Bin ich im Internetcafé erfolgreich eingeloggt, folgt Schritt zwei. Ich will eine verschlüsselte E-Mail schreiben. Ob aus Angst vor Überwachung oder Prinzip, ist egal. Ich tue das zu Hause, warum sollte ich im Urlaub darauf verzichten? Normalerweise nutze ich das auf PGP basierende GnuPG. Auf einem fremden Rechner kann ich die dafür nötige Software aber schlecht installieren. Also brauche ich eine Lösung, die allein im Browser funktioniert.

Viele neue E-Mail-Anbieter haben jüngst versucht, die Verschlüsselung von E-Mails einfacher zu gestalten. Posteo hilft mir in diesem Fall nicht. Der Dienst bietet seit dem Frühjahr 2015 zwar einen sogenannten Krypto-Mailspeicher an: Nutzer können mithilfe eines Schlüssels eingegangene E-Mails in ihrem Postfach verschlüsseln. Die E-Mails liegen dann selbst für Posteo nicht einsehbar auf dem Server des Unternehmens. Ausgehende Nachrichten kann Posteo aber nur mit dem Browser-Addon Mailvelope verschlüsseln. Das hat einen gewichtigen Nachteil: Es speichert alle Schlüssel im lokalen Speicher des Browsers.

Kurz zur Erklärung: Asymmetrische Verschlüsselung mit PGP erfordert einen privaten und einen öffentlichen Schlüssel, die zusammen ein Schlüsselpaar ergeben. Wer mir eine verschlüsselte Nachricht schicken will, braucht meinen öffentlichen Schlüssel. Um sie entschlüsseln zu können, brauche ich meinen privaten Schlüssel.

Im Internetcafé müsste ich meinen bestehenden privaten Schlüssel von einem USB-Stick oder einem anderen Datenträger in Mailvelope importieren. Jedes Mal ein neues Schlüsselpaar zu erstellen, wäre sinnlos. Und ich müsste Mailvelope nach jeder Sitzung deinstallieren, damit mein privater Schlüssel nicht auf dem Rechner zurückbleibt. (Im Firefox hilft derzeit nicht einmal das.) Zusammengefasst: Posteo plus Mailvelope ist für das Internetcafé keine Lösung.

Tutanota erfordert Absprachen

Etwas besser geht es beim E-Mail-Dienst Tutanota. Nachdem ich mich registriert und eine Nachricht verfasst habe, fragt mich Tutanota nach einem Passwort für die Mail. Ich gebe es ein und klicke auf "Versenden". Der Empfänger meiner Mail bekommt nun eine standardisierte Mail mit einem Link zugesandt. Klickt er auf den Link, gelangt er auf eine Website und wird aufgefordert, das eben von mir festgelegte Passwort einzugeben. Nur damit kann er die eigentliche Nachricht von mir entschlüsseln.

Hier noch einmal eine Anleitung in Bildern (sichtbar nur in der Desktopansicht):

Tutanota hat nach eigenen Angaben seine Verschlüsselung einem Stresstest unterzogen, der Code ist einsehbar, jedoch nicht so leicht wie bei echter Open-Source-Software. Der Ansatz hat Schwächen. Ich müsste schon vorher wissen, wem ich während meines Urlaubs schreiben möchte und vorab Passwörter für meine E-Mails mit den Empfängern vereinbaren – oder während des Urlaubs auf einem zweiten Kanal. Das ist eher unrealistisch. Tutanota bietet außerdem erst ab Herbst 2015 Zwei-Faktor-Authentifizierung an. Ein Keylogger hätte also leichtes Spiel mit meinem Tutanota-Konto.

Mailbox.org bringt PGP und Browser zusammen

Mailbox.org liefert von allen mir bekannten Mail-Anbietern die umfassendste Lösung. Seit Anfang Juli 2015 bietet der Berliner Dienst eine PGP-Unterstützung im Browser an. Das Schlüsselpaar zum Ver- und Entschlüsseln liegt in diesem Fall auf den Servern von Mailbox.org. Für Menschen, die ihre Schlüssel unter Kontrolle haben wollen, mag das inakzeptabel sein; im Urlaub funktioniert es wenigstens.

Nachdem ich mich bei Mailbox.org angemeldet habe, kann ich beim Verfassen einer neuen Mail in der linken Spalte unter den Sicherheitsoptionen "Verschlüsselt senden (PGP)" auswählen. Daraufhin fordert mich Mailbox.org auf, ein Passwort zu vergeben. Mit diesem Passwort wird das neu generierte Schlüsselpaar für meine Mailbox.org-Adresse auf den Mailbox.org-Servern gesichert. Ich kann aber auch ein bestehendes Schlüsselpaar auf die Mailbox.org-Server hochladen. Auch dafür brauche ich ein Passwort, mit dem mein Schlüsselpaar seinerseits gesichert wird.

Anschließend gelange ich auf eine Seite, die mir erlaubt, meinen öffentlichen Schlüssel an andere Freunde zu schicken oder umgekehrt die öffentlichen Schlüssel meiner Freunde zu importieren. Die öffentlichen Schlüssel liegen dann genauso auf den Servern von Mailbox.org. Wenn ich eine E-Mail verschicke, brauche ich nun nur noch das Schlosssymbol anzuklicken, und schon wird die E-Mail verschlüsselt gesendet. Im Test funktioniert die Verschlüsselung problemlos.

Hier noch einmal eine Anleitung in Bildern (sichtbar nur in der Desktopansicht):

Sollten meine Bekannten kein GnuPG nutzen, greift Mailbox.org auf eine ähnliche Lösung wie Tutanota zurück. Der Empfänger muss dann ein vorher ausgemachtes Passwort eingeben, um meine Nachricht lesen zu können.

Keiner dieser Wege kommt ohne Kompromisse aus. Bei Posteo gefällt mir die Zwei-Faktor-Authentifizierung, bei Mailbox.org die Verschlüsselung. Besser wäre es, wenn ich mein Notebook immer bei mir hätte und auf meine bewährten Einstellungen zurückzugreifen könnte, notfalls in einem offenen WLAN im nächstbesten Café. Das ist in vielen Fällen aber nicht möglich und im Urlaub auch oft nicht gewollt. Das Smartphone hingegen ist häufig mein Reisebegleiter. Im nächsten Teil dieser Serie versuche ich, mich in fremden Funknetzen abzusichern und mit dem Smartphone verschlüsselte E-Mails zu versenden.