::udel.de:: |
EMail-Verschlüsselung? Wie? Wozu? Gedanken zu Sinn und Unsinn einer alten Idee und einer neuen Technologie. |
Warum sollte irgendjemand seine eMails verschlüsseln (also für andere - außer dem Empfänger - unleserlich machen)? Das Briefgeheimnis ist in Deutschland für die meisten Bürger eine Selbstverständlichkeit. Auch ich gehe davon aus, dass ein zugeklebter Brief nur vom Empfänger geöffnet wird - und der darüber entscheiden kann, wer ihn vielleicht sonst noch lesen darf. Es besteht also ein Vertrauensverhältnis zwischen Absender und Empfänger von Briefen. Bei der zunehmenden Internetnutzung bietet sich eMail auch als Ersatz für den Postbrief an. Es ist allerdings unsicherer. Die eMailadresse eines Empfängers ist oft nicht so beständig wie seine Postadresse. Die Möglichkeit besteht, dass eine 'gewollte' eMail im Spamfilter des Empfängers hängen bleibt. Außerdem gilt: Theoretisch kann jede eMail von jedem mit etwas technischen Know-How mitgelesen werden, ohne dass es dem Sender oder Empfänger auffallen würde. EMails sind von Natur aus nicht zugeklebt wie Briefe. Obwohl für eMails (in Deutschland) das Briefgeheimnis gilt. Ferner können eMails nicht unterschrieben werden wir Briefe - allenfalls elektronisch signiert. Also doch der gute alte Postbrief? Schade um diese schnelle, kostengünstige und bequeme Möglichkeit eMail. Oder eben verschlüsseln. Die Idee der Verschleierung des Inhaltes von Mitteilungen ist uralt. Der römische Kaiser Julius Caesar (100 v.Chr. - 44 v.Chr.) nutzte schon ein Verfahren, um den Inhalt geheimer Depeschen zu verschleiern (Verschiebechiffre). Es ist sicherlich nicht dringend notwendig, alle eMails, die versendet werden zu verschlüsseln. Das geht auch nicht so ohne weiteres. Sie müssen vom Empfänger ja schließlich wieder entschlüsselt werden. Gibt es eMails, die vielleicht verschlüsselt werden sollten? Ich denke schon. Nämlich immer dann, wenn der Inhalt nur für den Empfänger bestimmt ist. Wärend Inhalte, welche man auch auf einer Postkarte versenden würde, die also von jedem, der die Karte in die Hand bekommt gelesen werden könnten, müssen dagegen eher nicht verschlüsselt übertragen werden. Wenn ich dem Käufer meiner - bei ebay versteigerten "Gummibärchensammlung" meine Kontodaten mitteilen möchte, fände ich eine Verschlüsselung wünschenswert. Wenn ich meiner Oma eine Glückwunschkarte zum 80. Geburtstag schicken will, kann das meinetwegen auch von anderen gelesen werden - würde ich also eher nicht verschlüsseln. Nebenbei ist es mir auch schon passiert, dass ich im gegenseitigen Gedankenaustausch Dinge geäußert habe, welche ich so sicherlich nicht gerne auf einem Plakat der Öffentlichkeit präsentiert hätte. Ja vielleicht noch nicht einmal auf einer Postkarte versendet hätte, welche vom Postboten und den anderen Mitbewohnern gelesen werden könnte (von der verhassten oder redseligen Nachbarin z.B.). Ich erhalte diverse Rechnungen mittlerweile auch als eMail. Es ist deutlich billiger. Die Telekom beispielsweise versendet ihre Rechnungen in verschlüsselter Form. Es handelt sich hierbei um eine (PDF-) Datei mit Passwortschutz - das gleiche Passwort, welches auch für den Zugang zum Onlineservice: 'Rechnung-Online' gebraucht wird. Hier hat man den Fall, dass zwischen Sender (Telekom) und Empfänger (mir, dem Kunden) schon ein Vertrauensverhältnis bestand: Ich hatte bereits ein Passwort für einen Service der Telekom, welcher dann auch hier genutzt wird. Diese Voraussetzung besteht aber oft nicht. Wenn ich nun doch jemandem eine verschlüsselte eMail senden möchte, muss ich ihm irgendwie auch einen Schlüssel hierfür übermitteln. Es erklärt sich von selbst, dass es keinen Sinn macht, jemandem per eMail zuerst einen Schüssel, und danach eine, mit diesem Schlüssel verschlüsselte eMail zu senden. Ein Telefonat wäre ein Übermittlungskanal, welcher vielleicht etwas sicherer für die Schlüsselübergabe wäre, als der selbe Kanal wie der, der für den verschlüsselten Brief genutzt wird. Aber mal ehrlich, besonders elegant ist das nicht gerade - erst anrufen um dann einen Brief zu schicken? - Naja. Hierfür bietet sich die asymetrische Verschlüsselung an. Im Gegensatz zu symetrischen Verschlüsselung (ein Schlüssel zum Ver- und Entschlüsseln) wird mit einem Schlüssel verschlüsselt und mit einem anderen entschlüsselt. Mit dem Verschlüsselungsschlüssel darf es natürlich nicht möglich sein, zu entschlüsseln - und das gibt es sogar. Der Verschlüsselungsschlüssel (Öffentlicher Schlüssel - public key) ist öffentlich bekannt und der Entschlüsselungsschlüssel (geheimer Schlüssel - secret key) ist geheim, und nur dem Empfänger bekannt. In einer allgemein zugänglichen Datenbank (=Keyserver) werden alle öffentlichen Schlüssel zum download für Jedermann bereitgehalten. Hier suche ich mir einfach den passenden Schlüssel von meinem Briefpartner aus und verschlüssele die, für ihn gedachten eMails damit. Programme, welche so etwas ermöglichen sind zum Beispiel: PGP (pretty good privacy) oder GnuPG (Gnu Privacy Guard). Zu PGP gibt es eine gut lesbare, nicht Technische Einführung. Mit dieser Software ist die Erzeugung von eigenen Schlüsseln (Schlüsselpaare - je ein secret key und ein public key), die Ver- und Entschlüsselung, die Nutzung von öffentlichen Schlüsseln anderer, das Erzeugen elektronischer Signaturen und die Überprüfung selbiger möglich. Je nach Software integriert sich dieses System auch so in die eMail-Programme, dass ein Knopfdruck zum Ver- bzw. Entschlüsseln oder Signieren reicht (Entschlüsseln und Signieren erfordert - je nach Einstellung des Programms - jedes mal ein Passwort). Ferner kann er erhaltene eMails mit elektronischer Signatur darauf prüfen, ob sie vom angegebenen Absender stammen (was nicht immer der Fall sein muss - und typischerweise bei SPAM auch nicht ist). Hierdurch wird die eMail-Verschlüsselung praxistauglich. Der Nutzer kann seiner Korrespondenz etwas anvertrauen. |
Diese Webseite wurde erzeugt mit Hilfe des Quanta HTML-Editors Ver. 3.5.5 und ist auch mit dem Textbrowser lynx darstellbar. |
© 2007 by Christof Ihle unter der GNU General Public License |
¤ www.udel.de/krypto/index.html ¤ Impressum ¤ web@udel.de ¤