PGP E-Mail Verschlüsselung mit Thunderbird und Enigmail

E-Mail verschlüsseln macht nicht erst seit dem NSA Skandal Sinn. Es war schon immer sinnvoll, seine E-Mails zu verschlüsseln, sodass sie nicht von Fremden mitgelesen werden können. In diesem Beitrag will ich euch erklären, wie man eine einfache PGP Verschlüsselung in den Mailclient Mozilla Thunderbird integriert.

@Anfänger: Keine Angst, ist einfach er als es aussieht … ;)

Auch andere Mailclients und Webmail-Plattformen (GMX, web.de, etc) können mit einer PGP Verschlüsselung versehen werden. Für Mozilla Firefox gibt es beispielsweise das Addon „Mailvelope“ das einen Verschlüsselungsmechanismus in die Webmail-Plattformen verschiedenster Anbieter integriert (z.B. Googe Mail, GMX, web.de, Hotmail…).

Wie es funktioniert …

Die PGP Verschlüsselung funktioniert nach dem Public-Key-Prinzip:

Es gibt zwei unterschiedliche „Schlüssel“ in Form von Textdateien: Den Public Key und den Private Key. Wie der Name schon sagt, der Public Key ist für die Öffentlichkeit bestimmt und darf / muss an jeden verteilt werden. Der Privat Key hingegen muss unbedingt geheim bleiben und wird daher mit eine Passwort geschützt sicher aufbewahrt. Er verlässt nie den Rechner.

Wenn mir Max Meier eine verschlüsselte E-Mail schreiben will, muss er sich zuerst meinen Public Key besorgen. Den kann er sich direkt bei mir holen (z.B. Über E-Mail schicken lassen oder von einem sogenannten Public Key Server herunterladen). Mit diesem Public Key kann er seine E-Mail an mich verschlüsseln. Nach der Verschlüsselung ist nur noch der Besitzer des Private Key in der Lage, den Text wieder zu entschlüsseln.

Deshalb muss der Private Key so geheim bleiben. Mit dem Public Key kann jeder für mich verschlüsseln. Das ist ja soweit okay. Aber entschlüsseln darf nur ich mit meinem Private Key.

Prinzip verstanden? Dann kann es ja weiter gehen…

Übrigens: Mit PGP können nicht nur E-Mails verschlüsselt werden, sondern auch E-Mail Anhänge und „ganz normale“ Dateien und Texte. PGP muss nicht unbedingt im E-Mail Umfeld genutzt werden ;)

Enigmail Plugin für Thunderbird installieren

Die Erzeugung und Verwaltung der PGP Schlüssel sowie die Ver- und Entschlüsselung übernimmt für uns das praktische Thunderbird Plugin „Enigmail“, das nach der deutschen Schlüsselmaschine „Enigma“ benannt ist, welche im zweiten Weltkrieg zum Einsatz kam.

Enigmail greift auf GnuPG zurück, ein Programm, dass die Verschlüsselung im Hintergrund erledigt. Unter Linux ist es meist vorinstalliert, unter Windows muss man die Installation nachholen, damit Enigmail funktioniert. (Windows Setup)

Installiert euch das Thunderbird Plugin „Enigmail“ unter „Extras => Addons => Suche nach „Enigmail“.

Nach der Installation geht es direkt an die Erzeugung unserer beider Schlüssel, dem Public- und dem Private-Key…

PGP Schlüsselpaar generieren

Öffnet dazu die Schlüsselverwaltung („OpenPGP => Schlüssel verwalten“) und klickt auf den Menüpunkt „Erzeugen => Neues Schlüsselpaar …“

Ein weiteres Fenster zur Generierung der Schlüssel öffnet sich. Hier werden verschiedene Daten Abgefragt, die zur Schlüsselerzeugung nötig sind. Im obersten Feld wird eine E-Mail Adresse ausgewählt, für die die Schlüssel gelten sollen. (Später lassen sich weitere E-Mail Adressen hinzufügen). Außerdem sollte eine Passphrase (Passwort) für den Private Key angegeben werden, sodass dieser vor fremden Zugriffen geschützt werden kann. Als Ablaufzeit für die Schlüssel können 5 Jahre eingestellt bleiben. Nach dieser Zeit werden die Schlüssel ungültig und ein neues Schlüsselpaar muss erzeugt werden.

Im Tab „Erweitert“ können Schlüssellänge und Verschlüsselungsalgorithmus festgelegt werden. Der Algorithmus kann auf „RSA“ bleiben, aber ich empfehle eine Schlüssellänge von mehr als 2048 Bit.

Mit einem Klick auf „Schlüsselpaar erzeugen“ startet die Generierung der beiden Schlüssel. Dabei kommt ein Zufallsgenerator zum Einsatz, der verschiedenste Systemwerte verarbeitet. Damit das ganze schneller funktioniert, und der Generator möglichst viel „Zufall generieren“ kann, sollte man während des Vorgangs möglichst aktiv am Computer sein und z.B. mehrere Websites aufrufen, scrollen, Programme öffnen und schließen etc bis eine Meldung erscheint, die die Fertigstellung der Schlüssel signalisiert.

Widerrufszertifikat speichern

Der erste Schritt ist getan! Im nächsten Schritt kann noch ein Widerrufszertifikat angelegt werden. Mit diesem Zertifikat ist es möglich, bestimmte veröffentlichte Public Keys für ungültig oder abgelaufen zu erklären. Das kann z.B. notwendig sein, wenn man den Private Key verloren hat und daher nicht mehr im Stande ist, Nachrichten zu entschlüsseln. Mehr zum Widerrufen von Zertifikaten später …
Speichert euch das Widerrufszertifikat an einem sicheren Ort ab (z.B. USB Stick, CD, …). Dazu muss die Passphrase angegeben werden, die vorher beim Generieren des Schlüsselpaares festgelegt wurde.

Diese Passwortabfrage zum Öffnen des Private Keys findet jedes Mal statt, wenn Thunderbird neu gestartet wurde und auf Verschlüsselungsfunktionen zugegriffen werden soll.

Weitere E-Mail Adressen hinzufügen

Sobald das Widerrufszertifikat abgespeichert ist, habt ihr wieder die Schlüsselverwaltung vor euch. Setzt den Haken bei „Standardmäßig alle Schlüssel anzeigen“, damit ihr euer eigenes Schlüsselpaar sehen könnt.

Wenn ihr mehr als eine E-Mail Adresse besitzt, könnt ihr sie zu euren Schlüsselpaar hinzufügen, sodass auch für diese Adressen eine E-Mail Verschlüsselung möglich ist. Klickt dazu mit Rechts auf den Schlüsselpaar-Eintrag und wählt „Benutzer-IDs verwalten…“. Mit dem „Hinzufügen“-Button können weitere E-Mail Adressen angegeben werden, mit denen die PGP Verschlüsselung funktionieren soll.

Public Key verbreiten

Den Public Key kann man über verschiedene Wege verteilen. Die komfortabelste Möglichkeit sind die PGP Keyserver. Auf ihnen liegen hunderttausende Public Keys von den meisten PGP Benutzern. Der Vorteil: Wenn man den Public Key einer bestimmten Person noch nicht kennt und ihr aber eine verschlüsselte E-Mail schreiben will, kann man auf einem der Keyserver nachsehen, ob sie ihren Public Key dort veröffentlicht hat und ihn sich ggf. direkt herunterladen.

Um den eigenen Public Key auf solch einem Server zu publizieren, wählt man wieder das eigene Schlüsselpaar aus, macht einen Rechtsklick darauf und wählt „Auf Schlüssel-Server hochladen…“. In einem kleinen Fenster können dann verschiedene Server ausgewählt werden. Das Hochladen auf „pool.sks-keyservers.net“ und „subkeys.pgp.net“ sind zu empfehlen. Mit einem Klick auf „OK“ wird der Public Key veröffentlicht und steht damit jedem zur Verfügung, der dir eine verschlüsselte E-Mail schreiben will.

Ein zweiter Weg der Übermittlung von Public Keys ist das Austauschen der Public-Key Dateien. Einfach einen Rechtsklick auf das Schlüsselpaar machen und „In Datei exportieren“ auswählen. Dann „Nur öffentliche Schlüssel exportieren“ wählen und die Datei abspeichern. Die Schlüsseldatei kann jetzt auf beliebigen Wege an den Empfänger weitergegeben werden. Dieser kann dann…

Fremde Schlüssel importieren

Damit eine verschlüsselte E-Mail an einen bestimmten Empfänger gesendet werden kann, muss man dessen Public Key besitzen. Den kann man sich  – wie gerade ausgeführt – direkt vom Empfänger holen und dann in der Schlüsselverwaltung  via „Datei => Importieren“ importieren….

… oder man sucht auf einem der Public Key Server nach der Person bzw ihrer E-Mail Adresse. Geht dazu auf „Schlüssel-Server => Schlüssel suchen“ im Schlüsselmanager. Es öffnet sich ein Fenster, in das ein Suchbegriff (Name oder E-Mail Adresse) eingegeben werden kann sowie ein Server, auf dem gesucht werden soll. Setzt in der Liste der Suchergebnisse einen Haken neben jedem Eintrag, den ihr importieren wollt und klickt auf OK, um die Public Keys herunterzuladen.

Schlüssel widerrufen / für ungültig erklären

… dazu wurde zu Beginn das Widerrufszertifikat erstellt… ;)

Wozu sollte man überhaupt ein Schlüsselpaar widerrufen? Wenn ein Schlüsselpaar widerrufen wird, wird der dazugehörige Public Key für ungültig erklärt, sodass andere erkennen können, dass dieser Public Key nicht mehr zur Verschlüsselung verwendet werden soll. Dafür gibt es verschiedene Gründe:

• Der Private Key ist verloren gegangen. Verschlüsselte Nachrichten können nicht mehr entschlüsselt werden, da der zum Public Key zugehörige Private Key nicht mehr aufzufinden ist. Nutzer sollen auf einen aktuelleren / anderen Public Key ausweichen.
• Der Private Key wurde „gestohlen“. Für diesen Fall wäre er zwar noch mit einem Passwort gesichert, dennoch ist es sinnvoll, den zugehörigen Public Key für ungültig zu erklären, sodass signalisiert wird: Weiche auf einen anderen Public Key aus.
• Aus irgendeinem Grund hat man sich entschieden, ein neues Schlüsselpaar zu generieren und will nicht, dass das alte noch genutzt wird.

Um ein Schlüsselpaar als ungültig zu markieren, wählt man es im Schlüsselmanager aus und wählt nach einem Rechtklick darauf „Zurückziehen“. Danach müssen noch die Einträge auf den Keyservern aktualisiert werden, ladet also euren Public Key – wie oben beschrieben – ein weiteres Mal auf die verschiedenen Keyserver.

Eine verschlüsselte E-Mail schreiben

Genug Theorie, jetzt geht es an die Praxis! ;)

Im „Verfassen“-Fenster findet ihr oben im Menü einen neuen Button „OpenPGP“. Mit einem Klick auf den Button könnt ihr die Verschlüsselung oder die Signierung der aktuellen Nachricht aktivieren. Durch eine Signatur kann der Empfänger sichergehen, dass eine E-Mail tatsächlich von euch stammt und nicht von einem Betrüger. Verschlüsselt wird dabei nichts.

Gebt wie gewohnt Empfänger, Betreff und Nachricht ein und schaltet die Verschlüsselung ein. Beim Absenden werdet ihr ggf. noch einmal nach dem Passwort für euren Private Key gefragt und die Nachricht wird verschlüsselt und verschickt. So einfach!

Schlüssel sichern (Backup)

Nichts ist ärgerlicher als ein verloren gegangener Private Key. Man kann dann keine verschlüsselten E-Mails mehr schreiben und muss einen neuen generieren. Das Problem hierbei ist, dass die bereits verbreiteten Public Keys nicht mehr mit dem neuen Private Key funktionieren. Das heißt: Alle Empfänger müssen sich auf den neuen Public Key umstellen. Für Rechnerumzüge, Neuinstallationen und Notfälle bietet sich daher ein Backup des eigenen Schlüsselpaares an. Ein solches Backup ist ganz bequem über die OpenPGP Schlüsselverwaltung möglich. Einfach den eigenen Schlüssel auswählen und über einen Rechtsklick den Export wählen. Dann kann entweder nur der öffentliche Schlüssel oder das ganze Schlüsselpaar exportieren. Für Backupzwecke ist natürlich nur letzteres sinnvoll, weil man ja mit seinem Public Key alleine keine Mails verschlüsseln kann.

… und noch ein Appell

Wie ihr seht – E-Mails verschlüsseln ist total einfach und unkompliziert, wenn man das Prinzip verstanden hat und sich für die Einrichtung ein paar Minuten Zeit nimmt. Mit einem einzigen Addon bleibt Privates wieder privat und man hat wieder etwas dazugelernt… ;)

Es würde mich freuen, wenn ich mehr Menschen auch verschlüsselt erreichen könnte und die Zahl der PGP-Nutzer zunehmen würde. Deshalb: Wenn euch dieser Artikel geholfen hat und ihr euch auch für die Nutzung von verschlüsselten E-Mails einsetzen wollt, verbreitet diesen Artikel und sprecht eure Freunde, Bekannten und eure Familienmitglieder darauf an.

Jeder einzelne PGP Nutzer trägt dazu bei, die Privatsphäre zu wahren und der Überwachung den Mittelfinger zu zeigen. ;)