PGP-Verschlüsselung: eine Einführung

PGP („Pretty Good Privacy“) ist ein Verfahren, um Nachrichten und Dateien zu verschlüsseln und zu signieren. Jede Person hat ein Schlüsselpaar: einen öffentlichen Schlüssel, den sie frei weitergibt, und einen privaten Schlüssel, den nur sie besitzt. Was mit dem öffentlichen Schlüssel verschlüsselt wurde, kann nur der zugehörige private Schlüssel wieder lesbar machen.

PGP, OpenPGP und GnuPG#

Im Alltag sagt man meist einfach „PGP“, auch wenn GnuPG gemeint ist.

Das Prinzip: zwei Schlüssel#

Stell dir einen Briefkasten vor: Jeder kann einen Brief durch den Schlitz werfen (öffentlicher Schlüssel), aber nur du hast den Schlüssel zum Öffnen (privater Schlüssel).

1. Schlüsselpaar erzeugen: Du erzeugst einmalig ein Paar aus öffentlichem und privatem Schlüssel. Der private Schlüssel wird zusätzlich mit einer Passphrase geschützt.
2. Öffentlichen Schlüssel verteilen: Du gibst ihn auf deiner Website, per E-Mail oder über einen Schlüsselserver weiter.
3. Verschlüsseln: Wer dir schreiben will, verschlüsselt mit deinem öffentlichen Schlüssel.
4. Entschlüsseln: Nur du kannst die Nachricht mit deinem privaten Schlüssel lesen.

Signieren: Echtheit beweisen#

Mit dem privaten Schlüssel kannst du eine Nachricht oder Datei auch signieren. Jeder, der deinen öffentlichen Schlüssel hat, kann prüfen:

• dass die Signatur von deinem Schlüssel stammt und
• dass die Datei seit dem Signieren nicht verändert wurde.

Genau so prüfst du zum Beispiel den Download des Tor Browsers. Wie das Schritt für Schritt geht, erklärt PGP-Signaturen prüfen.

Der Fingerabdruck: Woher weiß ich, dass der Schlüssel echt ist?#

Die größte Schwachstelle von PGP ist nicht die Mathematik, sondern die Frage: Gehört dieser öffentliche Schlüssel wirklich der Person, die ich meine? Ein Angreifer könnte dir einen eigenen Schlüssel unterschieben.

Deshalb hat jeder Schlüssel einen Fingerabdruck – eine Prüfsumme, bei den heute verbreiteten Schlüsseln 40 Zeichen in hexadezimaler Schreibweise. Der Schlüssel des Tor Browsers hat zum Beispiel den Fingerabdruck EF6E 286D DA85 EA2A 4BA7 DE68 4E2C 6E87 9329 8290. Vergleiche den Fingerabdruck über einen zweiten, unabhängigen Weg: persönlich, am Telefon oder auf der offiziellen Website.

Was PGP schützt – und was nicht#

Der letzte Punkt ist wichtig: Moderne Messenger wie Signal erzeugen laufend neue Schlüssel, sodass ein gestohlener Schlüssel alte Nachrichten nicht offenlegt. Bei PGP kann jeder, der deinen privaten Schlüssel und alte verschlüsselte Nachrichten erbeutet, alles nachträglich lesen.

Warum PGP im Darknet so verbreitet ist#

Auf Darknet-Plattformen gilt PGP als Grundausstattung, weil man den Betreibern nicht trauen kann. Wie berechtigt das ist, zeigte 2017 der Marktplatz Hansa: Die niederländische Polizei übernahm ihn unbemerkt und griff dabei auch Nachrichten ab, die die Plattform automatisch mit PGP verschlüsseln sollte – noch bevor sie verschlüsselt wurden. Geschützt waren nur Inhalte, die Nutzer selbst auf ihrem eigenen Gerät verschlüsselt hatten.

Wo du PGP heute einsetzt#

• Downloads prüfen: Signaturen von Software wie Tor Browser, Tails oder VeraCrypt.
• Vertrauliche E-Mail: Mit Thunderbird, das OpenPGP eingebaut hat, oder E-Mail-Diensten mit PGP-Unterstützung.
• Dateien verschlüsseln: Für Archive oder Weitergabe über unsichere Kanäle.

Für alltägliche Chats sind moderne Messenger meist einfacher und sicherer, siehe Sichere Messenger im Überblick. Die Einrichtung von GnuPG beschreibt GnuPG und Kleopatra einrichten.