Mailverschlüsselung

Eine E-Mail ist eine mit Bleistift beschriebene Postkarte!

 
Eine Postkarte, weil jeder, der sie in die Hand bekommt, auch lesen kann. Und mit Bleistift geschrieben, weil jeder den Text incl. des Absenders verändern kann. Und doch vertrauen wir der Mail, weil sie oftmals im Kontext zur anderen Kommunikation stattfindet. Außerdem enthält sie nicht immer „geheime“ Informationen.

Versenden wir jedoch Informationen, die nicht jeder mitlesen können soll, so muss die Mail verschlüsselt werden. 

Zum Versand und zum Empfang verschlüsselter/ signierter Mails bedienen sich die Behörden zukünftig vermehrt sogenannter Virtueller Post Stellen (VPS). Dies sind Systeme, die an zentraler Stelle Schlüssel und Signatur bearbeiten. Privatpersonen, die in der Regel nur wenige Zertifikate für unterschiedliche Mailadressen zu verwalten haben, bietet sich entweder ein kostenpflichtiges „offizielles“ Zertifikat eines anerkannten Trust Centers oder aber ein selber generiertes kostenfreies Zertifikat mit einem Freeware Programm an. Im Nachgang zu diesem Script folgt eine Installations- und Bedienungsanleitung für die Nutzung der Freeware Programme GPG4WIN.

 
Der Umgang mit Schlüsseln und Signaturen ist relativ einfach. Für jedes Mailkonto wird ein Schlüsselpaar generiert. Diese beiden Schlüssel (öffentlich und geheim bzw. public und private) gehören immer zusammen und können nur in der Kombination genutzt werden. Meinen öffentlichen Schlüssel publiziere ich im Internet bzw. schicke ihn potentiellen Empfängern. Meinen geheimen Schlüssel bewahre ich sicher auf (Datensicherungskopie nicht vergessen).

 
Möchte ich jemanden eine Mail schicken und dabei sichergehen, dass nur der von mir bestimmte Empfänger diese Mail lesen kann, verschlüssel ich die Mail mit dem öffentlichen Schlüssel des Empfängers. Dann ist nur dieser in der Lage, diese Mail mit seinem geheimen Schlüssel zu entschlüsseln. Will mir dann der Empfänger antworten, so verschlüsselt er die Antwort mit meinem öffentlichen Schlüssel. Dadurch ist sichergestellt, dass nur ich (als alleiniger Besitzer meines geheimen Schlüssels) diese Mail lesen kann. Natürlich kann sich der Absender einer Mail vertun und diese versehentlich an einen anderen Adressaten shicken. Dieser kann jedoch mit der Mail nichts anfangen, da er den zweiten Schlüssel des Schlüsselpaares nicht hat. Dadurch ist sichergestellt, dass er die Mail zwar auf seinem PC hat, diese jedoch nicht lesen kann.

 
Beim Signieren einer Mail geht es mir darum, dass sichergestellt ist, dass der wahre Absender der Mail identifiziert wird. Dies kann nur dadurch geschehen, dass der Absender seine Mail mit seinem geheimen Schlüssel signiert. Der Empfänger der Mail prüft dann mit dem öffentlichen Schlüssel des Absenders, ob dieser zum signierten Dokument passt. Ist dies der Fall, so ist auch sichergestellt, dass der Absender tatsächlich der oder die ist, welche(r) auch die Mail verschickt hat.

 
Etwas komplexer wird die Angelegenheit, wenn ich eine Mail sowohl verschlüsseln als auch signieren will. Zunächst verschlüssel ich die Mail mit dem öffentlichen Schlüssel des Empfängers, danach signiere ich sie mit meinem geheimen Schlüssel. Der Empfänger der Mail prüft erst die richtige Identität mit meinem öffentlichen Schlüssel und entschlüsselt die Mail dann mit seinem geheimen Schlüssel.


In den nächsten Tagen wird hier eine Installations- und Bedienungsanleitung für das Programm GPG4WIN eingestellt. Das Programm selber kann hier heruntergeladen werden.