E-Mails signieren und verschlüsseln mit OpenPGP

Eine Signatur zeigt Ihrem Gegenüber, dass eine Nachricht wirklich von Ihnen stammt und unterwegs unverändert geblieben ist. Mit demselben Schlüssel können Sie vertrauliche Nachrichten verschlüsseln. Diese Anleitung führt Sie in drei Schritten dorthin.

1Schlüsselpaar erzeugenEin privater Schlüssel bleibt bei Ihnen, ein öffentlicher geht an Ihre Kontakte.
2Mailprogramm einrichtenDamit Ihr Programm signieren, verschlüsseln und prüfen kann.
3Schlüssel austauschenÖffentliche Schlüssel tauschen und den Fingerabdruck über einen zweiten Weg prüfen. Optional: Bestätigung per Personalausweis.

Schritt 1 und 2: Ihr Mailprogramm

Wählen Sie Ihr Programm. Die Bezeichnungen von Menüs und Schaltflächen können sich je nach Version unterscheiden; im Zweifel helfen die verlinkten Anleitungen der Hersteller.

Diese Einstellungen gelten für jedes Programm

Schlüsselstärke: RSA mit mindestens 3072 Bit, besser 4096 Bit, oder ein modernes Verfahren mit elliptischen Kurven, wie es neuere Programme voreinstellen. Das BSI verlangt in seiner Technischen Richtlinie TR-02102-1 für RSA seit 2024 mindestens 3000 Bit. Schlüssel mit 1024 oder 2048 Bit sind nicht mehr zeitgemäß.
Gültigkeit: Empfehlenswert sind zwei bis drei Jahre; vor Ablauf lässt sich die Gültigkeit mit wenigen Klicks verlängern. Eine unbegrenzte Gültigkeit ist möglich – geht der Schlüssel dann aber verloren und fehlt das Widerrufszertifikat, bleibt er dauerhaft als gültig im Umlauf.
Widerrufszertifikat: Zu jedem Schlüssel gehört ein Widerrufszertifikat. Damit erklären Sie den Schlüssel für ungültig, wenn er verloren geht oder in falsche Hände gerät. Einige Programme legen es beim Erzeugen automatisch an; bewahren Sie es getrennt vom Schlüssel auf.
Name: Tragen Sie Ihren Klarnamen ein, genau so, wie er im Personalausweis steht. Das ist Voraussetzung für die optionale Bestätigung per Ausweis; mit einem Pseudonym, Firmen- oder Funktionsnamen ist sie nicht möglich.
Passwort: Schützen Sie den privaten Schlüssel mit einem langen, nur dafür verwendeten Passwort.

Thunderbird

Thunderbird bringt OpenPGP bereits mit. Eine zusätzliche Software ist dafür nicht nötig.

Thunderbird aktualisierenInstallieren oder aktualisieren Sie Thunderbird über thunderbird.net.
Schlüssel erzeugenÖffnen Sie die Konten-Einstellungen Ihres E-Mail-Kontos, dort den Bereich „Ende-zu-Ende-Verschlüsselung“, und erzeugen Sie einen neuen OpenPGP-Schlüssel. Verwenden Sie Ihren Namen so, wie er im Ausweis steht, wenn Sie die Bestätigung per Personalausweis nutzen möchten.
Stärke und Gültigkeit festlegenWählen Sie die Schlüsselstärke und eine Gültigkeitsdauer wie oben empfohlen.
Widerrufszertifikat sichernExportieren Sie in der OpenPGP-Schlüsselverwaltung das Widerrufszertifikat und bewahren Sie es sicher und getrennt vom Computer auf.
Signieren und verschlüsselnBeim Verfassen einer Nachricht wählen Sie in der Symbolleiste, ob signiert und verschlüsselt wird. Verschlüsseln können Sie, sobald Sie den öffentlichen Schlüssel Ihres Gegenübers haben.
Öffentlichen Schlüssel exportierenIn der OpenPGP-Schlüsselverwaltung exportieren Sie Ihren öffentlichen Schlüssel als Datei. Diese Datei brauchen Sie für Schritt 3.

Schritt 3: Schlüssel austauschen – vor der ersten verschlüsselten Nachricht

Verschlüsseln können Sie erst, wenn Sie den öffentlichen Schlüssel Ihres Gegenübers haben – und umgekehrt. Entscheidend ist, dass beide Seiten prüfen, ob der Schlüssel wirklich vom anderen stammt.

Was ist der Fingerabdruck? Jeder Schlüssel hat einen eindeutigen „Fingerabdruck“ (englisch: fingerprint) – eine lange Folge aus Ziffern und den Buchstaben A bis F, meist in Vierergruppen angezeigt. Zwei verschiedene Schlüssel haben praktisch nie denselben Fingerabdruck. Stimmt er auf beiden Seiten Zeichen für Zeichen überein, ist es derselbe Schlüssel.
Wo Sie ihn finden: in Thunderbird in der OpenPGP-Schlüsselverwaltung (Schlüssel doppelt anklicken), in Kleopatra und GPG Keychain in den Details des Schlüssels, in OpenKeychain durch Antippen des Schlüssels.
Vergleichen Sie immer den vollständigen Fingerabdruck. Die kurze Schlüssel-ID aus acht Zeichen reicht zur Prüfung nicht aus.

Eigenen Schlüssel bereitstellen: Senden Sie Ihren öffentlichen Schlüssel, zum Beispiel als Anhang einer signierten E-Mail. Viele Programme hängen ihn auf Wunsch automatisch an.
Fingerabdruck über einen zweiten Weg mitteilen: Nennen Sie Ihrem Gegenüber den Fingerabdruck Ihres Schlüssels auf einem anderen Weg als per E-Mail – am Telefon vorlesen, persönlich zeigen, auf der Visitenkarte oder über Ihre Website. Ihr Gegenüber vergleicht ihn mit dem Fingerabdruck des Schlüssels, den es per E-Mail erhalten hat. Stimmen beide überein, wurde der Schlüssel unterwegs nicht ausgetauscht.
Schlüssel des Gegenübers anfordern: Bitten Sie Ihr Gegenüber, Ihnen seinen öffentlichen Schlüssel zu senden, und importieren Sie ihn in Ihr Programm – meist genügt ein Klick auf den Anhang. Lassen Sie sich dann seinen Fingerabdruck ebenfalls über einen zweiten Weg nennen und vergleichen Sie ihn mit dem angezeigten. Erst wenn beide übereinstimmen, markieren Sie den Schlüssel in Ihrem Programm als geprüft bzw. vertrauenswürdig.
Erst dann verschlüsseln: Sind beide Schlüssel ausgetauscht und geprüft, können Sie verschlüsselt und signiert kommunizieren.

Bei S/MIME heißt der öffentliche Schlüssel Zertifikat. Der Austausch funktioniert ähnlich: Eine signierte E-Mail genügt, die meisten Programme übernehmen das Zertifikat des Absenders dann automatisch.

Optional: Schlüssel mit dem Personalausweis bestätigen

Governikus betreibt im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) einen Online-Dienst: Er vergleicht den Namen aus Ihrem Ausweis mit dem Namen in Ihrem OpenPGP-Schlüssel und signiert den Schlüssel, wenn beide übereinstimmen. Ihre Kontakte sehen so, dass der Schlüssel zu einer ausgewiesenen Person dieses Namens gehört.

Das brauchen Sie

Personalausweis, elektronischen Aufenthaltstitel oder eID-Karte für Unionsbürger mit eingeschalteter Online-Ausweisfunktion und PIN
die AusweisApp von ausweisapp.bund.de
ein Smartphone mit NFC als Kartenleser – oder ein Kartenlesegerät
Ihren öffentlichen Schlüssel als Datei, mit Ihrem Namen wie im Ausweis

So läuft es ab

AusweisApp starten, bei Nutzung des Smartphones als Kartenleser auf beiden Geräten.
Den Dienst unter pgp.governikus.de aufrufen und den Vorgang starten.
Mit dem Ausweis identifizieren.
Den öffentlichen Schlüssel hochladen und die Kennung (Name und E-Mail-Adresse) auswählen.
Den bestätigten Schlüssel per E-Mail empfangen und in Ihr Programm importieren.

Klarname erforderlich: Der Dienst vergleicht den Namen im Ausweis mit dem Namen in Ihrem Schlüssel. Enthält der Schlüssel nur ein Pseudonym, einen Firmen- oder Funktionsnamen oder eine abweichende Schreibweise, kann er nicht bestätigt werden. Bei einem bestehenden Schlüssel lässt sich eine zusätzliche Kennung mit Ihrem Klarnamen ergänzen.

Hinweis vor dem Hochladen: Ihr öffentlicher Schlüssel enthält Ihren Namen und Ihre E-Mail-Adresse. Wird er veröffentlicht – auf Schlüsselservern, auf Ihrer Website oder durch einen Dienst –, kann die Adresse von Spam-Versendern ausgelesen werden. Das muss nicht geschehen, ist aber möglich. Prüfen Sie deshalb vor jedem Hochladen, ob und wo der jeweilige Dienst Ihren Schlüssel veröffentlicht.

Was die Bestätigung aussagt

Bestätigt wird der Name.: Der Schlüssel gehört zu einer Person, die sich mit diesem Namen ausgewiesen hat.
Die E-Mail-Adresse wird über die Zustellung geprüft.: Der bestätigte Schlüssel geht an die Adresse, die im Schlüssel steht. Nur wer dieses Postfach nutzt, erhält ihn.
Es entsteht eine Vertrauensgrundlage, keine qualifizierte elektronische Signatur.: Für Verträge, die eine qualifizierte Signatur verlangen, ist ein anderes Verfahren nötig.

Stand dieser Anleitung: Oktober 2026. Prüfen Sie vor der Nutzung auf der Website von Governikus, ob der Dienst in der beschriebenen Form angeboten wird.

Einrichtung testen

Ob Signieren und Verschlüsseln funktionieren, können Sie mit einem öffentlichen Test-Bot prüfen: der GPG Test Website von Michael Kliewe (vielen Dank für die Bereitstellung des Tools – beste Grüße gehen raus!). Der Bot antwortet automatisch per E-Mail.

Niemals den privaten Schlüssel hochladen, einfügen oder versenden – auch nicht zum Testen. Für den Test genügen eine signierte oder verschlüsselte Nachricht und Ihr öffentlicher Schlüssel. Wer Ihren privaten Schlüssel nach Ihnen fragt, will ihn missbrauchen. Verwenden Sie außerdem nur Testtexte, keine vertraulichen Inhalte.

Vorbereitung: Schlüssel des Bots aufnehmen: Laden Sie den öffentlichen Schlüssel des Bots herunter und importieren Sie ihn in Ihren Schlüsselbund – in Thunderbird über die OpenPGP-Schlüsselverwaltung, in Outlook über Kleopatra, auf dem Mac über GPG Keychain, unter Android über OpenKeychain. Erst damit können Sie Nachrichten an den Bot verschlüsseln und seine Antworten auf eine gültige Signatur prüfen.
Signatur und Verschlüsselung prüfen lassen: Senden Sie eine signierte und mit diesem Schlüssel verschlüsselte E-Mail an gpgtest@phpgangsta.de mit dem Betreff DECRYPT AND CHECK. Der Bot antwortet mit dem entschlüsselten Text und dem Ergebnis der Signaturprüfung.
Eine verschlüsselte Antwort anfordern: Senden Sie eine E-Mail mit beliebigem Text und dem Betreff REQUEST MAIL. Der Bot schickt eine signierte Nachricht zurück – verschlüsselt allerdings nur, wenn Ihr öffentlicher Schlüssel auf einem Schlüsselserver zu finden ist. Beachten Sie dazu den Hinweis zur Veröffentlichung weiter oben.

Der Test-Bot ist ein privat betriebener Dienst eines Dritten. Für Verfügbarkeit und Inhalte ist ausschließlich sein Betreiber verantwortlich.

Gut zu wissen

Was geschützt wird: Verschlüsselt wird der Inhalt Ihrer Nachricht samt Anhängen. Absender, Empfänger und Datum bleiben lesbar, damit die Nachricht zugestellt werden kann. Der Betreff wird je nach Programm mitverschlüsselt oder nicht – schreiben Sie deshalb nichts Vertrauliches in den Betreff.
Mehr als E-Mail: Mit OpenPGP lassen sich auch Dateien verschlüsseln und signieren, und Sie können die Echtheit heruntergeladener Dateien über deren Signatur prüfen. Programme wie die GPG Suite oder Kleopatra bieten dafür eigene Funktionen, etwa über das Kontextmenü, einschließlich der Prüfung von Prüfsummen (Hashwerten).
Lesen im Browser: Verschlüsselte Nachrichten öffnen Sie in dem Programm, in dem Ihr Schlüssel eingerichtet ist. Im Webmail Ihres Anbieters erscheinen sie meist als unlesbarer Text oder Anhang. Einige Anbieter bieten eine eigene OpenPGP-Lösung im Browser an; prüfen Sie das bei Ihrem Anbieter, bevor Sie sich darauf verlassen.

Im Unternehmen

OpenPGP eignet sich gut für Einzelpersonen und kleine Unternehmen. In größeren Organisationen ist meist ein zentral verwaltetes Verfahren sinnvoller: S/MIME mit X.509-Zertifikaten über eine Public-Key-Infrastruktur (PKI). Es lässt sich in die vorhandene IT einbinden und zentral steuern und ist in Apple Mail auf Mac, iPhone und iPad, in Outlook und in Thunderbird bereits eingebaut – ohne Zusatzsoftware. Die dafür nötigen Zertifikate sind in der Regel kostenpflichtig und müssen regelmäßig erneuert werden; OpenPGP ist dagegen kostenfrei.

Unabhängig vom Verfahren sind vor der Einführung einige Fragen zu regeln:

Aufbewahrung: Geschäftliche E-Mails müssen oft über Jahre lesbar archiviert werden – auch die verschlüsselten.
Vertretung: Wer liest verschlüsselte Nachrichten bei Urlaub oder Krankheit?
Gemeinsame Postfächer: Wer verwaltet den Schlüssel für Adressen wie info@ oder service@?
Ausscheiden: Was geschieht mit Schlüssel und Nachrichten, wenn jemand das Unternehmen verlässt?

Diese Fragen gehören zu einer tragfähigen Information Security Governance. Bei ihrer Klärung begleite ich Sie gern.

Damit Ihr Schlüssel sicher bleibt

Der private Schlüssel gehört ausschließlich Ihnen. Geben Sie ihn niemals an Dritte weiter – auch nicht an Kolleginnen und Kollegen, IT-Dienstleister oder auf Nachfrage per E-Mail. Sichern Sie ihn zugleich an einem geschützten Ort getrennt vom Computer, etwa auf einem verschlüsselten USB-Stick. Ohne Sicherung sind verschlüsselte Nachrichten nach einem Geräteverlust nicht mehr lesbar.

Widerrufszertifikat getrennt aufbewahren. Damit erklären Sie einen verlorenen oder kompromittierten Schlüssel für ungültig.
Starkes Passwort wählen. Es schützt den privaten Schlüssel, falls jemand Zugriff auf Ihr Gerät erhält.
Fingerabdruck über einen zweiten Weg prüfen. Bevor Sie einem fremden Schlüssel vertrauen, vergleichen Sie seinen Fingerabdruck – niemals anhand derselben E-Mail, mit der der Schlüssel kam, sondern telefonisch, persönlich oder über eine vertrauenswürdige Website.
Gültigkeit im Blick behalten. Verlängern Sie den Schlüssel rechtzeitig vor Ablauf und verteilen Sie den aktualisierten öffentlichen Schlüssel.
Ein Schlüssel für alle Geräte. Importieren Sie denselben Schlüssel auf Computer und Smartphone, statt mehrere zu erzeugen.

Diese Anleitung dient der Orientierung und beschreibt den Stand vom Oktober 2026. Software, Menübezeichnungen und Dienste ändern sich; maßgeblich sind die Angaben der jeweiligen Hersteller und Anbieter. Für Vollständigkeit, Richtigkeit und Eignung für einen konkreten Fall wird keine Gewähr übernommen. Bei der Einführung von Signatur und Verschlüsselung in Ihrer Organisation begleite ich Sie gern als Sparringspartner.