In diesem Artikel wird das Verfahren der asymmetrischen Verschlüsselung, wie es bei E-Mail-Verschlüsselung mittels PGP angewendet wird, bildlich erklärt. Um das Verfahren in Zusammenhang zu anderen Verschlüsselungsvarianten zu bringen, könnt ihr euch auch gerne noch einmal den Cryptool-Artikel durchlesen. Dort sind wir bereits grundsätzlich auf Methoden der Verschlüsselung und die Unterscheidung zwischen asymmetrischer und symmetrischer Verschlüsselung eingegangen.

Zur Erinnerung:

Bei asymmetrischer Verschlüsselung werden zum Ver- und Entschlüsseln verschiedene Schlüssel verwendet. Die verschlüsselnde Person kennt den Schlüssel zum Entschlüsseln in aller Regel nicht. Verschlüsselt wird mit dem öffentlichen Schlüssel und entschlüsselt wird mit dem privaten oder geheimen Schlüssel.

Und da das alles im ersten Moment verwirrend erscheint, möchten wir neue Namen einführen:

Vorhängeschloss und geheimer Schlüssel

Der öffentlicher Schlüssel heißt in diesem Artikel Vorhängeschloss. Von diesen Vorhängeschlössern gibt es unendlich viele Kopien und sie können damit leicht in alle Welt verteilt werden. Verschickt man sie geöffnet, können sie von jedem verschlossen werden, aber danach nur mit dem passenden geheimen Schlüssel geöffnet werden.

Wir werfen hier jetzt einen Blick auf die verschlüsselte E-Mail-Kommunikation zwischen Lukas und Melanie. Melanie nutzt bereits seit längerem die PGP-Verschlüsselung und hat bereits allen Freunden ihr offenes blaues Vorhängeschloss (also ihren öffentlichen Schlüssel) gegeben. Lukas möchte das jetzt auch erstmals ausprobieren.

In einer perfekten Welt

  1. Lukas verschickt einen Brief, den er mit Melanies blauem Vorhängeschloss verschließt. Dafür braucht er keinen geheimen Schlüssel, er drückt das Vorhängeschloss einfach zu. Außerdem hängt er noch sein offenes rotes Vorhängeschloss daran, sodass Melanie auch ihm einen verschlüsselten Brief schicken kann.
  2. Der Brief kommt bei Melanie an und mit ihren blauen Schlüssel öffnet sie ihr blaues Vorhängeschloss (sie entschlüsselt die Nachricht also mit ihrem geheimen Schlüssel). Außerdem nimmt sie Lukas‘ offenes rotes Vorhängeschloss.
  3. Melanie schreibt einen Antwortbrief und drückt Lukas‘ rotes Schloss zu und schickt die Nachricht auf den Weg.
  4. Lukas öffnet sein rotes Vorhängeschloss mit seinem roten geheimen Schlüssel. Er nimmt die Nachricht aus der Versandtasche und freut sich über Melanies Brief.

Das verschlüsselte Austauschen von Nachrichten hat also geklappt!

Reale Welt: mit Betrügern (man in the middle)

  1. Lukas schickt einen Brief, den er mit Melanies blauem Vorhängeschloss verschließt, los. Dafür braucht er keinen geheimen Schlüssel, er drückt das Vorhängeschloss einfach zu. Außerdem hängt er noch sein offenes rotes Vorhängeschloss daran, sodass Melanie ihm einen verschlüsselten Brief schicken kann.
  2. Anton, ein fuchsiger Typ, will gerne mitbekommen, worüber sich Lukas und Melanie unterhalten. Er kann aber die verschlossene Nachricht nicht öffnen, weil er Melanies blauen Schlüssel (also Melanies geheimen Schlüssel) nicht hat. Aber er kann das offen mitgeschickte rote Schloss von Lukas gegen ein oranges tauschen. So wird Melanie glauben, Lukas hätte ein oranges Schloss.
  3. Der Brief kommt bei Melanie an und mit ihrem blauen Schlüssel öffnet sie das blaue Vorhängeschloss (sie entschlüsselt die Nachricht also mit ihrem geheimen Schlüssel). Außerdem nimmt sie das offene Schloss und denkt es sei Lukas‘ Schloss.
  4. Melanie schreibt einen Antwortbrief, drückt das oranges Schloss zu und schickt die Nachricht auf den Weg.
  5. Anton fängt die Nachricht ab und kann sie öffnen, denn das orange Schloss ist ja seines. Nachdem er die Nachricht gelesen und sogar verändert hat, verschließt er den Brief mit Lukas‘ rotem Schloss. So werden Melanie und Lukas keinen Verdacht schöpfen.
  6. Lukas öffnet das rote Vorhängeschloss mit seinem roten Schlüssel. Er freut sich, weil er glaubt, dass Melanie und er jetzt unter Wahrung des Briefgeheimnisses miteinander kommuniziert haben.

In diesem Fall gab es zwar verschlüsselte Kommunikation, aber nicht zwischen den gewünschten Parteien. Weder Melanie noch Lukas haben von Antons Machenschaften etwas mitbekommen.

Notwendigkeit von Fingerabdruck und Signatur

In unserem Beispiel konnte Anton zwei Dinge tun, ohne dass Melanie oder Lukas etwas davon mitbekommen haben: a) mitlesen, b) die Nachricht verändern. Dagegen gibt es zwei Schutzmaßnahmen:

Fingerabdruck

Um zu vermeiden, dass Anton im vorherigen Beispiel so leichtes Spiel hat, hätte Melanie wissen müssen, dass Antons Schloss rot ist. Diese einzigartige Farbe des Schlosses heißt bei der realen PGP-Verschlüsselung Fingerabdruck und ist eine 40stellige Zahlen- und Buchstabenkombination. Wenn Anton und Melanie sich über ein anderes Kommunikationsmittel über ihr Schlossfarben ausgetauscht hätten (z.B. Telefon, oder persönliches Abgleichen der Fingerabdrücke), hätte Melanie gewusst, dass Anton kein oranges Schloss hat. Es ist also immer wichtig, über den Fingerabdruck sicherzustellen, dass man gerade wirklich das Vorhängeschloss (bzw. den öffentlichen Schlüssel) des Adressaten verwendet.

Signatur

Die Signatur ist einer Unterschrift gleichzusetzen und bestätigt, dass der Nachrichteninhalt tatsächlich vom Absender stammt. Anton könnte hier also die Nachricht nicht mehr verändern.
Leider lässt sich diese Signatur nicht mit dem gleichen Prinzip wie vorhin anschaulich erklären und es wird jetzt etwas abstrakter. Für Signaturen werden ebenfalls sowohl der geheime als auch der öffentliche Schlüssel benutzt, allerdings genau anders herum. Eine Signatur wird mir dem geheimen Schlüssel des Unterzeichnenden erzeugt. Der Empfänger prüft die Signatur mit dem öffentlichen Schlüssel des Absenders auf Richtigkeit und kann sich so sicher sein, eine unveränderte Nachricht erhalten zu haben.

 

Wenn ihr euch nach dieser Einführung in die asymmetrische Verschlüsselung bei PGP noch genauer damit auseinandersetzen wollt, empfehlen wir euch dieses Handbuch.

Die einzelnen Schritte des Prozesses werden sehr anschaulich erläutert, im Anschluss aber auch die technischen Umsetzung aufgezeigt.

Habt ihr noch weitere Ideen wie man den Prozess anschaulich erklären kann? Dann ab damit in die Kommentare. Auch Fragen und Anregungen sind gerne gesehen.

– Eure Datenschutzhelden