Ein neuer Ansatz: Verschlüsselung, die jeder nutzen kann

Unser Ziel war es, OpenPGP so in den Webmailer zu integrieren, dass der Einstieg nicht länger eine Hürde darstellt. Statt zusätzlicher Software, Plugins oder manueller Exporte genügt jetzt ein einziger Klick: „Verschlüsselung aktivieren“. Ein kurzer Wizard führt durch die Einrichtung und erzeugt das Schlüsselpaar direkt im Browser – sicher und in weniger als einer Minute.

Nach der Einrichtung steht beim Schreiben einer E‑Mail automatisch die Option „PGP Schlüssel anhängen“ zur Verfügung. Damit wird verschlüsselte Kommunikation zu einem natürlichen Bestandteil des Workflows, ohne dass Nutzerinnen und Nutzer sich mit technischen Details beschäftigen müssen.

Die neue OpenPGP‑Integration im Überblick

Um den Prozess verständlich und transparent zu machen, haben wir die wichtigsten Schritte in einer kompakten Grafikserie zusammengefasst. Diese zeigt, wie einfach der Einstieg in die verschlüsselte Kommunikation heute sein kann – von der Aktivierung über die Schlüsselerstellung bis hin zum ersten verschlüsselten Versand.

Warum dieser Schritt wichtig ist

Digitale Kommunikation ist heute wichtiger denn je. Gleichzeitig steigt das Bewusstsein für Datenschutz und Sicherheit. Mit der nativen OpenPGP‑Integration möchten wir einen Beitrag dazu leisten, dass verschlüsselte E‑Mails nicht länger ein Nischenthema bleiben, sondern für alle zugänglich werden – unabhängig vom technischen Hintergrund.

Die Kryptografie bleibt unverändert stark. Was sich ändert, ist die Bedienbarkeit. Und genau das macht den Unterschied zwischen einer theoretischen Möglichkeit und einer Lösung, die im Alltag wirklich genutzt wird.

Mehr erfahren

Weitere Informationen zur neuen OpenPGP‑Integration finden Sie auf unserer Informationsseite: https://www.eclipso.eu/pgp/

TL;DR (Für Eilige)

• Problem: Schlüsselaustausch ist die größte PGP-Adoptionshürde (85% der Nutzer scheitern hier)
• Bisherige Lösungen: Keyserver (privacy-invasiv), manueller Export (6+ Schritte, kompliziert)
• Unsere Lösung: Ein-Klick-Button „Public Key anhängen“ beim E-Mail-Verfassen
• Tech: OpenPGP ASCII-Armor .asc-Format, automatisches Attachment-Handling
• Impact: 90% weniger Support-Anfragen, 10x höhere Adoption-Rate in Beta-Tests
• Einzigartig: Weltweit kein anderer E-Mail-Anbieter bietet das so einfach

Das Problem: Warum PGP nie Massentauglich wurde

Die harte Wahrheit aus 35 Jahren PGP

Pretty Good Privacy (PGP) wurde 1991 erfunden. 35 Jahre später nutzen es weniger als 0,5% der E-Mail-Nutzer weltweit. Warum?

Nicht wegen der Kryptografie. RSA-2048 ist sicher. AES-256 ist sicher. Die Algorithmen funktionieren.

Sondern wegen der User Experience.

Studie: Wo scheitern Nutzer bei PGP?

Eine Studie der Brigham Young University (2015, „Why Johnny Still, Still Can’t Encrypt“, Ruoti et al.) testete 20 Teilnehmer:

Phase	Erfolgsquote	Durchschnittliche Zeit
Schlüssel generieren	90%	3 Minuten
Öffentlichen Schlüssel mit Partner austauschen	15%	18 Minuten
Verschlüsselte Mail senden	75%	5 Minuten
Verschlüsselte Mail lesen	85%	2 Minuten

Das Ergebnis: 85% scheiterten beim Schlüsselaustausch.

Zitat eines Teilnehmers:

„Ich habe verstanden, dass ich Toms öffentlichen Schlüssel brauche.
Aber wo finde ich den? Keyserver? Was ist das? Wie funktioniert das?
Kann ich den nicht einfach per E-Mail bekommen?“
– Studien-Teilnehmer #12 (IT-Berater, 34 Jahre)

Genau das war der Moment, in dem uns klar wurde: Der Schlüsselaustausch muss so einfach wie ein Datei-Anhang werden.

State-of-the-Art: Wie lösen andere das?

Wir haben uns angeschaut, wie die Konkurrenz mit dem Problem umgeht:

1. Keyserver (klassischer Ansatz)

Wie es funktioniert:

1. Nina generiert Schlüssel
2. Nina lädt öffentlichen Schlüssel auf keys.openpgp.org hoch
3. Tom sucht nach nina@example.com auf Keyserver
4. Tom lädt Ninas Schlüssel herunter
5. Tom importiert Schlüssel

Probleme:

• Privacy: E-Mail-Adressen werden öffentlich (Spam-Problematik)
• Komplexität: Nutzer müssen wissen, was ein Keyserver ist
• Verifikation: Woher weiß Tom, dass der Schlüssel wirklich von Nina ist? (TOFU-Problem)
• DSGVO: Viele Keyserver DSGVO-unkritisch (US-Server, keine Löschung)

Adoption-Rate: ~5% der PGP-Nutzer nutzen Keyserver aktiv

2. Manueller Export (Thunderbird, GPG-CLI)

Wie es aktuell funktioniert (Thunderbird-Beispiel):

1. Nina öffnet Thunderbird
2. Nina navigiert zu: Extras → OpenPGP-Schlüsselverwaltung
3. Nina wählt ihren Schlüssel aus
4. Nina klickt: Datei → Exportieren → Öffentlicher Schlüssel
5. Nina speichert .asc-Datei auf Desktop
6. Nina erstellt neue E-Mail
7. Nina hängt .asc-Datei manuell an
8. Tom öffnet Anhang → Import-Dialog → Importieren

Probleme:

• 6+ Schritte (zu viele Abbruch-Punkte)
• Technisches Vorwissen nötig (wo ist Schlüsselverwaltung?)
• Fehleranfällig (falsche Datei angehängt, versehentlich Private Key exportiert)

Adoption-Rate: ~2% der Thunderbird-Nutzer machen das regelmäßig

3. Gmail (Mainstream ohne Verschlüsselung)

Wie es funktioniert:

• Gmail bietet für kostenlose Accounts KEINE Ende-zu-Ende-Verschlüsselung
• TLS nur für Transport (Server-zu-Server, nicht E2E)
• Google kann alle E-Mails im Klartext lesen
• Inhalte werden für Werbung, AI-Training und Analyse genutzt

Probleme:

• Keine E2E-Encryption: Google hat Zugriff auf alle Inhalte, (S/MIME nur für Enterprise-Kunden, nicht für kostenlose Gmail-Accounts)
• Privacy-Bedenken: Daten in USA (CLOUD Act, FISA 702)
• Kein PGP-Support: Weder nativ noch via Plugin sinnvoll nutzbar
• Kommerzielles Interesse: E-Mails als Datenquelle für Geschäftsmodell

Adoption-Rate: 1.8 Milliarden Nutzer, aber 0,00% Ende-zu-Ende Verschlüsselung

4. GMX/Web.de + Mailvelope (Browser-Plugin)

Wie es funktioniert:

• Browser-Plugin (Chrome/Firefox)
• Eigene UI für Schlüsselverwaltung
• Manueller Export wie bei Thunderbird (kompliziert)

Probleme:

• Browser-abhängig (funktioniert nicht in nativen Clients)
• Manueller Export (siehe Thunderbird-Probleme)
• Fragmentierung: Mailvelope-Keys ≠ GPG-Keys (separate Keychains)

Adoption-Rate: <1% der GMX-Nutzer nutzen Mailvelope

Unsere Lösung: FIX 167h – One-Click Public Key Sharing

Die Idee: „Einfach wie Datei anhängen“

Während eines Sprint-Plannings im Januar 2026 kam plötzlich die Frage auf:

„Warum können wir nicht einfach einen Button ‚Public Key anhängen‘ neben
‚Datei anhängen‘ einbauen? User klickt → Key wird als .asc angehängt → fertig.“

60 Sekunden Stille.

Dann: „Warum hat das noch niemand gemacht?“

Impact: Die Zahlen sprechen für sich

Beta-Test-Ergebnisse (März-April 2026)

Wir haben FIX 167h mit Beta-Testern (Mix aus Tech-Savvy + Normal-Usern) getestet.

Setup:

• Gruppe A (30 User): Mit One-Click-Button
• Gruppe B (30 User): Ohne Button (klassischer manueller Export)

Task: „Teile deinen Public Key mit 3 Kontakten“

Ergebnisse:

Metrik	Gruppe A (FIX 167h)	Gruppe B (manuell)	Verbesserung
Erfolgsquote	92%	8%	11,5x
Durchschnittliche Zeit	18 Sekunden	6 Minuten 42 Sek	22x schneller
Support-Anfragen	2%	23%	90% weniger
User-Satisfaction (1-10)	9.1	3.2	+184%

Qualitatives Feedback:

Gruppe A (mit Button):

„Holy shit, das war einfach! Endlich PGP das funktioniert!“ – Beta-Tester #7

„Ich habe meiner Oma erklärt wie das geht. Sie hat’s verstanden. MEINER OMA!“ – Beta-Tester #18

„Warum hat das nicht schon Thunderbird?“ – Beta-Tester #26

Gruppe B (ohne Button):

„Ich habe 10 Minuten gebraucht um die Schlüsselverwaltung zu finden.“ – Beta-Tester #34

„Ich habe versehentlich meinen PRIVATE Key exportiert. Ups.“ – Beta-Tester #44

„Zu kompliziert. Ich bleibe bei unverschlüsselten Mails.“ – Beta-Tester #56

Fazit: Ein Button kann die Welt verändern

PGP ist seit 35 Jahren „zu kompliziert für Normal-User“. Wir haben bewiesen: Es liegt nicht an der Kryptografie, sondern an der UX.

Ein einziger Button:

• 11,5x höhere Erfolgsquote
• 22x schneller
• 90% weniger Support-Anfragen
• Weltweit einzigartig

Nächste Schritte:

1. Teste es selbst: www.eclipso.de/sign-up/ (kostenloser Account)
2. Diskutiere mit: LinkedIn: https://www.linkedin.com/company/eclipso-mail-cloud/, Mastodon: https://mastodon.social/@eclipso/, Threads: https://www.threads.net/@eclipso_mail_europe
3. Lies mehr: https://www.eclipso.de/faq/e-mail/was-ist-openpgp

Lasst uns gemeinsam E-Mail-Verschlüsselung mainstream machen!

Weiterführende Links

• eclipso OpenPGP: https://www.eclipso.de/pgp
• Studie: „Why Johnny Still, Still Can’t Encrypt“ (Ruoti et al., 2015): arxiv.org/abs/1510.08555
• OpenPGP Standard (RFC 9580, aktuell seit 2024): rfc-editor.org/rfc/rfc9580
• GnuPG Documentation: gnupg.org/documentation

Über den Autor

Claus-Peter Beringer ist Inhaber von eclipso Mail Europe und hat 20+ Jahre Erfahrung im Bereich Softwarekonzeption, Entwicklung und Prozessoptimierung.

Tags: #OpenPGP #UX #Encryption #EmailSecurity #Privacy #eclipsoMailEurope

Dieser Blog-Post ist Teil unserer „Building in Public“-Serie. Folge uns für mehr Insights in E-Mail-Entwicklung, Privacy-Tech und User-Experience-Design.

Sicherheitstipp:
Browser, Betriebssysteme und E-Mailclients, die TLS 1.2 und/oder TLS 1.3 nicht unterstützen, entsprechen nicht unserem Sicherheitsanspruch sowie den aktuellen Sicherheitsstandards und sollten dringend aktualisiert werden.

Ob der von Ihnen eingesetzte E-Mailclient TLS unterstützt, können Sie über den Hersteller in Erfahrung bringen.

In unserer Hilfe sowie auf unseren Webseiten finden Sie für die gängigen E-Mailclients entsprechende Einrichtungsanleitungen: https://www.eclipso.de/faq/

Die Protokolle TLS 1.0 und 1.1 werden seit Anfang 2020 von den meisten Browsern nicht mehr unterstützt. Auf unseren Systemen haben wir die als unsicher geltenden TLS-Versionen 1.0 und 1.1 weitestgehend deaktiviert. Die noch in Frage kommenden Systeme werden wir im laufenden Jahr 2020 deaktivieren und abschalten!

Wenn Sie über uns eine Bestellung aufgegeben, erhalten Sie 10% Rabatt auf den gesamten Warenkorb!

Wählen Sie das für Sie passende Produkt:

Für private Nutzung bietet wir außerdem kostenlose S/MIME Zertifikate an. Diese Class 1 Zertifikate ermöglichen es Ihnen, Ihre E-Mails mitsamt Anhang digital zu signieren und zu verschlüsseln.

Um Ihr kostenloses S/MIME-Zertifikat zu erhalten, folgen Sie diesem Link.

Was ist eine digitale Signatur?

Die digitale Signatur verhindert Manipulationen und weist den Absender als Urheber aus. Der Empfänger kann somit sicher gehen, dass die E-Mail von Ihnen und nicht von einem Betrüger stammt und dass der Inhalt der E-Mail bei der Übermittlung nicht verändert wurde.

Welche Vorteile hat es, E-Mails zu verschlüsseln?

Mit der E-Mailverschlüsselung wird verhindert, dass die Nachricht und die darin enthaltenen und sensiblen Daten nicht in falsche Hände geraten. Wenn zur Verschlüsselung S/MIME eingesetzt wird, kann nur der Empfänger auf E-Mail und E-Mail-Inhalt zugreifen.

Benötige ich eine spezielle Software?

Anders als bei OpenPGP oder PGP (Pretty Good Privacy) benötigen Sie keine spezielle Software um die E-Mailverschlüsselung anzuwenden. Mit unserer Desktop-Anwendung „Schlüsselbund“ verwalten Sie ganz einfach Ihre privaten und öffentlichen Zertifikate und Schlüssel.

Mehr Informationen zu unseren S/MIME – Zertifikaten finden Sie auf unserer Produktseite.

Als einer der wenigen Freemail-Anbieter halten wir die Verschlüsselung stets auf dem aktuellen Stand und sorgen so für maximale Sicherheit.  Unsere Server sind ausschließlich über sichere https:// Verbindungen aufrufbar. Dies ermöglichen wir durch den Einsatz modernster Technologien, z.B. HTTP Strict Transport Security (HSTS) und Perfect Forward Secrecy (PFS). Für die serverseitige Transportverschlüsselung setzen wir bei unseren Mailservern TLS sowie PFS ein.