So schützen Sie sich gegen Staatsschnüffler

Den Inhalt einer E-Mail so zu verschlüsseln, dass sie nur vom Empfänger gelesen werden kann, ist hierzulande gottlob nicht verboten. Im Folgenden stellen wir Ihnen eine sehr einfach einzurichtende Lösung vor, um Ihren E-Mail-Verkehr sicher zu machen. Besonders elegant daran ist, dass Sie keineswegs gezwungen sind, ab sofort alle E-Mails zu verschlüsseln. Haben Sie also Empfänger, die keine Verschlüsselung benutzen wollen oder können, senden Sie ihnen ganz einfach wie bisher normale E-Mails.

Mit allen anderen verkehren Sie dagegen auf höchster Sicherheitsstufe. Die Programme, die wir benutzen wollen, sind Mozilla Thunderbird mit dem Plug-in Enigmail sowie das Verschlüsselungsprogramm GnuPG . GnuPG ist ein frei entwickeltes Kryptographiesystem, das zum Ver- und Entschlüsseln von Daten dient.

Ohne allzu tief in die Details der Verschlüsselung einzusteigen, sollten Sie zumindest Folgendes wissen: Das Ganze basiert auf dem Prinzip verteilter Schlüssel. Jeder Benutzer besitzt ein eigenes Schlüsselpaar: Der öffentliche Schlüssel wird an andere weitergegeben, damit diese Ihnen eine geheime Nachricht senden können. Den zweiten, privaten Schlüssel dagegen dürfen Sie unter keinen Umständen herausgeben. Ihn benötigen Sie, um erhaltene Nachrichten zu entschlüsseln.

Schritt 1: Installieren Sie die Programme

Installieren Sie zunächst Mozilla Thunderbird. Verwenden Sie dabei am besten die "Standard"-Installation. Wichtig: Wenn Thunderbird nicht das Standard-E-Mail-Programm werden soll, müssen Sie den Haken vor der entsprechenden Option entfernen. Es erscheint automatisch der Assistent zum Einrichten des E-Mail-Kontos. Sie können dies jetzt auch abbrechen und später nachholen. Ansonsten geben Sie Name, E-Mail-Adresse und Passwort ein. Thunderbird versucht automatisch die passenden IMAP- oder POP3-Einstellungen zu finden.

Tipp: Haben Sie Ihre E-Mails bislang nur im Browser gelesen (etwa bei GMX oder Web.de), wählen Sie am besten IMAP; dann bleiben die E-Mails auf dem Server und werden nicht heruntergeladen. Sollten die Einstellungen nicht korrekt sein, klicken Sie "Manuell bearbeiten". Falls die Einstellungen nicht stimmen, sehen Sie in Ihrem alten E-Mail-Programm nach, oder suchen Sie auf den Hilfeseiten Ihres E-Mail-Providers nach den korrekten Angaben.

Mitunter hat man auch vor längerer Zeit einen Brief mit den Zugangsdaten erhalten. In der Regel reicht es aber, einfach auf "Konto erstellen" zu klicken. Falls Sie Thunderbird bereits verwenden, prüfen Sie, ob bereits eine neuere Version verfügbar ist. Dazu klicken Sie in der Menüleiste auf "Hilfe" und wählen aus dem Menü den Eintrag "Über Thunderbird". Im nun angezeigten Dialogfenster klicken Sie auf den Schalter "Nach Updates suchen". Ist ein solches vorhanden, installieren Sie es.

Schritt 2: Richten Sie die Verschlüsselung ein

Als Nächstes installieren Sie GnuPG. Dazu installieren Sie GnuPT (!), das einen grafischen Zugriff auf GnuPG ermöglicht und zusätzlich die Schlüsselverwaltung WinPT (Windows Privacy Tray) enthält. Damit Sie auf jeden Fall die aktuelle Version von GnuPT verwenden, laden Sie sich die zugehörige drei MByte große Archivdatei herunter.

Entpacken Sie die ZIP-Datei in einen beliebigen temporären Ordner. Dort starten Sie die "gnupt"-Programmdatei. Als Setup-Sprache wählen Sie das voreingestellte "Deutsch" mit einem Klick auf "OK" aus. Nun werden Sie vom Setup-Assistenten begrüßt, dessen Anweisungen Sie einfach befolgen.

Das Verzeichnis für Ihre Schlüsselringe wird üblicherweise im Benutzerverzeichnis gespeichert. Wenn Sie dies nicht möchten, etwa weil Sie die Schlüssel lieber auf einem USB-Stick verwahren wollen, ändern Sie das Verzeichnis. Anschließend wird auch gleich die oben erwähnte Schlüsselverwaltung WinPT installiert. Bei den vorgegebenen Einstellungen können Sie die Option "WinPT automatisch mit Windows starten" abwählen; der Rest kann übernommen werden.

Schritt 3: Erzeugen Sie ein Schlüsselpaar

Jetzt geht es darum, ein Schlüsselpaar zu erzeugen. Sofern WinPT nicht automatisch nach der Installation von GnuPT gestartet wurde, starten Sie WinPT und wählen die Option "GnuPG Schlüsselpaar erzeugen". Zur Schlüsselerzeugung ist die Eingabe eines sicheren Passwortes nötig. Wir empfehlen Ihnen dringend, ein Backup des Schlüsselbundes zu erstellen, da er sehr wichtig ist.

Bei einem Festplattendefekt oder durch versehentliches Löschen könnten die Dateien verloren gehen, und Sie wären dann nicht mehr in der Lage, Ihre E-Mail-Nachrichten zu lesen. WinPT bietet Ihnen nach dem Erzeugen des Schlüsselpaares an, ein Backup zu erstellen. Nehmen Sie dieses Angebot an, und verwenden Sie für das Backup am besten einen externen Datenträger, etwa einen USB-Stick oder eine USB-Festplatte.

Wichtig: Um jemanden eine verschlüsselte Nachricht senden zu können, müssen Sie den öffentlichen Schlüssel der Person in WinPT importieren. Dazu klicken Sie das Symbol von WinPT in der Taskleiste an und öffnen die "Schlüsselverwaltung". Ihr Schlüsselpaar sollte bereits angezeigt sein. Klicken Sie dieses an, wählen Sie "Schlüssel/Exportieren" und speichern Sie die Datei, etwa auf dem Desktop.

Diese Datei (der öffentliche Schlüssel) gegeben Sie anderen Nutzern weiter, damit sie Ihnen verschlüsselte Nachrichten senden können. Anders herum benötigen Sie den öffentlichen Schlüssel eines Empfängers, um ihn anschreiben zu können. Haben Sie die Datei von Ihrem Empfänger bekommen, gehen Sie in WinPT auf "Schlüssel / Importieren" und fügen den Schlüssel hinzu. Thunderbird ordnet den Schlüssel dann automatisch dem angeschriebenen Empfänger zu.

Schritt 4: So machen Sie Ihre E-Mails sicher

Um Thunderbird mit dem Verschlüsselungsprogramm GnuPG zu verknüpfen, benötigen Sie das Plug-in Enigmail. Alternativ gehen Sie in Thunderbird im Hauptmenü auf "Extras" und dann auf "Addons". Oben in das Suchfeld "Alle Add-ons durchsuchen" tippen Sie "Enigmail" ein und klicken auf das Lupensymbol. In der Ergebnisliste sollte Enigmail ganz oben erscheinen. Sobald Sie auf den Schalter "Installieren" gehen, wird das Addon heruntergeladen. Klicken Sie danach auf "Jetzt neu starten".

Nach einem Neustart von Thunderbird sollte im Hauptmenü der neue Eintrag "OpenPGP" zu finden sein. Jetzt müssen Sie nur noch den zuvor erzeugten Schlüssel Ihrem E-Mail-Konto zuordnen. Wählen Sie in Thunderbird den neuen Menüeintrag OpenPGP, und wählen Sie aus dem Menü den Eintrag "OpenPGP-Assistent". OpenPGP bietet Ihnen an, alle ausgehenden Nachrichten mit einer digitalen Unterschrift zu versehen.

Das ist durchaus sinnvoll, denn so kann der Empfänger sicherstellen, dass die Nachricht tatsächlich von Ihnen stammt und dass sie nicht manipuliert wurde. Empfänger, die keine Verschlüsselung einsetzen, können die Nachricht trotzdem lesen. Alternativ können Sie später auch Regeln festlegen, welcher Empfänger eine solche digitale Unterschrift bekommen soll.

Jetzt geht es um das Verschlüsseln der Nachrichten. Da mit Sicherheit nur ein ausgewählter Kreis von Personen zusammen mit Ihnen auf Verschlüsselung umsteigen wird, wählen Sie die Option "Nein, ich möchte in Empfängerregeln festlegen, wann verschlüsselt werden soll." Den nächsten Schritt bestätigen Sie einfach mit "Ja". Danach sollte der Assistent automatisch den zuvor erzeugten Schlüssel finden, den Sie mit "Weiter" übernehmen.

Es wird eine Zusammenfassung angezeigt, die Sie mit "Weiter" bestätigen. Anschließend wird noch empfohlen, ein Widerrufszertifikat zu erstellen, um den Schlüssel (etwa bei Verlust oder Missbrauch) zurückziehen zu können. Klicken Sie dazu auf "Zertifikat erzeugen", und speichern Sie die erzeugte Datei. OpenPGP ist danach fertig eingerichtet.

Schritt 5: So versenden Sie Verschlüsselte Nachrichten

Um eine verschlüsselte Nachricht zu senden, verfassen Sie in Thunderbird wie gewohnt eine neue Nachricht, an die Sie bei Bedarf Dateien anhängen. Ist alles fertig, klicken Sie auf "OpenPGP", und die "OpenPGP-Sende-optionen" erscheinen. Hier setzen Sie einen Haken vor "Nachricht verschlüsseln".

Alternativ finden Sie unten im Fenster zum Verfassen einer Nachricht zwei kleine Symbole: Mit dem Stift "unterschreiben" Sie die Nachricht, mit dem Schlüssel verschlüsseln Sie diese. Sollte Thunderbird den öffentlichen Schlüssel des Empfängers nicht finden, haben Sie vielleicht vergessen, diesen in WinPT zu importieren, oder Sie müssen ihn in einem Auswahlfenster noch zuordnen. Empfangene verschlüsselte Nachrichten werden dagegen automatisch entschlüsselt.