GnuPG und Kleopatra einrichten

GnuPG ist die verbreitetste freie Software für PGP-Verschlüsselung. Kleopatra ist eine grafische Oberfläche dazu, mit der du Schlüssel verwaltest und Dateien verschlüsselst, ohne die Kommandozeile zu benutzen. Unter Windows installierst du beides gemeinsam mit Gpg4win, aktuell Version 5.1.1 vom 23. September 2026. Die Grundlagen von PGP erklärt PGP-Verschlüsselung: eine Einführung.

Was du installierst#

Lade Gpg4win nur von der offiziellen Website des Projekts.

Schritt 1: Ein Schlüsselpaar erzeugen#

Mit Kleopatra:

1. Starte Kleopatra und wähle Neues Schlüsselpaar (je nach Version unter „Datei“).
2. Gib einen Namen und eine E-Mail-Adresse ein. Für anonyme Identitäten nutzt du ein Pseudonym und eine eigens dafür angelegte Adresse.
3. Lege unter den erweiterten Einstellungen bei Bedarf ein Ablaufdatum fest, etwa in zwei bis drei Jahren.
4. Wähle eine starke Passphrase – am besten mehrere zufällige Wörter – und speichere sie im Passwortmanager.

Auf der Kommandozeile:

gpg --full-generate-key

GnuPG fragt nacheinander nach Schlüsseltyp, Ablaufdatum, Name, E-Mail-Adresse und Passphrase. Die Standardvorschläge aktueller Versionen sind eine gute Wahl.

Schritt 2: Das Widerrufszertifikat sichern#

Ein Widerrufszertifikat erklärt deinen Schlüssel für ungültig – wichtig, wenn du die Passphrase vergisst oder der private Schlüssel gestohlen wird. GnuPG legt es beim Erzeugen automatisch im Ordner openpgp-revocs.d deines GnuPG-Verzeichnisses an. Kopiere es auf einen verschlüsselten USB-Stick oder drucke es aus und bewahre es sicher auf.

Schritt 3: Den öffentlichen Schlüssel teilen#

Kleopatra: Rechtsklick auf deinen Schlüssel → Exportieren. Es entsteht eine Datei mit der Endung .asc, die du weitergeben kannst.

Kommandozeile:

gpg --armor --export deine@adresse.de > mein-schluessel.asc
gpg --fingerprint deine@adresse.de

Gib zusammen mit dem Schlüssel immer den Fingerabdruck über einen zweiten Weg weiter, etwa persönlich oder am Telefon. Nur so kann dein Gegenüber prüfen, dass der Schlüssel wirklich von dir stammt.

Schritt 4: Schlüssel anderer importieren und prüfen#

Kleopatra: Importieren → Datei wählen → Fingerabdruck mit dem Wert vergleichen, den die Person dir über einen zweiten Weg genannt hat → Schlüssel beglaubigen, wenn alles übereinstimmt.

Kommandozeile:

gpg --import kontakt.asc
gpg --fingerprint kontakt@adresse.de

Schritt 5: Verschlüsseln, signieren, entschlüsseln#

Kleopatra: Über Signieren/Verschlüsseln wählst du eine Datei, die Empfänger und ob zusätzlich signiert werden soll. Zum Öffnen nutzt du Entschlüsseln/Überprüfen. Unter Windows sind beide Funktionen auch per Rechtsklick im Explorer erreichbar.

Kommandozeile:

# Verschlüsseln für einen Empfänger und mit deinem Schlüssel signieren
gpg --encrypt --sign --armor --recipient kontakt@adresse.de dokument.pdf

# Entschlüsseln und Signatur prüfen
gpg --decrypt dokument.pdf.asc > dokument.pdf

Die Menübezeichnungen in Kleopatra können je nach Version leicht abweichen.

Gute Gewohnheiten#

1. Passphrase stark und sicher verwahrt – ohne sie ist der private Schlüssel nutzlos.
2. Sicherung des privaten Schlüssels auf einem verschlüsselten Datenträger, getrennt vom Rechner.
3. Ablaufdatum rechtzeitig verlängern, damit Kontakte keine Warnungen bekommen.
4. Getrennte Schlüssel für getrennte Identitäten: Ein Schlüssel für deinen echten Namen, eigene Schlüssel für Pseudonyme.
5. Fingerabdrücke immer prüfen, bevor du einem Schlüssel vertraust.

Für E-Mail ist Thunderbird mit eingebautem OpenPGP die bequemste Lösung; Anbieter mit PGP-Unterstützung stellt Verschlüsselte E-Mail-Anbieter im Vergleich vor.