Die freie Implementierung, die heute in fast jedem PGP-fähigen Tool steckt, ist deutsch: GnuPG (GPG) wurde von Werner Koch geschrieben, und das deutsche Bundesministerium für Wirtschaft (BMWi) finanzierte die Entwicklung ab 1999 gezielt, damit Deutschland eine freie, lizenzkostenfreie OpenPGP-Implementierung besitzt, unabhängig von patentierten US-Verfahren.
Ein Schlüsselpaar: öffentlich und privat
Anders als bei symmetrischer Verschlüsselung (wie AES), bei der ein einziger Schlüssel Daten ver- und entschlüsselt, verwendet PGP ein Paar mathematisch verknüpfter Schlüssel. Der öffentliche Schlüssel kann frei verteilt werden — jeder kann ihn nutzen, um eine Nachricht nur für Sie zu verschlüsseln —, und nur der passende private Schlüssel, der Ihr Gerät nie verlässt, kann sie entschlüsseln.
Warum eine Bundesbehörde ein Verschlüsselungstool förderte
Anfang der 1990er hing sichere Verschlüsselung stark von US-Software und deren Exportbeschränkungen ab. Die Förderung von GnuPG war ein bewusster Schritt, digitale Souveränität herzustellen: ein Werkzeug, dessen Quellcode offen liegt und das niemand exportkontrollieren oder lizenzieren kann. Heute basiert praktisch jede moderne PGP-Anwendung — von Thunderbird bis zu Kommandozeilen-Tools — auf genau dieser Bibliothek.
Digitale Signatur — dieselbe Idee umgekehrt
Um eine Nachricht zu signieren, hasht der Autor sie und verschlüsselt diesen Hash mit seinem privaten Schlüssel. Jeder kann die Signatur mit dem öffentlichen Schlüssel des Autors prüfen — eine erfolgreiche Prüfung bestätigt, dass die Nachricht tatsächlich vom Besitzer des privaten Schlüssels stammt und danach nicht verändert wurde.
Wofür man das braucht
- Vertrauliche Nachrichten für einen Empfänger verschlüsseln, ohne vorher Geheimnisse auszutauschen.
- Software-Releases oder Commits signieren, um die Urheberschaft zu belegen.
- Die Echtheit signierter E-Mails oder Dateien aus externen Quellen überprüfen.
Web of Trust statt zentraler Förderstelle
Auch wenn eine Ministeriumsförderung GnuPGs Entwicklung ermöglichte, bleibt das Vertrauensmodell von PGP selbst vollständig dezentral: Nutzer signieren gegenseitig die öffentlichen Schlüssel der anderen und bestätigen damit, dass sie die Zugehörigkeit eines Schlüssels persönlich geprüft haben. Vertrauen in einen unbekannten Schlüssel entsteht über eine Kette solcher Signaturen zwischen Menschen — nicht über eine zentrale Stelle, staatlich oder nicht.