Das Add-on Mailvelope verwenden

Abgrenzung Enigmail, Guard und Mailvelope

Enigmail, mailbox Guard und Mailvelope dienen der Verwaltung von PGP-Schlüsselpaaren. PGP-Schlüssel ermöglichen eine Kommunikation über Ende-zu-Ende-Verschlüsselung. Dabei handelt es sich nicht um eine Transportverschlüsselung - diese verschlüsselt lediglich die Verbindung von einem an der Übertragung der E-Mail beteiligten Gerät oder Server zum nächsten. Wer also Zugriff auf ein Gerät hat, das an der E-Mail-Übertragung beteiligt ist, kann bei reiner Transportverschlüsselung die Inhalte einsehen.

Bei PGP-Verschlüsselung kann nur die empfangende Person die Inhalte der E-Mail einsehen. Innerhalb der PGP-Verschlüsselung gibt es verschiedene Anwendungsszenarien mit unterschiedlicher Sicherheitseinstufung.

Wer über ein sicheres Endgerät (PC oder Laptop) verfügt, erreicht mit der Kombination lokaler E-Mail-Client und lokales PGP-Verwaltungsprogramm (etwa Thunderbird und Enigmail) den höchstmöglichen Schutz, da er stets die Hoheit über seinen privaten PGP-Schlüssel behält.

Mailvelope und mailbox Guard

Sie können entweder den mailbox Guard oder Mailvelope verwenden.

Bei Mailvelope wird der private PGP-Schlüssel an den Browser übergeben. Der Browser kann als Mittler zwischen dem Endgerät und dem Internet gesehen werden. Daraus entstehen gewisse Nachteile, Details dazu finden Sie am Ende dieses Artikels.

Der Guard integriert die Möglichkeit zur Verwaltung von PGP-Schlüsseln in das mailbox Office. Dabei liegt auch der private Schlüssel auf unseren Servern. Natürlich ist er dort sicher und wird zudem noch per Passwort geschützt, allerdings genügt dies nicht allen Schutzanforderungen.

Diese Anleitung beschreibt die Nutzung und Einrichtung von Mailvelope. In unserer Knowledge Base finden Sie weitere Artikel zu den Themen PGP-Verschlüsselung und den mailbox Guard.

Mailvelope – Übersicht

Mailvelope ist ein Browser-Add-on, das Sie in Firefox, Chrome und Edge verwenden können, um Ihre E-Mails bei Webmail-Anbietern mit PGP sicher zu verschlüsseln. Wenn Sie mailbox Office mit Mailvelope verwenden, ergeben sich folgende Vorteile:

• Die PGP-Verschlüsselung wird in den Browser integriert, wobei Ihr privater PGP-Schlüssel nie auf unseren Servern liegt. Sie können Mails einfach verschlüsseln, entschlüsseln und digital mit PGP signieren.
• Sie können PGP-Schlüssel auf Ihrem Rechner verwalten.
• Eine Nutzung der lokalen GnuPG-Installation ist in Kombination mit Mailvelope möglich und erhöht die Sicherheit.

Info

Browser-Add-ons und damit auch Tools wie Mailvelope können bei der Verwendung von Drive oder E-Mail-Anhängen unerwünschte Effekte verursachen.

Das erforderliche Add-on finden Sie im jeweiligen Webstore Ihres Standard-Browsers (Google Chrome, Mozilla Firefox oder Microsoft Edge).

Mailvelope herunterladen

Um Mailvelope nutzen zu können, installieren Sie zunächst die entsprechende Browser-Erweiterung:

• Mailvelope für Google Chrome
• Mailvelope für Mozilla Firefox

Bestätigen Sie die erforderlichen Zugriffsberechtigungen, damit Mailvelope korrekt funktioniert.

Mailvelope für Firefox herunterladen

Weitere Informationen und eine aktuelle Übersicht finden Sie auch auf der offiziellen Projektseite: mailvelope.com.

Mailvelope aktivieren und einrichten

Um Mailvelope mit mailbox Office zu nutzen, gehen Sie wie folgt vor:

1. Navigieren Sie im mailbox Office zum folgenden Pfad: Alle Einstellungen > E-Mail-Verschlüsselung > PGP im Webmailer
2. Klicken Sie unter Verschlüsselung mit Experten mit Mailvelope auf jetzt aktivieren.

Mailvelope im mailbox Office aktivieren

3. Navigieren Sie anschließend in mailbox Office zum Pfad Alle Einstellungen > Sicherheit > Mailvelope.
4. Klicken Sie auf die Schaltfläche Mailvelope-Einstellungen.
   Ein neuer Browser-Tab mit den Mailvelope-Einstellungen öffnet sich.

Wenn Sie bereits ein eigenes PGP-Schlüsselpaar besitzen, importieren Sie Ihre bestehenden Schlüssel.

Wenn Sie noch kein Schlüsselpaar besitzen, erstellen Sie Ihre Schlüssel.

Mailvelope einrichten ohne bisher genutztes Postfach und ohne eigenes PGP-Schlüsselpaar

So richten Sie Mailvelope ein, wenn Sie den mailbox Guard noch nicht konfiguriert haben und über kein eigenes Schlüsselpaar verfügen:

1. Klicken Sie in der Schlüsselverwaltung von Mailvelope auf Schlüssel erstellen.
2. Geben Sie die erforderlichen Angaben ein und erstellen Sie ein komplexes Passwort. Speichern Sie dieses an einem sicheren Ort – beispielsweise in Ihrem KeePassXC-Passwortmanager.
3. Klicken Sie abschließend auf Erstellen.

Ihr PGP-Schlüsselpaar ist erfolgreich erstellt und im Mailvelope Add-on verfügbar. Sie können nun E-Mails mit Ihrem PGP-Schlüsselpaar versenden.

Mailvelope einrichten ohne bisher genutztes Postfach mit bestehendem eigenen PGP-Schlüsselpaar

Falls Sie bereits ein Schlüsselpaar auf anderem Wege erstellt haben und den Guard noch nicht konfiguriert haben, gehen Sie wie folgt vor:

Klicken Sie in der Schlüsselverwaltung von Mailvelope auf Schlüssel importieren.

Schlüssel in Mailvelope importieren

Für den Import gibt es zwei Möglichkeiten:

• Schlüssel importieren als Datei: Über diese Funktion können Sie eine Datei (*.asc) mit Schlüsseln auf Ihrer Festplatte auswählen und in Mailvelope importieren.

• Schlüssel importieren als Text: Kopieren Sie zunächst den oder die Schlüssel (mehrere Schlüssel gleichzeitig möglich) in die Zwischenablage. Bei Klick auf Schlüssel aus der Zwischenablage einfügen werden die Schlüssel aus den Texten extrahiert und in den lokalen Schlüsselbund übertragen. Stellen Sie sicher, dass Sie bei der Auswahl -----BEGIN PGP PUBLIC KEY BLOCK ----- und -----END PGP PUBLIC KEY BLOCK ----- mit einschließen.

Hinweis

Importieren Sie sowohl Ihren privaten als auch Ihren öffentlichen PGP-Schlüssel.

Schlüssel in der Mailvelope-Oberfläche hochladen

Bestätigen Sie den Import des Schlüssels.

Fertig - Sie können Mailvelope nun mit Ihrem eigenen PGP-Schlüsselpaar nutzen.

Von Guard auf Mailvelope umstellen

Mailvelope und der mailbox Guard können nicht gleichzeitig verwendet werden. Sollten Sie aktuell den Guard verwenden, sind zusätzliche Schritte nötig.

So stellen Sie von Guard auf Mailvelope um:

1. Exportieren Sie Ihr PGP-Schlüsselpaar über den folgenden Pfad: Alle Einstellungen > mailbox Guard > Ihre PGP-Schlüssel
2. Exportieren Sie bei Bedarf die öffentlichen Schlüssel Ihrer Kommunikationspartner über den folgenden Pfad: Alle Einstellungen > mailbox Guard > Empfänger-Schlüssel
3. Aktivieren Sie Mailvelope unter Alle Einstellungen > E-Mail-Verschlüsselung > PGP im Webmailer.
4. Importieren Sie Ihr Schlüsselpaar in Mailvelope wie im Abschnitt Mailvelope einrichten ohne bisher genutztes Postfach mit bestehendem eigenen PGP-Schlüsselpaar beschrieben.

Sicherheitshinweise zur Nutzung von Mailvelope

Bei der Nutzung des Add-ons Mailvelope sind einige Dinge in Bezug auf Sicherheit zu beachten:

• Ihre Schlüssel werden auf Ihrem Computer im lokalen Speicher des Browsers aufbewahrt.
• Da der lokale Speicher zur Schlüsselaufbewahrung verwendet wird, ist Mailvelope für den Einsatz auf fremden oder unsicheren Rechnern (z. B. in Internet-Cafés oder im Urlaub) nicht geeignet.
• Im HTML5 Security Cheat Sheet wird vom OWASP empfohlen, keine sicherheitsrelevanten Informationen im lokalen Speicher des Browsers aufzubewahren, da diese Daten durch XSS-Angriffe kompromittiert werden könnten.
• Während es in Bezug auf die alte Add-on-Architektur in Firefox 2003 noch Sicherheitsnachteile bei der Nutzung von Mailvelope gab, ist dieser Nachteil mit der Einführung der Web Extensions in Firefox und seit Mailvelope 2.0 (Oktober 2017) behoben worden. Web Extensions verhindern auch per Default die Ausführung von CSP und somit XSS-Angriffe.
• In Mailvelope kann nun auch eine lokale GnuPG-Installation für das Key-Management verwendet werden. Dies erhöht den Schutz vor derartigen Angriffen weiter und sollte genutzt werden.

Einschränkungen durch Javascript

Javascript wurde grundsätzlich nicht als Programmiersprache für Kryptographieanwendungen entwickelt. Bei der Einschätzung, ob dies ein Nachteil ist, gibt es unterschiedliche Ansätze. Hier einige Argumente:

• Was in anderen Krypto-Implementierungen als schwerer Bug gilt, muss bei Mailvelope als Limitierung durch Javascript hingenommen werden – zum Beispiel:

  • Es ist mit Javascript nicht möglich, einen geheimen Schlüssel nach der Benutzung sicher aus dem Hauptspeicher zu löschen („Overwriting memory – why?“).
  • Normales Verhalten bei Mailvelope wird im TOR-Projekt als Sicherheitslücke eingestuft.

• Durch Seitenkanalangriffe auf den Browser ist es möglich, die Reihenfolge der Nullen und Einsen im privaten Schlüssel durch Beobachtung bei der Codeausführung zu rekonstruieren. Die Krypto-Implementierung in Mailvelope (OpenPGP.js) läuft allerdings größtenteils über die Web Crypto API des Browsers, wodurch das Risiko von Seitenkanalangriffen reduziert wird.

• Andererseits hat Javascript den Vorteil, dass es Speichermanagement gibt. Damit können Bufferoverflows – wie sie oftmals in C/C++-Implementierungen auftreten – gar nicht erst entstehen.

Weitere Hinweise

Falls Sie Mailvelope nutzen, weil Sie Ihren privaten Schlüssel nicht bei mailbox auf den Servern speichern möchten, empfehlen wir, die Autocrypt-Funktion in den Mailvelope-Einstellungen zu deaktivieren. Dies ist bei Nutzung von mailbox nicht notwendig, da wir diese Funktion nicht über die Client-API unterstützen.