Der Inhalt von E-Mails ist vor den neugierigen Augen Dritten in etwa so gut geschützt wie Postkarten. Diese alte Internetweisheit ist Ihnen hoffentlich bekannt, denn auf dem Weg vom Sender zum Empfänger durchlaufen E-Mails oftmals mehrere Server in verschiedenen Ländern und können leicht von Dritten gelesen werden. Seit der im Frühjahr 2018 als Efail bekannt gewordenen Sicherheitslücke ist zusätzliche Vorsicht geboten. Privatanwender und Unternehmen sollten ihre E-Mails und Anhänge daher vor den Blicken Unbefugter schützen. Erfahren Sie jetzt, wie Sie Ihre E-Mail-Konten mit dem Klassiker OpenPGP verschlüsseln.
Wie funktioniert die E-Mail-Verschlüsselung?
Für die Verschlüsselung einer E-Mail ist ein Schlüsselpaar notwendig, bestehend aus privatem und öffentlichem Schlüssel. Dabei handelt es sich um ein asymmetrisches Verschlüsselungsverfahren.
Und so funktioniert es:
Der Versender verschlüsselt den Inhalt seiner E-Mail mit dem öffentlichen Schlüssel des Empfängers. Im Anschluss kann der Empfänger die Nachricht mit seinem privaten Schlüssel und Password entschlüsseln. Nachdem Sie Ihren öffentlichen Schlüssel in die öffentlich einsehbare Datenbank hochgeladen haben, kann Ihnen jeder eine verschlüsselte Nachricht senden.
Voraussetzung für den erfolgreichen Austausch verschlüsselter E-Mails ist daher die Kenntnis des öffentlichen Schlüssels der Gegenseite. Dafür gibt es öffentliche Datenbanken. Die E-Mail ist per RSA- oder AES-Verschlüsselung gesichert und so vor den neugierigen Augen Dritter geschützt.
Wozu E-Mails signieren?
Außerdem können Sie Ihre verschickten E-Mails signieren. Diese werden dann zwar unverschlüsselt übertragen, der Empfänger kann die Mails jedoch dank der Signatur als Original erkennen und weiß, dass diese tatsächlich von Ihnen stammen und nicht verändert wurden.
Welche Standards kommen zum Einsatz?
Die E-Mail-Verschlüsselung ist bisher aus verschiedenen Gründen nicht der Standard. Zu den wichtigsten Technologien gehören PGP (inzwischen kommerziell, aber als OpenPGP weiter frei verfügbar) und s/MIME.
Der freie und kostenlose OpenPGP-Standard ist die aktuelle Empfehlung. Denn seit der im Mai 2018 bekannt gewordenen Sicherheitslücke Efail gilt s/MIME nicht mehr als sicher. Die folgende Anleitung erklärt die E-Mail-Verschlüsselung mit OpenPGP.
Verbindung zwischen Client und Server per TLS/SSL verschlüsseln
Die großen E-Mail Provider verschlüsseln Nachrichten auf dem Weg von Ihrem Rechner zum Mail-Server mit dem Verschlüsselungsprotokoll TLS (Transport Layer Security). Dieser Schutz funktioniert immer und der Empfänger muss keine E-Mail-Verschlüsselung verwenden.
Die Verschlüsselung per OpenPGP ist allerdings deutlich sicherer, da der gesamte Weg vom Sender bis zum Empfänger geschützt ist. Prüfen Sie, ob die E-Mail Verbindung zwischen E-Mail Client und Server verschlüsselt ist. Rufen Sie dafür die Einstellungen auf. Meist befindet sich die Einstellung in den erweiterten Einstellungen.
- Bei Outlook finden Sie den Punkt unter: Datei > Konto-Einstellungen > Doppelklick auf entsprechendes Mail-Konto > Weitere Einstellungen > Sicherheit.
- In Thunderbird öffnen Sie die Konto-Einstellungen > Server-Einstellungen und wählen bei der Verbindungssicherheit „SSL/TLS“ aus.
E-Mail-Verschlüsselung in Outlook und Thunderbird einrichten
Falls noch nicht geschehen, richten Sie zuerst Ihr E-Mail Konto ein. Neben Ihren Anmeldedaten benötigen Sie die Verbindungsdaten zum Posteingangs- und Postausgangsserver. In den FAQ Ihres E-Mail Providers erhalten Sie die zusätzlichen Informationen.
Den passenden OpenPGP-Client zum Verschlüsseln und Signieren von E-Mails in Outlook und Thunderbird finden Sie für Ihr Betriebssystem unter OpenPGP.org. Für Outlook stehen unter anderem folgende Tools bereit.
Tool-Tipp # 1 – Gpg4o – E-Mail-Verschlüsselung Made in Germany
Gpg4o ist ein Add-in für Microsoft Outlook 2010 bis 2016, das den OpenPGP-Standard nutzt. Der Fokus liegt bei der sauberen Implementation in Outlook. Zusätzlich stehen weitere Funktionen für den kommerziellen Bereich zur Verfügung.
Tool-Tipp # 2 – Gpg4win verschlüsselt E-Mails und Dateien
Das Programm Gpg4win ist die offizielle Lösung von GnuPG für Windows. Gpg4win verschlüsselt E-Mails und kann bei Bedarf auch direkt im Datei-Explorer Dateien verschlüsseln. Das Tool steht zum kostenlosen Download bereit.
Tool-Tipp # 3 – PEP – Pretty Easy Privacy
PEP (Pretty Easy Privacy) für Windows (kostenpflichtig), Android und iOS verschlüsselt E-Mails automatisch und macht das Verschlüsseln für Anwender besonders einfach. Für Firmen gibt es eine transparente Lizenzierung.
Tool-Tipp # 4 – Enigmail für die E-Mail-Verschlüsselung in Thunderbird
Für die E-Mail-Verschlüsselung und Erstellung von Signaturen in Mozilla Thunderbird ist das kostenlose Addon Enigmail die richtige Wahl. Es ermöglicht die Verwendung von OpenPGP zum Verschlüsseln, Signieren und Entschlüsseln von E-Mails. Die Software steht kostenlos zum Download bereit.
Wichtig: Efail – Sicherheitslücke seit Mai 2018 bekannt
Bei der als Efail bekannt gewordenen Sicherheitslücke kann ein Cyberkrimineller durch Code-Injektion in eine verschlüsselte E-Mail und wiederholtes Senden an den unverschlüsselten Inhalt gelangen. Für maximale Sicherheit sollten Sie im E-Mail Client das automatische Laden von Bildern und Nachladen deaktivieren. Verzichten Sie zudem auf die HTML-Darstellung der E-Mails und schalten Sie das Ausführen aktiver Inhalte aus.
- So deaktivieren Sie das Nachladen externer Inhalte in Microsoft Outlook
- So deaktivieren Sie das Nachladen externer Inhalte in Thunderbird
Hier finden Sie weitere Informationen zu Efail
Bildnachweis: Pixabay Free pictures
