Pretty Good Privacy (PGP)

WWW-Kurs empfiehlt:
Webspace von

Kursnavigator:

Sicherheit

Checkliste

Passwörter

Schutz vor Viren

Gefahren und Nepp im Internet

Verschlüsselung/Kryptographie

Pretty Good Privacy (PGP)

Der Lauschangriff

Was ist ein Cookie?

Urheberrecht/Copyright

In eigener Sache

Jugendschutz

Pretty Good Privacy (PGP) Stand: 2006-02-03

Was ist PGP?

PGP steht für "Pretty Good Privacy" (zu deutsch etwa "recht gute Privatsphäre") und ist ein Programm zur Verschlüsselung von E-Mails und anderen Dateien. Außerdem können Dokumente mit einer elektronischen Unterschrift versehen werden. Der Empfänger eines solchen Dokumentes kann sich darauf verlassen, dass der Absender auch der Autor ist, und kein Dritter es versendet bzw. verändert hat.
PGP wurde von Philip Zimmermann [nicht verwandt mit mir ;-) ] entwickelt.
PGP arbeitet mit dem RSA-Algorithmus und öffentlichen Schlüsseln (Public-Keys) und gilt als sehr sicher.
PGP kann als Freeware kostenlos über viele Sharewarearchive bezogen werden.
PGP ist für plattformunabhängig und für Atari, DOS, Macintosh, Unix, VAX/VMS, Windows, u.a. Systeme verfügbar.
PGP ist im E-Mail-Bereich mittlerweile zu einem Quasi-Standard geworden, sowohl für private als auch professionelle Anwender.

Wenn Sie sich PGP besorgt und installiert haben, erzeugen Sie sich erst einmal ein Schlüsselpaar

, bestehend aus dem öffentlichen Schlüssel(Public-Key) und dem privaten bzw. geheimen Schlüssel(Secret- oder Private-Key).
Der private Schlüssel

wird nicht herausgegeben und muss sorgsam gehütet werden.
Jeder, der Ihnen eine mit PGP verschlüsselte Nachricht zukommen lassen will, benötigt hierfür Ihren öffentlichen Schlüssel

.
Man spricht daher auch von einer Public-Key-Verschlüsselung. Die Nachricht wird vom Absender mit dem öffentlichen Schlüssel des Empfängers verschlüsselt und an ihn geschickt. Nur der Empfänger kann die für ihn bestimmte Nachricht mit seinem privaten Schlüssel entschlüsseln.
Im Gegensatz zu herkömmlicher Verschlüsselungstechnik werden keine "abhörsicheren Kanäle" gebraucht, durch die zwischen Sender und Empfänger die Schlüssel ausgetauscht werden. Außerdem muss man die öffentlichen Schlüssel nicht verstecken, was zusätzlich die Sicherheit des Verfahrens erhöht.

PGP kann über Prüfsumme der Schlüsselbits einen Fingerprint (Fingerabdruck) erzeugen. Bestätigt der Sender dem Empfänger diesen Fingerprint, so muss der Schlüssel echt sein.
Ein Fingerprint eines Schlüssels kann so aussehen: F9 E5 BA B3 36 CE CC 1E CE CC 43 12 3D 16 26 57 86 F5

Ähnlich den Nummern auf Sicherheitsschlüsseln gibt es für jeden Key eine eindeutige Key-ID, also eine Schlüsselnummer.
Es ist eine Ziffer, die mit '0x' anfängt, z.B.: 0x21F1B8E1

PGP-Logo Beispiel

Schüsselbund:
Lucy
Charlie Lucy

Woodstock Schüsselbund:
Woodstock
Snoopy

...
Charlie
Lucy
Snoopy
Woodstock
... Key-
Server

WWW

Schüsselbund:
Snoopy
Woodstock
Charlie Snoopy

Charlie Schüsselbund:
Charlie
Lucy
Snoopy
Woodstock

Wenn Lucy eine verschlüsselte E-Mail an Charly schicken will, benötigt sie seinen öffentlichen Schlüssel. Diesen bekommt sie entweder per E-mail von Charlie selber oder holt ihn von einem Keyserver, sofern er dort hinterlegt ist. Jeder hat an seinem "Schlüsselbund" sein eigenes Schlüsselpaar und ein oder mehrere öffentlichen Schlüssel von möglichen Adressaten.
Charlie kann an alle 3 anderen eine verschlüsselte Botschaft schicken, Woodstock nur an Snoopy.
Die öffentlichen Schlüssel werden zusammen mit der zugehörigen E-Mail-Adresse auf dem eigenen Rechner gespeichert.

Downloadmöglichkeiten finden Sie z.B. beim "International PGP Home" unter http://www.pgpi.org/ ()
(Stand 2003-09: PGP-Version 8.0 for Windows 9x/ME/NT/2000/XP).

PGP-Links

Praxisorientierte deutsche PGP-Anleitung für Anfänger http://www.datenschutzzentrum.de/selbstdatenschutz/internet/pgp/anleitun.htm (Stand 2006-02).
PGP-Anwendertipps finden Sie unter: http://www.helmbold.de/pgp/ (Stand 2006-02)
Deutscher Key-Server unter http://www.keyserver.de/
Hier haben Sie die Möglichkeit, nach PGP Public Keys zu suchen, einen Upload Ihres Keys durchzuführen, Ihren Key zertifizieren zu lassen und nach deutschen Informationen zum Thema PGP zu suchen (Stand 2006-02).
Zertifizierungsinstanz der Humboldt-Universität zu Berlin (HU-CA): http://ca.hu-berlin.de/ (Stand 2003-09).

Als Alternative zu PGP empfiehlt sich der Einsatz der Open-Source Verschlüsselungs-Software "GNU Privacy Guard", siehe im Glossar unter GnuPG.