterschreiben. Ich gleiche den Fingerprint mündlich ab. Man trifft sich oder man telefoniert. Das ging bisher immer und ist eine Sache von 30 Sekunden.

    S/MIME ist ein anderer Standard, der aber nach dem gleichen Prinzip arbeitet. Der Vorteil ist hier aber, dass er in den meisten Clients schon von Hause aus einsatzbereit ist. Um den eigenen Schlüssel zu verbreiten reicht es aus aus, signierte Emails zu verschicken. Der öffentliche Teil des eigenen Schlüssels wird dann mitgeschickt.

    Sowohl OpenPGP als auch S/MIME funktioniert prima mit mobilen Endgeräten wie Smartphones oder Tablets.

    Eine ausführliche Anleitung zu mobilen Endgeräten findet sich dort:

    http://www.heise.de/ct/ar...

    Wäre das nicht auch einen Artikel in der Serie auf zeit.de wert?

  7. Im letzten Absatz wird vorgeschlagen, einen einen E-Mail-Account wählen, der nichts über seine Person verrät. das gilt natürlich nur, falls auch der PGP-Schlüssel ohne Klarnamen erstellt wurde.

    Ansonsten: so wichtig das Thema ist, ich frage mich, ob Papier das richtige Medium dafür ist oder ob ein kurzes Installationsvideo nicht geeigneter wäre.

Bitte melden Sie sich an, um zu kommentieren

  • Serie Mein digitaler Schutzschild
  • Artikel Auf einer Seite lesen
  • Quelle ZEIT ONLINE
  • Schlagworte Google | GMX | Mozilla | Piratenpartei | Smartphone | Wiki
Service