E-Mail-Verschlüsselung 2026: PGP und S/MIME Guide

E-Mail ist wie eine Postkarte — jeder, der sie verarbeitet, kann sie lesen. Verschlüsselung löst dieses Problem. Aber PGP und S/MIME sind komplex. Dieser Guide macht es verständlich.

Das Problem

Wenn Sie eine E-Mail senden, geht sie durch mehrere Server. Jeder Serverbetreiber kann die E-Mail mitlesen. SMTP ist ein Klartext-Protokoll (TLS hilft beim Transport, aber nicht beim Server).

Wer Ihre E-Mails lesen kann:

Ihr E-Mail-Anbieter (Google, Microsoft, T-Online)

Der Empfänger-Anbieter

Jeder dazwischen

Behörden mit entsprechenden Befehlen

Zwei Standards

PGP (OpenPGP)

Das dezentrale System. Jeder erzeugt sein Schlüsselpaar. Vertrauen wird durch den "Web of Trust" hergestellt.

Stärken:

Dezentral — kein CA nötig

Kostenlos

Open Source (GnuPG)

Flexibel

Schwächen:

Komplex in der Einrichtung

Schlüsselverwaltung ist aufwendig

Nicht in Standard-Mail-Clients integriert

S/MIME

Das zentralisierte System. Nutzt X.509-Zertifikate (wie HTTPS). Von Unternehmen und Behörden genutzt.

Stärken:

In Outlook, Apple Mail, Thunderbird integriert

Einfacher zu nutzen (mit Zertifikat)

Enterprise-Standard

Schwächen:

Benötigt Zertifikat von CA

Vertrauen in CA erforderlich

Kostenlose Zertifikate selten geworden

PGP einrichten (GnuPG)

Schritt 1: GnuPG installieren

``bash


Linux

sudo apt install gnupg

macOS

brew install gnupg

Windows

Gpg4win herunterladen: https://gpg4win.org

`

Schritt 2: Schlüsselpaar erzeugen

`bash
gpg --full-generate-key

Optionen:

(1) RSA and RSA (default)

4096 bits

2 Jahre Verfallsdatum

Name, E-Mail, Passphrase

`

Schritt 3: Öffentlichen Schlüssel teilen

`bash


Schlüssel exportieren

gpg --armor --export meine@email.de > public_key.asc

Auf Keyserver hochladen

gpg --send-keys --keyserver keys.openpgp.org KEYID
`

Schritt 4: Schlüssel importieren (vom Kommunikationspartner)

`bash
gpg --import partner_key.asc

Oder vom Keyserver


gpg --recv-keys KEYID
`

Schritt 5: E-Mail verschlüsseln

`bash


Datei verschlüsseln

gpg --encrypt --recipient partner@email.de nachricht.txt

Entschlüsseln

gpg --decrypt nachricht.txt.gpg
``

PGP im Mail-Client

Thunderbird

Thunderbird hat seit Version 78 PGP integriert:

OpenPGP-Schlüsselmanager öffnen

Schlüssel importieren oder neu erzeugen

Beim Schreiben: "Verschlüsseln" klicken

Mailvelope (Browser-Erweiterung)

Für Webmail (Gmail, Outlook, Yahoo):

Mailvelope installieren (Firefox/Chrome)

Schlüssel im Mailvelope-Keyring erzeugen/importieren

In Gmail: Mailvelope-Icon klicken → verschlüsseln

ProtonMail

PGP ohne Setup. ProtonMail macht PGP automatisch:

ProtonMail → ProtonMail: Ende-zu-Ende automatisch

ProtonMail → extern: PGP mit externem Schlüssel möglich

Externe PGP-Nutzer: Public Key hochladen, verschlüsseln automatisch

👉 ProtonMail kostenlos nutzen

S/MIME einrichten

Schritt 1: Zertifikat besorgen

Kostenlose Sources:

Actalis — kostenloses S/MIME-Zertifikat (1 Jahr)

Sectigo — kostenpflichtig

Schritt 2: Zertifikat importieren

In Thunderbird:

Extras → Zertifikate verwalten

"Importieren" → .p12-Datei wählen

Passwort eingeben

Schritt 3: S/MIME aktivieren

In Thunderbird-Konteneinstellungen:

Sicherheit → S/MIME

Signaturzertifikat wählen

Verschlüsselungszertifikat wählen

PGP vs S/MIME: Welche wählen?

| Kriterium | PGP | S/MIME |
|-----------|-----|--------|
| Einrichtung | Komplex | Mittel |
| Client-Integration | Manuell | Eingebaut |
| Zentralität | Dezentral (Web of Trust) | Zentral (CAs) |
| Kosten | Kostenlos | Zertifikatskosten |
| Für Privatanwender | ✅ Besser | ⚠️ |
| Für Unternehmen | ⚠️ | ✅ Besser |
| Open Source | ✅ | Teilweise |

Faustregel: Für private Kommunikation: PGP. Für Business: S/MIME.

Die Grenzen der E-Mail-Verschlüsselung

Metadaten

Verschlüsselung schützt nur den Inhalt. Metadaten bleiben lesbar:

Wer kommuniziert mit wem

Wann

Betreffzeile (meist unverschlüsselt!)

E-Mail-Größe

Forwarding und Quoting

Wenn jemand Ihre verschlüsselte E-Mail weiterleitet, kann die Verschlüsselung verloren gehen.

Usability

Die größte Schwäche: beide Systeme sind für normale Nutzer zu komplex. 90 % der Menschen werden nie PGP nutzen.

Alternativen zur E-Mail-Verschlüsselung

Wenn PGP/S-MIME zu komplex sind:

| Alternative | Verschlüsselung | Einfachheit |
|-------------|-----------------|-------------|
| Signal | ✅ E2EE | ✅ Sehr einfach |
| ProtonMail → ProtonMail | ✅ E2EE | ✅ Automatisch |
| Tutanota → Tutanota | ✅ E2EE | ✅ Automatisch |
| Wire | ✅ E2EE | ✅ Sehr einfach |
| Threema | ✅ E2EE | ✅ Sehr einfach |

Empfehlung: Nutzen Sie Signal für private Kommunikation. ProtonMail für E-Mail.

FAQ

Ist PGP noch sicher 2026?

Ja. Die Kryptographie ist solide. Schwachstellen liegen in der Implementierung (EFAIL, Schlüsselverwaltung), nicht im Standard selbst.

Brauche ich PGP, wenn ich TLS nutze?

Ja. TLS verschlüsselt den Transport (Client → Server). PGP verschlüsselt die Nachricht (Ende-zu-Ende). Der Serverbetreiber kann TLS-Nachrichten lesen, PGP-Nachrichten nicht.

ProtonMail vs Tutanota?

Beide sind gut. ProtonMail nutzt PGP (kompatibel mit externen PGP-Nutzern). Tutanota nutzt eigenes Verfahren (einfacher, aber nicht PGP-kompatibel).

Wie sicher mein Passphrase für meinen PGP-Key?

Mindestens 20 Zeichen. Ein kurzes Passphrase kompromittiert den gesamten Schlüssel — egal wie stark die Verschlüsselung ist.

Fazit

E-Mail-Verschlüsselung ist wichtig, aber zu komplex für die breite Masse. Für technikaffine Nutzer: PGP mit Thunderbird oder ProtonMail. Für Unternehmen: S/MIME mit Outlook. Für alle anderen: Signal statt E-Mail für sensible Inhalte.

Der Wechsel zu ProtonMail ist der einfachste Weg zu E-Mail-Verschlüsselung — automatisch, ohne Konfiguration, mit PGP-Kompatibilität für Power-User.