So verwenden Sie PGP auf dem Mac

Pretty Good Privacy (PGP) bleibt trotz der wachsenden Zahl anständiger datenschutzorientierter Webmail-Dienste der Goldstandard der E-Mail-Verschlüsselung – aber wie richtet man es auf einem Mac-Gerät ein? Wir führen Sie in diesem Leitfaden durch den Prozess, erklären, wie PGP funktioniert, und vertiefen uns in die Frage, wie sicher es wirklich ist.

PGP hat seine Probleme (auf die wir weiter unten eingehen werden), aber es ist immer noch das am weitesten verbreitete E-Mail-Verschlüsselungssystem und daher das interoperabelste. Neben der Zusammenarbeit mit anderen Systemen, unabhängig von der Plattform, kann PGP auch zum Signieren und Verschlüsseln aller möglichen anderen Dinge verwendet werden – obwohl es hauptsächlich zum Sichern von E-Mails verwendet wird.

Wie funktioniert PGP?

Die Einzelheiten der Funktionsweise von PGP sind ehrlich gesagt ziemlich kompliziert. Es ist wichtig, sich daran zu erinnern, dass PGP Public-Key-Kryptografie verwendet.

Jeder Benutzer hat einen privaten Schlüssel und einen öffentlichen Schlüssel. Der private Schlüssel sollte geheim gehalten werden, da er auch zum Entschlüsseln eingehender E-Mails verwendet wird und diese E-Mails über ihren öffentlichen Schlüssel an den Benutzer gesendet werden. Der öffentliche Schlüssel kann daher frei weitergegeben werden – denn er ermöglicht es anderen Personen, dem Benutzer diese verschlüsselten E-Mails zu senden.

  • Privat Schlüssel – geheim gehalten und zur Entschlüsselung der eigenen Mail verwendet
  • Öffentlicher Schlüssel – verteilt, damit andere es verwenden können, um E-Mails zu verschlüsseln, die an Sie gesendet werden

In diesem Tutorial bleiben wir bei der Verwendung von PGP zum Verschlüsseln von E-Mails, aber PGP-Schlüsselpaare sind auch zum Signieren und Verifizieren digitaler Signaturen nützlich.

PGP gegen OpenPGP

Wenn wir heutzutage über PGP sprechen, meinen wir fast immer OpenPGP. Dies ist ein zu 100 % kompatibler Open-Source-Klon der jetzt quelloffenen Original-PGP-Software, die jetzt im Besitz von Symantec ist.

Probleme mit PGP

Wenn PGP zum Sichern von E-Mails verwendet wird, werden die Metadaten – wie E-Mail-Adressen von Absender und Empfänger, Datum und Uhrzeit des Versands und die Betreffzeile der E-Mail – nicht verschlüsselt. Nur der Haupttext und alle Anhänge.

Ein weiteres Problem mit PGP ist, dass es Perfect Forward Secrecy (PFS) nicht verwendet. Sobald also Schlüssel für eine verschlüsselte E-Mail gebrochen werden, werden alle anderen E-Mails, die mit denselben Schlüsseln verschlüsselt wurden, ebenfalls kompromittiert.

Das wohl größte Problem mit PGP ist jedoch, dass es einfach nicht sehr einfach zu bedienen ist – was bedeutet, dass die meisten Leute einfach nicht benutze es. Aber wir glauben nicht daran, hier bei ProPrivacy aufzugeben, und werden Sie durch zwei einfache Möglichkeiten führen, wie Sie PGP auf Ihrem Mac verwenden können.

Methode 1: Malivelope

Mailvelope ist eine kostenlose und Open-Source-Browsererweiterung für Chrome und Firefox, die die Verwendung von PGP auf Ihrem Mac so einfach macht, wie es PGP wahrscheinlich nie sein wird. Bitte sehen Sie sich unsere vollständige Mailvelope-Anleitung an, um einen detaillierten Einblick in die Funktionsweise zu erhalten.

Mailvelope-E-Mail

Methode 2: GPGTools mit GPG Mail

Die gebräuchlichste Implementierung von OpenPGP ist Privacy Guard (auch bekannt als GnuPG oder einfach nur GPG). GPG selbst ist ein einfaches Befehlszeilentool, aber GPGTools für macOS bietet eine GUI-Oberfläche und erweiterte Funktionen.

Es ist erwähnenswert, dass GPGTools im Jahr 2018 aufgrund seiner Anfälligkeit für den EFAIL-Angriff, der damals alle Versionen von PGP betraf, Schlagzeilen machte. Seit GPGTools 2018.2 ist diese Schwachstelle jedoch gepatcht.

GPGTools ist kostenlos, aber das GPG Mail-Plugin für Apple Mail soll helfen, das Open-Source-Projekt zu finanzieren, und kostet 22 US-Dollar. Dies ist eine einmalige Gebühr, aber Sie müssen erneut für neue Versionen bezahlen, sobald sie veröffentlicht werden.

  1. Laden Sie die GPG-Suite herunter und installieren Sie sie.

    Bitte stellen Sie sicher, dass Sie den Download überprüfen, bevor Sie ihn installieren. Behalten Sie während der Installation alle Standardeinstellungen bei.

  2. Erstellen Sie ein neues Schlüsselpaar

    .

    Öffnen Sie die GPG-Schlüsselbund-App, wählen Sie Neu (das +-Zeichen) und geben Sie die relevanten Details ein. Sie können die erweiterten Optionen in Ruhe lassen oder nach Belieben damit spielen.

    Erstellen eines GPG-Schlüsselbunds

  3. Laden Sie Ihren öffentlichen Schlüssel auf einen Schlüsselserver hoch.

    Dadurch können andere sie anhand Ihrer E-Mail-Adresse finden und Ihnen sichere PGP-verschlüsselte E-Mails senden.

    Aber erinnere dich; Sobald ein öffentlicher Schlüssel auf einen Schlüsselserver hochgeladen wurde, kann er nicht gelöscht werden. Der Schlüsselserver sendet Ihnen eine E-Mail, in der Sie aufgefordert werden, den Upload zu bestätigen.

    Sie sehen Ihren neu erstellten Schlüssel im GPG-Schlüsselbund.

    zentrale Erfolgsmeldung

    Wenn Sie bereits ein Schlüsselpaar haben, können Sie es importieren, indem Sie auf die Schaltfläche Importieren klicken. Sie können dann mit der rechten Maustaste darauf klicken -> Öffentlichen Schlüssel an Keyserver senden.

  4. Senden Sie eine verschlüsselte E-Mail.

    Um eine PGP-verschlüsselte E-Mail zu versenden, benötigen Sie den öffentlichen Schlüssel des Empfängers. Wenn sie es Ihnen bereits gesendet haben (z. B. als E-Mail-Anhang), können Sie es mit dem GPG-Schlüsselbund importieren.

    Wenn Sie ihn bereits haben, können Sie anhand der E-Mail-Adresse nach öffentlichen Schlüsseln suchen, die auf einen Schlüsselserver hochgeladen wurden. Sobald Sie den gewünschten Schlüssel gefunden haben, importieren Sie ihn einfach in Ihren GPG-Schlüsselbund.

    GPG-Schlüsselbundimport

    Öffnen Sie die Apple Mail-App. Wenn Sie eine aktuelle Version von macOS (10.14 Mojave+) verwenden, müssen Sie GPG in Mail aktivieren. Gehen Sie dazu zu Einstellungen -> Allgemein -> Plug-ins verwalten und aktivieren Sie das Plug-in GPGMailLoader.mailbundle.

    installierte Plug-Ins ändern

    Verfassen Sie dann einfach wie gewohnt eine E-Mail und stellen Sie sicher, dass OpenPGP in der neuen grünen Dropdown-Schaltfläche oben rechts im Verfassen-Bildschirm ausgewählt ist.

    OpenPGP

    Wenn Sie Ihre Nachricht fertig geschrieben haben, können Sie sie mit den beiden Schaltflächen rechts neben der Betreffzeile signieren und/oder verschlüsseln:

    Ein Zeichen – Dies bestätigt, dass die E-Mail von Ihnen gesendet wurde. Wenn GPG Mail installiert ist, werden standardmäßig alle Nachrichten signiert (Schaltfläche ist blau). Klicken Sie auf die Schaltfläche, um die Anmeldung zu deaktivieren.

    B) Verschlüsseln – verschlüsselt den Inhalt der Nachricht sowie alle Anhänge. Es verschlüsselt weder die Betreffzeile noch versteckt es andere Metadaten. Klicken Sie auf das Schlosssymbol (wird blau), um Ihre E-Mail zu verschlüsseln.

    Klicken Sie auf Senden, und Sie werden nach dem Passwort für Ihren PGP-Schlüssel gefragt. Wenn Sie befürchten, dass ein Angreifer physischen Zugriff auf Ihren Mac erhalten könnte, sollten Sie „Im Schlüsselbund speichern“ deaktivieren.

    PinEntry-Mac

  5. Erhalten Sie verschlüsselte Nachrichten

    Wenn Sie eine PGP-E-Mail erhalten, die mit Ihrem öffentlichen Schlüssel verschlüsselt und/oder signiert wurde, entschlüsselt GPG Mail diese automatisch und/oder überprüft die Signatur mit Ihrem privaten Schlüssel.

    Verschlüsselte Nachricht erhalten

  6. Schlüssel verifizieren und signieren

    Für maximale Sicherheit sollten Sie Schlüssel verifizieren und signieren. Sie verifizieren einen Schlüssel, indem Sie den Fingerabdruck, den Sie vom Schlüssel haben, mit dem Fingerabdruck des Absenders vergleichen, um sicherzustellen, dass sie identisch sind. Idealerweise geschieht dies von Angesicht zu Angesicht, aber ein sicherer Kommunikationskanal wie der Signal Messenger reicht aus.

    Der Fingerabdruck jedes importierten Schlüssels wird gut sichtbar im GPG-Schlüsselbund angezeigt.

    GPG-Schlüsselanhänger mit Fingerabdruck

    Sobald Sie mit der Echtheit eines Schlüssels zufrieden sind, können Sie ihn signieren, um zu bestätigen, dass Sie ihn für gültig halten. PGP arbeitet mit einer Vertrauenskette, sodass Sie sich entscheiden können, Ihre Signatur zu veröffentlichen, um anderen bei der Entscheidung zu helfen, ob der Schlüssel authentisch ist.

    Veröffentlichungssignatur

    Und das ist der grundlegende Überblick über die Verwendung von GPGTools zum Senden und Empfangen von PGP-E-Mails in macOS. GPGTools hat jedoch noch mehr Tricks im Ärmel, die wir in zukünftigen Artikeln untersuchen werden.

Alternativen zu PGP

Obwohl PGP die Messlatte bei der E-Mail-Verschlüsselung setzt, ist es nicht gerade benutzerfreundlich – und Sie könnten am Ende nach einer einfacher zu implementierenden Alternative suchen. Die gute Nachricht ist, dass es eine lange Liste sicherer E-Mail-Anbieter gibt, die bereits PGP-Verschlüsselung verwenden und härter arbeiten als die meisten gängigen Webmail-Dienste (wie Google Mail), um Ihre Nachrichten und Dokumente vor neugierigen Blicken zu schützen.

Diese sicheren Dienste bieten auch viele andere Vorteile! Zunächst einmal erhalten Sie eine elegante Benutzeroberfläche zum Spielen und Apps für alle Ihre Geräte, was das Senden und Empfangen verschlüsselter E-Mails erheblich vereinfacht (insbesondere wenn Sie unterwegs sind). Sichere Dienste verschlüsseln normalerweise auch Ihre E-Mail-Kopfzeilen und Betreffzeilen, und einige sichern sogar Ihre Kontakte! Die besten E-Mail-Anbieter bieten auch eine Multi-Faktor-Authentifizierung an, die Ihrem Konto eine zusätzliche Schutzebene verleiht, die Option, E-Mail-Ablaufdaten festzulegen, und (manchmal) die Möglichkeit, Wegwerf-E-Mail-Adressen zu erstellen.

All diese Maßnahmen stellen sicher, dass die vertraulichen Details in Ihren E-Mails immer nur von Ihrem ausgewählten Empfänger gesehen werden. Außerdem können PGP-freundliche Anbieter mühelos mit anderen Diensten kommunizieren, die PGP unterstützen – und auch die Kommunikation mit und von Nicht-PGP-Benutzern oder -Diensten sicher halten.

Wenn Sie mehr über unsere besten sicheren E-Mail-Picks erfahren oder Anbieter vergleichen möchten, sehen Sie sich unseren ausführlichen Leitfaden sowie die folgende Tabelle an.