Lexikon
PGP: Verschlüsselung digitaler Post
PGP (Pretty Good Privacy) bezeichnet ein Verfahren zur Verschlüsselung und digitalen Signatur elektronischer Nachrichten. Es sichert vor allem E-Mails, also die digitale Post, sodass ihr Inhalt nur vom vorgesehenen Empfänger gelesen werden kann.
Herkunft und Bedeutung des Begriffs
PGP wurde 1991 vom US-amerikanischen Programmierer Phil Zimmermann entwickelt. Der Name Pretty Good Privacy, sinngemäß „ziemlich gute Privatsphäre", ist bewusst zurückhaltend gewählt. Zimmermanns Ziel war es, vertrauliche Kommunikation für eine breite Nutzergruppe verfügbar zu machen, ohne dass dafür aufwendige technische Voraussetzungen nötig sind.
Aus dem ursprünglichen Programm ging später der offene Standard OpenPGP hervor, der in der Spezifikation RFC 4880 festgehalten ist. Auf dieser Grundlage arbeiten heute zahlreiche Programme und Zusatzmodule für E-Mail-Software, sodass die Bezeichnung PGP längst über das ursprüngliche Produkt hinausweist und allgemein für dieses Verschlüsselungsprinzip steht.
Funktionsweise: asymmetrische Verschlüsselung
PGP beruht auf einer asymmetrischen Verschlüsselung, dem sogenannten Public-Key-Verfahren. Jede Teilnehmerin und jeder Teilnehmer besitzt ein Schlüsselpaar aus einem öffentlichen und einem privaten Schlüssel. Der öffentliche Schlüssel darf frei weitergegeben werden, der private Schlüssel bleibt geheim und verlässt das eigene Gerät nicht.
Beim Versand läuft der Vorgang in klar getrennten Schritten ab:
- 1Der Absender verschlüsselt die Nachricht mit dem öffentlichen Schlüssel des Empfängers.
- 2Die verschlüsselte Nachricht wird über das gewöhnliche E-Mail-Netz übertragen und ist unterwegs unlesbar.
- 3Der Empfänger entschlüsselt die Nachricht mit seinem privaten Schlüssel und kann sie als Einziger lesen.
Da für das Entschlüsseln ausschließlich der geheime private Schlüssel taugt, bleibt der Inhalt selbst dann geschützt, wenn die Nachricht auf dem Weg abgefangen wird. In der Praxis kombiniert PGP dieses Public-Key-Verfahren mit einer schnelleren symmetrischen Verschlüsselung des eigentlichen Textes, was die Übertragung großer Nachrichten beschleunigt.
Digitale Signatur
Neben der Verschlüsselung ermöglicht PGP eine digitale Signatur. Dabei wird die Reihenfolge der Schlüssel umgekehrt: Der Absender signiert die Nachricht mit seinem privaten Schlüssel, und jeder Empfänger kann die Signatur mit dem zugehörigen öffentlichen Schlüssel prüfen. Eine gültige Signatur belegt zwei Dinge:
- Echtheit: Die Nachricht stammt tatsächlich vom angegebenen Absender.
- Unversehrtheit: Der Inhalt wurde nach dem Signieren nicht mehr verändert.
Verschlüsselung und Signatur lassen sich einzeln oder gemeinsam einsetzen. Eine signierte, aber unverschlüsselte Nachricht bleibt lesbar und weist zugleich Herkunft und Unversehrtheit aus, während eine verschlüsselte Nachricht den Inhalt vor fremdem Zugriff schützt.
PGP, OpenPGP und S/MIME
Im Umfeld der E-Mail-Verschlüsselung treten mehrere verwandte Begriffe auf, die sich in Herkunft und Verbreitung unterscheiden:
- PGP: das ursprüngliche, 1991 veröffentlichte Programm und zugleich der geläufige Sammelbegriff für das Verfahren.
- OpenPGP: der offene Standard, der das Verfahren herstellerunabhängig beschreibt und die Grundlage vieler heutiger Programme bildet.
- S/MIME: ein alternatives Verfahren zur E-Mail-Verschlüsselung, das auf zentral ausgestellten Zertifikaten beruht und häufig im geschäftlichen Umfeld genutzt wird.
PGP und OpenPGP setzen auf ein dezentrales Vertrauensmodell, bei dem sich Nutzende gegenseitig die Echtheit ihrer öffentlichen Schlüssel bestätigen. Dieses Prinzip wird als „Web of Trust" bezeichnet und kommt ohne eine übergeordnete Ausgabestelle aus.
PGP und das Briefgeheimnis
PGP überträgt den Schutzgedanken des klassischen Briefverkehrs auf die elektronische Kommunikation. Beim physischen Brief sorgt der verschlossene Umschlag zusammen mit dem gesetzlich verankerten Briefgeheimnis dafür, dass der Inhalt vertraulich bleibt. Bei der E-Mail übernimmt die Verschlüsselung eine vergleichbare Aufgabe, indem sie den Text technisch unlesbar macht.
Ein Unterschied liegt in der Reichweite: Das Briefgeheimnis ist eine rechtliche Regel, die den Zugriff auf verschlossene Sendungen verbietet. PGP ist eine technische Maßnahme, die den Zugriff auf den Inhalt von vornherein verhindert. Beide Ansätze verfolgen dasselbe Anliegen, nämlich die Vertraulichkeit einer Mitteilung zu wahren.
Passende Produkte
Was PGP für die digitale Post leistet, übernimmt beim physischen Versand die Verpackung: Sie schützt den Inhalt auf dem Transportweg und macht unbefugtes Öffnen erkennbar. Für vertrauliche Unterlagen und empfindliche Waren bieten sich formatgerechte Bauformen an, etwa Maxibriefkartons für flache Sendungen im Briefformat sowie die Kategorie Versand-Verpackungen für den übrigen Paketversand.