Verschlüsselung & Signaturen

S/MIME und PGP: Schlüssel anlegen, verschlüsselt senden, Signaturen prüfen — und wo die Grenzen liegen.

Was verschlüsselt wird — und was nicht

Astreo unterstützt S/MIME und OpenPGP. Beide schützen den Inhalt einer Nachricht Ende-zu-Ende: verschlüsselt wird beim Absender, entschlüsselt wird beim Empfänger. Unterwegs kann niemand mitlesen — auch kein Mailserver.

Das ist etwas anderes als die beiden Schutzschichten, die ohnehin immer greifen:

• Transportverschlüsselung (TLS) sichert nur den Weg zwischen zwei Servern.
• Verschlüsselung at-rest sichert die Daten auf unseren Platten — siehe Einstellungen & Sicherheit.
• S/MIME und PGP schützen die Nachricht selbst, unabhängig davon, über wie viele Server sie läuft.

Was nicht geschützt wird: der Betreff und die Adressen. Sie stehen in den Kopfzeilen, die jeder Mailserver zum Zustellen braucht, und bleiben daher außerhalb der Verschlüsselung. Das gilt für S/MIME und PGP gleichermaßen und ist kein Astreo-Sonderweg. Schickt dir jemand eine Nachricht mit geschützten Kopfzeilen (z. B. aus Thunderbird), zeigt Astreo den echten, innen liegenden Betreff an statt der drei Punkte der Außenhülle.

Eigenen Schlüssel anlegen

Alles dazu steht unter Einstellungen → Verschlüsselung. Du brauchst einen eigenen Schlüssel, um zu signieren und um verschlüsselte Post an dich selbst lesen zu können.

• S/MIME importieren: lade deine Zertifikatsdatei (.p12 oder .pfx) hoch und gib die Passphrase der Datei an. Sie enthält Zertifikat und privaten Schlüssel. Solche Dateien bekommst du von einer Zertifizierungsstelle oder aus eurer eigenen PKI.
• PGP importieren: füge einen ASCII-armored Schlüssel ein — privat (dein eigener) oder öffentlich (der eines Gegenübers).
• PGP erzeugen: Astreo erstellt dir auf Wunsch ein neues Schlüsselpaar (RSA, 2048 Bit) zu einer Adresse. Praktisch, wenn du noch gar keinen PGP-Schlüssel hast.

Jeder Schlüssel kann an ein Postfach gebunden oder persönlich sein. Der erste eigene Schlüssel je Verfahren wird automatisch Standard; über Als Standard änderst du das jederzeit. Die Liste zeigt zu jedem Eintrag Verfahren, Adresse, Fingerabdruck, Gültigkeit und ob es ein eigener oder ein Empfänger-Schlüssel ist. Abgelaufene Schlüssel sind als solche markiert.

Private Schlüssel verlassen die Verwaltung nicht wieder: Astreo zeigt sie nach dem Import nicht erneut an und gibt sie über die Schnittstellen nicht heraus.

Schlüssel deiner Gegenüber

Verschlüsseln kannst du nur an Empfänger, deren öffentlichen Schlüssel du hast. Astreo sammelt die meist von allein ein:

• Aus signierter Post: Schreibt dir jemand eine signierte Mail, übernimmt Astreo dessen S/MIME-Zertifikat bzw. PGP-Schlüssel automatisch. Ein einmaliger Austausch signierter Nachrichten in beide Richtungen genügt also, damit anschließend beide Seiten verschlüsseln können.
• Aus dem Autocrypt-Header und aus angehängten PGP-Schlüsseldateien — auch bei unverschlüsselten Nachrichten.
• Per WKD: Fehlt beim Verschlüsseln ein PGP-Schlüssel, fragt Astreo das Web Key Directory der Empfängerdomain an (der übliche, datensparsame Weg — kein zentraler Keyserver) und übernimmt einen dort passend hinterlegten Schlüssel.
• Von Hand: Einen öffentlichen PGP-Schlüssel kannst du jederzeit über PGP importieren selbst einfügen.

Signieren & verschlüsselt senden

Im Verfassen-Fenster findest du die Schalter Signieren und Verschlüsseln sowie die Wahl des Verfahrens (S/MIME oder PGP). Beides lässt sich einzeln oder zusammen einschalten.

• Signieren belegt, dass die Nachricht von dir stammt und unterwegs nicht verändert wurde.
• Verschlüsseln macht den Inhalt nur für die Empfänger lesbar.
• Astreo prüft vor dem Senden, ob du einen eigenen Schlüssel hast und ob für jede Empfängeradresse ein Schlüssel vorliegt. Fehlt einer, wird der Versand abgebrochen und die betroffene Adresse genannt — nie wird still im Klartext gesendet.
• Deine eigene Adresse wird immer mitverschlüsselt, damit die Kopie in Gesendet für dich lesbar bleibt.

Verschlüsselter Versand funktioniert über alle verbundenen Postfachtypen — SMTP ebenso wie Microsoft 365 über Graph.

Verschlüsselte Post lesen

Eingehende Nachrichten erkennt Astreo selbst, entschlüsselt sie mit deinem hinterlegten Schlüssel und prüft eine vorhandene Signatur. Am Kopf der Nachricht siehst du:

• Verschlüsselt — der Inhalt kam geschützt an.
• Signatur gültig mit dem Namen des Signierers — die Prüfung ist aufgegangen.
• Signatur ungültig — Finger weg, der Inhalt passt nicht zur Signatur.
• Signiert, nicht verifiziert — es fehlt der passende öffentliche Schlüssel zum Prüfen.

Über Verschlüsselungsdetails klappst du Verfahren, Signierer, Fingerabdruck und Gültigkeitsdatum auf. Liegt kein passender Schlüssel zum Entschlüsseln vor, sagt Astreo das deutlich, statt einen leeren Text zu zeigen.

Grenzen — bewusst so entschieden

Damit du weißt, worauf du dich verlässt:

• Die Schlüssel liegen auf unserem Server, verschlüsselt at-rest mit einem separaten Serverschlüssel. Das ist kein Zero-Knowledge: technisch könnte der Betreiber sie entschlüsseln. Der Grund für diese Entscheidung ist die Arbeitsweise von Astreo — ein Team soll ein gemeinsames Postfach lesen können, und Suche wie KI-Funktionen sollen weiter funktionieren. Wer ein Modell braucht, bei dem der Schlüssel das Gerät nie verlässt, ist mit einem lokalen Mailprogramm besser bedient.
• Entschlüsselte Inhalte werden gespeichert, damit Threads, Volltextsuche und KI-Funktionen auch für geschützte Nachrichten greifen. Löschst du später einen Schlüssel, bleiben bereits empfangene Nachrichten lesbar.
• Die Vertrauenskette eines S/MIME-Zertifikats wird nicht geprüft — Astreo prüft die Signatur selbst, nicht ob die ausstellende Stelle vertrauenswürdig ist. Bei wichtiger Post vergleiche den Fingerabdruck mit deinem Gegenüber über einen zweiten Kanal.
• Betreff und Adressen bleiben sichtbar (siehe oben).