Tagebuch eines (noch) Ahnungslosen: Mein Weg zur Verschlüsselung – Teil 1: E-Mails und PGP

Seit einigen Wochen schon plagt es mich: das schlechte Gewissen. Jeden Tag kommen neue Dinge ans Licht, die illegalen Praktiken hinter NSA, GCHQ und BND werden immer weiter und tiefgründiger aufgedeckt. Und dennoch: Ich bin ahnungslos. PGP? SSL? Was-weiß-ich-was-für-eine-Abkürzung? Ich habe keine Ahnung von Verschlüsselung, Kryptologie und Co. Meine Daten sind ungeschützt. Bis jetzt. Denn nun wage ich mich endlich vor, raus aus der Lethargie und starte meinen Weg zur Verschlüsselung. In Teil 1 aus dem Tagebuch eines (noch) Ahnungslosen versuche ich, meine E-Mails zu verschlüsseln. Und ihr dürft in den Kommentaren gerne helfen, korrigieren, verbessern – und so auch anderen helfen.

Liebes Tagebuch,

Meine Wissensstand vor dem Versuch, meine E-Mails zu verschlüsseln, beläuft sich auf folgende Kenntnisse: Ich weiß, dass es etwas gibt, das sich PGP nennt. Und ich weiß, dass das irgendein wirrer Code ist. That’s it. Was noch? Nichts. Demnach beginnt mein Weg zu verschlüsselten E-Mails im Dunkeln. Zunächst einmal muss ich rausbekommen, was PGP eigentlich ist.

Erste Anlaufstelle: Wikipedia. Nun weiß ich immerhin, dass PGP die Abkürzung für Pretty Good Privacy ist. Irgendwie hatte ich hinter den drei Lettern mehr erwartet, aber gut. Im Wikipedia-Eintrag stehen Sachen wie

---

Neue Stellenangebote

		Growth Marketing Manager:in – Social Media GOhiring GmbH in Homeoffice
		Social Media Manager (m/w/d) in der Nähe von Rosenheim Schön Klinik Vogtareuth GmbH & Co. KG in Vogtareuth
		Social Media Advertising Manager (w/m/d) dm-drogerie markt GmbH + Co. KG in Karlsruhe, hybrid

Alle Stellenanzeigen

---

Bei PGP wird aber nicht die ganze Nachricht asymmetrisch verschlüsselt, denn dies wäre viel zu rechenintensiv. Stattdessen wird die eigentliche Nachricht symmetrisch und nur der verwendete Schlüssel asymmetrisch verschlüsselt (Hybride Verschlüsselung). Dazu wird jedes Mal ein symmetrischer Schlüssel zufällig erzeugt.

oder

PGP basiert dabei auf dem sogenannten Web of Trust, bei dem es keine zentrale Zertifizierungsinstanz gibt, sondern Vertrauen von den Benutzern selbst verwaltet wird.

Hilft das jemandem weiter, der bei Null anfängt? Eher nicht. Also schnell weg. Am liebsten würde ich jetzt schon aufgeben, wozu das alles? Ich fühle mich dumm. Eigentlich bin ich Tech-Blogger, Medienjournalist. Ich beschäftige mich den ganzen Tag mit Apple, Facebook, Twitter und Co., lese Texte über die NSA und bin jedes Mal schockiert, wenn ich sehe, was der amerikanische Geheimdienst alles mitbekommen hat in den letzten Jahren. Und dennoch verstehe ich nicht einmal den Wikipedia-Artikel zum Thema E-Mail-Verschlüsselung. Der Gedanke, dass ich damit höchstwahrscheinlich nicht alleine bin, sondern der großen Mehrheit angehöre, heitert mich auf, ich fasse neuen Mut.

public und secret keys

Irgendeiner wird bestimmt schon mal eine Anleitung „für Dumme“ geschrieben haben. Auf Metronaut.de werde ich fündig. Und verstehe: PGP-Verschlüsselung kann man sich vorstellen wie Vorhängeschlösser. Man hat ein Schloss und einen Schlüssel. Das Schloss kann jeder haben und seine Nachricht an mich damit verschließen. Den Schlüssel aber habe nur ich. Und demnach kann auch nur ich das Schloss öffnen und die Nachricht lesen. Andersrum verhält es sich genauso: Will ich jemandem eine verschlüsselte Nachricht schreiben, brauche ich sein Schloss. Ich schließe die Nachricht ab, er öffnet sie – mit seinem Schlüssel.

Schloss und Schlüssel nennen sich in diesem Fall public key und secret key. Den public key kann ich jedem an die Hand geben, der mir verschlüsselte Mails schreiben möchte. Wenn ich will, kann ich ihn sogar in mein Impressum packen und möglichen Informanten so die Möglichkeiten geben, mir verschlüsselte E-Mails zu schreiben. So weit, so gut. Den secret key (oder private key) muss ich ganz sicher versteckt bei mir behalten. Weil den möchte ja nur ich haben, zum Öffnen meiner eigenen Vorhängeschlösser. Am besten brenne ich ihn auf DVD und lösche ihn von meinem Rechner. So sei es am sichersten, habe ich irgendwo gelesen.

Der GPG-Schlüsselbund

So, die Technik von PGP habe ich verstanden. War ja gar nicht so schwer. Die Idee finde ich gut, will ich haben. Nur, wie? Dafür gibt es spezielle Programme für die einzelnen Betriebssysteme. In meinem Fall, Mac-User, schaue ich bei GPGTools.org vorbei. Windows-Nutzer sollen bei GPG4Win.org ebenfalls fündig werden. Das Tool, die 23 MB große GPG Suite, lade ich in windeseile herunter und installiere sie auf meinem Mac. Nun habe ich ein Programm, das sich GPG-Schlüsselbund nennt. Was soll das sein? Keine Ahnung. Aber ich bin ja angetreten, es herauszufinden. Also los.

Soweit ich es verstanden habe, ist der GPG-Schlüsselbund zweierlei: Erstens ein Tool, mit dem ich für mich PGP-Keys erstellen kann. Und zweitens eine Art Adressbuch, wo ich die öffentlichen PGP-Keys meiner E-Mail-Kontakte abspeichern kann. Schließlich brauche ich die Vorhängeschlösser ja, um ihnen eine Mail zu schreiben – ich lerne dazu.

Also los: Ich erstelle meinen ersten eigenen PGP-Key. Da ich das zum ersten Mal mache, habe ich Angst, etwas falsch zu machen. Daher richte ich mich auf viel Googleei ein, sage vorsichtshalber alle anstehenden Termine in den nächsten zwei Wochen ab, erzähle Freunden und Verwandten, dass ich kurzfristig in den Urlaub geflogen bin. Zu meiner Überraschung ist das aber gar nicht nötig: Es dauert keine 15 Sekunden, da erklärt mir der GPG-Schlüsselbund, dass ich noch eine „Passphrase“ einsetzen solle und dass er jetzt eine Menge Zufallsvariablen zu erstellen habe. Ich solle mich doch bitte mal kurz anderen Dingen zuwenden. Sehr gerne: Schließlich stellt sich mir die Frage, was eine Passphrase ist? Die Lösung: Ein cooler Ausdruck für „langes Passwort“ – aha.

Konsequenzen aus der Verschlüsselung

Weitere 15 Sekunden später finde ich einen Eintrag in der Kartei mit meinem Namen, meiner E-Mail-Adresse und dem merkwürdigen Zusatz „sec/pub“. „sec“ steht dabei für „secret“ und „pub“ für „public“. Ich verstehe: In diesem Eintrag finden sich also beide Schlüssel. Alle Einträge von Kontakten haben daher nur den Zusatz „pub“ – got it.

Nun möchte das Tool ein Add-on in meinem Mail-Programm installieren. Bei Windows-Rechnern geht das wohl dann beispielsweise im Thunderbird-Mailprogramm. Eigentlich immer der gleiche Vorgang, nur eben an das jeweilige Betriebssystem angepasst. Ich schließe Mail, GPG öffnet es wieder und siehe da: Ich habe nun zwei neue Icons – ein erster Schwung Stolz trifft mich, aber ich will mehr: Ich will PGP-verschlüsselte E-Mails senden.

Alles was jetzt folgt, ist eigentlich recht logisch – auch für jemanden, der bis vor einer halben Stunde noch keine Ahnung von der Materie hatte. Es ergeben sich nun einige Konsequenzen für die Nutzung der PGP-Verschlüsselung:

a)

Ich kann nur mit der E-Mail-Adresse verschlüsseln, mit der ich im GPG-Schlüsselbund den Key erstellt habe. Bedeutet: Will ich mit allen meinen E-Mail-Adressen verschlüsselt schreiben, muss ich für alle einen Key erstellen.

b) Ich kann die Icons zur Verschlüsselung nur nutzen, wenn ich den public key meines Gegenübers habe. Ohne sein Vorhängeschloss geht nichts – logisch. Das muss ich erst im GPG-Schlüsselbund einfügen, importieren oder den Kontakt mit CMD + F suchen.

c) Ich kann nur verschlüsselte E-Mails empfangen, wenn mein Gegenüber mein Vorhängeschloss (also meinen public key) hat. Das kann ich ihm entweder per E-Mail schicken und er fügt es ein oder er sucht mich auf dem Keyserver.

Und läuft!

Bevor ich meine E-Mail absenden kann, muss ich meine Passphrase eingeben. Mir fällt auf, dass es ein paar Momente länger dauert, bis die E-Mail versendet wird und bis sie ankommt – ob das normal ist weiß ich nicht. Jedenfalls finde ich es logisch, schließlich muss mein Computer nun den ein oder anderen zusätzlichen Schritt gehen.

Ist die Antwort dann da, werde ich wieder aufgefordert, meine Passphrase einzugeben. Eine Sekunde später finde ich dann die lesbare E-Mail. So schwer war das doch gar nicht. Ich merke aber schon jetzt, dass es noch viel gibt, was es zu verstehen gilt. Außerdem muss ich mich erst daran gewöhnen, das kleine Schloss-Icon vor dem Absenden einer E-Mail zu drücken. Und stoße auch schon auf ein erstes Problem: Wie genau öffne ich eine PGP-verschlüsselte E-Mail noch gleich am iPhone? Richtig, mit einer passenden App – aber dazu dann mehr in einem der nächsten Teile.

Dein Tobias

Hinweis: Zu Teil 2.

Hinweis in eigener Sache: Das Tagebuch gibt es nun mit vielen weiteren nützlichen Tipps und Tricks als günstiges E-Book!

Bilder: Screenshots