29. September 2026 OpenPGP: E-Mails verschlüsseln und Privatsphäre schützen

E-Mails gehören für die meisten Menschen zum Alltag – umso wichtiger ist es, auch bei der digitalen Kommunikation auf Sicherheit zu achten. Mit OpenPGP lassen sich E-Mails und Dateien verschlüsseln und Nachrichten digital signieren. So bleiben vertrauliche Inhalte besser geschützt.

E-Mails sind aus unserem Alltag kaum wegzudenken. Trotzdem werden sie standardmäßig nicht Ende-zu-Ende verschlüsselt. Wer sensible Informationen per E-Mail verschickt oder seine Privatsphäre auch beim E-Mail-Versand schützen möchte, sollte sich daher überlegen, wie die eigene Kommunikation geschützt werden kann. Eine Möglichkeit dafür ist OpenPGP. Damit lassen sich E-Mails und Dateien verschlüsseln und digitale Signaturen erstellen.

OpenPGP eignet sich besonders für Privatpersonen, die ihre Schlüssel selbst verwalten möchten. Eine Alternative dazu ist S/MIME, das vor allem für Organisationen interessant sein kann, da dabei Zertifikate von sogenannten Zertifizierungsstellen (Certificate Authorities, CAs) verwendet werden.

Was ist OpenPGP?

PGP steht für „Pretty Good Privacy“ und wurde ursprünglich als Software zur Verschlüsselung entwickelt. Daraus entstand später der offene Standard OpenPGP. Eine bekannte freie Implementierung davon ist GnuPG (GNU Privacy Guard), das häufig einfach als GPG bezeichnet wird. Um OpenPGP zu verwenden, braucht man also entsprechende Software. Mit GnuPG kann man beispielsweise E-Mails und einzelne Dateien verschlüsseln oder Nachrichten digital signieren.

Wie funktioniert OpenPGP?

OpenPGP basiert auf asymmetrischer Kryptografie. Das klingt zunächst kompliziert, das Grundprinzip ist aber relativ einfach: Jede Person besitzt ein Schlüsselpaar aus einem öffentlichen und einem privaten Schlüssel. Ein bekanntes Verfahren für asymmetrische Kryptografie ist RSA, das auch mit OpenPGP verwendet werden kann. 

Der öffentliche Schlüssel darf problemlos an andere Personen weitergegeben werden. Der private Schlüssel muss dagegen geheim bleiben. Die beiden Schlüssel haben unterschiedliche Aufgaben:

Verschlüsselung:

• Mit dem öffentlichen Schlüssel können andere Personen Nachrichten für Sie verschlüsseln.
• Mit dem privaten Schlüssel können Sie diese Nachrichten wieder entschlüsseln.

Signierung:

• Mit dem privaten Schlüssel können Sie außerdem Nachrichten digital signieren.
• Mit dem öffentlichen Schlüssel können andere Personen Ihre Signatur überprüfen.

Für die Verschlüsselung selbst verwendet OpenPGP ein hybrides Verfahren. Die Nachricht wird dabei mit einem symmetrischen Schlüssel verschlüsselt. Dieser Schlüssel wird anschließend mit dem öffentlichen Schlüssel des Empfängers geschützt. Nur der Besitzer des passenden privaten Schlüssels kann die Nachricht wieder entschlüsseln.

Verschlüsselte E-Mails versenden

Damit Ihnen jemand eine verschlüsselte E-Mail schicken kann, braucht diese Person Ihren öffentlichen Schlüssel. Wenn Sie umgekehrt jemand anderem eine verschlüsselte E-Mail senden möchten, benötigen Sie dessen öffentlichen Schlüssel. Hat Ihnen beispielsweise Bob seinen öffentlichen Schlüssel geschickt, können Sie diesen in GnuPG importieren und anschließend verwenden, um Nachrichten für Bob zu verschlüsseln. Bob kann diese anschließend mit seinem privaten Schlüssel entschlüsseln. Das bedeutet auch: Der öffentliche Schlüssel ist ausdrücklich dafür gedacht, weitergegeben zu werden. Der private Schlüssel darf dagegen niemals an andere Personen weitergegeben werden.

Nachrichten digital signieren

OpenPGP kann noch mehr als nur Nachrichten verschlüsseln. Man kann E-Mails auch digital signieren. Eine digitale Signatur kann vereinfacht mit einer elektronischen Unterschrift verglichen werden. Sie ermöglicht es dem Empfänger zu überprüfen, ob die Nachricht tatsächlich mit dem privaten Schlüssel des Absenders signiert wurde und ob sie nach dem Signieren verändert wurde.

Wenn Sie beispielsweise Bob eine Nachricht schicken, können Sie diese mit Ihrem privaten Schlüssel signieren. Bob verwendet anschließend Ihren öffentlichen Schlüssel, um die Signatur zu überprüfen. Verschlüsselung und Signatur haben also unterschiedliche Ziele. Bei der Verschlüsselung geht es darum, dass nur der vorgesehene Empfänger die Nachricht lesen kann. Bei der digitalen Signatur geht es darum, die Herkunft und Integrität einer Nachricht überprüfen zu können. Beides kann natürlich auch gleichzeitig verwendet werden: Eine E-Mail kann sowohl verschlüsselt als auch digital signiert werden.

OpenPGP einrichten

Bevor man OpenPGP verwenden kann, muss zunächst eine passende Software installiert werden. Anschließend erstellt man ein Schlüsselpaar. Bei der Erstellung kann man unter anderem festlegen, wofür der Schlüssel verwendet werden soll – beispielsweise zum Signieren, zum Verschlüsseln oder für beides. Außerdem kann festgelegt werden, wie lange der Schlüssel gültig sein soll. Danach erstellt man eine sogenannte User ID. Dafür gibt man normalerweise seinen Namen und seine E-Mail-Adresse an. Optional kann auch ein Kommentar hinzugefügt werden. Die User ID dient dazu, den Schlüssel einer bestimmten Person beziehungsweise E-Mail-Adresse zuzuordnen. Zum Schluss wird der private Schlüssel mit einer Passphrase geschützt. Diese muss eingegeben werden, wenn der private Schlüssel verwendet werden soll. Die Passphrase sollte daher unbedingt geheim bleiben.

Zusätzlich sollte man bereits bei der Erstellung des Schlüssels ein Widerrufszertifikat vorbereiten. Damit kann ein Schlüssel später widerrufen werden, wenn der private Schlüssel beispielsweise verloren geht oder kompromittiert wurde. Das Widerrufszertifikat sollte sicher aufbewahrt werden.

Das Problem mit dem Schlüsselaustausch

Der vielleicht etwas umständliche Teil von OpenPGP ist der Austausch der öffentlichen Schlüssel. Bevor zwei Personen verschlüsselt miteinander kommunizieren können, müssen sie zunächst ihre öffentlichen Schlüssel besitzen. Sie können Ihren öffentlichen Schlüssel beispielsweise direkt an eine andere Person schicken. Es gibt aber auch sogenannte Keyserver, auf denen öffentliche Schlüssel veröffentlicht werden können. So können andere Personen Ihren Schlüssel finden, ohne dass Sie ihn ihnen vorher direkt schicken müssen. Dabei wird nur der öffentliche Schlüssel weitergegeben. Der private Schlüssel bleibt ausschließlich bei seinem Besitzer.

Allerdings stellt sich noch eine andere Frage: Woher weiß man eigentlich, dass ein öffentlicher Schlüssel wirklich zu der angegebenen Person gehört? Genau hier liegt eine Besonderheit von OpenPGP. Im Gegensatz zu S/MIME gibt es keine zentrale Zertifizierungsstelle, die diese Zuordnung für alle Nutzer bestätigt. Man muss daher selbst darauf achten, den richtigen öffentlichen Schlüssel zu verwenden.

Was passiert, wenn der private Schlüssel gestohlen wird?

Der private Schlüssel sollte besonders gut geschützt werden. Wenn jemand Zugriff darauf bekommt, kann der Schlüssel möglicherweise missbraucht werden. Je nach Situation könnten damit beispielsweise Nachrichten signiert oder verschlüsselte Nachrichten entschlüsselt werden. Wenn ein privater Schlüssel kompromittiert wurde, sollte er deshalb widerrufen werden. Dafür kann das bei der Schlüsselerstellung vorbereitete Widerrufszertifikat verwendet werden. Der Widerruf informiert andere Nutzer darüber, dass der bisherige Schlüssel nicht mehr verwendet werden sollte. Anschließend kann ein neues Schlüsselpaar erstellt werden. Wichtig ist außerdem: Der private Schlüssel sollte niemals weitergegeben werden – auch dann nicht, wenn er bereits kompromittiert wurde.

OpenPGP und E-Mail-Programme

OpenPGP braucht häufig zusätzliche Software, damit die Verschlüsselung und Signierung direkt im E-Mail-Programm verwendet werden können. Die konkrete Einrichtung hängt daher davon ab, welches E-Mail-Programm oder welchen Anbieter man verwendet. Es gibt aber auch Programme und Anbieter, die OpenPGP bereits direkt unterstützen, zum Beispiel Mozilla Thunderbird und Proton Mail.

Bei anderen E-Mail-Anbietern kann man OpenPGP beispielsweise über zusätzliche Erweiterungen oder andere Software verwenden. Das bedeutet: Nur weil ein E-Mail-Anbieter OpenPGP nicht direkt unterstützt, muss man nicht automatisch auf verschlüsselte E-Mails verzichten. In vielen Fällen kann die Funktion mit zusätzlicher Software eingerichtet werden.

Alternative: S/MIME

OpenPGP ist nicht die einzige Möglichkeit, E-Mails zu verschlüsseln und digital zu signieren. Eine wichtige Alternative ist S/MIME (Secure/Multipurpose Internet Mail Extensions). Auch mit S/MIME können E-Mails verschlüsselt und digital signiert werden. Der große Unterschied liegt vor allem darin, wie Schlüssel und Identitäten verwaltet werden. Bei OpenPGP tauschen Nutzer ihre öffentlichen Schlüssel selbst aus oder veröffentlichen sie beispielsweise auf einem Keyserver. Das System ist daher eher dezentral. S/MIME funktioniert dagegen mit digitalen Zertifikaten, die von sogenannten Certificate Authorities (CAs) ausgestellt werden. Diese Zertifikate stellen eine Verbindung zwischen einer Identität und einem öffentlichen Schlüssel her. Das kann besonders für Organisationen praktisch sein. Dort können Zertifikate zentral verwaltet und beispielsweise für Mitarbeiterinnen und Mitarbeiter bereitgestellt werden. Bei OpenPGP kümmert sich dagegen grundsätzlich jeder Nutzer selbst um sein Schlüsselpaar und den Austausch der öffentlichen Schlüssel.

Beide Verfahren ermöglichen also grundsätzlich Verschlüsselung und digitale Signaturen. Der Unterschied liegt vor allem darin, wie das Vertrauen zwischen den Kommunikationspartnern hergestellt und wie die Schlüssel verwaltet werden. Bei OpenPGP können Nutzer ihre öffentlichen Schlüssel selbst austauschen. Bei S/MIME übernimmt dagegen eine Zertifizierungsstelle eine zentrale Rolle.