Mit Google fortfahren
Manchmal soll eine Nachricht nicht für alle lesbar sein. Zum Beispiel, wenn du ein Passwort, ein Zeugnisdokument oder eine vertrauliche E-Mail verschickst. Dann reicht es nicht, dass die Verbindung unterwegs kurz geschützt ist. Die Nachricht selbst muss geschützt werden.
- Du verstehst, wofür PGP benutzt wird.
- Du kannst öffentlichen und privaten Schlüssel unterscheiden.
- Du erkennst, warum PGP zwei Verschlüsselungsarten kombiniert.
- Du weißt, was digitale Signaturen prüfen.
- Du kannst typische Grenzen und Risiken von PGP erklären.
Wofür PGP da ist
Wenn du eine normale E-Mail sendest, läuft sie oft über mehrere Server. Dabei kann sie an bestimmten Stellen verarbeitet oder gespeichert werden. Für private oder wichtige Inhalte ist das ungünstig.
PGP ist ein Verfahren, mit dem man Daten verschlüsseln und digital unterschreiben kann. Die Abkürzung steht für Pretty Good Privacy. Gemeint ist: Der Inhalt soll für andere unlesbar bleiben, und der Empfänger soll prüfen können, ob die Nachricht wirklich von der richtigen Person kommt.
Verschlüsselung bedeutet: Lesbare Daten werden mit einem Schlüssel in unlesbare Daten umgewandelt.
Entschlüsselung bedeutet: Die unlesbaren Daten werden mit dem passenden Schlüssel wieder lesbar gemacht.
PGP ist ein Verfahren für verschlüsselte Nachrichten, verschlüsselte Dateien und digitale Signaturen.
Mira möchte Leo eine E-Mail mit einer privaten Projektidee schicken. Ohne Verschlüsselung könnte der Inhalt auf dem Weg theoretisch an mehreren Stellen sichtbar werden. Mit PGP wird der Text vor dem Senden unlesbar gemacht. Leo kann ihn erst mit seinem passenden Schlüssel wieder öffnen.
PGP schützt nicht den ganzen Weg wie ein Tunnel. PGP schützt den Inhalt selbst.
Interaktive Quizfrage wird geladen ...
Öffentlicher und privater Schlüssel
Stell dir einen Briefkasten vor. Jeder darf einen Brief hineinwerfen. Aber nur die Person mit dem passenden Schlüssel kann ihn wieder herausholen. So ähnlich arbeitet PGP mit zwei verschiedenen Schlüsseln.
Ein Schlüsselpaar besteht aus einem öffentlichen Schlüssel und einem privaten Schlüssel. Der öffentliche Schlüssel darf verteilt werden. Mit ihm können andere eine Nachricht für dich verschlüsseln oder deine Signatur prüfen. Der private Schlüssel bleibt geheim. Mit ihm entschlüsselst du Nachrichten an dich oder signierst eigene Nachrichten.
Ein öffentlicher Schlüssel ist ein Schlüssel, den andere kennen dürfen. Sie nutzen ihn, um eine Nachricht für dich zu verschlüsseln.
Ein privater Schlüssel ist dein geheimer Schlüssel. Nur du darfst ihn besitzen. Du nutzt ihn, um Nachrichten an dich zu entschlüsseln.
Ein Schlüsselpaar besteht aus genau diesen beiden zusammengehörenden Schlüsseln.
Leo veröffentlicht seinen öffentlichen PGP-Schlüssel. Mira nimmt diesen öffentlichen Schlüssel und verschlüsselt damit ihre Nachricht an Leo. Danach kann nicht einmal Mira diese verschlüsselte Nachricht einfach wieder lesen. Leo nutzt seinen privaten Schlüssel und entschlüsselt sie.
Der öffentliche Schlüssel ist nicht gefährlich, nur weil ihn andere sehen. Gefährlich wird es, wenn dein privater Schlüssel verloren geht oder gestohlen wird.
Interaktiver Lückentext wird geladen ...
Interaktive Quizfrage wird geladen ...
Warum PGP zwei Verfahren kombiniert
Vielleicht fragst du dich: Warum verschlüsselt PGP nicht einfach alles nur mit dem öffentlichen Schlüssel? Der Grund ist praktisch. Diese Art der Verschlüsselung ist sicher, aber für große Daten oft langsam.
Asymmetrische Verschlüsselung nutzt zwei verschiedene Schlüssel: einen öffentlichen und einen privaten. Symmetrische Verschlüsselung nutzt dagegen denselben geheimen Schlüssel zum Verschlüsseln und Entschlüsseln. PGP verbindet beide Arten. Das nennt man hybride Verschlüsselung.
Asymmetrische Verschlüsselung arbeitet mit einem öffentlichen und einem privaten Schlüssel.
Symmetrische Verschlüsselung arbeitet mit einem gemeinsamen geheimen Schlüssel.
Hybride Verschlüsselung kombiniert beide Verfahren, damit die Nachricht schnell und trotzdem sicher übertragen wird.
So läuft es vereinfacht ab: PGP erzeugt für eine Nachricht einen zufälligen Sitzungsschlüssel. Dieser Sitzungsschlüssel verschlüsselt den eigentlichen Inhalt schnell symmetrisch. Danach wird nur dieser Sitzungsschlüssel mit dem öffentlichen Schlüssel des Empfängers asymmetrisch verschlüsselt.
Ein Sitzungsschlüssel ist ein zufälliger Schlüssel, der nur für eine bestimmte Nachricht oder Sitzung benutzt wird.
Mira schreibt eine längere Datei an Leo. PGP verschlüsselt die Datei mit einem frischen Sitzungsschlüssel. Dann verschlüsselt PGP diesen Sitzungsschlüssel mit Leos öffentlichem Schlüssel. Leo entschlüsselt zuerst den Sitzungsschlüssel mit seinem privaten Schlüssel. Danach kann er damit die Datei lesen.
PGP verschlüsselt meistens nicht die ganze Nachricht mit dem öffentlichen Schlüssel. Es verschlüsselt die Nachricht schnell mit einem Sitzungsschlüssel und schützt diesen Sitzungsschlüssel mit dem öffentlichen Schlüssel.
Interaktive Mindmap wird geladen ...
Interaktive Quizfrage wird geladen ...
Digitale Signaturen
Eine verschlüsselte Nachricht ist geheim. Aber geheim heißt noch nicht automatisch echt. Jemand könnte dir eine Nachricht schicken und behaupten, sie sei von einer bestimmten Person. Deshalb gibt es digitale Signaturen.
Eine digitale Signatur ist ein kryptografischer Nachweis zu einer Nachricht. Sie hilft zu prüfen, ob die Nachricht wirklich vom Besitzer des privaten Schlüssels signiert wurde. Außerdem zeigt sie, ob der Inhalt seit dem Signieren verändert wurde.
Authentizität bedeutet: Die Nachricht stammt wirklich von der angegebenen Person.
Integrität bedeutet: Die Nachricht wurde nach dem Signieren nicht verändert.
Eine digitale Signatur ist ein Prüfzeichen für Authentizität und Integrität.
Beim Signieren wird aus der Nachricht zuerst ein kurzer Prüfwert gebildet. Dieser Prüfwert heißt Hashwert. Ein Hashwert ist wie ein digitaler Fingerabdruck der Nachricht. Schon eine kleine Änderung am Text erzeugt einen anderen Hashwert.
Ein Hashwert ist ein kurzer Prüfwert, der aus Daten berechnet wird. Er hilft, Veränderungen an den Daten zu erkennen.
Mira signiert die Nachricht: "Treffen um 15 Uhr." Leo prüft die Signatur mit Miras öffentlichem Schlüssel. Wenn jemand die Nachricht zu "Treffen um 18 Uhr" ändert, passt die Signatur nicht mehr. Leo merkt, dass etwas verändert wurde.
Verschlüsselung schützt vor Mitlesen. Eine digitale Signatur schützt vor unbemerktem Verändern und falscher Absenderangabe.
Interaktive Quizfrage wird geladen ...
Schlüssel prüfen und Vertrauen
Ein öffentlicher Schlüssel darf offen verteilt werden. Das ist praktisch. Es kann aber ein Problem entstehen: Woher weißt du, dass ein öffentlicher Schlüssel wirklich zur richtigen Person gehört?
Die Prüfung eines Schlüssels nennt man Verifikation. Dabei vergleichst du zum Beispiel den Fingerabdruck eines Schlüssels über einen zweiten Kanal. Ein Fingerabdruck ist ein kurzer, eindeutiger Prüfwert für einen Schlüssel. Du kannst ihn etwa telefonisch vergleichen, wenn du den Schlüssel per E-Mail bekommen hast.
Verifikation bedeutet: Du prüfst, ob etwas wirklich stimmt.
Ein Fingerabdruck eines Schlüssels ist ein kurzer Prüfwert, mit dem man einen öffentlichen Schlüssel wiedererkennen kann.
Das Web of Trust ist ein Vertrauensmodell, bei dem Menschen Schlüssel gegenseitig bestätigen, statt nur einer zentralen Stelle zu vertrauen.
Mira lädt Leos öffentlichen Schlüssel von einem Schlüsselserver herunter. Damit sie sicherer ist, ruft sie Leo an und vergleicht den Fingerabdruck. Stimmen die Zeichen überein, ist es sehr wahrscheinlich der richtige Schlüssel. Stimmen sie nicht überein, sollte sie den Schlüssel nicht benutzen.
Ein falscher öffentlicher Schlüssel ist gefährlich. Dann verschlüsselst du zwar, aber möglicherweise für die falsche Person.
Interaktiver Lückentext wird geladen ...
Interaktive Quizfrage wird geladen ...
Was PGP kann und was nicht
PGP ist stark, aber es löst nicht jedes Sicherheitsproblem. Das ist wichtig, damit du es richtig einschätzt. Gute Kryptografie hilft wenig, wenn der private Schlüssel gestohlen wird oder wenn du dem falschen öffentlichen Schlüssel vertraust.
PGP schützt den Inhalt einer Nachricht oder Datei. Es macht dich aber nicht automatisch anonym. Absender, Empfänger, Zeitpunkt und oft auch Betreffzeilen können trotzdem sichtbar sein. Außerdem müssen Sender und Empfänger passende Software oder Dienste nutzen.
Leo sendet eine PGP-verschlüsselte E-Mail an Mira. Der Text im Inhalt ist geschützt. Der Mailserver kann aber weiterhin sehen, dass Leo an Mira eine E-Mail geschickt hat. Wenn Leo in die Betreffzeile "Geheimes Passwort" schreibt, kann diese Betreffzeile je nach Programm trotzdem sichtbar sein.
PGP ist gut für vertrauliche Inhalte. Es ersetzt aber nicht gutes Schlüsselmanagement, sichere Geräte und vorsichtige Betreffzeilen.
Interaktive Lernkarten wird geladen ...
Interaktive Quizfrage wird geladen ...
Zusammenfassung
PGP schützt Nachrichten und Dateien, indem es Verschlüsselung und digitale Signaturen nutzt. Für die Verschlüsselung arbeitet PGP mit einem öffentlichen und einem privaten Schlüssel. Der öffentliche Schlüssel darf verteilt werden. Der private Schlüssel bleibt geheim.
PGP nutzt hybride Verschlüsselung. Der Inhalt wird schnell mit einem Sitzungsschlüssel verschlüsselt. Dieser Sitzungsschlüssel wird dann mit dem öffentlichen Schlüssel des Empfängers geschützt. So verbindet PGP Geschwindigkeit mit sicherem Schlüsselaustausch.
Digitale Signaturen helfen dir, Authentizität und Integrität zu prüfen. Du erkennst also, ob eine Nachricht zur richtigen Person gehört und ob sie verändert wurde. Wichtig bleibt: Prüfe öffentliche Schlüssel, schütze private Schlüssel und denke daran, dass PGP Inhalte schützt, aber nicht automatisch anonym macht.