E-Mail-Verschlüsselung unter Mac OS X

Seit Anfang Februar 2015 arbeite ich an einem komplett neuen Artikel zum Thema „E-Mail-Verschlüsselung mit GnuPG/PGP“.

Dabei geht es natürlich nach wie vor um die GPG Suite, nun aber in Zusammenarbeit mit dem aktuellen OS X 10.10 Yosemite & Apple Mail 8.

Für Anwender von Microsofts E-Mail-Lösung Outlook wird es zusätzlich einen Test von Symantec Desktop Email Encryption geben (also die kommerzielle PGP-Implementierung). Außerdem sollen die drei führenden OpenPGP-Lösungen für iOS vorgestellt werden.

Wo finde ich den ursprünglichen Artikel?

Der Original-Artikel wurde am 17. Dezember 2011 in diesem Blog veröffentlicht und bis zum 28. Februar 2015 regelmäßig um Neuigkeiten ergänzt. Am 01. März 2015 habe ich den Beitrag nun inklusive aller Kommentare „eingefroren“ und als PDF archiviert.

Da sich die Inhalte des Artikels von 2011 mit denen des kommenden Artikels von 2015 stark überschneiden werden (und Google solchen „double content“ gegebenenfalls abstraft), ist das PDF  in einem per Kennwort geschützten 7z-Archiv gesichert.

Bei Interesse kann das Archiv hier herunter geladen werden:

Datei: GPGTools-Anleitung_(Dezember_2011_bis_Februar_2015).7z
Kennwort: !d4*C0-wp6!oR&hsGYq)PPL
SHA1-Prüfsumme: 7ee20c24cf5d32f0f50b936c549d6b447a38f734

Entpacken lässt sich das per Kennwort geschützte 7z-Archiv unter OS X am einfachsten mit Hilfe der Donationware The Unarchiver. Alternativ können auch die kommerziellen Tools BetterZip oder Entropy genutzt werden.

Der eingangs angesprochene, aktuelle Artikel wird zeitnah auf dieser Seite erscheinen.

27 Gedanken zu „E-Mail-Verschlüsselung unter Mac OS X“

  1. Eine wirklich tolle Berichterstattung was GPG angeht. Leider ist es nicht vielen Usern bewusst, wie wichtig das ist. Vor allem heutzutage. Ich glaube, solange die Hersteller wie Apple, Microsoft & Co. diese Funktionen nicht offiziell unterstützen, wird es für die breite Masse der User ein unbekanntes Wesen bleiben.

  2. @key: Ja, da hast Du wohl recht … :roll:

    Nutzer des aktuellen Microsoft Outlook 2011 sind zum Beispiel auf die kommerzielle Version PGP Desktop 10.2 von Symantec angewiesen. Und wenn ich richtig informiert bin, werden dabei bisher auch nur POP3- und IMAP-Konten unterstützt, aber keine Exchange-Konten.

    Für Microsoft Entourage gab es ja immerhin mal ein OpenSource-Projekt, welches GPG-Unterstützung ermöglichte, aber leider ist mir keine derartige Lösung für Outlook unter Mac OS X bekannt …

    @Johannes Koller: Gern geschehen.

  3. Was bedeutet „Terminal öffnen“? Wie?

    In Apple Mail sollte nun unter “Einstellungen” ein neuer Menüpunkt “GPGMail” hinzugekommen sein. In seltenen Fällen kann es leider vorkommen, dass der besagte Menüpunkt nicht angezeigt wird. Taucht dieses Problem auf hilft folgendes:

    Apple Mail beenden.
    Das Terminal öffnen und folgende Befehle eingeben (jeweils mit ENTER bestätigen):

    1. Hallo Herr Dellmann,

      das Programm „Terminal“ befindet sich im Ordner „Dienstprogramme“ im Programme-Ordner.

      Am schnellsten hilft ein „Apfel+Space“, das öffnet das Spotlight-Suchfenster oben rechts und dort könnte man dann z.B. „Terminal“ eingeben. Der Top-Treffer ist dann das gesuchte Programm.

      MfG,
      Marcel Dietzmann

  4. Dank des Links bei Wikipedia bin ich auf Ihre Seite aufmerksam geworden.

    Mit den englischen Anleitungen rund um das Thema “E-Mail-Verschlüsselung unter OS X” bin ich nie weit gekommen – leider fehlen mir die nötigen Sprachkenntnisse (und teilweise wahrscheinlich auch das technische Verständnis).

    Aber mit Hilfe Ihrer Anleitung habe ich es nun erfolgreich geschafft, die GPGTools auf meinem Mac einzurichten. Und bisher funktioniert alles fabelhaft!

    Recht herzlichen Dank dafür (vor allem auch für die vielen kleinen Erläuterungen zum Umgang mit dieser Sicherheitssoftware).

    Mit den besten Grüßen aus dem schönen Schwarzwald nach Berlin,
    Ihr Klaus M. Meier

  5. Auch nach wiederholter Durchführung der nachfolgenden Schritte erscheint in Apple Mail (OS X 10.8.2) “Einstellungen” kein neuer Menüpunkt “GPGMail”:

    Apple Mail beenden.
    Das Terminal öffnen und folgende Befehle eingeben (jeweils mit ENTER bestätigen):
    defaults write com.apple.mail EnableBundles -bool yes
    defaults write com.apple.mail BundleCompatibility -int 3
    Das Terminal verlassen: exit
    Apple Mail erneut starten.

    Der Menüpunkt “GPGMail” erscheint leider nicht.

    Ich bitte um Hilfe.
    Danke!

    1. Hallo,

      leider existiert noch keine 10.8 Mountain Lion kompatible Version, die Entwickler arbeiten aber daran.

      Zitat: „GPGMail doesn’t work under Mountain Lion, but we’re working on a fix. Please help to ensure development by donating.“

      Mit Hilfe einer Spende kann man die Weiterentwicklung unterstützen:

      https://www.gpgtools.org/donate.html

      Eventuell funktioniert ja die von mir beschriebenen „Notlösung“?

      Dazu muss man eine verschlüsselte Mail im Quelltext anzeigen lassen (Apple Mail/Darstellung/E-Mail/Reine Datei), dann alles von

      —–BEGIN PGP MESSAGE—–

      bis

      —–END PGP MESSAGE—–

      markieren und in einer *.txt-Datei speichern. Diese kann man dann mit Hilfe des Kontext-Menüs im Finder umwandeln lassen (Rechtsklick auf die *.txt-Datei, Dienste, OpenPGP: Decrypt). Darauf hin erscheint die Passwortabfrage, so wie man es auch aus Apple Mail gewohnt ist. Man gibt also die entsprechende Passphrase ein und die nun entschlüsselte Datei wird gespeichert und kann somit im Klartext geöffnet werden. Der umgekehrte Weg, um einen verschlüsselten Text zu senden, sollte ebenso funktionieren.

      Getestet habe ich das unter 10.8 noch nicht, aber es wäre einen Versuch wert.

      Derzeit sitze ich auch an einem aktualisierten Artikel zum Thema, sobald die Kompatibilität zu 10.8 offiziell ist, werde ich diesen online stellen.

      Beste Grüße,
      Marcel

  6. Vielen Dank für den Artikel!

    Ich habe eine Frage: Ich nutze mehrere eMailadressen mit ihren jeweiligen pgp-Schlüsseln. Doch nur bei einem Account wird die Mail standardmaäßig signiert, bei den anderen nicht.

    Früher (siehe dein Screenshot „GPGMail Einstellungen – Verfassen unter 10.6.8 Snow Leopard“) konnte ja allgemein festgelegt werden, ob standardmäßig signiert werden soll – kann man diese Einstellung mit der neuen, vereinfachten Darstellung bearbeiten? Hast du da ne Idee?

    (Vereinfachte Darstellungen sind ja ganz nett, aber man sollte mit einem Klick auch an die Erweiterten Optionen rankommen sollen.)

    Vielen Dank und Grüße,
    Anoj

    1. Hallo Anoj,

      da ich bisher nur eine E-Mail-Adresse für das signieren und verschlüsseln nutze, habe ich mir Dein Problem bisher noch nicht näher angesehen.

      Sehr wahrscheinlich lassen sich viele der „verschwundenen“ Einstellungsmöglichkeiten nach wie vor setzen, aber eben nur noch per Terminal.

      Am schnellsten ist es sicher, wenn Du Dich mal direkt an die 4 Entwickler wendest, zur Not kannst Du dort auch auf deutsch statt englisch fragen:

      http://support.gpgtools.org/

      Beste Grüße,
      Marcel

      PS: Wenn Du Dir das zutraust, kannst Du ja schon mal etwas stöbern …

      1. Eine root-shell im Terminal öffnen:

      sudo su -

      2. In das entsprechende Verzeichnis wechseln:

      cd /usr/local/MacGPG2/share/man/man1/

      3. Die manpage von GPG2 aufrufen:

      man gpg2

      Mit „Q“ kannst Du die manpage wieder verlassen.

      Es kann aber durchaus sein, dass man an anderer Stelle „schrauben“ muss, z.B. an einer der Einstellungsdateien unter /usr/local/MacGPG2/bin/ – von daher ist es wohl besser, wie schon gesagt mal direkt bei den Entwicklern anzufragen. 😉

    2. Hallo Anoj,

      wie ich soeben von einem der Entwickler erfahren habe, handelt es sich bei dem Verhalten um einen bug, der sich kürzlich eingeschlichen hat, demnächst aber behoben wird.

      Beste Grüße,
      Marcel

  7. Mittlerweile gibt es eine GnuPG-Version für Mountain Lion und die funktioniert ausgezeichnet zusammen mit Apple-Mail ❗

  8. An dieser Stelle möchte ich mich beim Herrn M. Dietzmann recht herzlich bedanken. Die mir direkt erbrachte , kompetente Unterstützung führte zum vollen Erfolg einer realisierten E-Mail Verschlüsselung. In diesem Sinne kann ich nun meine Erkenntnisse meinen Kollegen weitergeben und dazu beitragen, dass die Verschlüsselungsgemeinde wächst.

    Mit freundlichen Grüssen

    F. Föhr

  9. „Nachteil dieser DMGs ist, dass […] die Verschlüsselung maximal 256Bit-AES unterstützt“

    Was soll das denn bedeuten? Einerseits ist AES-256 deutlich schlechter als AES-128 (siehe Wikipedia), andererseits ist AES-128 derzeit über jeden Zweifel erhaben.

    Eine Passphrase schützt die Schlüsseldatei auf dem Rechner. Mit der Sicherheit der verschlüsselten Nachrichten hat sie nichts zu tun. Sie muss eingegeben werden, wenn der jeweilige geheime Schlüssel benutzt werden soll, aber typischerweise nicht jedes Mal, weil sie (über eine konfigurierbare Zeitspanne) gecacht wird. Wie gut die Passphrase sein sollte, hängt von der Bedrohung ab: Angriff auf den ausgeschalteten Rechner (mit Plattenverschlüsselung), Angriff auf den laufenden Rechner von innen (kleine Schwester) oder von außen (Malware)?

    Technisch zwingend nötig für den Versand verschlüsselter Nachrichten (oder die Prüfung von Signaturen) ist zwar nur, dass man den öffentlichen Schlüssel (das Zertifikat) des Empfängers importiert, aber ungemein wichtig für das Sicherheitsniveau des ganzen Prozesses ist, dass man den importierten Schlüssel vor der Verwendung auch verifiziert, also dessen Fingerprint mit dem vergleicht, den man sich aus einer sicheren Quelle (nein, das ist keine Webseite) besorgt, also idealerweise durch persönlichen Kontakt (auf Papier), mit Einschränkungen auch telefonisch. Damit man die Verifikation auch erkennen kann, sollte man den Schlüssel anschließend zertifizieren (mit dem eigenen Schlüssel unterschreiben), im Zweifelsfall erst mal nur mit einer „lokalen Signatur“ (lsign, nicht für die Öffentlichkeit).

    „Und noch eine Information dürfte von Interesse sein: OpenPGP verschlüsselt den gesamten Text einer E-Mail und bei aktivierter “OpenPGP/MIME”-Option auch die Anhänge.“

    Mit der Mac-Variante kenne ich mich nicht aus, aber grundsätzlich können auch PGP/Inline-Mails verschlüsselte (und/oder signierte) Anhänge enthalten. Die werden dann eben vorher verschlüsselt und das Ergebnis an die Mail rangehängt. Man sollte aber grundsätzlich versuchen PGP/MIME zu verwenden. Das ist die technisch saubere Lösung.

    Wenn man nicht nur mal rumspielen will, sondern einen (potentiell) langlebigen Schlüssel erzeugt (einen für die Öffentlichkeit), dann lohnt es sich, vorher mal zu sichten, was gute Schlüssel von schlechten unterscheidet, weil sich manches im nachhinein nicht mehr (ohne Unannehmlichkeiten) ändern lässt:

    http://www.openpgp-schulungen.de/kurzinfo/schluesselqualitaet/

  10. Prima Artikel, nur finde ich den Ausdruck „private key“ nicht so treffend – „secret key“ würde besser ausdrücken, dass er nicht in fremde Hände geraten soll.

    1. Hallo Thomas,

      Du hast natürlich völlig recht und auch ich fände es sinnvoller, diesen eher „secret key“ statt „private key“ zu nennen (in der deutschen Übersetzung wird er ja tatsächlich auch als „geheimer Schlüssel“ und nicht etwa „privater Schlüssel“ bezeichnet).

      Aber bei der Bezeichnung „private key“ richtete ich mich ja danach, was tatsächlich in der Schlüsseldatei (.asc) steht – und da war immer von „private key“ die Rede …

      In US-amerikanischen Artikeln wird allerdings auch immer von einem „public key“ (also der „öffentliche“) und einem „secret key“ (also der „geheime“) gesprochen. Umso verwunderlicher, dass in den original .asc-Schlüsseln dann „private key“ statt „secret key“ steht.

      Aber so penibel und genau können wahrscheinlich nur wir Europäer sein. 😉

  11. > danke für Deinen Kommentar, darf ich Dich fragen, wie Du meinen Artikel gefunden hast?

    Über Google. Ich habe nach einer Möglichkeit gesucht, wie ein paar Freunde und ich Dateien austauschen können, ohne dass Unbefugte mitlesen können. Ich selber bin Linux-User, habe mich aber mit GPG4Win soweit beschäftigt, dass ich die anderen Freunde da einweisen konnte. Nun stells sich aber heraus, dass ein Mac-User dabei ist. Deshalb bin ich froh, Deinen Artikel gefunden zu haben.

    > Aber bei der Bezeichnung “private key” richtete ich mich ja danach, was tatsächlich in der Schlüsseldatei (.asc) steht – und da war immer von “private key” die Rede …

    Das ist mir noch gar nicht aufgefallen.

    Ich benutzer GPG schon seit den 90er-Jahren auf der Kommandozeile. Noch heute lauten alle Optionen, die mit geheimen Schlüssel zu tun haben, –list-secret-keys, –delete-secret-key, –export-secret-keys, –secret-keyring oder ähnlich. Nur deswegen ist mir das aufgefallen. Ich schließe daraus, dass die Nomenklatur von OpenPGP und GPG diesbezüglich abweicht. Jeder kann selbst entscheiden, ob er der Nomenklatur von OpenPGP oder GPG folgt.

    Im oben genannten Freundeskreis hat übrigens einer versehentlich seinen geheimen Schlüssel mit exportiert und an alle verteilt. Es war nicht weiter schlimm, weil der Schlüssel völlig neu war und noch nie verwendet worden ist. Er hat dann einfach ein neues Schlüsselpaar erzeugt, und den alten Schlüssel weggeworfen.

    Persönlich entscheide ich mich für »geheim«, denn es klingt für mich gefährlicher, einen »geheimen« Schlüssel zu exportieren als einen »privaten«, und dann kommt so ein Fehler vielleicht nicht mehr (so häufig) vor.

  12. Auf der Suche nach mehr Sicherheit stieß ich auch auf GPG.
    Leider sind diese Tools aber nur auf den Teil der Nutzer beschränkt, die sich im Apple Mail/Thunderbird Universum aufhalten.

    Da ich aber beruflich – und über Systemgrenzen hinweg – darauf angewiesen bin, auch Dienste wie MS Outlook zu nutzen, nutzt es mir wenig.

    Und da die übergroße Mehrheit meiner Bekannten und Freunde weder Apple noch Thunderbird nutzen: gpg ist damit nicht wirklich im Alltag sinnvoll nutzbar.
    Schade.

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *