In diesem Tutorial gebe ich Hinweise zur Verschlüsselung mit PGP/GnuPG. Ich werweise aber zunächst erst einmal auf externe Anleitungen, da es recht komplex wäre, auf alle möglichen Details und Sonderbehandlungen hinzuweisen, die es dabei gibt. Mit den allgemeinen Beschreibungen von mir müsstet ihr aber gut vorbereitet sein, und die entsprechenden Informationen in den Anleitungen schnell finden können. Wer trotzdem noch Probleme hat, ist herzlich eingeladen, sich bei mir zu melden, damit ich dabei helfe...
Dazu habe ich hier etwas geschrieben. Alternativ lässt sich das auch bei Datenschutzzentrum.de nachlesen.
Natürlich braucht man dazu ein extra Programm, das man sich aber leicht aus dem Netz laden und installieren kann. Die beiden bekanntesten/besten Programme heißen PGP und GnuPG. Das Datenschutzzentrum schreibt zu PGP sehr schön kurz:
"PGP steht für "Pretty Good Privacy". Es handelt sich dabei um ein Programm des US-Amerikaners Phil Zimmermann. Die erste Version fand bereits am 5. Juni 1991 ihren Weg in verschiedene Mailboxen.
PGP ermöglicht es, Nachrichten so zu verschlüsseln, dass nur der echte Empfänger sie lesen kann. Dabei kommen Verschlüsselungsalgorithmen zum Einsatz, an denen sich selbst der amerikanische Geheimdienst die Zähne ausbeißt. Nichtzuletzt deshalb versuchten die USA lange Zeit, den Export von PGP um jeden Preis zu verhindern. Zum Glück ist der Versuch gescheitert. ;o) " (Quelle: www.Datenschutzzentrum.de)
PGP wird derzeit von der PGP Corporation entwickelt und es gibt leider keine kostenlose Version mehr (die Letzte kostenlose Version war PGP 8.0 Personal, die ich derzeit noch einsetze). Es gibt allerdings auch eine kompatible OpenSource-Variante namens GnuPG (Gnu Privacy Guard). Übrigens sollte man keine Verschlüsselungssoftware einsetzen, bei der Quellcode nicht offen gelegt wurde! Der Grund ist einfach: Nur wenn der Quellcode offen liegt, können weltweite Experten beurteilen, ob in den Algorithmen keine Hintertüren eingebaut sind und die Verschlüsselung wirklich sicher ist. Bei PGP 8.0/9.0 und GnuPG ist das gegeben, und man kann die Software damit bedenkenlos einsetzen.
Die Verschlüsselung beider Programme ist kompatibel und beruht auf dem Prinzip der sogenannten 'asymetrischen Verschlüsselung', die auf zwei verschiedenen Schlüsseln beruht. Man generiert zunächst ein sogenanntes 'Schlüsselpärchen', das aus einem öffentlichen und einem privaten Schlüssel besteht. Den öffentlichen Schlüssel gibt man öffentlich bekannt, damit Andere in der Lage sind, Nachrichten damit zu verschlüsseln. Den Privaten Schlüssel benötigt man, um die Nachrichten wieder zu entschlüsseln. Er enthält spezielle, zufällig generierte Informationen, ohne die eine entschlüsselung praktisch unmöglich ist. Kommt jemand Anderes in den Besitz eures privaten Schlüssels, dann muss er 'nur' noch alle möglichen Passwortkombinationen ausprobieren (sog. Brute-Force-Attacke), das kann zwar bei einem Guten Passwort unter Umständen Jahre dauern, dennoch sollte man tunlichst darauf achten, daß der private Schlüssel auch privat bleibt...
Zunächst sei erwähnt, dass ihr zum Verschlüsseln natürlich auch den Schlüssel eines Kommunikationspartners benötigt. Üben könnt ihr erstmal mit meinem öffentlichen Schlüssel, den ihr unter Kontakt findet. Ansonsten macht es aber auch Sinn, nicht nur eMails an andere, sondern z.B. auch eure Passwörter für euch selbst zu verschlüsseln damit ihr sie sicher aufbewahren könnt.
Wenn man für GnuPG oder PGP kein Plugin für sein Mailprogramm besitzt, nutzt man einfach die sogenannten 'Shortcuts', also Tastaturkombinationen, die den aktuellen Fensterinhalt ver- oder entschlüsseln. Das funktioniert dann nicht nur im Mailprogramm, sondern in jedem Textfeld oder Texteditor. So kann man übrigens auch alle seine Passwörter in einer PGP-verschlüsselten Datei speichern, und sie sind damit maximal gesichert!
Man schreibt also einfach einen Text, belässt den Cursor in dem Textfenster und drückt dann die zugeordnete Tastaturkombination. Bei mir ist das beispielsweise [strg]+[alt]+e (für encrypt). Dann meldet sich bei mit PGP und fragt, mit welchen Schlüsseln er den Text verschlüsseln soll. Wenn ich eine Mail an jemand anders verfasse verschlüssele ich meist an mich selbst UND an den Empfänger, so daß ich meine alten Mails auch noch lesen kann. Soweit ich weiß, kann man nach beliebig vielen Öffentlichen Schlüsseln gleichzeitig verschlüsseln, der Code wird dann nur entsprechend länger! Nach der Verschlüsselung steht dann eine Base64-Codierte Zeichenfolge statt eures Textes in dem Fenster, die ihr einfach an den Empfänger verschickt, als wäre es der normale Text. Der Empfänger öffnet dann die eMail, drückt z.B. sein Tastaturkürzel zum entschlüsseln, tippt sein Passwort ein und bekommt den Inhalt der Nachricht in einem Fenster angezeigt. Alles ganz einfach und sehr sicher!
Welches Programm ihr auch benutzt, in der sogenannten 'Schlüsselverwaltung' könnt ihr Schlüssel nicht nur erzeugen sondern auch exportieren. Schaut einfach mal die Menüs durch oder lest die Anleitung/Hilfe zu dem Programm. Achtet bei dem Export darauf, daß ihr nicht versehentlich euren privaten Schlüssel mit veröffentlicht!
Der öffentliche (oder private) Schlüssel kann einfach in Form einer Datei (meist .asc) gespeichert werden oder einfach als 'Text' (der ist wie üblich Base64-codiert) in eine eMail eingefügt werden.Zum import eines Schlüssels klickt man entweder auf die Datei, oder man kopiert den Schlüsseltext einfach in die Schlüsselverwaltung. Im Zweifelsfall hilft auf hier wieder die Anleitung :-).
Wenn euer privater Schlüssel einmal abhanden kommt (z.B. durch einen Festplattencrash), dann habt ihr keine, absolut KEINE Chance mehr, die verschlüsselten Inhalte jemals wieder zu entschlüsseln. Sie sind dann weg, futsch, für immer unentschlüsselbar und lachen euch aus. Daher ist es essentiell wichtig, daß ihr euren privaten Schlüssel gut speichert, z.B. auf mindestens eine CD (denkt dran: kein Rohling ist lange haltbar, teilweise geben sie schon nach 1-2 Jahren ihren Geist auf). Generell gilt: Je wichtiger eure Daten sind, umso mehr Aufwand müsst ihr betreiben, um sicher zu stellen, daß ihr immer ein funktionstüchtiges Backup habt.
GnuPG bekommt ihr von www.gnupg.org. Ihr benötigt aber noch eine grafische Oberfläche dazu, hier eignet sich z.B. WinPT. Das Paket GPG4Win lohnt sich ebenfalls, da hier alles enthalten ist, was ihr braucht. Die Aktuelle Version 1.0.3 ist allerdings fehlerhaft, so daß ihr die Version 1.0.2 oder nach Erscheinugn die Version 1.0.4 benutzen solltet.
Das inzwischen kostenpflichtige PGP bekommt ihr bei der PGP Corporation.
Für alle Versionen gilt: einfach herunterladen, installieren und ausprobieren. Die Programme sind meist recht übersichtlich und auf die wichtigsten Funktionen beschränkt. Ihr müsst nur wissen, wie die Verschlüsselung grundlegend funktioniert...
Installation von GPG4Win: siehe kai.iks-jena.de
Benutzung von WinPT: kai.iks-jena.de
Aktualisiert am 26.02.2007
Andreas Loh