E-Mail Verschlüsselung „E-Mail made in Germany“ vs. Thunderbird+PGP

Im Sommer 2013 enthüllte Edward Snowden, in welchem Umfang die NSA und andere Geheimdienste den weltweiten Datenverkehr abfangen und verwerten. Kurz darauf begannen die großen deutschen E-Mailprovider die Verschlüsselung von E-Mails zum Schutz der Privatsphäre einzuführen. Obwohl dieser Schritt grundsätzlich sehr zu begrüßen ist, hat die E-Mail Verschlüsselung von Deutsche Telekom und Co. gewichtige Defizite. Wirklich sichere und private E-Mail-Kommunikation ist darüber nicht möglich. Wer seine E-Mails sicher vor dem Zugriff vor Dritten schützen möchte, der kann sich nicht auf die Verschlüsselung durch die Anbieter verlassen. Die gute Nachricht: Mit PGP gibt es einen Verschlüsselungsstandard, der vergleichsweise einfach zu bedienen und weit verbreitet ist.

Ziel dieses Artikels ist die Gegenüberstellung des Verschlüsselungsangebots der deutschen E-Mail-Provider und der Verschlüsselung von E-Mails „in Eigenregie“ mit PGP. Im Anschluss zweigen wir Ihnen am Beispiel von Mozilla Thunderbird in einer Schritt für Schritt Anleitung, wie Sie Ihre E-Mails mit PGP wirklich wirksam verschlüsseln können. (Die E-Mail Verschlüsselung in Outlook wird hier nicht dargestellt.)

E-Mail Verschlüsselung à la „E-Mail made in Germany“

Als Folge der aufgedeckten Spionageaffäre schlossen sich im August 2013 die großen deutschen Internetprovider in der Initiative E-Mail made in Germany zusammen. Sinn und Zweck der Initiative war und ist die sichere, d.h. verschlüsselte Übertragung von E-Mails zwischen den Providern sowie von und zu den Postfächern der Kunden. Zu den sich in der Initiative organisierenden Providern gehört die Deutsche Telekom, WEB.DE, 1&1, Strato, GMX und Freenet und damit eine wirklich beachtliche Anzahl deutscher E-Mail-Konten.

Wenn Sender und Empfänger Ihre E-Mail-Konten bei einem dieser Anbieter haben, dann wird Ihre Nachricht vor dem Versand ins Internet automatisch verschlüsselt und erst beim Empfänger wieder entschlüsselt. Im Vergleich zum derzeitigen de facto Standard der unverschlüsselten Übermittlung ist dies ein riesiger Fortschritt, denn beim unverschlüsselten Versand ist die E-Mail ungefähr so geheim und vertraulich wie eine Postkarte in der klassischen Post – jeder, der Sie in die Hand bekommt, kann sie lesen und das sind bei E-Mails in aller Regel sehr viele Parteien.

Der E-Mail-Client des Senders baut eine mit TLS-verschlüsselte Verbindung zum Postausgangsserver seines E-Mail-Providers auf. Der Provider prüft dann anhand des globalen Teils der E-Mail-Adresse (der Teils der Adresse nach dem @-Zeichen), an wen die E-Mail weitergeleitet werden muss und sendet diese, ebenfalls mit TLS verschlüsselt, an den Posteingangsserver des entsprechenden E-Mailproviders. Dort angekommen, wird die E-Mail anhand des lokalen Teils der E-Mail-Adresse (dem Teils vor dem @-Zeichen) dem richtigen Postfach zugewiesen. Bei Abruf der E-Mails werden Sie verschlüsselt auf den Rechner des Empfängers runter geladen und erst dort wieder entschlüsselt.

Wie die Beschreibung zeigt ist die versendete E-Mail den gesamten Weg vom Sender zum Empfänger verschlüsselt. Durch diese sogenannten Ende-zu-Ende Verschlüsselung kann sichergestellt werden, dass die E-Mail nicht irgendwo unterwegs unverschlüsselt abgegriffen werden kann. Unter der Annahme, dass die Verschlüsselung der Nachricht korrekt funktioniert, ist die Übertragung sicher. Auch wenn jemand sämtliche Datenpakete in die Finger bekommt, kann er die E-Mail nicht entziffern.

So schön diese neue verschlüsselte E-Mail-Welt klingt, sie hat doch zwei Haken – und beide sind gewaltig. Der eine offensichtliche Haken besteht darin, dass E-Mails an Empfänger bei anderen Anbietern wie z.B. Gmail, Yahoo oder Outlook weiterhin im Klartext versendet werden. Angesichts der Bedeutung dieser Anbieter kann davon ausgegangen werden, dass die Mehrheit der in Deutschland verschickten E-Mails unverschlüsselt erfolgt. Der zweite Haken tritt zu Tage, wenn man sich überlegt, wie E-Mails bei den E-Mail-Anbietern gespeichert werden – nämlich unverschlüsselt. Wenn jemand in die Mail-Server einbrechen sollte, dann hätte er Zugang zu den E-Mails im Klartext. Und noch gravierender: §110 des deutschen Telekommunikationsgesetze schreibt den E-Mail-Anbietern vor: „Wer eine Telekommunikationsanlage betreibt, mit der öffentlich zugängliche Telekommunikationsdienste erbracht werden, hat ab dem Zeitpunkt der Betriebsaufnahme auf eigene Kosten technische Einrichtungen zur Umsetzung gesetzlich vorgesehener Maßnahmen zur Überwachung der Telekommunikation vorzuhalten und organisatorische Vorkehrungen für deren unverzügliche Umsetzung zu treffen […]“ Damit können und müssen die Betreiber E-Mails auf Grundlage einer Anordnung an deutsche Behörden weitergeben. Das im deutschen Grundgesetz verankerte Briefgeheimnis kann damit recht einfach unterlaufen werden. Diese Gefahr muss einem nicht nur dann misfallen, wenn man Staatsgeheimnisse per E-Mail verschickt oder kriminellen Aktivitäten nachgeht. Glücklicherweise gibt es dafür eine Lösung: E-Mail Verschlüssung mit PGP!

Die bessere Alternative: E-Mail Verschlüsselung mit PGP

Wirksame Privatsphäre erhält man nur, wenn E-Mails so verschlüsselt werden, dass nur der Sender und der Empfänger sie lesen können und Intermediäre außen vor bleiben. Dies setzt voraus, dass nicht nur die Übertragung, sondern auch die Speicherung der E-Mail verschlüsselt erfolgen muss.

Zu diesem Zweck wurde bereits 1991 der Standard Pretty Good Privacy (auf deutsch „ziemlich gute Privatsphäre“), der unter seiner Abkürzung PGP wohl bekannter ist, entwickelt. PGP zielt darauf ab, eine sehr abhörsichere Verschlüsselung bei einfacher Handhabung zu ermöglichen, so dass auch weniger technikaffine Personen die Verschlüsselungstechnik nutzen können.

PGP arbeitet mit einem Schlüsselpaar und gehört damit zu den sogenannten asymmetrischen Verschlüsselungsverfahren. Das Schlüsselpaar besteht aus einem öffentlichen und einem privaten Schlüssel. Beide werden bei der Einrichtung von PGP erzeugt und sind einer E-Mail Adresse eindeutig zugeordnet. (Bei symmetrischen Verfahren wird der gleiche Schlüssel für die Verschlüsselung und die Decodierung verwendet.)
Der erste Schlüssel, der öffentlichen Schlüssel, wird für die Verschlüsselung von Nachrichten an Sie verwendet. Diesen muss man folglich seinen Kommunikationspartnern zur Verfügung stellen. Wie man das am besten macht, erkläre ich später. Dies ist aber vergleichsweise einfach und E-Mail Programme unterstützen die Nutzer nach Leibeskräften dabei.
Der zweite Schlüssel, der private Schlüssel, wird ausschließlich vom Empfänger zum Entschlüsseln der mit dem öffentlichen Schlüssel codierten E-Mails verwendet. Da dieser Schlüssel im wahrsten Sinne des Wortes der Schlüssel zu den E-Mails im Klartext ist, sollte dieser sicher verwahrt werden.

Asymmetrische Verfahren haben den Vorteil der hohen Sicherheit, sind sie aber auch sehr rechenintensiv. Aus diesem Grund wurde das asymmetrische Grundprinzip von PGP um ein symmetrisches Element ergänzt. Der resultierende hybride Verschlüsselungsansatz von PGP kombiniert die Stärken asymmetrischer und symmetrischer Verfahren in einem zweistufigen Verfahren. Zunächst wird die E-Mail mit einem symmetrischen Verfahren verschlüsselt. PGP erstellt zu diesem Zweck für jede E-Mail einen eigenen, sogenannten „session key“. Im zweiten Schritt wird dieser Session Key dann mit dem öffentlichen Schlüssel des Empfängers verschlüsselt und der Nachricht beigefügt. Die E-Mail, wie Sie dann versendet wird, enthält also neben dem mit dem session key verschlüsselten Textinhalt auch den mit dem öffentlichen Schlüssel verschlüsselten session key. Wichtig zu wissen ist, dass die sog. Metadaten, wie die E-Mail-Adresse des Empfängers, IP-Adresse, Datum und Uhrzeit sowie der Betreff, werden nicht verschlüsselt. Der Grund dafür ist einfach: Wäre der Empfänger verschlüsselt, könnte die E-Mail nicht korrekt geroutet werden.

Um die soweit trockene Theorie zu veranschaulichen, sehen Sie hier den Inhalt einer Mail im Klartext und daneben die gleiche E-Mail nach der Verschlüsselung mit PGP. Auffällig ist, dass die verschlüsselte E-Mail um ein Vielfaches länger ist als die originale E-Mail – und die verschlüsselte E-Mail wurde hier abgekürzt.

Wie sicher die Verschlüsselung mit PGP ist? Nach aktuellem Stand gilt PGP als nicht entschlüsselbar. Die folgenden Zahlen helfen, das Sicherheitsniveau von PGP zu verdeutlichen: Bei einer Schlüssellänge von 128 Bit, wie sie aktuell bei PGP eingesetzt werden, gibt es 2¹²⁸ bzw. ca. 340.000.000.000.000.000.000.000.000.000.000.000.000 Schlüsselmöglichkeiten. Nur mit einer davon läßt sich der session key und damit die E-Mail entschlüsseln! Selbst immense Rechenkapazitäten brauchen dafür viele, viele Jahre.

PGP unter Thunderbird nutzen

Genug Theorie – zur Praxis. In diesem zweiten Teil erläutern wir, wie Sie PGP in Mozilla Thunderbird einrichten können. Ehrlich gesagt ist das auch gar nicht schwierig. Gewusst wie, ist die E-Mail Verschlüsselung in Thunderbird in wenigen Minuten und in nur drei Schritten erledigt:

1. Download und Installation der Verschlüsselungssoftware
2. Konfiguration im Thunderbird
3. Testversand einer verschlüsselten E-Mail

Download und Installation der Verschlüsselungssoftware

Das Herzstück der für PGP benötigten Software ist die E-Mail-Verschlüsselungssoftware. Sie erstellt mit dem öffentlichen Schlüssel des Empfängers aus der original E-Mail die kryptische Zeichenfolge und generiert unter Verwendung des privaten Schlüssels lesbare E-Mails aus dem empfangenen Datensalat (siehe Abbildung oben).

Es gibt mehrere Programme, die diese Aufgabe übernehmen können. Ein populäres Open Source-Tool ist GPG4Win. GPG4Win ist einfach zu bedienen und wie alle Open Source Software kostenlos. Zusätzlich gibt es eine sehr ausführliche Dokumentation und viele weitere Werkzeuge. Wir von ionas können GPG4Win nur empfehlen.

Der Download erfolgt direkt über die GPG4Win-Website. Die Integrität des Downloads kann durch die angegebene Prüfsumme verfiziert werden. Ist das 30MB-Programm runter geladen, ist die Installation des Programms dann auch mit wenigen Klicks erledigt. Folgen Sie den Instruktionen des Installers, um die Installation abzuschließen. Voraussetzung für die Benutzung unter Thunderbird ist lediglich die GnuPG. Sie ist die eigentliche Verschlüsselungskomponente (siehe Abbildung).

Für die bequeme Nutzung von PGP in Firefox bietet sich noch die Installation eines Add-ons an, das GnuPG in Thunderbird integriert. Wir empfehlen dafür das Add-on Enigmail. Enigmail übernimmt die Kommunikation zwischen Thunderbird und GnuPG und stellt eine graphische Benutzeroberfläche zur Verwaltung der Schlüssel zur Verfügung. Die Verschlüsselung selbst erfolgt durch GnuPG im Hintergrund.

Der einfachste Weg zu Enigmail ist über den Thunderbird Add-on Manager (siehe Abbildung). Starten Sie danach Firefox neu, um Enigmail zu aktivieren.

Nach dem Neustart werden Sie sehen, dass in der Menüleiste von Thunderbird der Name Enigmail auftaucht. Klicken Sie darauf, um den Einrichtungs-Assistent zu starten. Falls die Menüleiste in Ihrem Thunderbird nicht angezeigt wird, können Sie diese auch über die Schaltfläche mit den 3 gestapelten Balken am rechten Rand des Thunderbird Fensters finden.

Konfiguration im Thunderbird

Im Einrichtungsassistenten konfigurieren Sie PGP. Wählen Sie dazu die Anfängerkonfiguration und klicken Sie auf ‘Weiter’. Ihr Schlüsselpaar, bestehend aus öffentlichem und privatem Schlüssel, wird dann im Hintergrund erstellt. Dies kann je nach Computertyp einige Zeit in Anspruch nehmen. Die Passphrade, zu deren Eingabe Sie aufgefordert werden, schützt den privaten Schlüssel vor unbefugter Benutzung und fungiert als passwortgeschützter Tresor für den eigentlichen Schlüssel. Bei der Vergabe des Passworts, denken Sie bitte an die Regeln für sichere Passwörter: Verwenden Sie ein Passwort mit mindestens 8 Stellen und nutzen Sie Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Wenn Sie die Kombination eingegeben haben, klicken Sie auf ‘Weiter’.

Was passiert, wenn Sie Ihren privaten Schlüssel verlieren oder Sie einen neuen Schlüssel erzeugen müssen? Richtig, dann können Sie Ihre verschlüsselten E-Mails nicht mehr lesen. Aus genau diesem Grund gibt es bei PGP ein Widerrufszertifikat. Dieses hat den Zweck, den öffentlichen Schlüssel für den Fall des Verlusts oder Diebstahls Ihres privaten Schlüssels zu widerrufen. Auf diese Weise verhindern Sie, dass Ihre Kontakte Sie weiterhin unter Verwendung des öffentlichen Schlüssels kontaktieren. In dem Fall würde sich nämlich die E-Mail Verschlüsselung gegen Sie wenden – Sie könnten Ihre E-Mails gar nicht mehr lesen. Darum empfiehlt sich die Erstellung eines solchen Zertifikats dringend.

Mit Klick auf ‘Widerrufszertifikat anlegen’ werden Sie nach der eben erstellten Passphrase gefragt. Geben Sie diese ein und speichern Sie das Widerrufszertifikat an einem sicheren Ort. Die grundlegenden Einstellungen sind nun abgeschlossen.

Nun heißt es, den öffentlichen Schlüssel zu verteilen, damit man Sie auch verschlüsselt kontaktieren kann. Hier gibt es keine Regeln oder Voraussetzungen. Allgemein gilt aber, dass die beste und sicherste Variante das persönliche Gespräch ist. Alternativ besteht die Möglichkeit, Ihren öffentlichen Schlüssel verknüpft mit Ihrer E-Mailadresse auf einem öffentlichen Keyserver zu hinterlegen. Dazu kann man entweder die in Enigmail vordefinierten Keyserver oder einen öffentlichen verwenden, z.B. den Keyserver der Uni Mainz. Wo Sie Ihren Schlüssel ablegen, ist aber letztlich egal. Das Netzwerk der Keyserver gleicht die Schlüsseldatenbanken untereinander ab, so dass jede Person, unabhängig auf welchem Server sie sucht, Ihren Schlüssel finden und Sie verschlüsselt kontaktieren kann.
Zur Verteilung Ihres Schlüssels klicken Sie erneut auf Enigmail und im Untermenü auf ‘Schlüssel verwalten’. In diesem Fenster sehen Sie nun eine Übersicht ihrer E-Mailkonten mit vorhandenen PGP-Schlüsseln. Die Schlüsselkennung auf der rechten Seite können Sie sich notieren. Wenn Ihnen jemand eine verschlüsselte Mail senden möchte, reicht es, wenn dieser Ihre entsprechende Kennung in seinem E-Mail Programm (vorausgesetzt dieses nutzt PGP) eingibt. Mit einem Klick auf ‘Schlüsselserver’ und anschließend auf ‘Schlüssel hochladen’ hinterlegen Sie Ihren öffentlichen Schlüssel auf einem Keyserver.

Möchten Sie herausfinden, welcher Ihrer Kontakte ebenfalls PGP nutzt? In der Schlüsselverwaltung von Enigmail gibt es unter dem Menü ‘Schlüsselserver’ die Möglichkeit, die öffentlichen Schlüssel Ihrer Freunde und Bekannten zu suchen. Im dem sich öffnenden Fenster haben Sie die Möglichkeit, nach E-Mailadressen oder Schlüsseln zu suchen und direkt mit dem jeweiligen öffentlichen Schlüssel in Ihre Kontakte zu importieren.

Testversand einer verschlüsselte E-Mail

Geschafft! Die Installation und Konfiguration ist erledigt.

Testen Sie nun die Verschlüsselung Ihrer E-Mails. Verfassen Sie dazu wie gewohnt eine E-Mail in Mozilla Thunderbird. Bevor Sie diese versenden, klicken Sie auf die rote Schaltfläche mit dem Hinweis „Nachricht wird weder unterschrieben noch verschlüsselt“, setzen Sie ein Häkchen in der Box ‘Nachricht verschlüsseln’ und bestätigen Sie die Änderung mit ‘OK’. Sobald Sie auf ‘Senden’ klicken, werden Sie zur Eingabe Ihrer Passphrase aufgefordert. Bei erfolgreicher Eingabe verlässt die E-Mail Ihre Outbox – verschlüsselt versteht sich.

Fazit

Die Initiative „E-Mail made in Germany“ zielt darauf ab, den E-Mailverkehr in Deutschland durch eine Verschlüsselung sicherer zu machen. Verschlüsselt wird jedoch nur der Transport einer E-Mail zum Empfänger, auf den Servern der teilnehmenden E-Mail-Provider werden die E-Mails jedoch weiterhin im Klartext abgespeichert.

Die E-Mail Verschlüsselung durch PGP bietet hier den klaren Vorteil, dass E-Mails für Dritte nahezu unmöglich einsehbar sind. Zusätzlich kann der Versand aber noch über das „E-Mail made in Germany“ Netzwerk kombiniert werden. So können nicht einmal mehr die Metadaten abgefangen werden. Die Konfiguration und Benutzung bedarf zwar ein wenig Gewöhnung, das Ergebnis ist es aber allemal wert!
Das reicht Ihnen noch nicht? Sie möchten sicherstellen ob der Absender einer verschlüsselten E-Mail auch wirklich derjenige ist, für den er sich ausgibt? Ein Artikel zu den weiteren Sicherheitskonzepten von PGP, klar und für jedermann verständlich, folgt in wenigen Wochen.

Wenn Sie bei der Einrichtung von PGP zur Verschlüsselung Ihrer privaten E-Mails – sei es in Thunderbird oder in Outlook – Hilfe brauchen, dann rufen Sie uns doch gerne an. Wir sind 7 Tage die Woche erreichbar unter +49 (0)6131 327070. Gerne unterstützen wir Sie auch bei kleinen und großen PC-Problemen.

Wenn Sie diesen Artikel mögen, dann freuen wir uns auch über ein Kommentar auf unserer Facebook oder Google+ Seite.