PGP vs S/MIME — welches E-Mail-Verschlüsselungsprotokoll solltest du verwenden?

Beide Protokolle — PGP und S/MIME — sind älter als das moderne Web. Beide verschlüsseln und signieren E-Mails. Beide sind noch immer aktiv im Einsatz. Der Unterschied liegt darin, wem du vertraust, für Schlüssel zu bürgen — und genau diese eine Unterscheidung verändert alles andere.

Vertrauensmodell

PGP nutzt ein "Web of Trust" — jeder Nutzer kann den öffentlichen Schlüssel eines anderen signieren. Keine zentrale Instanz. Vertrauen entsteht durch direkten Austausch oder transitiv durch Personen, denen du bereits vertraust.

S/MIME nutzt zentralisierte PKI — eine Zertifizierungsstelle (CA) stellt dein Zertifikat aus, nachdem sie deine Identität verifiziert hat. Andere vertrauen deiner Signatur, weil ihr Client der CA vertraut.

Praktische Unterschiede

• PGP-Schlüssel sind kostenlos und selbst ausgestellt. S/MIME-Zertifikate kosten 0–80 $/Jahr und erfordern eine CA.
• PGP funktioniert mit jedem E-Mail-Client (oder Web-App). S/MIME erfordert native Unterstützung (Apple Mail, Outlook).
• PGP-Schlüssel halten Jahre und werden vom Nutzer rotiert. S/MIME-Zertifikate laufen jährlich ab.
• PGP verschlüsselt nur den Nachrichtenkörper. S/MIME umhüllt die gesamte E-Mail inklusive einiger Header. Die Betreffzeile ist bei beiden im Klartext.

Sicherheit

Beide verwenden moderne Algorithmen und sind kryptografisch solide. Die Abhängigkeit von S/MIME von CAs ist ein Single Point of Failure — eine kompromittierte CA kann gültig wirkende Zertifikate für jede Adresse ausstellen. Das Web of Trust von PGP hat kein solches zentrales Ziel.

PGP ist anfälliger für Benutzerfehler bei der Schlüsselverwaltung — ohne eine CA, die Dinge bestätigt, müssen Empfänger Fingerabdrücke selbst verifizieren.

Empfehlung

• Verwende PGP für technische Nutzer, Journalisten, Sicherheitsforscher, Open-Source-Maintainer.
• Verwende S/MIME in Unternehmensumgebungen, wo die IT Zertifikate ausstellt, oder in regulierten Branchen.
• Du kannst beides nutzen. Die meisten E-Mail-Clients wählen, was der Empfänger unterstützt.