PGP für Anfänger: E-Mail-Verschlüsselung leicht gemacht
Schritt-für-Schritt Anleitung zur Erstellung deines ersten PGP-Schlüsselpaars und verschlüsselter E-Mails.
E-Mails werden standardmäßig unverschlüsselt übertragen und können theoretisch von jedem Server auf dem Weg zum Empfänger mitgelesen werden - vergleichbar mit einer Postkarte statt einem verschlossenen Brief. Pretty Good Privacy (PGP) verwandelt diese Postkarte in einen versiegelten Umschlag, den nur der beabsichtigte Empfänger öffnen kann. Was zunächst kompliziert klingt, lässt sich mit dem richtigen Werkzeug in wenigen Minuten einrichten.
Was ist PGP und wofür wird es gebraucht?
PGP wurde bereits 1991 von Phil Zimmermann entwickelt und ist bis heute der Standard für E-Mail-Verschlüsselung und digitale Signaturen. Es nutzt asymmetrische Kryptografie: Statt eines einzelnen gemeinsamen Passworts arbeitet PGP mit einem Schlüsselpaar aus zwei mathematisch verknüpften, aber unterschiedlichen Schlüsseln. Neben der reinen Verschlüsselung ermöglicht PGP auch digitale Signaturen, mit denen sich beweisen lässt, dass eine Nachricht tatsächlich von der angegebenen Person stammt und unterwegs nicht verändert wurde.
Public Key und Private Key einfach erklärt
Der öffentliche Schlüssel (Public Key) ist dafür gedacht, geteilt zu werden - auf der eigenen Website, in der E-Mail-Signatur oder auf einem Keyserver. Jeder, der deinen Public Key kennt, kann damit eine Nachricht verschlüsseln, die ausschließlich mit dem passenden privaten Schlüssel (Private Key) wieder lesbar gemacht werden kann. Der Private Key verlässt im Idealfall niemals dein Gerät und sollte zusätzlich durch ein starkes Passwort geschützt sein. Eine gute Eselsbrücke: Der Public Key ist wie ein offenes Vorhängeschloss, das du verteilst - jeder kann es zudrücken, aber nur du besitzt den passenden Schlüssel, um es wieder zu öffnen.
Web of Trust: woher weißt du, wem ein Schlüssel gehört?
Ein zentrales Problem asymmetrischer Verschlüsselung ist die Frage, ob ein gefundener Public Key tatsächlich der behaupteten Person gehört. PGP löst das über das sogenannte Web of Trust: Nutzer signieren gegenseitig ihre Schlüssel, wenn sie deren Identität persönlich überprüft haben, und bauen so ein dezentrales Vertrauensnetz auf - im Gegensatz zu zentralen Zertifizierungsstellen, wie sie etwa im Web-Browser für HTTPS-Verbindungen verwendet werden. Für den Einstieg reicht es, den Fingerabdruck (eine kurze Prüfsumme des Schlüssels) über einen zweiten Kanal wie ein Telefonat oder eine Messenger-Nachricht zu vergleichen.
Schritt für Schritt zu deinem ersten Schlüsselpaar
Mit unserem kostenlosen PGP-Tool unter /tools/pgp lässt sich ein RSA-Schlüsselpaar direkt im Browser generieren, ohne Software zu installieren. Die Schlüsselerzeugung läuft vollständig lokal auf deinem Gerät ab - dein privater Schlüssel verlässt zu keinem Zeitpunkt den Browser. Nach der Erzeugung kannst du den Public Key kopieren und weitergeben, während der Private Key sicher (idealerweise passwortgeschützt) gespeichert werden sollte, etwa in einem Passwort-Manager.
Nachrichten verschlüsseln und entschlüsseln
Um eine Nachricht zu verschlüsseln, brauchst du lediglich den Public Key des Empfängers, den du in unser Tool einfügst. Die verschlüsselte Ausgabe kannst du dann per E-Mail, Messenger oder in unserem Privnote-Tool verschicken - selbst wenn die Nachricht unterwegs abgefangen wird, bleibt sie ohne den passenden Private Key unlesbar. Zum Entschlüsseln benötigst du umgekehrt deinen eigenen Private Key und gegebenenfalls dein gewähltes Passwort.
Typische Anfängerfehler
Der häufigste Fehler ist der Verlust des privaten Schlüssels - ohne ihn lassen sich empfangene, bereits verschlüsselte Nachrichten unwiederbringlich nicht mehr lesen. Ein Backup an einem sicheren Ort ist daher unerlässlich. Ebenfalls häufig: der Public Key wird verwechselt oder nicht aktuell gehalten, sodass Nachrichten an eine veraltete Schlüsselversion verschlüsselt werden. Und schließlich schützt PGP nur den Inhalt einer Nachricht - Betreffzeile und Metadaten wie Absender und Empfänger bleiben bei klassischer E-Mail-Verschlüsselung sichtbar.
Lohnt sich der Aufwand im Alltag?
Für alltägliche Nachrichten mag PGP übertrieben wirken, doch für vertrauliche Dokumente, geschäftliche Kommunikation oder den Austausch mit Journalisten und Quellen ist es nach wie vor eines der zuverlässigsten Werkzeuge. Die anfängliche Einrichtung dauert wenige Minuten - der Sicherheitsgewinn bleibt für die gesamte Zeit der Nutzung bestehen.