Startseite Gästebuch Kontakt Podcast Suche Impressum
Über unsTeichoskopBauerngartenTheologieKinderkirchePC und WebFotosLoginSitemapSucheStartseite
 
 
Mit Brief und Siegel: Mails mit digitaler Signatur
Ich signiere meine Emails meistens mit einer digitalen Signatur. Das sichere Verschließen und Signieren von Nachrichten ist eigentlich nichts Neues: Schon im Mittelalter wurden Briefsiegel verwendet, um übermittelte Texte zu schützen und die Herkunft der Nachricht zu zertifizieren. Eine digitale Signatur sieht natürlich etwas anders aus als ein traditionelles Briefsiegel. Sie wird übrigens jedes Mal durch ein kompliziertes mathematisches Verfahren neu erzeugt, ist äußerst fälschungssicher und sieht in etwa so aus:
 
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (MingW32) - WinPT 0.7.96
Comment:
 
iD8DBQE976OZyCnE1C9ianYRApSkAJ
9N3dnF+FLGp+MqAQECnJHV+w75AQCf
eU7T/erZ8IMZfim+Z3nu1UyiYWM==4vR8
-----END PGP SIGNATURE-----

 
Achtung: Das bloße Vorhandsein der Signatur sagt überhaupt nichts aus - denn sie wird für jede Mail neu erzeugt und sieht jedes Mal anders aus! Sonst wäre es ja ein Leichtes, sie einfach zu kopieren, um eine Fälschung zu kaschieren. Jede signierte Mail muß neu auf die Gültigkeit der Signatur überprüft werden. Das ist ganz einfach und wird weiter unten im Text beschrieben.
Wozu dient die Signatur?
Stören Sie sich nicht an diesen (zugegeben etwas schmucklosen) Zeilen in meinen Mails - sind zu Ihrem Nutzen da. Denn anhand der digitalen Signatur kann der Empfänger zwei Dinge überprüfen:
  • daß die Mail unversehrt ist
  • daß sie wirklich vom angegebenen Absender stammt
Manipulationen von herkömmlichen Emails sind leicht möglich. Digital signierte Mails können dagegen nicht manipuliert werden, weil dadurch die Signatur zerstört würde. Auch Absenderangaben von Mails sind sehr leicht zu fälschen. Vom Absender einer Mail darf nie auf die Zuverlässigkeit des Inhalts geschlossen werden! Im Prinzip kann jeder jede beliebige Nachricht verschicken - und dabei sogar den Stil Ihrer Kommunikationspartner imitieren! Eine durch Prüfung als intakt diagnostizierte Signatur stellt hingegen sicher, daß die Mail tatsächlich vom angegebenen Absender stammt und ihr Inhalt unverändert übermittelt wurde.
 
Das spielt vor allem beim Austausch von vertraulichen Informationen eine wichtige Rolle. Denken Sie z.B. an die Übermittlung von Bankverbindungen (Ebay-Auktionen!) oder Dateianhänge (könnten unter falschem Namen verschickt werden und Viren enthalten). Wenn Sie in der Lage sind, digitale Signaturen zu überprüfen, können Sie feststellen, ob die erhaltenen Daten vertrauenswürdig sind.
 
Um die Signatur zu überprüfen, benötigen Sie eine Verschlüsselungssoftware wie PGP oder GnuPG (beide kostenlos). Wenn die Signatur als ungültig angezeigt wird, kann das bedeuten, daß der empfangene Text nicht dem gesendeten entspricht oder die Absenderangabe gefälscht wurde.
 
Wenn Sie die Signatur nicht nutzen wollen, ändert sich für Sie nichts - Sie können meine elektronische Post wie gewohnt lesen und ignorieren einfach die zusätzlichen Zeilen am Anfang und Ende der Mail. Aber denken Sie daran: das bloße Vorhandsein der Signatur sagt überhaupt nichts aus - der Signaturcode ist jedes Mal neu und muß auch jedes Mal mit Hilfe der o.g. Software neu überprüft werden!
Ein kleines Anwendungsbeispiel: Adressenwechsel-Szenario
Nehmen wir an, Sie verschicken gelegentlich Mails an größere Personengruppen (Rundschreiben, Einladungen, etc.), wobei es möglich ist, daß alle Adressaten auch die Adressen der anderen sehen können (das kommt häufig vor und könnte durch Gebrauch der BCC-Funktion verhindert werden können). So weit ist noch nichts schlimmes passiert.
Jetzt kommt eine Person aus dem Verteiler auf die Idee, Ihre elektronische Post abzufangen. Dazu legt sie ein neues Postfach neueadresse@irgendwo an und schreibt unter gefälschtem Absender (nämlich unter IHRER Mailadresse) eine Mail an die anderen Adressen aus dem Verteiler einen kurzen Text, etwa: "Meine Mailadresse hat sich geändert und lautet nun: neueadresse@irgendwo".
Wenn die Empfänger dieser Mail blind vertrauen (das wird meistens der Fall sein) und daraufhin ihre Adreßbucheinträge ändern, bekommt ab jetzt der Spion die elektronische Post, die eigentlich an Sie gehen sollte. Bis der Schwindel auffliegt, könnte er so Zugriff auf vertrauliche Kundendaten, Aufträge, persönliche Informationen, Passwörter usw. bekommen - und das alles ohne großen technischen großen Aufwand. Würden Sie und die beteiligten Personen elektronische Signaturverfahren benutzen, hätte der Schwindel leicht aufgedeckt werden können - denn anhand der Signatur kann die Echtheit der Verfasserangabe überprüft werden.
 
Dieses Szenario ist nur eine von vielen Möglichkeiten, durch gefälschte Emails Schaden anzurichten. Durch das digitale Signieren könnte die Sicherheit des Mediums Email stark verbessert werden - erstaunlich, daß immer noch so wenig Anwender davon Gebrauch machen.
 
Achtung: Das bloße Vorhandsein der Signatur sagt überhaupt nichts aus - denn sie wird für jede Mail neu erzeugt und sieht jedes Mal anders aus! Sonst wäre es ja ein Leichtes, sie einfach zu kopieren, um eine Fälschung zu kaschieren. Jede signierte Mail muß neu auf die Gültigkeit der Signatur überprüft werden.
Wie überprüfe ich die Signatur?
Diese kurze Anleitung erklärt, wie Sie die Signatur in meinen Mails überprüfen können. Die Schritte 1-3 müssen Sie dabei nur einmalig ausführen (sie dienen zur Einrichtung der Software). Das Überprüfen von Signaturen geht später sekundenschnell und mit wenigen Mausklicks. Wenn Sie bei Schritt 4 angelangt sind, sind Sie selbst in der Lage, signierte oder verschlüsselte Mails zu versenden - die Grundlage für sichere Email-Kommunikation.
  1. Laden Sie das kostenlose Verschlüsselungssystem gpg4win für MS Windows aus dem Internet herunter und installieren Sie es.
     
     gpg4win: EMail-Sicherheit mit GnuPG für Windows
    Download des kostenlosen Verschlüsselungspakets
    [Diesen Link als ungültig melden]
     
  2. Nun laden Sie sich von einem Key-Server meinen öffentlichen Schlüssel herunter. Das müssen Sie nur einmal durchführen, der Schlüssel ist danach auf Ihrem Rechner gespeichert. Wenn Sie den Schlüssel bereits haben, lesen Sie bei Punkt 4. weiter.
    Meine Schlüssel-ID für private Kontakte lautet: 0x653794a0
    Die Schlüssel-ID für dienstliche Kontakte lautet: 0x3e35d50d
     
     Dieser Link ...
    [Diesen Link als ungültig melden]
    ... öffnet ein neues Browserfenster und zeigt Ihnen als Beispiel meinen Schlüssel (ID 0x653794a0) auf dem Key-Server an. Sie können meine öffentlichen Schlüssel auch direkt herunterladen:
     
Mein persönlicher GnuPG-Key (für private Kontakte)
Key ID: 0x653794A0
Algorithm: DSA/ELG
Size: 1024
Created: 2004-12-30
Expires: 2007-12-30
Fingerprint:
E557 A34B 9C79 BE8F 8651 BB39 49F0 644E 6537 94A0
 
s_hradetzky.asc oder
s_hradetzky.txt
 
Mein persönlicher GnuPG-Key (für dienstliche Kontakte)
Key ID: 0x3e35d50d
Algorithm: DSA
Size: 1024/
Created: 2006-01-06
Expires: never
Fingerprint:
DC2F 2C0B 57A3 95C5 BB36 B87E 213B 0EB3 3E35 D50D
 
s_hradetzky_dienst.asc oder
s_hradetzky_dienst.txt
 
Wenn Sie einen Schlüssel mit dem Browser oder einem Texteditor öffnen, sehen Sie in der ersten Zeile z.B.:
 
pub  1024D/653794A0 2004-12-30 Stefan Hradetzky
 
Klicken Sie nun den Link (die Key-ID) in der ersten Zeile an. Es erscheint einen langer Textblock, der meinen öffentlichen Schlüssel enthält.
 
Markieren Sie den Textblock von
 
-----BEGIN PGP PUBLIC KEY BLOCK-----
bis
-----END PGP PUBLIC KEY BLOCK-----

 
und kopieren Sie ihn mit dem entsprechenden Menübefehl oder Tastaturkürzel Ihres Betriebssystems (z.B. Strg+C bei Windows). Damit haben Sie den Schlüssel in den Speicher Ihres Rechners - bei Windows "Zwischenablage" genannt - kopiert.
 
  • Nun importieren wir den Schlüssel, d.h. wir hängen ihn an Ihren "Schlüsselbund" in GnuPG:
     
    Dazu starten Sie das Programm WinPT aus dem Windows-Startmenü. WinPT ist die Software des GnuPG-Pakets, die eine Ver- bzw. Entschlüsselung mit jedem beliebigen eMail-Programm erlaubt. Es entspricht in seiner Funktion dem PGPTray von PGP.
    Nach dem Start sehen Sie rechts unten auf Ihrem Bildschirm ein Schlüsselsymbol in der Windows-Symbolleiste. Öffnen Sie es, indem Sie mit der rechten Maustaste darauf klicken. Öffnen Sie aus dem nun erscheinenden Kontextmenü den obersten Punkt "Keymanager".
     
    Klicken Sie nun im geöffneten Keymanager auf den Menüpunkt "Key", und dann auf den Unterpunkt "Import". Es öffnet sich das Fenster "WinPT - Key import", in dem Sie meinen Schlüssel sehen:
     
    pub 1024 0x653794A0 ... usw.
     
    Klicken Sie auf die Schaltfläche "Import". Damit haben Sie meinen öffentlichen Schlüssel importiert und können das Fenster "WinPT - Key import" wieder schliessen.
     
    Wie gesagt: Sie müssen diesen Vorgang - den Import unseres Schlüssels - nur beim ersten Gebrauch durchführen. Er ist danach am GnuPG-Schlüsselbund "befestigt" und kann jederzeit benutzt werden.
     
  • Mit Hilfe des importierten Schlüssels können Sie nun die Signatur meiner Mails verifizieren:
     
    Kopieren Sie die gesamte Mail in die Zwischenablage. Markieren Sie dazu den gesamten Text und kopieren Sie ihn mit dem entsprechenden Menübefehl oder Tastaturkürzel Ihres Betriebssystems (z.B. Strg+C bei Windows). Damit haben Sie die signierte Mail in den Speicher Ihres Rechners - bei Windows z.B. Zwischenablage genannt - kopiert.
     
    Klicken Sie nun wieder mit der rechten Maustaste auf das Schlüsselsymbol von WinPT (bei Windows rechts unten in der Symbolleiste), und wählen Sie die Funktion 'Decrypt/Verify Clipboard'.
     
    Es sollte dann die Meldung
     
    Signature good - Signed by Stefan Hradetzky
     
    angezeigt werden.
     
  • Damit ist bestätigt, daß die Email unversehrt bei Ihnen angekommen ist und wirklich von mir stammt.
     
  • Weitere Infos zu GnuPG
     gpg4win.org
    gpg4win: EMail-Sicherheit mit GnuPG für Windows
    [Diesen Link als ungültig melden]
     
     Das GNU-Handbuch zum Schutze der Privatsphäre
    Deutschsprachiges Online-Handbuch für GnuPG
    [Diesen Link als ungültig melden]
     
     Deutsche GnuPG Anleitung
    Umfangreiche, gut lesbare und aktuelle Anleitung von Kai Raven zu GnuPG.
    [Diesen Link als ungültig melden]
     
    Zwei illustrierte Broschüren des (mittlerweile veralteten) Gnupp-Projekts der Bundesregierung stehen auch hier direkt auf meinem Server zur Verfügung. Sie sind immer noch lesenswert:
     
     Download: Gnupp-Doku für Einsteiger
    (PDF für Acrobat Reader, ca. 2,27 MB)
     
     Download: Gnupp-Doku für Fortgeschrittene
    (PDF für Acrobat Reader, ca. 3,41 MB)
     
    Beide erläutern anschaulich die Funktionsweise von Verschlüsselungsprogrammen - sehr informativ und lesenswert!
     
    Lesen Sie zu diesem Thema auch meinen Artikel über Email-Verschlüsselung.
     

     Guter Mailstil

     Guter Stil
     CC und BCC
     Fußzeilen
     Anhänge
     Fotos mailen
     HTML in Mails

     Sicher Mailen

     Fälschungen
     Digitale Signatur
     Wer liest mit?
     Verschlüsselung
     Viren
     Ketten-Mails
     Spam-Mails
     Mailheader lesen

     Endlich Linux!

     Linux-Log 1
     Linux-Log 2
     Linux-Links 
     Linux für Schüler!
     Tutorial: Kino dv

     Webdesign

     Meine Projekte
     Tipps & Tricks
     Rechtliches
     Hilfreiche Links

     Freeware-Tips

     Diverse Freeware

     PHP-Scripting

     Vorbemerkung
     Unix-Timestamp
     Foren-Tuning
     Browser-Weiche
     URLs umwandeln
     
    Hradetzkys.de Weblog als RSS-Feed abrufen
    Herrnhuter Losung als RSS-Feed abrufen
    Diary of an Old Soul (RSS)
    Ich benutze Linux - hier steht, warum
    GeoUrl - meine geographische Nachbarn im Web
    GnuPG-Key für sichere Emails
      
    Was soll der Fisch?
    Druckversion
    nach oben
    Powered by Linux. PHP generierte diese Seite in 0.0194 Sekunden.
    Text, Grafik und Programmierung © by Stefan Hradetzky
    © 2000 - 2009 by Stefan Hradetzky. Alle Rechte vorbehalten. Beachten Sie die Hinweise des Impressums.