Technikexperte über PGP-Verschlüsselung: „Wirkungsvoll gegen Überwachung“

Von einer einfachen Möglichkeit, E-Mails von Ende zu Ende zu verschlüsseln, sollen 30 Millionen Kunden profitieren. Experte Axel Kossel sieht das positiv.

Wenn keiner wissen soll, was man so in eine E-Mail tippt, kann PGP helfen Foto: reuters

taz: Her Kossel, bislang galt PGP-Verschlüsselung als umständlich, jetzt haben Gmx und Web.de eine leichter bedienbares Verfahren eingeführt. Wird das der Durchbruch für eine sichere Ende-zu-Ende-Verschlüsselung bei E-Mails?

Axel Kossel: Es wird auf jeden Fall PGP ein ganzes Stück nach vorne bringen, weil sehr viele Leute bequem und einfach darauf zugreifen können. Ich würde es empfehlen – man kann auch erst mal langsam anfangen und muss nicht gleich sämtliche Mails verschlüsselt versenden.

Worauf müssen Nutzer, die das Angebot verwenden wollen, achten?

Wichtig ist, für das Ver- und Entschlüsseln ein starkes Passwort zu wählen. Mindestens zwölf Zeichen, dabei Sonderzeichen, Ziffern und Groß- und Kleinschreibung mischen. Ein schwaches Passwort kann es Angreifern leicht machen.

Im Interview: Axel Kossel

Axel Kossel, 50, hat Informatik studiert und arbeitet seit fast 30 Jahren bei der Computerzeitschrift c't

Können Geheimdienste dann noch mitlesen?

Nach jetzigem Stand sind die mit starken Schlüsseln verschlüsselten E-Mails kaum zu knacken, selbst mit den enormen Mitteln eines Geheimdienstes nicht. Wenn jemand in deren Fadenkreuz gerät, würden sie eher andere Wege gehen – etwa versuchen, Schadsoftware auf dem Rechner einzuschleusen. Dann könnten sie vor dem Ver- und nach dem Entschlüsseln mitlesen. Der Dauerbeobachtung der Geheimdienste im Netz entgeht man mit einer PGP-Verschlüsselung wirkungsvoll. Wenn die Anbieter zusätzlich – wie es die meisten mittlerweile machen – den Transport verschlüsseln, sind nicht einmal die Metadaten lesbar. Also wer wann mit wem kommuniziert hat.

Wie groß ist der Unterschied in Sachen Knackbarkeit zwischen der Gmx-Web.de-Lösung und einer eigenen Nutzung von PGP mit einem Email-Programm?

Da gibt es fast keine Unterschiede, die Anbieter nutzen sehr starke Schlüssel. Man hat die Möglichkeit, seinen geheimen Schlüssel in einem verschlüsselten Container beim Anbieter abzulegen, um ihn zum Beispiel auch auf andere Geräte zu übertragen. Das könnte ein potenzieller Angriffspunkt sein, ist aber freiwillig. Der Nutzer kann den Schlüssel auch einfach nur auf seinem Gerät zu Hause behalten. Dann ist das Verfahren so sicher wie die Verwendung von PGP mit einem Mailprogramm.

Comments

[themanwhostolehisownhorsetwice]

Vier Antworten, mehr relevante Fragen stellen sich Frau Bergt nicht? Fast alle Medien, inkl. c't, stürzen sich sehr oberflächlich auf dieses populäre Thema und versuchen durch Standardphrasen den Nutzer in Sicherheit zu wiegen. Wag the dog.......

[trippel]

In dem Artikel wird erwähnt, dass auf Seiten der Anbieter größtenteils Transportverschlüsselung verwendet wird und somit nicht einmal die Metadaten lesbar seien. Das kann ich so nicht ganz nachvollziehen. Wenn diese Ebene genauso sicher wäre wie die Ende-zu-Ende-Verschlüsselung, wozu bräuchte ich letztere dann?

Außerdem würde mich an der Stelle interessieren, ob die Server denn auch zwangsläufig verschlüsselt miteinander kommunizieren. Zumindest auf Ebene von XMPP/Jabber (Messenger) musste ich bereits feststellen, dass Google hier zwar die Verschlüsselung vom Nutzer zu Google verlangt, die Daten dann jedoch unverschlüsselt zum Server der Gegenseite transportiert.

 

Für entsprechende Erläuterung wäre ich dankbar.

[Hauke Laging]

@trippel:

Schön, dass das noch jemandem aufgefallen ist...

 

Bei XMPP ist Google interessanterweise das asoziale Mitglied der Gemeinde: Die anderen erzwingen Transportverschlüsselung, und Google verweigert sich da, wofür es nun rein gar keinen sachlichen Grund gibt, wodurch Googles XMPP vom Rest der Welt nicht mehr erreichbar ist (und umgekehrt).

 

Dass der "Vorzeigeanbieter" 1&1 (also GMX und web.de) XMPP kürzlich erst abgeschaltet hat, also das einzige weit verbreitete offene Chatprotokoll, hätte man auch mal erwähnen können.

[wxyz]

Das Abfangen von Daten ist out. Stattdessen findet der große Boom mit in Chips integrierten Trojanern statt, und ob im Betriebssystem selbst nicht auch noch Hintertüren eingebaut sind, ist nach wie vor unklar. Wer genau wissen will, was wirklich los ist, der muß 10 oder 20 Jahre abwarten, um dann in den Medien zu lesen, wie böse diejenigen waren, die es inzwischen nicht mehr gibt, weil sie sich eine neue Maske aufgesetzt haben.