PGP verschlüsselt keine Metadaten

Metadaten sind generell ein wunder Punkt der PGP-Verschlüsselung: Der Betreff einer Mail ist grundsätzlich nicht verschlüsselt, ebenso kann ein lauschender Angreifer jederzeit mitlesen, wer wem zu welcher Zeit Mails schickt.

Zu Verwirrung führte auch die genaue Funktionsweise der Schlüsselserver. Diese öffentlichen Server halten ein Verzeichnis aller hochgeladenen öffentlichen Schlüssel bereit. Dabei ist es gleichgültig, auf welchen Schlüsselserver man seinen Schlüssel lädt, denn die Server synchronisieren sich untereinander. Ein Schlüssel, den man auf einen beliebigen Schlüsselserver hochlädt, ist einige Minuten später auch auf allen anderen Schlüsselservern vorhanden.

Einige wenige Anwender nutzten auch Microsoft Outlook oder Outlook Express unter Windows für Mails. Hierfür gibt es ebenfalls ein GnuPG-Plugin, um das zu nutzen, muss man zunächst das Programm Gpg4win installieren. Für Outlook unter Mac OS X gibt es jedoch offenbar bislang keine Lösung. Das Mailprogramm The Bat, das von einem Redakteur genutzt wird, liefert Unterstützung für GnuPG bereits mit.

Webmail: keine befriedigende Lösung

Problematisch ist die Nutzung von Mailverschlüsselung auch generell für alle Anwender, die ihre Mails nur über ein Webmail-Interface verwalten. Grundsätzlich ist die Mailverschlüsselung so gedacht, dass man diese in einem Mailprogramm fest konfiguriert. Es gibt zwar Möglichkeiten, bei denen man einen Text zunächst in die Zwischenablage kopiert und anschließend per Copy-and-Paste den PGP-/Inline-verschlüsselten Inhalt wieder einfügt, aber empfehlenswert ist diese Lösung im Allgemeinen nicht.

Die Frage, wie es mit verschlüsselten Mails und mobilen Systemen aussieht, kam ebenfalls auf. Auch hier gibt es Möglichkeiten, etwa unter Android das Mailprogramm K-9 in Kombination mit APG. Doch von den Anwesenden sah zunächst niemand den Bedarf, auch mobil eine Verschlüsselungslösung einzurichten, da zunächst vermutlich sowieso nur wenige verschlüsselte Mails ankommen werden.

Vorerst außen vor gelassen haben wir auch die Frage nach der Signierung von öffentlichen Schlüsseln und der Überprüfung der Echtheit von Schlüsseln. Die PGP-Verschlüsselung sieht ein sogenanntes Web-of-Trust vor, anhand eines Fingerabdrucks kann man die Echtheit eines Schlüssels prüfen. Das System ist allerdings gerade für Anfänger oft schwer verständlich und so blieben wir zunächst bei der pragmatischen Lösung: Wichtig ist es erstmal, überhaupt mit dem Verschlüsseln anzufangen.

Nach der Kryptoparty ist nun zumindest ein Teil der Golem.de-Redaktion per PGP erreichbar. Die entsprechenden Schlüssel finden sich im Impressum. Auch der Autor dieses Artikels ist selbstverständlich via PGP-Verschlüsselung erreichbar.