{"id":287,"date":"2026-06-21T16:18:48","date_gmt":"2026-06-21T16:18:48","guid":{"rendered":"https:\/\/shattered.io\/de\/2026\/06\/21\/gpg4win-tutorial\/"},"modified":"2026-06-21T16:20:22","modified_gmt":"2026-06-21T16:20:22","slug":"gpg4win-tutorial","status":"publish","type":"post","link":"https:\/\/shattered.io\/de\/2026\/06\/21\/gpg4win-tutorial\/","title":{"rendered":"GPG-Verschl\u00fcsselung mit Gpg4win: 12 Schritte, 30 Min [2026]"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">GPG-Verschl\u00fcsselung sch\u00fctzt E-Mails und Dateien mit dem OpenPGP-Standard, der seit \u00fcber 30 Jahren professionell eingesetzt wird. Gpg4win 5.0.2, das aktuelle Windows-Paket mit GnuPG 2.5.20 (ver\u00f6ffentlicht am 13. Mai 2026), bringt die Kleopatra-Oberfl\u00e4che, das Outlook-Plugin GpgOL und die Explorer-Erweiterung GpgEX als vollst\u00e4ndiges Bundle. In Deutschland suchen monatlich 1.600 Nutzer nach &#8220;gpg4win&#8221; (Google, Juni 2026), und der neue OpenPGP-Standard RFC 9580 hat 2024 den bisherigen RFC 4880 abgel\u00f6st. Diese Anleitung f\u00fchrt Sie in 12 Schritten und 30 Minuten durch Installation, Schl\u00fcsselerstellung, Dateiverschl\u00fcsselung, E-Mail-Integration und sicheren Schl\u00fcsselbetrieb.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"was-ist-gpg-geschichte-und-der-aktuelle-openpgp-standard-rfc-9580\">Was ist GPG? Geschichte und der aktuelle OpenPGP-Standard RFC 9580<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Phil Zimmermann ver\u00f6ffentlichte Pretty Good Privacy (PGP) 1991 als erste frei verf\u00fcgbare Ende-zu-Ende-Verschl\u00fcsselung f\u00fcr E-Mails. Aus dem Quellcode-Konflikt mit RSA Data Security und dem US-Exportrecht entstanden Anfang der 2000er-Jahre der offene Standard OpenPGP sowie Werner Kochs freie Implementierung GnuPG, kurz GPG. Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) hat die Entwicklung von Gpg4win gef\u00f6rdert und empfiehlt GnuPG in seiner Technischen Richtlinie TR-02102 f\u00fcr kryptografische Verfahren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der aktuelle Standard hei\u00dft <strong>RFC 9580<\/strong>, verabschiedet 2024 von der IETF. Er modernisiert das Paketformat, f\u00fcgt AEAD-Verschl\u00fcsselung (Authenticated Encryption with Associated Data) mit AES-GCM und OCB hinzu und schreibt SHA-256 als Mindestalgorithmus vor. \u00c4ltere Algorithmen wie SHA-1 und 3DES sind in RFC 9580 explizit als veraltet markiert. GnuPG 2.5.20 implementiert wesentliche Teile von RFC 9580 und behebt laut Release-Notes vom 13. Mai 2026 kleinere Sicherheitsfehler im gpgsm-Modul.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Libgcrypt 1.12.0, die kryptografische Bibliothek unter GnuPG, wurde am 29. Januar 2026 als neue stabile LTS-Version freigegeben. Sie bringt Performance-Verbesserungen, neue Schnittstellen und vollst\u00e4ndige API\/ABI-Kompatibilit\u00e4t zu fr\u00fcheren Versionen. F\u00fcr Unternehmensumgebungen, die Libgcrypt direkt einbinden, empfiehlt das GnuPG-Projekt einen Wechsel auf den 1.12er-Zweig.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">GPG und PGP werden im Alltag oft synonym verwendet, sind aber technisch verschieden. PGP ist heute ein propriet\u00e4res Produkt (OpenPGP-kompatibel, vertrieben von Broadcom\/Symantec). GnuPG ist quelloffen, kostenlos und unter der GNU GPL lizenziert. Beide implementieren denselben OpenPGP-Standard und sind vollst\u00e4ndig interoperabel. F\u00fcr DACH-Unternehmen gilt GnuPG als Referenzimplementierung, da der Quellcode \u00f6ffentlich auditierbar ist und keine Exportbeschr\u00e4nkungen bestehen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das asymmetrische Kryptosystem von OpenPGP arbeitet mit zwei zusammengeh\u00f6rigen Schl\u00fcsseln. Der <strong>\u00f6ffentliche Schl\u00fcssel<\/strong> (Public Key) kann frei verteilt werden und dient zum Verschl\u00fcsseln von Nachrichten sowie zum Pr\u00fcfen von Signaturen. Der <strong>private Schl\u00fcssel<\/strong> (Secret Key) bleibt lokal gespeichert, durch eine Passphrase gesch\u00fctzt, und dient zum Entschl\u00fcsseln sowie zum Signieren. Kompromittiert ein Angreifer den privaten Schl\u00fcssel und kennt die Passphrase, kann er alle damit verschl\u00fcsselten Nachrichten lesen. Die Schl\u00fcsselsicherheit h\u00e4ngt daher zu gleichen Teilen von der Algorithmusst\u00e4rke und der Passphrase-Qualit\u00e4t ab.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"openpgp-vs-s-mime-welcher-standard-passt-zu-ihrer-umgebung\">OpenPGP vs S\/MIME: Welcher Standard passt zu Ihrer Umgebung?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Zwei Standards dominieren die verschl\u00fcsselte E-Mail-Kommunikation in Unternehmen: OpenPGP (GPG-basiert) und S\/MIME. Beide bieten Ende-zu-Ende-Verschl\u00fcsselung und digitale Signaturen, unterscheiden sich aber fundamental in der Schl\u00fcsselverwaltung. OpenPGP setzt auf ein dezentrales &#8220;Web of Trust&#8221;, bei dem Nutzer gegenseitig die Authentizit\u00e4t von Schl\u00fcsseln best\u00e4tigen. S\/MIME vertraut auf eine hierarchische Public-Key-Infrastruktur (PKI) mit zentralen Zertifizierungsstellen (CAs).<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Merkmal<\/th><th>OpenPGP \/ GnuPG<\/th><th>S\/MIME<\/th><\/tr><\/thead><tbody><tr><td>Kosten<\/td><td>Kostenlos (GnuPG, Gpg4win)<\/td><td>CA-Zertifikat: 0 bis 150 \u20ac\/Jahr<\/td><\/tr><tr><td>Vertrauensmodell<\/td><td>Web of Trust (dezentral)<\/td><td>Zentrale CA-Hierarchie<\/td><\/tr><tr><td>Empfohlene Schl\u00fcssell\u00e4nge<\/td><td>RSA-4096 oder Ed25519<\/td><td>RSA-4096 oder ECDSA P-384<\/td><\/tr><tr><td>Symmetrischer Algorithmus<\/td><td>AES-256, AES-GCM (RFC 9580)<\/td><td>AES-256, AES-128 (legacy: 3DES)<\/td><\/tr><tr><td>Aktueller Standard<\/td><td>RFC 9580 (2024)<\/td><td>RFC 8551 (2019)<\/td><\/tr><tr><td>Outlook-Unterst\u00fctzung<\/td><td>Via GpgOL (Gpg4win)<\/td><td>Nativ integriert<\/td><\/tr><tr><td>Thunderbird-Unterst\u00fctzung<\/td><td>Nativ seit Thunderbird 78<\/td><td>Nativ unterst\u00fctzt<\/td><\/tr><tr><td>BSI TR-02102-Empfehlung<\/td><td>Ja<\/td><td>Ja<\/td><\/tr><tr><td>Keyserver \/ Verteilung<\/td><td>keys.openpgp.org, WKD<\/td><td>LDAP-Verzeichnis, E-Mail<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Einzelpersonen, Open-Source-Projekte und Beh\u00f6rdenkommunikation empfiehlt sich OpenPGP wegen der kostenlosen Verf\u00fcgbarkeit und der hohen Kontrolle \u00fcber die eigenen Schl\u00fcssel. Unternehmen mit bestehender Microsoft-PKI-Infrastruktur w\u00e4hlen oft S\/MIME, da Outlook es nativ unterst\u00fctzt und Zertifikate automatisch per Active Directory verteilt werden. Viele DACH-Organisationen setzen beide Standards parallel ein, je nach Kommunikationspartner.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"voraussetzungen-software-systemanforderungen-und-zeitaufwand\">Voraussetzungen: Software, Systemanforderungen und Zeitaufwand<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Diese Anleitung basiert auf Gpg4win 5.0.2 unter Windows. Die Kernkomponenten lassen sich aber auch unter macOS (via Homebrew: <code>brew install gnupg<\/code>) und Linux (via Paketverwaltung: <code>apt install gnupg<\/code> oder <code>dnf install gnupg2<\/code>) verwenden. Administratorrechte sind nur f\u00fcr die Windows-Installation n\u00f6tig, nicht f\u00fcr die sp\u00e4tere Schl\u00fcsselverwaltung. Kalkulieren Sie f\u00fcr die Ersteinrichtung inklusive E-Mail-Integration etwa 30 Minuten.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Komponente<\/th><th>Version<\/th><th>Zweck<\/th><\/tr><\/thead><tbody><tr><td>Gpg4win<\/td><td>5.0.2<\/td><td>Windows-Installationspaket<\/td><\/tr><tr><td>GnuPG (enthalten)<\/td><td>2.5.20<\/td><td>Kryptografie-Engine<\/td><\/tr><tr><td>Kleopatra (enthalten)<\/td><td>aktuell<\/td><td>Grafische Schl\u00fcsselverwaltung<\/td><\/tr><tr><td>GpgOL (enthalten)<\/td><td>aktuell<\/td><td>Outlook-Plugin (optional)<\/td><\/tr><tr><td>Libgcrypt (enthalten)<\/td><td>1.12.0<\/td><td>Kryptografische Bibliothek (LTS)<\/td><\/tr><tr><td>Windows<\/td><td>10 \/ 11 (64-Bit)<\/td><td>Betriebssystem<\/td><\/tr><tr><td>Thunderbird<\/td><td>128 oder neuer<\/td><td>E-Mail-Client (optional)<\/td><\/tr><tr><td>Outlook<\/td><td>2016 \/ 2019 \/ 365<\/td><td>E-Mail-Client f\u00fcr GpgOL (optional)<\/td><\/tr><tr><td>Speicherplatz<\/td><td>500 MB<\/td><td>Installation und Schl\u00fcsselbund<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"schritt-1-bis-3-gpg4win-herunterladen-pruefsumme-verifizieren-und-installieren\">Schritt 1 bis 3: Gpg4win herunterladen, Pr\u00fcfsumme verifizieren und installieren<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Laden Sie Gpg4win 5.0.2 ausschlie\u00dflich von der offiziellen Website <a href=\"https:\/\/www.gpg4win.org\" rel=\"noopener noreferrer\" target=\"_blank\">www.gpg4win.org<\/a> herunter. Drittanbieter-Quellen k\u00f6nnen manipulierte Versionen enthalten. Das Installationspaket tr\u00e4gt die Dateibezeichnung <code>gpg4win-5.0.2.exe<\/code>. Auf der Download-Seite finden Sie die SHA-256-Pr\u00fcfsumme der Installationsdatei. Pr\u00fcfen Sie diese vor der Installation, um sicherzustellen, dass die Datei nicht verf\u00e4lscht wurde.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Pr\u00fcfsumme unter Windows PowerShell verifizieren\nGet-FileHash .\\gpg4win-5.0.2.exe -Algorithm SHA256 | Select-Object Hash\n\n# Den ausgegebenen Hashwert mit dem auf gpg4win.org angezeigten Wert vergleichen\n# Nur bei \u00fcbereinstimmender Pr\u00fcfsumme installieren!\n\n# Alternativ: Pr\u00fcfsumme auf der Kommandozeile (certutil)\ncertutil -hashfile gpg4win-5.0.2.exe SHA256<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Starten Sie den Installer mit Administratorrechten. Der Assistent bietet folgende Komponenten zur Auswahl:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>GnuPG<\/strong>: Pflichtkomponente, enth\u00e4lt die Kryptografie-Engine und alle Kommandozeilentools<\/li><li><strong>Kleopatra<\/strong>: Empfohlen, grafische Schl\u00fcsselverwaltung und Datei-Verschl\u00fcsselung<\/li><li><strong>GpgOL<\/strong>: Optional, Outlook-Plugin f\u00fcr E-Mail-Verschl\u00fcsselung (PGP\/MIME und PGP\/Inline)<\/li><li><strong>GpgEX<\/strong>: Optional, Windows-Explorer-Kontextmen\u00fc f\u00fcr Dateiverschl\u00fcsselung per Rechtsklick<\/li><li><strong>Gpg4win Kompendium<\/strong>: Optionale deutschsprachige Dokumentation als PDF<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Installieren Sie mindestens GnuPG und Kleopatra. Aktivieren Sie GpgOL, wenn Sie Outlook f\u00fcr verschl\u00fcsselte E-Mails nutzen m\u00f6chten. Nach der Installation erscheint Kleopatra im Startmen\u00fc und als Symbol in der Windows-Taskleiste. Pr\u00fcfen Sie die korrekte Installation \u00fcber PowerShell:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>gpg --version\n\n# Erwartete Ausgabe (Auszug):\n# gpg (GnuPG) 2.5.20\n# libgcrypt 1.12.0\n# Copyright (C) 2026 g10 Code GmbH\n# License GNU GPL-3.0-or-later\n# Supported algorithms:\n# Pubkey: RSA, ELG, DSA, ECDH, ECDSA, EDDSA\n# Cipher: IDEA, 3DES, CAST5, BLOWFISH, AES, AES192, AES256, TWOFISH,\n#         CAMELLIA128, CAMELLIA192, CAMELLIA256\n# Hash: SHA1, RIPEMD160, SHA256, SHA384, SHA512, SHA224<\/code><\/pre>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"schritt-4-und-5-schluesselpaar-erstellen-und-den-richtigen-algorithmus-waehlen\">Schritt 4 und 5: Schl\u00fcsselpaar erstellen und den richtigen Algorithmus w\u00e4hlen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GnuPG 2.5.x unterst\u00fctzt zwei empfohlene Schl\u00fcsseltypen f\u00fcr 2026: klassisches RSA-4096 f\u00fcr maximale Kompatibilit\u00e4t mit \u00e4lteren Implementierungen und modernes ECC (Elliptic Curve Cryptography) mit Ed25519 (Signatur) plus X25519 (Verschl\u00fcsselung). Das BSI f\u00fchrt Ed25519 in TR-02102-1 als empfohlenes Signaturverfahren auf. Ed25519-Schl\u00fcssel sind mit 256 Bit wesentlich kompakter als RSA-4096-Schl\u00fcssel, gleichzeitig deutlich schneller bei Signatur- und Verifikationsoperationen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"schluesselpaar-ueber-kleopatra-erstellen\">Schl\u00fcsselpaar \u00fcber Kleopatra erstellen<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Klicken Sie in Kleopatra auf <strong>Datei<\/strong> und dann <strong>Neues OpenPGP-Schl\u00fcsselpaar<\/strong>. Der Assistent fragt nach Name, E-Mail-Adresse und Passphrase. Klicken Sie auf <strong>Erweiterte Einstellungen<\/strong>, bevor Sie fortfahren, um den Algorithmus zu konfigurieren:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>Schl\u00fcsseltyp<\/strong>: &#8220;EdDSA + ECDH (Curve25519)&#8221; f\u00fcr moderne Systeme oder &#8220;RSA&#8221; mit 4096 Bit f\u00fcr maximale Kompatibilit\u00e4t<\/li><li><strong>Ablaufdatum<\/strong>: Maximal 2 Jahre. Ein abgelaufener Schl\u00fcssel l\u00e4sst sich jederzeit verl\u00e4ngern, sch\u00fctzt aber davor, dass ein verlorener Schl\u00fcssel dauerhaft als g\u00fcltig gilt<\/li><li><strong>Passphrase<\/strong>: Mindestens 20 Zeichen, Kombination aus Gro\u00df- und Kleinbuchstaben, Zahlen und Sonderzeichen<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"schluesselpaar-ueber-die-kommandozeile-erstellen\">Schl\u00fcsselpaar \u00fcber die Kommandozeile erstellen<\/h3>\n\n\n\n<pre class=\"wp-block-code\"><code># Interaktive Schl\u00fcsselerstellung mit vollem Kontrolldialog\ngpg --full-generate-key\n\n# Auswahl-Dialog erscheint:\n# Please select what kind of key you want:\n#    (1) RSA and RSA\n#    (9) ECC (sign and encrypt) *default*\n#   (10) ECC (sign only)\n# Ihre Wahl: 9  [f\u00fcr modernes Ed25519 + X25519]\n\n# Kurvenauswahl:\n# Please select which elliptic curve you want:\n#    (1) Curve 25519 *default*  <-- f\u00fcr 2026 empfohlen\n#    (4) NIST P-384\n# Ihre Wahl: 1\n\n# Ablaufdatum:\n# Key is valid for? (0) 2y  [2 Jahre eingeben]\n\n# Pers\u00f6nliche Daten eingeben:\n# Real name: Max Mustermann\n# Email address: max@example.de\n# Passphrase: [mindestens 20 Zeichen]\n\n# Erfolgreiche Erstellung:\n# pub   ed25519 2026-06-21 [SC] [expires: 2028-06-20]\n#       3A4B5C6D7E8F9A0B1C2D3E4F5A6B7C8D9E0F1A2B\n# uid   [ultimate] Max Mustermann &lt;max@example.de&gt;\n# sub   cv25519 2026-06-21 [E] [expires: 2028-06-20]<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Der angezeigte 40-stellige Hexadezimalstring ist der <strong>Fingerabdruck<\/strong> (Fingerprint) Ihres Schl\u00fcssels. Er identifiziert Ihren Schl\u00fcssel eindeutig und dient zur Verifikation gegen\u00fcber Kommunikationspartnern. Sichern Sie den privaten Schl\u00fcssel unmittelbar nach der Erstellung auf einem verschl\u00fcsselten externen Datentr\u00e4ger. Ein verlorener privater Schl\u00fcssel l\u00e4sst sich nicht wiederherstellen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"schritt-6-und-7-oeffentlichen-schluessel-exportieren-importieren-und-verifizieren\">Schritt 6 und 7: \u00d6ffentlichen Schl\u00fcssel exportieren, importieren und verifizieren<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der \u00f6ffentliche Schl\u00fcssel muss an alle Personen verteilt werden, die Ihnen verschl\u00fcsselte Nachrichten schicken oder Ihre Signaturen pr\u00fcfen sollen. Das ASCII-Armor-Format (Base64-kodierter Text) eignet sich zum Einbetten in E-Mails, auf Websites oder in GitHub-Profilen.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># \u00d6ffentlichen Schl\u00fcssel in ASCII-Armor-Format exportieren\ngpg --export --armor max@example.de > max-public-key.asc\n\n# Inhalt der exportierten Datei (Beispiel):\n# -----BEGIN PGP PUBLIC KEY BLOCK-----\n# Version: GnuPG v2.5.20\n#\n# mDMEZlb... [Base64-kodierter Schl\u00fcssel]\n# -----END PGP PUBLIC KEY BLOCK-----\n\n# Privaten Schl\u00fcssel exportieren (ausschlie\u00dflich f\u00fcr Backup!)\ngpg --export-secret-keys --armor max@example.de > max-private-key.asc\n# ACHTUNG: Diese Datei auf verschl\u00fcsseltem Offline-Speichermedium sichern!\n\n# \u00d6ffentlichen Schl\u00fcssel eines Kontakts importieren\ngpg --import kontakt-public-key.asc\n\n# Alle gespeicherten \u00f6ffentlichen Schl\u00fcssel anzeigen\ngpg --list-keys\n\n# Privaten Schl\u00fcssel mit langer Key-ID anzeigen\ngpg --list-secret-keys --keyid-format LONG<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Nach dem Import eines fremden Schl\u00fcssels m\u00fcssen Sie dessen <strong>Fingerprint verifizieren<\/strong>, bevor Sie ihm vertrauen. Einen Fingerprint k\u00f6nnen Sie nur \u00fcber einen sicheren Kanal verifizieren: per Telefon, pers\u00f6nlich oder via verschl\u00fcsselter Messenger-Nachricht. Ein Angreifer k\u00f6nnte sonst einen gef\u00e4lschten Schl\u00fcssel f\u00fcr eine bekannte E-Mail-Adresse auf einem Keyserver ver\u00f6ffentlichen und Nachrichten an Sie abfangen.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Fingerprint eines importierten Schl\u00fcssels pr\u00fcfen\ngpg --fingerprint kontakt@example.de\n\n# Ausgabe:\n# pub   rsa4096 2026-01-15 [SC]\n#       1234 5678 9ABC DEF0 1234  5678 9ABC DEF0 1234 5678\n# uid   [unknown] Erika Mustermann &lt;kontakt@example.de&gt;\n\n# Vertrauensstufe setzen (nach pers\u00f6nlicher Fingerprint-Verifikation)\ngpg --edit-key kontakt@example.de\n# In der gpg> Eingabe:\n# gpg> trust\n# Stufe 4 (full) f\u00fcr pers\u00f6nlich verifizierten Schl\u00fcssel w\u00e4hlen\n# gpg> save<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Das <strong>Web of Trust<\/strong> von OpenPGP funktioniert \u00fcber Schl\u00fcsselsignaturen: Wenn Sie den Fingerprint von Erikas Schl\u00fcssel pers\u00f6nlich gepr\u00fcft haben, signieren Sie ihn mit Ihrem privaten Schl\u00fcssel. Andere Nutzer, die Ihrem Schl\u00fcssel vertrauen, erhalten damit transitives Vertrauen in Erikas Schl\u00fcssel. In Unternehmen ersetzt h\u00e4ufig ein zentraler Signierschl\u00fcssel (Company Trust Anchor) das dezentrale Web of Trust.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"schritt-8-dateien-verschluesseln-und-sicher-entschluesseln\">Schritt 8: Dateien verschl\u00fcsseln und sicher entschl\u00fcsseln<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GPG verschl\u00fcsselt Dateien in zwei Modi: <strong>asymmetrisch<\/strong> f\u00fcr einen oder mehrere Empf\u00e4nger (nur der Inhaber des zugeh\u00f6rigen privaten Schl\u00fcssels kann entschl\u00fcsseln) und <strong>symmetrisch<\/strong> mit einer Passphrase (kein Schl\u00fcsselpaar n\u00f6tig, aber Passphrase muss sicher \u00fcbertragen werden). F\u00fcr die Kommunikation mit Dritten verwenden Sie immer die asymmetrische Verschl\u00fcsselung.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Datei asymmetrisch f\u00fcr einen Empf\u00e4nger verschl\u00fcsseln (ASCII-Ausgabe)\ngpg --encrypt --recipient kontakt@example.de --armor vertrag.pdf\n# Erstellt: vertrag.pdf.asc\n\n# F\u00fcr mehrere Empf\u00e4nger verschl\u00fcsseln (und Kopie f\u00fcr sich selbst behalten)\ngpg --encrypt \\\n    --recipient kontakt@example.de \\\n    --recipient max@example.de \\\n    --armor \\\n    vertrag.pdf\n\n# Verschl\u00fcsselte Datei entschl\u00fcsseln\ngpg --decrypt vertrag.pdf.asc > vertrag_entschluesselt.pdf\n# GPG fragt automatisch nach der Passphrase des privaten Schl\u00fcssels\n\n# Symmetrische Verschl\u00fcsselung mit AES-256 (ohne Schl\u00fcsselpaar)\ngpg --symmetric --cipher-algo AES256 geheime-daten.txt\n# GPG fragt nach einer Passphrase (zweimal zur Best\u00e4tigung)<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">In Kleopatra w\u00e4hlen Sie eine Datei per Drag-and-Drop in das Programmfenster oder \u00fcber <strong>Datei<\/strong> und <strong>Dateien signieren\/verschl\u00fcsseln<\/strong>. W\u00e4hlen Sie den Empf\u00e4nger aus Ihrem Schl\u00fcsselbund und klicken Sie auf <strong>Verschl\u00fcsseln<\/strong>. GpgEX bietet denselben Vorgang per Rechtsklick direkt im Windows-Explorer an: Rechtsklick auf die Datei, dann <strong>Signieren und verschl\u00fcsseln<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wichtig: Wenn Sie eine Datei nur f\u00fcr einen Empf\u00e4nger verschl\u00fcsseln und sich selbst nicht als zweiten Empf\u00e4nger angeben, k\u00f6nnen Sie die Datei anschlie\u00dfend nicht mehr selbst entschl\u00fcsseln. F\u00fcgen Sie bei der Verschl\u00fcsselung immer Ihre eigene E-Mail-Adresse als zweiten Empf\u00e4nger mit <code>--recipient<\/code> hinzu.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"schritt-9-digitale-signaturen-erstellen-und-pruefen\">Schritt 9: Digitale Signaturen erstellen und pr\u00fcfen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Digitale Signaturen beweisen zwei Dinge gleichzeitig: die <strong>Integrit\u00e4t<\/strong> der Datei (keine \u00c4nderung seit der Signierung) und die <strong>Authentizit\u00e4t<\/strong> (die Signatur stammt vom Inhaber des privaten Schl\u00fcssels). GPG-Signaturen gelten rechtlich in Deutschland als fortgeschrittene elektronische Signatur nach der eIDAS-Verordnung. F\u00fcr rechtlich bindende Vorg\u00e4nge ist eine qualifizierte elektronische Signatur (QES) mit akkreditiertem Zertifikat erforderlich.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Abgetrennte Signatur erstellen (Originaldatei bleibt unver\u00e4ndert)\ngpg --detach-sign --armor dokument.pdf\n# Erstellt: dokument.pdf.asc (die Signaturdatei)\n\n# Datei und Signatur zusammen in einer Datei\ngpg --sign dokument.txt\n# Erstellt: dokument.txt.gpg\n\n# Signieren und Verschl\u00fcsseln in einem Schritt\ngpg --sign --encrypt --recipient kontakt@example.de dokument.pdf\n# Erstellt: dokument.pdf.gpg (signiert und verschl\u00fcsselt)\n\n# Signatur pr\u00fcfen\ngpg --verify dokument.pdf.asc dokument.pdf\n\n# Ausgabe bei g\u00fcltiger Signatur:\n# gpg: Signature made So 21 Jun 2026 10:30:00 CEST\n# gpg:                using ED25519 key 3A4B5C6D7E8F9A0B...\n# gpg: Good signature from \"Max Mustermann &lt;max@example.de&gt;\" [ultimate]\n\n# Ausgabe bei manipulierter Datei:\n# gpg: BAD signature from \"Max Mustermann &lt;max@example.de&gt;\"<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Die Vertrauensstufe in eckigen Klammern ([ultimate], [full], [marginal], [unknown]) zeigt an, wie stark Sie dem verwendeten Schl\u00fcssel vertrauen. \"unknown\" bedeutet, dass Sie den Fingerprint noch nicht verifiziert und dem Schl\u00fcssel keine Vertrauensstufe zugewiesen haben. Das schlie\u00dft eine technisch korrekte Signaturpr\u00fcfung nicht aus, warnt aber vor einem potenziell gef\u00e4lschten Schl\u00fcssel.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"schritt-10-e-mail-verschluesselung-mit-outlook-und-gpgol-einrichten\">Schritt 10: E-Mail-Verschl\u00fcsselung mit Outlook und GpgOL einrichten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GpgOL ist das Outlook-Plugin von Gpg4win und integriert GPG direkt in Outlook 2016, 2019 und Microsoft 365. Es unterst\u00fctzt PGP\/MIME und PGP\/Inline f\u00fcr maximale Kompatibilit\u00e4t mit anderen E-Mail-Clients. Nach der Installation von Gpg4win mit aktivierter GpgOL-Komponente erscheint in Outlook eine neue Symbolleiste f\u00fcr Verschl\u00fcsselung und Signatur.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Konfigurieren Sie GpgOL in Outlook unter <strong>Datei<\/strong>, <strong>Optionen<\/strong> und dann <strong>Trust Center<\/strong>. \u00d6ffnen Sie alternativ Kleopatra, gehen Sie zu <strong>Einstellungen<\/strong> und <strong>GnuPG-System konfigurieren<\/strong>. Empfohlene Einstellungen:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>Standardm\u00e4\u00dfig signieren<\/strong>: Aktivieren, wenn alle ausgehenden E-Mails digital signiert sein sollen<\/li><li><strong>Standardm\u00e4\u00dfig verschl\u00fcsseln<\/strong>: Nur aktivieren, wenn alle Empf\u00e4nger GPG-Schl\u00fcssel hinterlegt haben<\/li><li><strong>HTML-E-Mails in Plain Text umwandeln<\/strong>: Empfohlen f\u00fcr verschl\u00fcsselte E-Mails, verhindert Metadaten-Lecks<\/li><li><strong>Automatisch auf Schl\u00fcsselserver suchen<\/strong>: Aktivieren, damit GpgOL fehlende Schl\u00fcssel automatisch nachl\u00e4dt<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Beim Verfassen einer neuen E-Mail in Outlook erscheinen in der Werkzeugleiste zwei Symbole: ein Schloss (Verschl\u00fcsseln) und ein Siegel (Signieren). Klicken Sie auf das Schloss, bevor Sie auf <strong>Senden<\/strong> klicken. GpgOL pr\u00fcft automatisch, ob f\u00fcr den Empf\u00e4nger ein g\u00fcltiger GPG-Schl\u00fcssel im lokalen Schl\u00fcsselbund vorhanden ist. Fehlt der Schl\u00fcssel, erscheint eine Warnung mit der Option, den Keyserver zu befragen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eingehende verschl\u00fcsselte E-Mails entschl\u00fcsselt GpgOL automatisch beim \u00d6ffnen. Outlook zeigt eine farbige Statusleiste: Gr\u00fcn steht f\u00fcr \"Entschl\u00fcsselt und Signatur g\u00fcltig\", Gelb f\u00fcr \"Entschl\u00fcsselt, Signatur unbekannt\" und Rot f\u00fcr \"Entschl\u00fcsselung fehlgeschlagen\". Die Passphrase des privaten Schl\u00fcssels fragt Kleopatra \u00fcber den Pinentry-Dialog ab, der sich als separates Fenster \u00f6ffnet.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"schritt-11-e-mail-verschluesselung-mit-thunderbird-natives-openpgp\">Schritt 11: E-Mail-Verschl\u00fcsselung mit Thunderbird (natives OpenPGP)<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Mozilla Thunderbird unterst\u00fctzt seit Version 78 OpenPGP ohne zus\u00e4tzliches Plugin. Das fr\u00fcher notwendige Enigmail-Add-on ist f\u00fcr Thunderbird 78 und neuer nicht mehr verf\u00fcgbar und auch nicht n\u00f6tig. Thunderbird 128 und neuer verwenden eine direkt eingebettete OpenPGP-Implementierung, die vollst\u00e4ndig in den E-Mail-Client integriert ist.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Richten Sie Ihren GPG-Schl\u00fcssel in Thunderbird ein:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>\u00d6ffnen Sie in Thunderbird die <strong>Kontoeinstellungen<\/strong> f\u00fcr das betreffende E-Mail-Konto<\/li><li>Navigieren Sie zu <strong>Ende-zu-Ende-Verschl\u00fcsselung<\/strong><\/li><li>Klicken Sie auf <strong>Schl\u00fcssel hinzuf\u00fcgen<\/strong> und w\u00e4hlen Sie <strong>Bestehenden OpenPGP-Schl\u00fcssel verwenden<\/strong><\/li><li>W\u00e4hlen Sie den Schl\u00fcssel aus, der Ihrer E-Mail-Adresse zugeordnet ist<\/li><li>Alternativ: <strong>Neuen OpenPGP-Schl\u00fcssel erzeugen<\/strong> direkt in Thunderbird<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Thunderbird erkennt vorhandene GnuPG-Schl\u00fcssel und bietet an, diese zu \u00fcbernehmen. F\u00fcr eine vollst\u00e4ndige Integration aktivieren Sie in Thunderbird unter <strong>Einstellungen<\/strong>, <strong>OpenPGP<\/strong> die Option <strong>GnuPG-Schl\u00fcsselbund f\u00fcr OpenPGP verwenden<\/strong>. Damit teilen sich Thunderbird und Kleopatra denselben Schl\u00fcsselbund, sodass ein importierter Schl\u00fcssel in beiden Anwendungen sofort verf\u00fcgbar ist.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Beim Verfassen einer E-Mail erscheint in der Thunderbird-Symbolleiste ein Schloss-Symbol. Ein gr\u00fcnes Schloss zeigt an, dass Thunderbird Schl\u00fcssel f\u00fcr alle Empf\u00e4nger gefunden hat und die E-Mail verschl\u00fcsselt wird. Fehlt ein Schl\u00fcssel, \u00f6ffnet Thunderbird einen Dialog mit der Option, den Keyserver zu durchsuchen oder die Verschl\u00fcsselung f\u00fcr diesen Empf\u00e4nger zu deaktivieren.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"schritt-12-schluessel-auf-keyserver-veroeffentlichen-und-widerrufszertifikat-erstellen\">Schritt 12: Schl\u00fcssel auf Keyserver ver\u00f6ffentlichen und Widerrufszertifikat erstellen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ein Keyserver erm\u00f6glicht es anderen, Ihren \u00f6ffentlichen Schl\u00fcssel zu finden, ohne dass Sie ihn manuell versenden m\u00fcssen. Der empfohlene Keyserver f\u00fcr 2026 ist <a href=\"https:\/\/keys.openpgp.org\" rel=\"noopener noreferrer\" target=\"_blank\">keys.openpgp.org<\/a>. Dieser datenschutzfreundliche Dienst ver\u00f6ffentlicht Schl\u00fcssel erst nach einer E-Mail-Verifikation und erlaubt das vollst\u00e4ndige L\u00f6schen von Schl\u00fcsselinformationen, anders als \u00e4ltere SKS-Keyserver.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Schl\u00fcssel auf keys.openpgp.org hochladen (via HTTPS)\ngpg --keyserver hkps:\/\/keys.openpgp.org --send-keys 3A4B5C6D7E8F9A0B\n\n# Schl\u00fcssel von Keyserver herunterladen (nach Fingerprint oder Key-ID)\ngpg --keyserver hkps:\/\/keys.openpgp.org --recv-keys 3A4B5C6D7E8F9A0B\n\n# Schl\u00fcssel nach E-Mail-Adresse suchen\ngpg --keyserver hkps:\/\/keys.openpgp.org --search-keys kontakt@example.de\n\n# Widerrufszertifikat erstellen (SOFORT nach der Schl\u00fcsselerstellung!)\ngpg --gen-revoke --armor max@example.de > widerruf-max.asc\n# Erstellungsgrund w\u00e4hlen:\n# 0 = kein bestimmter Grund\n# 1 = Schl\u00fcssel kompromittiert\n# 2 = Schl\u00fcssel ersetzt durch neueren\n# Das Zertifikat auf verschl\u00fcsseltem Offline-Medium separat vom privaten Schl\u00fcssel sichern\n\n# Widerruf einleiten (wenn kompromittiert)\ngpg --import widerruf-max.asc\ngpg --keyserver hkps:\/\/keys.openpgp.org --send-keys 3A4B5C6D7E8F9A0B\n# Der Schl\u00fcssel wird auf dem Keyserver als widerrufen markiert<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">GnuPG 2.1 und neuer erzeugt automatisch ein Widerrufszertifikat im Verzeichnis <code>%APPDATA%\\gnupg\\openpgp-revocs.d\\<\/code> (Windows) bzw. <code>~\/.gnupg\/openpgp-revocs.d\/<\/code> (Linux\/macOS). Die Datei tr\u00e4gt den Fingerprint als Namen und ist mit einem Kommentar versehen, der eine versehentliche Verwendung verhindert. Entfernen Sie den Kommentar erst, wenn Sie den Schl\u00fcssel tats\u00e4chlich widerrufen m\u00f6chten.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"7-haeufige-gpg-fehler-und-wie-sie-sie-von-anfang-an-vermeiden\">7 h\u00e4ufige GPG-Fehler und wie Sie sie von Anfang an vermeiden<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Selbst erfahrene Nutzer machen beim Einstieg in GPG wiederkehrende Fehler. Die folgenden sieben Probleme kosten im schlimmsten Fall den dauerhaften Zugriff auf verschl\u00fcsselte Daten oder erm\u00f6glichen einem Angreifer, die Kommunikation zu kompromittieren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fehler 1: Schl\u00fcssel ohne Ablaufdatum erstellen.<\/strong> Ein Schl\u00fcssel ohne Ablaufdatum bleibt theoretisch ewig g\u00fcltig. Verlieren Sie den Zugriff auf den privaten Schl\u00fcssel und haben kein Widerrufszertifikat, gilt der Schl\u00fcssel auf Keyservern dauerhaft als g\u00fcltig. Setzen Sie ein Ablaufdatum von maximal 2 Jahren. Das Datum l\u00e4sst sich jederzeit verl\u00e4ngern, ohne den Schl\u00fcssel neu erstellen zu m\u00fcssen: In Kleopatra per Rechtsklick auf den Schl\u00fcssel und dann <strong>Ablaufdatum \u00e4ndern<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fehler 2: Kein Widerrufszertifikat erstellen.<\/strong> Das Widerrufszertifikat muss erstellt werden, solange Sie noch Zugriff auf den privaten Schl\u00fcssel und die Passphrase haben. Vergessen Sie die Passphrase oder verlieren den privaten Schl\u00fcssel, haben Sie keine M\u00f6glichkeit mehr, einen Widerruf zu erzeugen. Ohne Widerruf bleibt ein kompromittierter Schl\u00fcssel auf Keyservern dauerhaft als g\u00fcltig markiert.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fehler 3: Fingerprint nicht verifizieren.<\/strong> Jeder kann einen Schl\u00fcssel mit Ihrem Namen und Ihrer E-Mail-Adresse auf einem Keyserver hochladen. Ohne Fingerprint-Verifikation \u00fcber einen sicheren Kanal verschl\u00fcsseln Sie m\u00f6glicherweise f\u00fcr den falschen Schl\u00fcssel. Der vollst\u00e4ndige 40-Zeichen-Fingerprint muss \u00fcber ein anderes Medium als E-Mail verglichen werden: per Telefon, pers\u00f6nlich oder via Signal.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fehler 4: Schwache Passphrase oder Passphrase vergessen.<\/strong> Der private Schl\u00fcssel ist nur so sicher wie die Passphrase, die ihn sch\u00fctzt. Eine angreifbare Passphrase wie \"gpg2026\" macht RSA-4096 nutzlos. Verwenden Sie eine Passphrase von mindestens 20 Zeichen und speichern Sie sie in einem Passwortmanager wie KeePassXC. Eine vergessene Passphrase gibt es keine Wiederherstellungsm\u00f6glichkeit: Der private Schl\u00fcssel bleibt dauerhaft gesperrt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fehler 5: Privaten Schl\u00fcssel nicht sichern.<\/strong> GnuPG speichert den privaten Schl\u00fcssel lokal auf dem Rechner. Formatieren Sie das System oder defekt Ihres Laufwerks, geht der Schl\u00fcssel verloren. Exportieren Sie den privaten Schl\u00fcssel sofort nach der Erstellung, verschl\u00fcsseln Sie die Exportdatei mit VeraCrypt oder einem \u00e4hnlichen Tool und bewahren Sie sie auf einem physisch getrennten Medium auf. Zwei Kopien an verschiedenen Orten bieten ausreichend Redundanz.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fehler 6: Eigenen Schl\u00fcssel beim Verschl\u00fcsseln vergessen.<\/strong> Wenn Sie eine Datei ausschlie\u00dflich f\u00fcr einen Empf\u00e4nger verschl\u00fcsseln und sich selbst nicht als Empf\u00e4nger angeben, k\u00f6nnen Sie die Datei nicht mehr selbst entschl\u00fcsseln. F\u00fcgen Sie bei <code>gpg --encrypt<\/code> immer sowohl den Empf\u00e4nger als auch Ihren eigenen Schl\u00fcssel per <code>--recipient<\/code> hinzu.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fehler 7: Veraltete Schl\u00fcsselgr\u00f6\u00dfe verwenden.<\/strong> RSA-2048 gilt nach BSI TR-02102-1 (Stand 2026) nur noch eingeschr\u00e4nkt als ausreichend. F\u00fcr neu erstellte Schl\u00fcssel empfiehlt das BSI mindestens RSA-3072, bevorzugt RSA-4096 oder Ed25519. Bestehende RSA-2048-Schl\u00fcssel sollten zeitnah durch neue Schl\u00fcssel abgel\u00f6st werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"erweiterte-tipps-subkeys-yubikey-und-gpg-automatisierung-in-skripten\">Erweiterte Tipps: Subkeys, YubiKey und GPG-Automatisierung in Skripten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Fortgeschrittene GPG-Nutzer trennen den Haupt-Schl\u00fcssel (Master Key) von den Unter-Schl\u00fcsseln (Subkeys). Der Master Key dient nur f\u00fcr Schl\u00fcsselsignaturen und Zertifizierungen und wird offline auf einem verschl\u00fcsselten Medium gespeichert. F\u00fcr die t\u00e4gliche Nutzung (Verschl\u00fcsseln, Entschl\u00fcsseln, Signieren) kommen separate Subkeys zum Einsatz. Bei Kompromittierung eines Subkeys l\u00e4sst er sich widerrufen und ersetzen, ohne den Master Key zu gef\u00e4hrden.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Subkeys in GnuPG verwalten\ngpg --edit-key max@example.de\n\n# In der gpg> Eingabe verf\u00fcgbare Befehle:\n# addkey           - neuen Subkey hinzuf\u00fcgen (Signatur oder Verschl\u00fcsselung)\n# key 1            - Subkey 1 ausw\u00e4hlen\n# expire           - Ablaufdatum des ausgew\u00e4hlten Subkeys \u00e4ndern\n# revkey           - ausgew\u00e4hlten Subkey widerrufen\n# save             - \u00c4nderungen speichern und Bearbeitung beenden\n\n# Alle Subkeys mit Fingerprints anzeigen\ngpg --list-secret-keys --with-subkey-fingerprint max@example.de\n\n# GPG ohne interaktiven Pinentry in Skripten verwenden\necho \"PASSPHRASE\" | gpg --batch --yes --passphrase-fd 0 \\\n    --decrypt verschluesselt.gpg > entschluesselt.txt\n\n# Dateien in einer Shell-Schleife automatisch verschl\u00fcsseln\nfor f in *.log; do\n    gpg --encrypt --recipient backup@firma.de --armor \"$f\" &amp;&amp; rm \"$f\"\ndone<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>YubiKey-Integration.<\/strong> Ein YubiKey oder eine andere OpenPGP-kompatible Smartcard speichert den privaten GPG-Schl\u00fcssel in Hardware. Der Schl\u00fcssel verl\u00e4sst die Karte nie, und alle kryptografischen Operationen laufen direkt auf dem Ger\u00e4t. Selbst wenn der Rechner kompromittiert ist, kann ein Angreifer den privaten Schl\u00fcssel nicht extrahieren, solange die YubiKey-PIN unbekannt ist. Kleopatra unterst\u00fctzt YubiKey und andere Smartcards nativ und erkennt sie automatisch, wenn sie per USB angesteckt werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Web Key Directory (WKD).<\/strong> RFC 9580 empfiehlt WKD als modernen Verteilungsweg f\u00fcr \u00f6ffentliche Schl\u00fcssel. Mit WKD ver\u00f6ffentlichen Domains ihre GPG-Schl\u00fcssel direkt \u00fcber HTTPS: Ein Client sucht den Schl\u00fcssel f\u00fcr <code>user@example.de<\/code> unter <code>https:\/\/example.de\/.well-known\/openpgpkey\/hu\/HASH<\/code>. GnuPG und Thunderbird unterst\u00fctzen WKD automatisch. F\u00fcr Unternehmen mit eigenem Mailserver bietet WKD eine kontrollierte Schl\u00fcsselverteilung ohne Abh\u00e4ngigkeit von Drittanbieter-Keyservern.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>gpg-agent-Konfiguration.<\/strong> Der gpg-agent verwaltet die Passphrase im Arbeitsspeicher und vermeidet wiederholte Passphrase-Eingaben. Die Cache-Dauer konfigurieren Sie in <code>%APPDATA%\\gnupg\\gpg-agent.conf<\/code>: <code>default-cache-ttl 600<\/code> setzt den Cache auf 10 Minuten, <code>max-cache-ttl 3600<\/code> auf maximal 1 Stunde. F\u00fcr Hochsicherheitsumgebungen setzen Sie beide Werte auf 0, um die Passphrase f\u00fcr jede Operation neu abzufragen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"gpg-und-post-quanten-kryptografie-was-2026-zu-wissen-ist\">GPG und Post-Quanten-Kryptografie: Was 2026 zu wissen ist<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Quantencomputer stellen eine reale, aber zeitlich noch nicht akute Bedrohung f\u00fcr klassische asymmetrische Verfahren wie RSA und ECC dar. NIST standardisierte 2024 die ersten Post-Quanten-Algorithmen: ML-KEM (basierend auf Kyber) f\u00fcr Schl\u00fcsselaustausch und ML-DSA (basierend auf Dilithium) f\u00fcr digitale Signaturen. Das OpenPGP-Konsortium arbeitet an der Integration dieser Algorithmen in einen zuk\u00fcnftigen RFC-Nachfolger.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Libgcrypt 1.12.0 bereitet Schnittstellen f\u00fcr Post-Quanten-Algorithmen vor. Eine produktionsreife Integration in GnuPG wird nach aktuellem Entwicklungsstand fr\u00fchestens 2027 erwartet. Das BSI empfiehlt, RSA-4096 und Ed25519 f\u00fcr kurzfristige Vertraulichkeit bis etwa 2030 weiter einzusetzen und die Entwicklung post-quantensicherer OpenPGP-Profile parallel zu verfolgen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das Szenario \"Harvest Now, Decrypt Later\" beschreibt die Strategie von Angreifern, verschl\u00fcsselte Kommunikation heute zu sammeln und in einigen Jahren mit Quantencomputern zu entschl\u00fcsseln. F\u00fcr Daten mit langfristiger Geheimhaltungspflicht, etwa juristische Dokumente, Patentunterlagen oder medizinische Akten, sollten Organisationen die Einf\u00fchrung hybrider L\u00f6sungen pr\u00fcfen, die klassische und post-quantensichere Algorithmen kombinieren.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"gpg-fehlerbehebung-8-haeufige-probleme-und-loesungen\">GPG-Fehlerbehebung: 8 h\u00e4ufige Probleme und L\u00f6sungen<\/h2>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Fehlermeldung<\/th><th>Ursache<\/th><th>L\u00f6sung<\/th><\/tr><\/thead><tbody><tr><td><code>gpg: keyserver receive failed: No data<\/code><\/td><td>Schl\u00fcssel nicht auf Keyserver, Firewall blockiert Port 11371<\/td><td>HTTPS-Keyserver verwenden: <code>hkps:\/\/keys.openpgp.org<\/code><\/td><\/tr><tr><td><code>gpg: decryption failed: No secret key<\/code><\/td><td>Privater Schl\u00fcssel f\u00fcr diesen Empf\u00e4nger fehlt<\/td><td>Richtigen privaten Schl\u00fcssel importieren: <code>gpg --import private.asc<\/code><\/td><\/tr><tr><td><code>gpg: BAD signature from \"...\"<\/code><\/td><td>Datei nach Signierung ver\u00e4ndert oder Signatur besch\u00e4digt<\/td><td>Originaldatei erneut vom Absender anfordern<\/td><\/tr><tr><td><code>gpg: WARNING: unsafe permissions on homedir<\/code><\/td><td>Verzeichnis <code>~\/.gnupg<\/code> hat zu offene Berechtigungen<\/td><td><code>chmod 700 ~\/.gnupg<\/code> unter Linux\/macOS ausf\u00fchren<\/td><\/tr><tr><td><code>gpg: public key not found<\/code><\/td><td>Schl\u00fcssel des Empf\u00e4ngers nicht im lokalen Schl\u00fcsselbund<\/td><td>Schl\u00fcssel importieren oder per <code>--recv-keys<\/code> laden<\/td><\/tr><tr><td><code>gpg: signing failed: Inappropriate ioctl for device<\/code><\/td><td>Pinentry kann nicht mit dem Terminal kommunizieren (z.B. in CI\/CD)<\/td><td><code>export GPG_TTY=$(tty)<\/code> vor dem GPG-Befehl setzen<\/td><\/tr><tr><td><code>gpg: Invalid packet (ctb=00)<\/code><\/td><td>Besch\u00e4digte Schl\u00fcsseldatei oder falsches Dateiformat<\/td><td>Schl\u00fcsseldatei erneut exportieren oder vom Keyserver laden<\/td><\/tr><tr><td><code>error: gpg agent not running<\/code><\/td><td>gpg-agent-Prozess abgest\u00fcrzt oder nicht gestartet<\/td><td><code>gpgconf --kill gpg-agent<\/code>, dann GPG-Befehl wiederholen<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>GpgOL erscheint nicht in Outlook.<\/strong> Pr\u00fcfen Sie unter <strong>Datei<\/strong>, <strong>Optionen<\/strong>, <strong>Add-Ins<\/strong>, ob GpgOL in der Liste der deaktivierten Add-Ins steht. W\u00e4hlen Sie unter \"Verwalten\" den Eintrag \"Deaktivierte Elemente\" und klicken Sie auf <strong>Los<\/strong>. Aktivieren Sie GpgOL und starten Sie Outlook neu.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>gpg-agent neu starten unter Windows.<\/strong> Nach Windows-Updates oder Gpg4win-Upgrades kann der gpg-agent keine Schl\u00fcssel mehr aus dem Cache laden. Starten Sie ihn in PowerShell neu:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># gpg-agent unter Windows neu starten\ngpgconf --kill gpg-agent\ngpgconf --launch gpg-agent\n\n# Alle aktiven GPG-Prozesse beenden (wenn Neustart nicht ausreicht)\ntaskkill \/f \/im gpg-agent.exe\ntaskkill \/f \/im kleopatra.exe\n\n# Danach GnuPG-Version pr\u00fcfen, um korrekte Funktion zu best\u00e4tigen\ngpg --version<\/code><\/pre>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"haeufig-gestellte-fragen-zu-gpg-und-pgp-verschluesselung\">H\u00e4ufig gestellte Fragen zu GPG und PGP-Verschl\u00fcsselung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Ist Gpg4win wirklich kostenlos?<\/strong> Ja. Gpg4win ist quelloffen und kostenlos unter der GNU General Public License verf\u00fcgbar, ohne Lizenzgeb\u00fchren oder Abonnementkosten. Die Entwicklung wird durch Spenden und Auftr\u00e4ge von Beh\u00f6rden und Unternehmen finanziert.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Wie sicher ist GPG-Verschl\u00fcsselung gegen\u00fcber staatlichen Beh\u00f6rden?<\/strong> AES-256 mit RSA-4096 oder Ed25519 gilt nach aktuellem Stand als brechersicher f\u00fcr alle bekannten Angriffstechniken. Der schw\u00e4chste Punkt ist die Passphrase. Eine kurze oder schwache Passphrase l\u00e4sst sich per Brute Force angreifen. Korrekt konfiguriertes GPG mit einer starken Passphrase bietet nach heutigem Wissensstand kein bekanntes technisches Angriffsszenario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Kann ich GPG-verschl\u00fcsselte E-Mails auf meinem Smartphone lesen?<\/strong> Ja. F\u00fcr Android empfiehlt sich OpenKeychain (kostenlos, Open Source) als GPG-App in Verbindung mit K-9 Mail (ab Version 6.0 direkt integriert). F\u00fcr iOS steht PGPro als kostenfreie App zur Verf\u00fcgung. Beide Apps unterst\u00fctzen den Import von Schl\u00fcsseln aus Keyservern und die vollst\u00e4ndige En- und Entschl\u00fcsselung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Was unterscheidet GPG von Signal oder WhatsApp?<\/strong> Signal und WhatsApp nutzen das Signal-Protokoll mit perfekter Forward Secrecy: Jede Nachricht bekommt einen neuen Sitzungsschl\u00fcssel. GPG\/OpenPGP setzt auf langfristige Schl\u00fcsselpaare ohne automatische Schl\u00fcsselrotation. GPG eignet sich besonders f\u00fcr E-Mail und Datei-Signaturen, Signal f\u00fcr Echtzeit-Messaging. Beide Ans\u00e4tze erg\u00e4nzen sich.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Was passiert mit alten verschl\u00fcsselten E-Mails, wenn ich meinen Schl\u00fcssel widerrufe?<\/strong> Bereits entschl\u00fcsselte E-Mails bleiben lesbar. Noch verschl\u00fcsselte Kopien im Archiv k\u00f6nnen nach dem Widerruf nicht mehr entschl\u00fcsselt werden, sofern kein Backup des privaten Schl\u00fcssels existiert. Der Widerruf signalisiert anderen Nutzern nur, keine neuen Nachrichten mit diesem Schl\u00fcssel zu verschl\u00fcsseln.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Ist GPG DSGVO-konform f\u00fcr die E-Mail-Kommunikation?<\/strong> Ja. Artikel 32 der DSGVO verlangt \"geeignete technische Ma\u00dfnahmen\" zum Schutz personenbezogener Daten. Ende-zu-Ende-Verschl\u00fcsselung per GPG erf\u00fcllt diese Anforderung. Das BSI empfiehlt GPG als technische Ma\u00dfnahme zur DSGVO-konformen Absicherung der E-Mail-Kommunikation. Bei einer Datenpanne mit vollst\u00e4ndig verschl\u00fcsselten E-Mails entf\u00e4llt unter bestimmten Bedingungen nach Artikel 34 DSGVO die Meldepflicht an die Betroffenen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Warum wurde RFC 9580 eingef\u00fchrt und was \u00e4ndert sich konkret?<\/strong> RFC 9580 ersetzt RFC 4880 aus dem Jahr 2007. Die wichtigsten Neuerungen: Pflicht zu AEAD-Verschl\u00fcsselung f\u00fcr neue Implementierungen (AES-GCM, OCB), Deprecation von SHA-1 und 3DES, ein modernisiertes Paketformat und verbesserte Unterst\u00fctzung f\u00fcr EdDSA- und X25519-Schl\u00fcssel. Bestehende RSA-4096-Schl\u00fcssel bleiben vollst\u00e4ndig kompatibel mit RFC 9580.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"verwandte-artikel-und-weiterfuehrende-ressourcen\">Verwandte Artikel und weiterf\u00fchrende Ressourcen<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"weiterfuehrende-themen-auf-shattered-io\">Weiterf\u00fchrende Themen auf shattered.io<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/de\/ssh-keys-erstellen-linux\/\">SSH-Keys einrichten: 12 Schritte, 25 Min [2026]<\/a> \u2013 schl\u00fcsselbasierte Authentifizierung f\u00fcr Server und Code-Repositories, dasselbe asymmetrische Grundprinzip wie GPG<\/li><li><a href=\"\/de\/veracrypt-vs-bitlocker-vs-cryptomator\/\">VeraCrypt vs BitLocker vs Cryptomator: Open-Source schl\u00e4gt Windows [2026]<\/a> \u2013 Vollverschl\u00fcsselung f\u00fcr lokale Datentr\u00e4ger als Erg\u00e4nzung zu GPG-Dateiverschl\u00fcsselung<\/li><li><a href=\"\/de\/keepassxc-einrichten-tutorial\/\">KeePassXC einrichten: Passwortmanager in 12 Schritten [2026]<\/a> \u2013 sichere Passphrase-Verwaltung f\u00fcr GPG-Schl\u00fcssel und Widerrufszertifikate<\/li><li><a href=\"\/de\/hashicorp-vault-tutorial\/\">HashiCorp Vault 2.0: Sichere Secrets in 12 Schritten [2026]<\/a> \u2013 zentrales Secrets-Management f\u00fcr GPG-Schl\u00fcssel in DevOps-Umgebungen<\/li><li><a href=\"\/de\/docker-container-absichern-tutorial\/\">Docker Container absichern: 12 Schritte, 45 Min [2026]<\/a> \u2013 GPG zur Signierung von Docker-Images und Compose-Manifesten<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Offizielle externe Quellen:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><a href=\"https:\/\/gnupg.org\" rel=\"noopener noreferrer\" target=\"_blank\">gnupg.org<\/a> \u2013 offizielle GnuPG-Website mit Dokumentation, Release-Notes und Security-Advisories<\/li><li><a href=\"https:\/\/www.gpg4win.org\" rel=\"noopener noreferrer\" target=\"_blank\">gpg4win.org<\/a> \u2013 offizielle Gpg4win-Download-Seite f\u00fcr Windows<\/li><li><a href=\"https:\/\/www.rfc-editor.org\/rfc\/rfc9580\" rel=\"noopener noreferrer\" target=\"_blank\">RFC 9580 (IETF)<\/a> \u2013 aktueller OpenPGP-Standard (2024), ersetzt RFC 4880<\/li><li><a href=\"https:\/\/www.bsi.bund.de\" rel=\"noopener noreferrer\" target=\"_blank\">BSI \u2013 Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/a> \u2013 TR-02102 mit Algorithmenempfehlungen f\u00fcr Deutschland<\/li><li><a href=\"https:\/\/keys.openpgp.org\" rel=\"noopener noreferrer\" target=\"_blank\">keys.openpgp.org<\/a> \u2013 datenschutzfreundlicher OpenPGP-Keyserver mit E-Mail-Verifikation und L\u00f6schfunktion<\/li><\/ul>\n","protected":false},"excerpt":{"rendered":"<p>GPG-Verschl\u00fcsselung sch\u00fctzt E-Mails und Dateien mit dem OpenPGP-Standard, der seit \u00fcber 30 Jahren professionell eingesetzt wird. Gpg4win 5.0.2, das aktuelle Windows-Paket mit GnuPG 2.5.20 (ver\u00f6ffentlicht am 13. Mai 2026), bringt\u2026<\/p>\n","protected":false},"author":6,"featured_media":288,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[],"class_list":["post-287","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cryptography"],"_links":{"self":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/287","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/comments?post=287"}],"version-history":[{"count":1,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/287\/revisions"}],"predecessor-version":[{"id":289,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/287\/revisions\/289"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media\/288"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media?parent=287"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/categories?post=287"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/tags?post=287"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}