OpenPGP ist ein standardisiertes Verfahren zur Verschlüsselung und Signierung von Daten. Grundsätzlich können eine Vielzahl von Daten mit OpenPGP verschlüsselt und signiert werden – auch jenseits von Kommunikation und E-Mails. Ein primäres Einsatzgebiet von OpenPGP ist die Signierung und Verschlüsselung von E-Mails.

OpenPGP lässt sich am einfachsten nutzen, wenn man E-Mails mit einem dezidierten Mailprogramm abruft. Nicht alle E-Mail Programme unterstützen OpenPGP, bei vielen lässt es sich jedoch nachträglich implementieren. Vorherrschend ist die OpenPGP-Implementierung GnuPG (GPG), es gibt daneben aber auch noch andere Implementierungen.

In Konkurrenz zu OpenPGP steht das Verschlüsselungsverfahren mit S/MIME, das ebenfalls eine Signierung und Verschlüsselung von E-Mails ermöglicht.

---

Hintergrund

OpenPGP basiert auf einem Zwei-Schlüssel-Verfahren. Mit einem öffentlichen Schlüssel werden die Nachrichten verschlüsselt, zur Entschlüsselung muss man jedoch über einen zweiten (geheimen) privaten Schlüssel verfügen. Eine reine Signatur der E-Mails ist zudem auch möglich.

Die Schlüsselbeglaubigung basierte ursprünglich auf einem „Web of Trust“ (Netz des Vertrauens) genannten Verfahren. Bei dieser Methode können Dritte den öffentlichen Schlüssel beglaubigen (d. h. zertifizieren, dass Schlüssel und Person zusammen gehören). Eine Umstellung der Schlüsselserver-Infrastruktur vor einigen Jahren hatte indirekt die Abschaffung des „Web of Trust“ zur Folge. In älteren Anleitungen kann dies aber noch vorkommen.

Der OpenPGP-Standard ist plattformunabhängig und steht in verschiedenen Implementierungen für viele Betriebssysteme zur Verfügung. Wichtig sind das seit 2010 zu Symantec gehörige kommerzielle PGP sowie die dominierende freie Implementierung GnuPG. Dieses wurde 2014 einer größeren Öffentlichkeit bekannt, als der Hauptentwickler mit einem dramatischen Appell auf die katastrophale Finanzierungssituation des Projekts hinwies. Im Zusammenhang mit der Heartbleed-Lücke in OpenSSL, die im Frühjahr 2014 für Furore sorgte, führte dies zu einer kritischen Diskussion über das Missverhältnis von enormen Profiten großer IT-Unternehmen durch Open Source und mangelndem Entwicklungsengagement. Die Situation hat sich seitdem nicht grundlegend gebessert. Ein allgemeinen Wechsel im Linux-Ökosystem zu einer anderen freien Implementierung wird immer wieder erwogen.

---

Betriebssysteme

Die Einrichtung von OpenPGP unterscheidet sich je nach Betriebssystem und Programm. Die folgenden Unterartikel bieten detaillierte Informationen für die am weitesten verbreiteten Betriebssysteme.

Desktop

Linux

Die OpenPGP-Implementierung GnuPG bei allen nennenswerten Linux-Distributionen vorinstalliert. OpenPGP dient bei den meisten Linux-Distributionen auch nicht nur zur E-Mail Verschlüsselung, sondern auch zur Signierung und Verifizierung der integrierten Paketverwaltung. Es ist daher sehr gut unterstützt.

macOS

OpenPGP ist bei macOS keine vorinstallierte Komponente. Es lässt sich aber auf systemebene einrichten und steht dann in diversen Programmen wie Apple Mail oder Finder zur Verfügung.

Windows

OpenPGP ist bei Windows keine vorinstallierte Komponente. Das Verfahren zur Implementierung der OpenPGP-Funktionalität steht in direkter Verbindung zum gewählten E-Mail-Programm, ist aber grundsätzlich für alle gängigen Programme möglich.

Mobile Systeme

OpenPGP hat sich im mobilen Bereich bisher nicht vollständig durchsetzen können. Es wird bei keinem System standardmäßig unterstützt. Die Möglichkeit verschlüsselte Mails zu senden und zu empfangen, lässt sich allerdings nachrüsten.

Android

Das weit verbreitete Android kann allerdings mittels einer Kombination aus FairEmail oder K9 Mail und OpenKeychain E-Mails ver- und entschlüsseln.

iOS / iPadOS

Für iOS gibt es keine App, die PGP in die Mail-App integriert. Allerdings gibt es separate PGP-Apps für diese Plattformen (z. B. iPGMail), durch die eine manuell Ent- und Verschlüsselung von Text möglich ist, der dann mit der Mail-App verschickt werden kann. Die ermöglicht zumindest eine rudimentäre Nutzung.

---

Browserbasierte Schlüsselverwaltung

OpenPGP-Verschlüsselung und Webclients lassen sich theoretisch kombinieren. Sie sind hier aber nur der Vollständigkeit halber aufgelistet. Es ist technisch und hinsichtlich der Benutzerführung kein ratsames Verfahren. Ein dezidierter E-Mail-Client ist immer vorzuziehen.

E-Mails nur noch im Webclient zu lesen und zu verfassen ist seit einigen Jahren eine verbreitete Methode. Ein separates E-Mail Programm gehört deshalb nicht mehr zwangsläufig zum Standardumfang eines Betriebssystems. Das Addon Mailvelope ermöglicht es dennoch eine PGP-Verschlüsselung zu nutzen. Mailvelope ist als Addon für Mozilla Firefox und Google Chrome bzw. Chromium verfügbar.

Die Schlüsselverwaltung erfolgt im Mailvelope-Addon, welches nach seiner Installation die Internetseiten der Mailanbieter um Schaltflächen zur Ver- und Entschlüsselung ergänzt. Die Nachricht wird in einem separaten Mailvelope-Fenster verfasst und anschließend automatisch verschlüsselt in den Texteditor des Mailclienten übertragen. Zwar gibt es die Möglichkeit bei einigen Dienstanbietern direkt im Texteditor des Anbieters zu schreiben, dies gefährdet aber möglicherweise die Sicherheit des Verfahrens, weshalb davon abzuraten ist.

Grundsätzlich erfolgt die Schlüsselverwaltung, sowie die Ver- und Entschlüsselung lokal im Browser und nicht beim E-Mail Anbieter, auch wenn diese Trennung durch die geschickte Verzahnung nicht ganz so deutlich ist wie bei den E-Mail Programmen.

---

OpenPGP im Alltag nutzen

Sobald PGP auf dem eigenen System eingerichtet ist und die Schlüssel erzeugt sind, steht man vor dem Problem Verschlüsselung in den eigenen Alltag zu integrieren. Ein erster Schritt besteht darin den eigenen öffentlichen Schlüssel gegenwärtigen und potenziellen Kommunikationspartnern zugänglich zu machen.

Traditionell kommen hierzu sogenannte Schlüsselserver zum Einsatz. Problematisch an den Schlüsselservern sind zwei Aspekte: Erstens präsentiert man auf diesen die Mail-Adresse im Netz und macht sie so z. B. für Spambots verfügbar, zweitens lässt sich die Identität der Schlüsselinhaber nicht zweifelsfrei sicherstellen. Sofern man den öffentlichen Schlüssel auf einem Schlüsselserver hinterlegt, sollte man auf jeden Fall ein Widerruf-Zertifikat erstellen. Durch dieses kann man den Schlüssel zurückziehen, sofern man fürchtet, er könnte kompromittiert sein. Falls man dies nicht macht, kann man einen einmal verbreiteten Schlüssel nicht zurückziehen, sobald man die Kontrolle (z. B. durch Datenverlust) verloren hat.

Eine relativ einfache Möglichkeit den eigenen Schlüssel zu verbreiten, besteht darin ausgehende E-Mails automatisch zu signieren. Empfänger mit einer eingerichteten PGP-Funktion können hierdurch verschlüsselte Antworten verfassen und zukünftige Nachrichten verschlüsseln. Andere Empfänger sehen jede nach E-Mail Programm, dass die Nachricht signiert ist oder lediglich eine kleine Anhangdatei.

---

Zusammengefasst

OpenPGP bietet ein hohes Maß an Sicherheit. Das Verfahren ist nicht gebrochen und Mailinhalte werden zuverlässig geschützt, die Metadaten liegen jedoch dennoch offen.

Die Einrichtung ist bei Betriebssystemen, die bereits über eine native PGP-Integration verfügen, einfacher als bei nachträglich eingerichteten Komponenten. Insbesondere im mobilen Bereich konnte sich PGP bisher nicht etablieren. Grundsätzlich machen zudem herkömmliche E-Mail Programme mit eingebauter PGP-Unterstützung wie z. B. Evolution oder KMail den langfristigen Gebrauch einfacher als Programme mit nachträglich per Addon/AddIn implementierter Verschlüsselungsoption sowie Browser-Addons.

Dennoch lässt sich OpenPGP auf allen Plattformen und mit allen Programmen zuverlässig benutzen.