Wie funktioniert E-Mail-Verschlüsselung?

E-Mail-Verschlüsselung sorgt für eine sichere Übertragung einer Nachricht zwischen Sender und Empfänger. Eine unverschlüsselte E-Mail kann von Angreifern an jedem Knotenpunkt eines Netzwerkes ausgelesen werden. Dies wird durch die Verschlüsselung verhindert. Dabei werden die Zeichen der E-Mail mit Hilfe eines Schlüssels verändert und unleserlich gemacht.

Symmetrische und asymmetrische Verschlüsselung

Beim symmetrischen Verfahren verwenden Sender und Empfänger den gleichen Schlüssel. Der Hauptnachteil ist, dass dieser zwischen beiden Parteien übermittelt werden muss und dabei ausgelesen werden kann, falls die Übertragung elektronisch geschieht. Daher wird dieses Verfahren heute nur selten genutzt.

Beim mehr Rechenaufwand erfordernden asymmetrischen Verfahren besitzen Sender und Empfänger unterschiedliche Schlüssel, von denen einer nur zum Verschlüsseln, der andere nur zum Entschlüsseln der Nachricht geeignet ist. Beide sind unabhängig und können nicht voneinander abgeleitet werden.

Wie das asymmetrische Verfahren funktioniert

Bei der Übermittlung einer Nachricht mit Hilfe dieses Verfahrens werden beide Schlüssel zusammen vom Empfänger als Schlüsselpaar erzeugt. Einer davon, der „private key“, ist geheim und verbleibt beim Empfänger. Der andere, der „public key“, kann ohne Sicherheitsbedenken dem Sender übermittelt werden, der damit die Nachricht verschlüsselt. Mit seinem „private key“ entschlüsselt der Empfänger die Nachricht. Da mit dem „public key“ die verschlüsselte Nachricht nicht entschlüsselt werden kann, löst das Verfahren das Übermittlungsproblem der symmetrischen Verschlüsselung.

Zusätzliche Sicherheit wird durch eine E-Mail-Signatur gewährleistet. Für diesen Zweck erzeugt der Sender ein Schlüsselpaar, verschlüsselt die eigene Signatur mit seinem „private key“ und übermittelt dem Empfänger den dazugehörigen „public key“. Der Empfänger entschlüsselt die Signatur und kann die Authentizität des Senders prüfen.

OpenPGP und GnuPG

Eines der ersten beliebten Programme zur asymmetrischen Verschlüsselung war das 1991 entwickelte Pretty Good Privacy (PGP). GNU Privacy Guard (GnuPG) ist eine Open-Source-Variante von PGP, die heute vielfach in sicherheitskritischen Umgebungen zum Einsatz kommt und auch für Privatanwender empfohlen wird. GnuPG ist für alle geläufigen Betriebssysteme verfügbar und kann komfortabel über Programme mit grafischer Oberfläche bedient werden.

GnuPG nutzt den Standard OpenPGP, der die Sicherheit der asymmetrischen Verschlüsselung mit der Schnelligkeit des symmetrischen Verfahrens kombiniert. Nicht die E-Mail selbst, sondern ein symmetrischer Schlüssel, der Sitzungsschlüssel, wird mit dem asymmetrischen Verfahren verschlüsselt. Der Sitzungsschlüssel wird verwendet, um die E-Mail zu verschlüsseln und zu entschlüsseln, und danach verworfen. Da der Sitzungsschlüssel vergleichsweise kurz ist, kann man mit OpenPGP auch lange Nachrichten mit wenig Rechenaufwand sicher übermitteln.

Ein Beispiel

Ein Unternehmer versendet vertrauliche Unterlagen an einen Lieferanten. Der Lieferant besitzt ein Schlüsselpaar aus „private key“ und „public key“. Der Unternehmer erzeugt einen Sitzungsschlüssel und fragt den „public key“ des Lieferanten ab, um mit diesem den Sitzungsschlüssel zu verschlüsseln und ihn dem Lieferanten zu übermitteln. Der Lieferant entschlüsselt den Sitzungsschlüssel mit seinem „private key“. Dann verschlüsselt der Unternehmer die E-Mail mit Hilfe des Sitzungsschlüssels, den auch der Lieferant nutzt, um die Nachricht zu entschlüsseln.