PGP und Autocrypt

Stand: Oktober 2026

PGP verschlüsselt Mails Ende-zu-Ende: Nur du und die Gegenseite können sie lesen: nicht der Mailserver, nicht dein Anbieter, niemand dazwischen. Zusätzlich kann PGP Mails signieren, also beweisbar machen, dass sie wirklich von dir stammen und unterwegs nicht verändert wurden.

Der Preis: Beide Seiten brauchen PGP. Verschlüsseln kannst du nur an Menschen, deren öffentlichen Schlüssel du hast.

Das Prinzip in drei Sätzen

Jeder Teilnehmer hat ein Schlüsselpaar. Der öffentliche Schlüssel darf jeder haben, mit ihm wird an dich verschlüsselt. Der private bleibt bei dir, nur er kann entschlüsseln und signieren.

Eigenes Schlüsselpaar

Unter Einstellungen → Sicherheit → PGP-Verschlüsselung:

• Neuen Schlüssel erzeugen: YouniqMail erstellt das Paar für deine Adresse direkt auf dem Gerät. Der private Schlüssel verlässt es nicht.
• Oder vorhandenen Schlüssel importieren, als ASCII-Text eingefügt (wer schon mit GnuPG, Thunderbird oder ProtonMail gearbeitet hat, bringt sein Paar einfach mit).

Exportieren geht jederzeit, etwa für die Sicherung oder den zweiten Rechner. Behandle die Exportdatei des privaten Schlüssels wie ein Passwort.

Schlüssel der anderen

Vier Wege, an öffentliche Schlüssel zu kommen:

Autocrypt, der bequeme: Mailprogramme mit Autocrypt (Thunderbird, K-9 Mail, Delta Chat und andere) legen den öffentlichen Schlüssel automatisch in jede Mail. YouniqMail liest ihn heraus und merkt ihn sich. Nach der ersten Mail eines Autocrypt-Nutzers kannst du ihm verschlüsselt antworten, ohne seinen Schlüssel eigens zu holen. Ein eigenes Schlüsselpaar brauchst du dafür trotzdem, denn YouniqMail verschlüsselt jede Mail auch für dich selbst.

Keyserver: Im Abschnitt Keyserver derselben Einstellungsseite suchst du öffentliche Verzeichnisse nach einer Adresse ab und importierst den Treffer. Bestätigt ist der Schlüssel damit noch nicht, denn auf einen Keyserver kann jeder einen Schlüssel unter jeder Adresse hochladen. Vergleiche den Fingerabdruck mit dem Inhaber und klicke unter Vertrauenswürdige öffentliche Schlüssel auf Schlüssel vertrauen. Erst dann verschlüsselt YouniqMail an ihn.

Von Hand: Schlüsselblock einfügen, den dir jemand geschickt hat.

Als Anhang: Schickt dir jemand seinen Schlüssel als Datei (.asc, .gpg, .pgp oder .key), übernimmt YouniqMail ihn meist schon beim Abgleich. Sonst klickst du am Anhang auf Schlüssel importieren. Bestätigt ist der Schlüssel damit noch nicht: Vergleiche den Fingerabdruck im Hinweis mit dem Absender und klicke erst dann auf Vertrauen. Private Schlüssel übernimmt YouniqMail aus Mails nie.

Verschlüsseln und signieren

Im Verfassen-Fenster sitzen die Schalter für Verschlüsseln und Signieren in der Fußleiste. Liegt für alle Empfänger ein Schlüssel vor, lässt sich die Mail verschlüsseln; fehlt einer, sagt dir YouniqMail, für wen.

Signieren folgt von selbst Verschlüsseln: Wird die Mail verschlüsselt, wird sie auch signiert, sonst nicht. Jede Mail lässt sich aber auch nur signieren: Setze den Haken bei Signieren allein, neben den Schaltern steht dann Nur signiert. Die Mail geht im Format PGP/MIME hinaus, das Thunderbird und andere Mailprogramme prüfen. Empfänger mit PGP sehen, dass sie wirklich von dir stammt und unterwegs nicht verändert wurde. Wer kein PGP nutzt, liest sie ganz normal und sieht die Signatur als Anhang OpenPGP_signature.asc. Lesbar ist eine nur signierte Mail unterwegs trotzdem: Die Signatur schützt vor Veränderung, nicht vor Mitlesen.

Fehlt ein Schlüssel oder ist einer widerrufen, erfährst du das schon beim Klick auf Senden, nicht erst später im Postausgang. Bei einem abgelaufenen Schlüssel fragt YouniqMail nach, ob du trotzdem senden willst.

Empfangene Mails

Verschlüsselte Mails öffnen sich wie gewohnt, entschlüsselt wird automatisch mit deinem privaten Schlüssel. Ist er durch eine Passphrase geschützt, die du nicht gespeichert hast, fragt YouniqMail beim Öffnen danach.

Signaturen prüft YouniqMail von selbst, in verschlüsselten wie in nur signierten Mails. Das gilt auch für Mails, deren Text zwischen BEGIN PGP SIGNED MESSAGE und der Signatur steht, wie Mailinglisten sie oft verschicken; sie erscheinen ohne diesen Rahmen. Über dem Text steht, was die Prüfung ergab:

• PGP-Signatur bestätigt: Die Signatur stimmt, und der Schlüssel gehört zum Absender und ist bei dir als vertrauenswürdig markiert.
• PGP-Signatur gültig, Schlüssel nicht bestätigt: Die Signatur stimmt, aber du hast den Schlüssel noch nicht bestätigt, etwa weil er per Autocrypt oder mit der Mail selbst kam. Vergleiche den Fingerabdruck mit dem Absender und markiere den Schlüssel als vertrauenswürdig: Öffne über den Absender in der Mail seine Kontaktdetails und klicke beim Schlüssel auf Vertrauen.
• PGP-Signatur von jemand anderem: Die Signatur stimmt, aber der Schlüssel gehört nicht zur Absenderadresse, oder du hast ihn abgelehnt.
• PGP-Signatur ungültig: Die Mail wurde nach dem Signieren verändert, oder der Schlüssel war beim Signieren abgelaufen oder widerrufen.
• PGP-Signatur nicht geprüft: Der Schlüssel des Absenders ist nicht auf diesem Gerät.

Die Mailliste zeigt dasselbe als kleines Abzeichen, die Signaturdatei selbst erscheint nicht als Anhang. Importierst du einen Schlüssel später oder änderst du, ob du ihm vertraust, prüft YouniqMail die damit signierten Mails erneut: eine gerade offene Mail sofort, alle anderen beim nächsten Öffnen.

Auch nur signierte Nachrichten im Format BEGIN PGP MESSAGE, wie gpg --sign --armor sie erzeugt, prüft YouniqMail und zeigt ihren Text lesbar an. Einen verschlüsselten Block, den eine Mail nur zitiert oder als Datei anhängt, setzt YouniqMail nicht an ihre Stelle. Die Mail bleibt so lesbar, wie sie geschrieben wurde.

Mails, die beim ersten Abgleich eines Ordners in großer Zahl hereinkommen, prüft YouniqMail beim ersten Öffnen und holt dafür einmal das Original vom Server. Ist der Server gerade nicht erreichbar, steht dort PGP-Signatur noch nicht geprüft, und die Prüfung läuft beim nächsten Öffnen erneut.

Grenzen, ehrlich benannt

PGP verschlüsselt den Inhalt, nicht die Metadaten: Betreff, Absender und Empfänger bleiben lesbar. Und die Suche kann verschlüsselte Inhalte nur durchsuchen, soweit sie lokal entschlüsselt vorliegen. Für vertrauliche Kommunikation ist PGP dennoch der Standard, der sich seit Jahrzehnten bewährt.