FortgeschrittenSicherheit und Anonymität
PGP-Signaturen prüfen
So prüfst du PGP-Signaturen von Downloads mit GnuPG: Schlüssel beschaffen, Fingerabdruck abgleichen, Datei verifizieren und Ergebnis deuten.
Redaktion Darknet KompassAktualisiert am 3 Min. Lesezeit
Das Wichtigste in Kürze
- Eine Signaturprüfung zeigt, ob eine Datei wirklich vom Herausgeber stammt und unverändert ist.
- Du brauchst drei Dinge: die Datei, die Signaturdatei und den öffentlichen Schlüssel des Herausgebers.
- Entscheidend ist der Abgleich des Fingerabdrucks über einen zweiten Weg – sonst prüfst du nur gegen einen möglicherweise falschen Schlüssel.
- „Good signature“ ist gut; die Warnung „not certified with a trusted signature“ ist bei korrekt abgeglichenem Fingerabdruck normal.
Inhalt
Mit einer PGP-Signaturprüfung stellst du sicher, dass eine Datei – etwa ein Software-Download – wirklich vom Herausgeber stammt und unterwegs nicht verändert wurde. Du brauchst dafür die Datei, die zugehörige Signaturdatei und den öffentlichen Schlüssel des Herausgebers. Die Prüfung dauert mit GnuPG nur wenige Minuten.
Warum die Prüfung wichtig ist
Gefälschte Versionen beliebter Sicherheitssoftware sind ein bekanntes Mittel, um gezielt Menschen anzugreifen, die sich schützen wollen. Eine Signatur kann nur mit dem privaten Schlüssel des Herausgebers erzeugt werden. Passt sie, ist die Datei echt – egal, über welchen Server sie zu dir kam.
Was du brauchst
| Bestandteil | Woher |
|---|---|
| Die Datei | Offizielle Download-Seite |
Die Signaturdatei (.asc oder .sig) | Meist direkt neben dem Download-Link |
| Den öffentlichen Schlüssel | Website des Herausgebers, Schlüsselserver oder automatische Suche per E-Mail-Adresse |
| Den Fingerabdruck zum Abgleich | Offizielle Website, Dokumentation, persönlicher Kontakt |
| GnuPG | Unter Linux meist vorinstalliert; Windows: Gpg4win; macOS: GPG Suite |
Schritt für Schritt (Beispiel Tor Browser)
1. Schlüssel beschaffen
gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org
Der Befehl sucht den Schlüssel direkt beim Herausgeber über dessen eigene Domain (Web Key Directory).
2. Fingerabdruck abgleichen
gpg --fingerprint torbrowser@torproject.org
Vergleiche die Ausgabe Zeichen für Zeichen mit dem Wert, den das Tor Project veröffentlicht: EF6E 286D DA85 EA2A 4BA7 DE68 4E2C 6E87 9329 8290. Dieser Abgleich über einen zweiten Weg ist der eigentliche Kern der Prüfung.
3. Schlüssel in eine eigene Datei exportieren
gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290
4. Signatur prüfen
gpgv --keyring ./tor.keyring datei.tar.xz.asc datei.tar.xz
gpgv prüft ausschließlich gegen die Schlüssel in der angegebenen Datei. So kann kein anderer, zufällig vorhandener Schlüssel eine gültige Signatur vortäuschen. Alternativ funktioniert gpg --verify datei.asc datei.
Das Ergebnis richtig deuten
| Ausgabe | Bedeutung | Was tun |
|---|---|---|
Good signature from "…" | Die Datei stammt vom angegebenen Schlüssel und ist unverändert | Prüfen, ob es der richtige Schlüssel ist – dann installieren |
WARNING: This key is not certified with a trusted signature! | Du hast dem Schlüssel noch nicht ausdrücklich vertraut | Normal, wenn du den Fingerabdruck selbst abgeglichen hast |
BAD signature | Datei oder Signatur wurde verändert oder beschädigt | Datei löschen und neu von der offiziellen Quelle laden |
Can't check signature: No public key | Der passende Schlüssel fehlt | Schlüssel beschaffen und Fingerabdruck abgleichen |
| Abgelaufener Schlüssel | Der Schlüssel ist nicht mehr aktuell | Mit gpg --refresh-keys <Fingerabdruck> aktualisieren |
Grafische Alternativen
- Windows: Kleopatra (Teil von Gpg4win) prüft Signaturen per Rechtsklick auf die Datei.
- macOS: Die GPG Suite bietet eine Prüfung über das Kontextmenü im Finder.
- Linux: Viele Dateimanager bieten Erweiterungen; zuverlässig ist das Terminal.
Wie du GnuPG und Kleopatra einrichtest, erklärt GnuPG und Kleopatra einrichten.
Andere Programme prüfen
Das Vorgehen ist bei jeder signierten Software gleich. VeraCrypt nennt auf seiner Website beispielsweise den Fingerabdruck 5069 A233 D55A 0EEB 174A 5FC3 821A CD02 680D 16DE und veröffentlicht zusätzlich SHA256- und SHA512-Prüfsummen. Wie du den Download von Tails prüfst, beschreibt Tails installieren.
Häufige Fragen
Was bedeutet die Warnung „This key is not certified with a trusted signature“?
GnuPG weist darauf hin, dass du dem Schlüssel noch nicht ausdrücklich vertraut hast. Wenn du den Fingerabdruck über einen unabhängigen Weg abgeglichen hast und „Good signature“ erscheint, ist die Datei echt.
Reicht eine SHA256-Prüfsumme statt einer Signatur?
Eine Prüfsumme zeigt nur, dass die Datei der veröffentlichten Prüfsumme entspricht. Liegen beide auf derselben, eventuell kompromittierten Website, beweist das wenig. Eine Signatur ist an den Schlüssel des Herausgebers gebunden und deshalb aussagekräftiger.
Wie oft muss ich den Schlüssel neu laden?
Lade ihn neu, wenn eine Prüfung wegen eines abgelaufenen oder unbekannten Schlüssels scheitert. Das Tor Project nennt dafür den Befehl gpg --refresh-keys mit dem Fingerabdruck.
Quellen
- Tor Project SupportHow to verify Tor Browser's signature abgerufen am 20.10.2026
- IETF / RFC EditorRFC 9580: OpenPGP abgerufen am 20.10.2026
- VeraCryptVeraCrypt (Download-Prüfung mit Signaturschlüssel) abgerufen am 20.10.2026
Redaktion
Die Redaktion recherchiert, schreibt und prüft alle Inhalte nach den veröffentlichten Redaktionsgrundsätzen. Jeder Artikel nennt seine Quellen.
Zuletzt aktualisiert am 20. Oktober 2026