FairEmail: die beste Android-App für verschlüsselte E-Mails

Mit FairEmail ist endlich eine quelloffene Mail-App für Android verfügbar, die beide Verschlüsselungsstandards für E-Mails unterstützt: PGP und S/MIME.

Geschätzte Lesezeit für diesen Artikel: 2 Minuten

Der pro Jahr am häufigsten aufgerufene Artikel dieses Blogs war von 2017 bis 2019 ein Artikel über Android-Apps, die mit verschlüsselten E-Mails umgehen können (erfahre mehr). Anscheinend ist das Interesse an diesem Thema unverändert hoch. Besonders knifflig zeigt es sich nämlich für Nutzer, die folgende Ansprüche an eine solche App stellen:

  • sie soll quelloffen (Open Source) sein
  • sie soll den Standard PGP unterstützen
  • sie soll den Standard S/MIME unterstützen

Weiterlesen

Warum man E-Mails grundsätzlich digital signieren sollte (2)

Das digitale Signieren von E-Mails ist ein sehr guter Schutz gegen Schadsoftware. Für berufliche Mailadressen ist der Standard S/MIME zu empfehlen, für private dagegen PGP.

Geschätzte Lesezeit für diesen Artikel: 4 Minuten

In einem kürzlich verfassten Beitrag (erfahre mehr) habe ich versucht zu erklären, warum es so wichtig ist, E-Mails grundsätzlich digital zu signieren: Unter anderem sorgt man auf diese Weise dafür, dass es extrem schwierig wird, E-Mail-Absenderadressen zu fälschen. Und damit trocknet man einen der wichtigsten Verbreitungswege von Schadprogrammen wie Emotet aus, die ganze Universitäten wochenlang lahmlegen können.

Für das Signieren von E-Mails gibt es zwei gängige technische Standards, nämlich S/MIME und PGP. Sie beruhen auf dem selben Grundprinzip, der asymmetrischen Verschlüsselung. Woher weiß ein Empfänger aber, dass eine digitale Signatur gültig ist, er der Nachricht also vertrauen kann? Dieses Grundproblem der verschlüsselten Kommunikation lösen S/MIME und PGP ganz unterschiedlich: Weiterlesen

Warum man E-Mails grundsätzlich digital signieren sollte

Schadprogramme, die über E-Mails verbreitet werden, sind zu einer regelrechten Landplage geworden. Besonders schlimm hat es zuletzt die Universität Gießen erwischt. Digital signierte E-Mails können diese Bedrohung stark eindämmen.

Geschätzte Lesezeit für diesen Artikel: 5 Minuten

E-Mail-Anhänge und per E-Mail verbreitete Links stellen einen der häufigsten Verbreitungswege von Schadsoftware wie Emotet dar. Allzu leicht klicken viele Nutzer auf Dateien oder URLs, die scheinbar von vertrauenswürdigen Kontakten geschickt wurden. Zu spät merken sie, dass die Nachricht in Wirklichkeit von einem anderen Absender stammt – und dass die harmlos aussehende Word-Datei im Anhang einen Computervirus enthält.

Wie schlimm es sein kann, wenn ein Netzwerk infiziert ist, hat zuletzt die Universität Gießen erfahren müssen. Ab dem 8. Dezember 2019 waren wochenlang weder die allgemeine Universitätswebseite noch die Seite der Universitätsbibliothek erreichbar. Auch die E-Mail-Server waren lahmgelegt. Die Universität musste die ganze Zeit im Notbetrieb arbeiten, vieles ging in dieser Zeit gar nicht (erfahre mehr). Auch die Katholische Hochschule Freiburg musste im Dezember 2019 nach einem Hackerangriff einen Großteil ihrer Systeme zeitweise vom Netz nehmen (erfahre mehr). Weiterlesen

Nein, PGP ist nicht unsicher geworden

Die E-Mail-Verschlüsselung mit PGP oder S/MIME hat aktuell eine mögliche Schwachstelle. Grundsätzlich ist E-Mail-Verschlüsselung aber weiterhin sicher.

Geschätzte Lesezeit für diesen Artikel: 2 Minuten

Seit Mitte Mai 2018 kursieren Meldungen über eine Schwachstelle in E-Mails, die nach dem PGP- oder dem S/MIME-Standard verschlüsselt worden sind. Auch ein eingängiger Name für den Fehler war schnell gefunden: Efail.

Unter bestimmten Bedingungen könnten Angreifer, so die Warnung, über manipulierte E-Mails an den Klartext von verschlüsselten E-Mails gelangen (erfahre mehr). Es wurden sogar Empfehlungen laut, man solle aus diesem Grund ganz auf verschlüsselte E-Mails verzichten. Weiterlesen

K-9, eine Android-App für PGP

Lange suchte man für Android vergeblich nach einer guten Open Source-Mail-App mit zeitgemäßer PGP-Unterstützung. K-9 und OpenKeychain haben diese Lücke endlich geschlossen.

Lesezeit für diesen Artikel: ca. 4 Minuten

Bei der Suche nach einer guten Mail-App für Android mit PGP-Unterstützung stößt man schon seit Jahren sehr schnell auf K-9 (der Name ist eine Anspielung auf das englische Wort für Polizeihund, “canine” – vermutlich deshalb wurde als Programmsymbol ein (Roboter-)Hundekopf gewählt).

Bisher endete die Erfahrung mit K-9 und PGP aber meist in tiefem Frust: Die App unterstützte in Verbindung mit der Kryptographie-App APG, später mit deren Nachfolgerin OpenKeychain, bis Anfang 2017 nur den älteren PGP/Inline-Standard. Damit ließen sich aber ausschließlich verschlüsselte E-Mails in reinem Textformat bearbeiten. Die Verschlüsselung von Anhängen wurde ebenfalls nicht unterstützt. Ein weiteres Problem von K-9 und APG war der, gelinde gesagt, eher dürftige Bedienkomfort im Umgang mit verschlüsselten E-Mails. Weiterlesen

In vier Schritten zum sicheren E-Mail-Archiv (3/3)

E-Mails können wir nur dann verschlüsselt versenden, empfangen und archivieren, wenn sich auch unsere Kontakte auf diese Art der sicheren Kommunikation einlassen. In dieser Serie wird beschrieben, wie wir uns zumindest beim Archivieren von ihnen unabhängig machen können. (Teil 3/3)

Geschätzte Lesezeit für diesen Artikel: 5 Minuten

In Teil 1 dieser Serie ging es um die Frage, warum die vollständige Verschlüsselung aller in in einem Postfach archivierten E-Mails sinnvoll sein könnte. In Teil 2 wurde erklärt, wie man das mit Hilfe der Posteingangsverschlüsselung bei bestimmten E-Mail-Anbietern zumindest für die empfangenen Nachrichten hinbekommt. In diesem dritten Teil geht es nun darum, wie man auch die gesendeten Nachrichten verschlüsselt archivieren kann.

Wenn wir eine E-Mail verschicken, dann speichern unsere E-Mail-Programme (“Clients” wie Thunderbird oder Outlook) normalerweise eine Kopie im “Gesendet”-Ordner und übertragen diese via IMAP auf den Server. Das IMAP-Protokoll hat den Vorteil, dass wir mit ihm alle Ordner und E-Mails auf mehreren Geräten exakt synchron halten können. Weiterlesen

In vier Schritten zum sicheren E-Mail-Archiv (2/3)

E-Mails können wir nur dann verschlüsselt versenden, empfangen und archivieren, wenn sich auch unsere Kontakte auf diese Art der sicheren Kommunikation einlassen. In dieser Serie wird beschrieben, wie wir uns zumindest beim Archivieren von ihnen unabhängig machen können. (Teil 2/3)

Geschätzte Lesezeit für diesen Artikel: 3 Minuten

In dieser Serie geht es um die Frage, wie wir alle E-Mails, die auf den Servern unseres Anbieters gespeichert sind, nach dem PGP- oder S/MIME-Standard verschlüsseln und so vor Angriffen schützen können (erfahre mehr in Teil 1).

Prinzipiell sind dafür mehrere Möglichkeiten denkbar: Weiterlesen

In vier Schritten zum sicheren E-Mail-Archiv (1/3)

E-Mails können wir nur dann verschlüsselt versenden, empfangen und archivieren, wenn sich auch unsere Kontakte auf diese Art der sicheren Kommunikation einlassen. In dieser Serie wird beschrieben, wie wir uns zumindest beim Archivieren von ihnen unabhängig machen können. (Teil 1/3)

Geschätzte Lesezeit für diesen Artikel: 3 Minuten

“Schleichend zum Überwachungsstaat” – so der Titel eines aktuellen Spiegel-Beitrags zum Ausbau der staatlichen Überwachungsmöglichkeiten in Deutschland (erfahre mehr). Ohne Zweifel nimmt die Überwachung der Bürger auch hierzulande rasant zu, auch und gerade im Bereich der digitalen Kommunikation. In vielen Bereichen sind wir der Datenschnüffelei jedoch nicht uneingeschränkt ausgeliefert. So gilt die Nutzung von E-Mail-Verschlüsselung seit Jahren als extrem wirksame Möglichkeit, um die Inhalte von E-Mails vor fremden Blicken zu schützen. Bei dem Angriff auf Yahoo haben wir gesehen, wie wichtig das sein kann (erfahre mehr). Wir sind also gut beraten, wenn wir davon ausgehen, dass wir auch selbst irgendwann von einem solchen Angriff betroffen sein werden. Gut, wenn dann wenigstens der Inhalt unserer E-Mails geschützt ist.

Die Sicherung der Nutzer-Accounts ist natürlich zuallererst die Aufgabe unserer E-Mail-Anbieter. Aber auch wir selbst können eine Menge tun. Die drei wichtigsten Maßnahmen sind: Weiterlesen

Sichere E-Mails mit S/MIME (4/4)

In dieser 4-teiligen Serie geht es um das Signieren und Verschlüsseln von E-Mails nach dem S/MIME-Standard.

← Zurück zu Teil 3

Teil 4: S/MIME und OpenPGP im Vergleich und Fazit

Spätestens seit den Enthüllungen Edward Snowdens ist allgemein bekannt, dass das Fernmeldegeheimnis in der E-Mail-Kommunikation aktuell so wasserdicht ist wie ein Salatsieb. Daran wird sich in absehbarer Zeit nichts ändern. Das können wir achselzuckend hinnehmen – wir müssen uns dann aber ehrlicherweise folgende Frage stellen: Würden wir es mit der selben Gleichgültigkeit akzeptieren, wenn andere Grund- und Menschenrechte über Bord gingen? (vgl. Grundgesetz Art. 10 und Allgemeine Erklärung der Menschenrechte Art. 12)

Ich bin überzeugt, dass wir das nicht tun würden. Wie lässt sich dann aber erklären, dass wir gerade bei E-Mails untätig zusehen, wie unsere Privatsphäre tagtäglich und in geradezu atemberaubendem Ausmaß verletzt wird? Und das, obwohl wir sie so einfach schützen könnten? Vielleicht liegt es daran, dass wir im digitalen Bereich die Tragweite unseres Verhaltens einfach noch nicht sehr gut einschätzen können. E-Mails sind in dieser Hinsicht besonders tückisch: Sie suggerieren eine dem Brief ähnliche Vertraulichkeit zwischen Sender und Empfänger, die sie nicht einmal annähernd bieten. Wenn wir plötzlich alle unsere Briefe in aufgerissenen Umschlägen zugestellt bekämen, gäbe es vermutlich schon morgen Massendemonstrationen. Die permanente Verletzung der digitalen Privatsphäre ist dagegen unsichtbar und lässt sich sehr leicht ignorieren. Der Verein digitalcourage formuliert dazu treffend: Weiterlesen