Selbstverteidigung im Cyberwar : So werden Mails sicher verschlüsselt

Spätestens seit der NSA-Schnüffelei weiß so gut wie jeder Internet-Nutzer: Normale E-Mails sind nicht sicherer als eine Postkarte. Dabei ist Verschlüsseln gar nicht so kompliziert - und kostenlos ist es allemal.

von
Mails sicher verschlüsseln: PGP arbeitet mit zwei Schlüssel. Der öffentliche verschließt die Mails, mit dem privaten werden sie wieder geöffnet.
Mails sicher verschlüsseln: PGP arbeitet mit zwei Schlüssel. Der öffentliche verschließt die Mails, mit dem privaten werden sie...Foto: dpa

Die Voraussetzungen waren nie besser: Weil nach und nach herauskommt, in welchem Umfang die Geheimdienste Freund und Feind elektronisch belauschen, setzt sich bei einem Teil der Internetnutzer die Erkenntnis durch, dass man sein eigenes Verhalten ändern muss, um nicht zum willfährigen Opfer staatlicher Paranoia zu werden. Immerhin fast jeder Fünfte will in Zukunft genauer darüber nachdenken, welche Informationen er über sich und andere ins Netz stellt. Dies hat eine Studie ergeben, die vom Deutschen Institut für Vertrauen und Sicherheit im Internet (DIVSI) in Auftrag gegeben wurde. Eine Chance ist dies vor allem für die Sicherheit der E-Mail-Kommunikation. Zwar wussten bereits vor Bekanntwerden der amerikanischen und britischen Schnüffelprogramme viele Nutzer, dass eine herkömmliche E-Mail genauso offen transportiert wird wie eine Postkarte. Doch dazu durchringen, zumindest den wichtigen elektronischen Schriftverkehr durch Verschlüsseln vor Sysops und Spionen zu schützen, konnten sich die wenigsten. Dabei ist Verschlüsseln gar nicht so kompliziert, kostenlos ist es allemal.

ZIEMLICH GUTE PRIVATSPHÄRE

Ein besonders beliebtes Verfahren ist Pretty Good Privacy (PGP). Übersetzt bedeutet es „ziemlich gute Privatsphäre“. Für viele Mailprogramme gibt es entsprechende Erweiterungen (Add-ons), mit denen das Signieren und Verschlüsseln der Mails nur einige wenige Mausklicks mehr erfordert als bei einer ganz gewöhnlichen Mail. PGP ist inzwischen über zwanzig Jahre alt. Der Amerikaner Phil Zimmermann hat Anfang der 1990er Jahre nach einem einfachen, aber zuverlässigen Schutz gesucht. PGP setzt dafür zwei sich ergänzende Schlüssel ein. Der eine Schlüssel ist öffentlich. Mit diesem Schlüssel wird die Mail vom Absender so verschlossen, dass sie von niemandem außer dem Adressaten mehr geöffnet werden kann. Der zuvor lesbare Text wird in eine lange Abfolge von Buchstaben und Zahlen verwandelt. Der andere, private Schlüssel ist geheim, nur der Empfänger hat Zugriff darauf. Er kann damit die Mail aufschließen und den Text wieder in den Ursprungszustand zurückversetzen. Und damit der geheime private Schlüssel selbst vor Systemadministratoren sicher ist, wird er zusätzlich durch eine Passphrase geschützt. Daneben gibt es noch ein anderes weitverbreitetes Verschlüsselungssystem namens S/Mime. Es beruht im Gegensatz zu PGP auf zentralen Zertifizierungsstellen, bei denen Zertifikate erworben werden müssen. Bei Anbietern wie startssl.com gibt es zwar kostenlose Basiszertifikate, die regulären Angebote beginnen allerdings bei 60 Dollar pro Jahr, so dass S/Mime vor allem im Firmeneinsatz zu finden ist.

VERSCHLÜSSELN UND SIGNIEREN

Aus PGP wurde zwischenzeitlich ein kommerzielles Unternehmen, das des Öfteren den Besitzer wechselte. Die gängigen Nachfolger von PGP heißen OpenPGP oder GnuPG. Um den Umgang mit der Verschlüsselungstechnik zu vereinfachen, hatte das Bundesamt für die Sicherheit in der Informationstechnik BSI eine Programmsammlung namens Gpg4win (GNU Privacy Guard for Windows) entwickeln lassen. Inzwischen wird das Paket von Freiwilligen auf dem aktuellen technischen Stand gehalten. Es gibt daneben andere Programmsammlungen zur Verschlüsselung wie das GnuPGP-Pack, das den gleichen Zweck erfüllt und ebenfalls das Basisverschlüsselungsprogramm GnuPG enthält. Zu den Paketen gehören die Erweiterungen für Mailprogramme wie Thunderbird oder Outlook – vom Microsoft-Programm werden allerdings nur die Versionen 2003 und 2007 unterstützt. Für neuere Outlook-Versionen werden kommerzielle Pakete wie gpg4o benötigt.

SO WERDEN DIE PAKETE INSTALLIERT

Die Installation des Paketes, das Erstellen von Schlüsselpaaren und die Integration ins eigene Mailprogramm sind an sich nicht kompliziert. Im Wesentlichen erfordert die komplexe Materie nur die Bereitschaft, sich überhaupt darauf einzulassen. Die Pakete werden am besten mit den Voreinstellungen installiert. Beim GnuPG-Paket wird man im Anschluss aufgefordert, gleich das erste Schlüsselpaar zu erzeugen. Dazu folgt man ebenfalls den Erklärungen und Empfehlungen. Bei diesem Paket wurde der Zusatz zum Mailprogramm Thunderbird, das derzeit den für Laien wohl einfachsten PGP-Einstieg bietet, bereits mitinstalliert. Bei Gpg4win muss der der Zusatz Enigmail über die Add-on-Verwaltung von Thunderbird selbst gesucht und installiert werden. Aber auch das ist keine unüberwindliche Hürde. In Enigmail sind sämtliche Optionen enthalten, um Schlüssel zu erstellen, zu verwalten und zu benutzen. Um den öffentlichen Schlüssel breit zu streuen, wird er am besten als Signaturdatei automatisch an jede Mail angehängt. Zusätzlich kann der öffentliche Schlüssel auch auf Schlüsselservern im Internet hinterlegt werden, wo er dann von anderen Nutzern gefunden werden kann. Hilfreich sind zudem Empfängerregeln. Mit ihnen wird für jeden Kontakt festgelegt, ob Mails automatisch oder nur bei Bedarf signiert und verschlüsselt werden. Hat ein Kontakt mehrere Mailkonten, kann für jede Adresse eine eigene Regel erstellt werden. Das Verschlüsseln selbst geht dann unkompliziert. Eine neue Mail wird geschrieben, im Menüpunkt OpenPGP wird ausgewählt, ob die Nachricht unterschrieben und/oder verschlüsselt wird, danach wird sie wie gewohnt versendet. Trifft eine verschlüsselte Mail ein, muss die Passphrase eingegeben werden, um aus dem Zeichensalat wieder eine lesbare Nachricht werden zu lassen.

AUCH UNTERWEGS SICHER MAILEN

Auf Smartphones, Tablets oder per Webmails muss ebenfalls nicht auf die Verschlüsselung verzichtet werden. Für Android stehen im App-Store von Google Play diverse Apps auf Grundlage von OpenPGP wie zum Bespiel das Werkzeug AGP zur Verfügung Für Apples iOS gibt es unter anderem die App iPG Mail (1,79 Euro), mit der man Schlüssel verwalten kann und das zugleich zum Verschicken und Empfangen verschlüsselter Mails dient. Selbst für Webmail-Anbieter, bei denen man seine Mails im Webbrowser liest, gibt es Erweiterungen zum Verschlüsseln. Das Programm Mailvelope steht derzeit für Chrome zur Verfügung, ein Add-on für Firefox ist in der Entwicklung. Allerdings soll nicht unerwähnt bleiben, dass die Tools zum Entschlüsseln Zugriff auf den geheimen Schlüssel benötigen – und der Nutzer dem Anbieter somit ein gewisses Maß an Vertrauen entgegenbringen muss. Aber das gilt genauso für die De-Mail, für die es keine Ende-zu-Ende-Verschlüsslung gibt. Der Transport im Netz erfolgt zwar verschlüsselt, liegt jedoch ein Gerichtsbeschluss vor, lässt sich die Mail auf dem Server des Anbieters dennoch lesen – es sei denn, sie wurde zuvor mit PGP, OpenPGP oder GnuPG verschlüsselt.

Autor

31 Kommentare

Neuester Kommentar
      Kommentar schreiben