Springe zum Hauptinhalt

Verschlüsselte Mailingslisten

Für ein NGO habe ich recherchiert, welche Möglichkeiten es gibt, Mailinglisten zu verschlüsseln.

/images/2015/mailman-logo.jpg

Zum Verwalten der Mailinglisten verwendet das NGO Mailman 2 – eines der weitest verbreitetsten und besten Programme hierfür.

Hierbei gibt es grundsätzlich zwei Möglichkeiten:

  1. Alle Abonnenten bekommen den privaten Schlüssel der Mailingliste

  2. Ein sogenannter Patch für die Mailinglisten-Software

In beiden fällen wird ein GPG-Schlüssel auf die auf Adresse der Mailingliste ausgestellt.

Alle Abonnenten bekommen den privaten Schlüssel der Mailingliste

zu 1): So wie jede.r Abonnent.in einen eigenen GPG-Schlüssel erstellt, erstellen wir einen auf die Adresse der Mailingliste. Wenn wir an die Liste schreiben, werden die Mails für diesem Empfänger verschlüsselt. Damit jede.r Abonnent.in die Mails dann entschlüsseln kann, bekommt sie/er den privaten Teil des Schlüssels.

Das widerspricht zwar der "reinen Lehre", wie mit privaten Schlüsseln umzugehen ist, kann für viel Anwendungsfälle aber völlig okay sein.

Der Nachteil dieser Lösung ist, dass sie nicht skaliert. Sprich: Für einen kleinen Empfängerkreis mit geringer Fluktuation funktioniert das. Aber für größere Gruppen wird es schwierig.

Ein sogenannter Patch für die Mailinglisten-Software

zu 2)  Für Mailman gibt es einen Patch, also eine eine kleinere Softwarekorrektur, die Mailman Unterstützung für GPG- und S/MIME-verschlüsselte Mails beibringt

Auch hier würden ein GPG-Schlüssel auf die Adresse der Mailingliste ausgestellt. aber der private Teil würde nicht verteilt sondern bliebe auf dem Mailinglisten-Server. Dort würden für jede.n Abonnent.in deren öffentlichen Schlüssel abgelegt werden. Mailman würde dann die Mails entschlüsseln und für alle Abonnentinnen verschlüsseln.

Vorteil dieser Lösung wäre, dass sie skaliert, also auch für Mailinglisten mit hoher Fluktuation oder vielen Abonnentinnen praktikabel wäre.

Nachteil ist, dass Admins sich gerne weigern diesen Patch zu installieren - oder die Mailinglisten werden von einem Dienstleister betrieben, den man nicht davon überzeugen kann.

Portrait von Hartmut Goebel
Hartmut Goebel
Diplom-Informatiker, CISSP, CSSLP, ISO 27001 Lead Implementer

Haben Sie noch Fragen?
Anruf oder Mail genügt:
Telefon:   +49 871 6606-318
Mobil:   +49 175 29 78 072
E-Mail:   h.goebel@goebel-consult.de