Ja, ich will meine Online-Aktivitäten in Zukunft versuchen, weitgehend ohne den Suchmaschinen-Riesen zu leben. Das hat nichts mit meinem gescheiterten Experiment “Umstieg auf Android” zu tun, sondern vielmehr damit, dass Google immer datenschutz- und privatsphärenfeindlicher wird. Jüngstes Beispiel, das bei mir das Fass zum Überlaufen brachte, war ein Vorfall aus der letzten August-Woche, bei dem Google eine App aus dem Play Store warf, die andere Apps daran hindert, Nutzer unbemerkt und ohne deren Zustimmung zu verfolgen.

Infolge dessen habe ich die letzte Woche damit verbracht, successive meine Daten und Dienste von Google weg zu Alternativen zu befördern. Besonders im Vorteil waren hier natürlich Dienste, die Datenschutz groß schreiben. Und ja, ich lasse mich das durchaus auch was kosten.

Suche

Der prominenteste Dienst ist natürlich die Suche. Die datenschutzfreundlichste Alternative ist hier definitiv DuckDuckGo. Die Zugänglichkeit der Suchergebnisse ist hervorragend, die Suchergebnisse selbst sind es inzwischen ebenfalls, und die Einbindung als Standard-Suchmaschine oben rechts im Firefox klappt auch problemlos. Das Team ist sehr hilfsbereit bei Problemen und antwortet, z. B. auf Twitter, sehr zügig. In iOS 8 und OS X Yosemite wird DuckDuckGo sogar eine weitere Suchmaschinen-Option für Safari sein.

Mail

Nächster prominenter Punkt ist ein Ersatz für den Gmail-Account. Nach einigen Experimenten bei meinem Webhoster DomainFactory (Partner-Link), die aber alle nicht zufriedenstellend waren, bin ich letztendlich und auf wärmste Empfehlung mehrerer Bekannter bei FastMail (Affiliate Link) gelandet.

Und was soll ich sagen? Außer: “Warum bin ich nicht schon längst bei denen gewesen!”? Der Service ist einfach klasse! Die Webseiten sind sehr gut zugänglich, es werden ausschließlich semantisch richtige Elemente für die Weboberfläche verwendet. Und wenn es klemmt, bekommt man schnell und kompetent Hilfe.

Neben Mails per – übrigens sehr schnellem – IMAP und SMTP und Zugriff über die Weboberfläche bietet FastMail auch lokale Kontakte, die man bisher allerdings noch nicht mit mobilen Geräten synchronisieren kann. Weiterhin gibt es einen Kalender, der mit dem CalDAV-Standard auch mit dem iPhone synchronisiert werden kann, und Webspeicherplatz für Dateien, bei dem der Zugriff per WebDAV erfolgt. Allerdings kann webDAV nicht jedes Betriebssystem von Haus aus, es muss also z. B. für Windows eine Software installiert werden, die diese Funktionalität in den Explorer nachreicht.

FastMail ist allerdings in keinem Fall kostenlos. Selbst der absolute Basistarif kostet etwas. Dafür ist der Dienst jedoch werbefrei. Ich selbst nutze eine der höheren Varianten, weil ich auch eigene Domains habe, die natürlich ihre Mails auch an FastMail geliefert bekommen sollen. Dank der einfachen DNS-Konfiguration war das Umstellen der MX-Einträge bei kein Problem, und inzwischen laufen alle vier Blog-Domains, die ich inzwischen habe, e-mail-mäßig über FastMail, und zwar in Empfangs- und Senderichtung. Denn selbstverständlich werden auch E-Mail-Aliase unterstützt. Auch Accounts für ganze Familien oder Firmen sind verfügbar, die noch mehr Einstellungsmöglichkeiten bieten als die Accounts für Einzelpersonen. Es gibt serverseitige Filterregeln, um Mails von Mailinglisten vorzusortieren und auf allen Geräten denselben Stand zu haben, und, und, und… Es gibt einen 60-tägigen Testzeitraum, also wenn ihr neugierig geworden seid, einfach mal selbst ausprobieren!

Mir persönlich tut es nicht weh, für einen vernünftigen und werbefreien E-Mail-Dienst auch was zu zahlen, der so viel bietet wie FastMail. Dass ich dafür nicht als Lieferant für Werbetreibende gebraucht werde, ist es mir wert!

Dateien in der Cloud

Hier bietet sich ein uneinheitliches Bild. Klar ist, dass ich meine Daten nicht länger in Google Drive haben werde. Allerdings ist mit der Zeit doch einiges zusammengekommen, was sich so auf diverse Dienste verteilt. Ich denke, ich werde sowohl FastMail’s WebDAV-Angebot nutzen als auch weiterhin meinen Dropbox-Account, gerade weil diesen Dienst so viele haben und die Freigaben so schön funktionieren. Eventuell wird auch Apple’s iCloud Drive interessant, wenn es jetzt im Herbst mit Erscheinen von iOS 8 und OS X Yosemite veröffentlicht und endlich zu einem vollwertigen Cloudspeicher wird. Ich habe hier wegen meines Office 365 Home Premium von Microsoft auch noch zig GB oder mehr OneDrive-Speicher zur Verfügung, nutze diesen aber eher weniger. Ob ich den im nächsten Jahr verlängere, weiß ich noch nicht. Ich nutze Word & Co. eigentlich gar nicht mehr, sondern schreibe viele Dinge in Markdown und publiziere sie dann als HTML oder epub.

Kalender, Kontakte

Da FastMail, wie oben erwähnt, zwar inzwischen das Synchronisieren von Kalendern per CalDAV unterstützt, die Synchronisierung von Kontakten per CardDAV bisher aber nicht zur Verfügung steht, ist hier noch ein anderer Dienst erforderlich. Nachdem ich zu Zeiten meines Experiments mit Android mit OwnCloud experimentiert habe, mir aber die Unstetigkeit des Webinterfaces bei Updates, was die Zugänglichkeit angeht, ganz gehörig auf die Nerven geht, werden Kontakte und Kalender vorerst über iCloud synchronisiert. Ich habe es zwar nicht geschafft, trotz zahlreicher Anleitungen die iCloud-Kontakte auch in Thunderbird einzubinden; da die sich aber eh nicht oft ändern, synchronisieren diese im Moment lediglich zwischen den i-Geräten und dem Mac, wenn er denn mal wieder läuft. Wenn denn mal ein Update in einem Kontakt erfolgt, trage ich diesen in Thunderbird von Hand nach.

Außerdem bietet iCloud ja noch weitere spannende Fähigkeiten für Besitzer von i-Geräten, auf die ich definitiv nicht verzichten möchte, gerade wenn es jetzt auf iOS 8 zugeht.

Fazit

Ein Leben ohne Google ist möglich und auch nicht sinnlos! Mit einigen wenigen Handgriffen kann man sich vieler Dienste des Suchmaschinen-Riesen entledigen und Alternativen finden, die mindestens genauso gut funktionieren. Andere, bisher nicht erwähnte, Dienste wie Maps nutze ich eh nicht, sondern das, was Apple Karten und BlindSquare benutzen, so dass hier schon von vornherein mit Ersatz gearbeitet wurde bzw. gar keiner gesucht werden musste. Zusammenarbeit bei Dokumenten brauche ich, wenn überhaupt, dann nur im beruflichen Umfeld, und da gibt es einen Google-Account, der ausschließlich dafür da ist und sonst nichts anderes tut. Aber für meinen privaten Gebrauch werde ich Google-Dienste in Zukunft nicht mehr nutzen. Klar wird die Mail-Adresse noch eine Weile bestehen bleiben, damit auflaufende Mail nicht zurückgeschickt wird, aber der Account wird früher oder später geschlossen, also aktualisiert lieber schnell eure Adressbücher! Meine neue E-Mail-Adresse gibt’s im Impressum.

Es ist soweit, iOS 8 ist erschienen! Und es ist Zeit, sich die Neuerungen in puncto Bedienungshilfen anzuschauen. Es gibt einiges zu entdecken. Apple haben mal wieder ein echtes Feuerwerk abgebrannt, was die Neuerungen und Verbesserungen angeht.

VoiceOver

Im Bereich VoiceOver, der viele meiner Leser am brennendsten interessieren dürfte, haben sich ein paar Dinge getan, die die Arbeit noch einmal deutlich erleichtern könnten.

Brailleeingabe auf dem Touchscreen

In den Rotoreinstellungen gibt es eine neue Einstellung mit Namen “Braillebildschirmeingabe”. Fügt man diese dem Rotor hinzu, steht in Eingabefeldern eine neue Rotorfunktion gleichen Namens zur Verfügung, ähnlich wie die Handschriftoption in iOS 7. Schaltet man auf diesen Modus um, wird das iPhone, iPad oder der iPod Touch der 5. Generation zur Brailleeingabetastatur. Auf den kleinen Bildschirmen des iPhone und iPods lediglich für 6-Punkt-Braille, auf iPads sogar 8-Punkt-Braille. Dies passiert grundsätzlich im Querformat. Die Home-Taste zeigt hierbei üblicherweise nach rechts. Hier unbedingt auf die Ansage von VoiceOver achten!

Zunächst wird man aufgefordert, die Finger zu kalibrieren. Jeder hält seine Hände etwas anders, und damit das Gerät weiß, wie, und dementsprechend die Braillezeichen deuten kann, muss es ihm beigebracht werden. Zunächst legt man die Finger der rechten Hand aufs Display und wartet zwei akustische Signale ab. VoiceOver sagt dann “Im Erkundungsmodus, Punkte 4 5 6″. Dann hebt man sie an und wiederholt diese Prozedur mit den Fingern der linken Hand für die Punkte 1 2 3. Nun ist man startklar und kann lostippen. Die folgenden weiteren Gesten stehen nun zur Verfügung:

• Mit einem Finger nach rechts wischen: Leerzeichen einfügen.
• Mit einem Finger nach links wischen: Letztes Zeichen löschen.
• Mit einem Finger nach oben oder unten wischen: Vorschläge aus dem Wörterbuch auswählen.
• Mit drei Fingern nach links oder rechts wischen: Umschalten zwischen Kurzschrift- und Computerbraille-Eingabe, mit der Einschränkung, dass diese auf dem iPhone nur im 6-Punkte-Modus zur Verfügung steht.

Es wird sogar die Eingabe in mehreren Sprachen unterstützt. Schreibt man z. B. viel auf deutsch und englisch, hat man in der Regel auch für beide Sprachen die normale Tastatur installiert. Schaltet man nun vor Betätigen des Rotors die Tastatur auf deutsch oder englisch ein und schaltet dann in den Brailleeingabemodus, erfolgt die Interpretation auch in der gewählten Sprache, also bei Kurzschrift deutsche oder eben englische.

Was Apple hier deutlich besser gelöst hat als die Macher der Software mBraille, ist, dass sie nicht fest vorgeben, wie man die Finger auf einem iPhone plazieren muss. Die sehr abgeschrägte Handhaltung von mBraille konnte ich z. B. nie gut ausführen, während die Brailleeingabe nach der Apple-Methode nach dem Kalibrieren der Finger wunderbar funktioniert.

Das Kalibrieren kann man übrigens jederzeit wiederholen. Wenn man beim Tippen merkt, dass die Finger so doch nicht richtig funktionieren, kann man eine neue Kalibrierung beginnen, indem man die Finger der rechten hand so aufs Display legt, wie es dann am bequemsten ist und die Prozedur dann mit der Linken wiederholt, jeweils bis die zwei akustischen Signale und die VoiceOver-Ansagen erfolgt sind.

Diese Brailleeingabemethode ist ein echter Gewinn für Leute, die gern und viel Braille schreiben oder auch schnell sein wollen. Auch, dass die Kurzschrifteingabe so gut funktioniert, ist ein echter Sprung in der Funktionsvielfalt!

Genauere Einstellung der Brailleein- und -ausgabe

In den VoiceOver-Einstellungen für Brailleschrift gibt es jetzt genauere Einstellmöglichkeiten für die Aus- und Eingabe von Brailleschrift. Sowohl die Ausgabe als auch die Eingabe per Brailletastatur und Braillebildschirmeingabe können getrennt nach 8-Punkt-Braille, 6-Punkt-Braille (entspricht der deutschen Basisschrift) und Braillekurzschrift eingestellt werden, bei der Einstellung für die Brailletastatur sogar noch zusätzlich, ob eine Braillerückübersetzung stattfinden soll. Schaltet man diese aus, kann man z. B. als Lehrer in Zukunft kontrollieren, ob ein Brailleschüler richtig Kurzschrift schreibt. Für die Bildschirmeingabe steht diese Möglichkeit jedoch nicht zur Verfügung, hier wird immer zurückübersetzt.

Fortlaufendes Lesen

Ebenfalls in den Brailleschrifteinstellungen gibt es jetzt eine Einstellung, die sich “Automatisches Umblättern” nennt. In iBooks, Kindle und anderen Anwendungen mit Textausgabe ist es nun endlich möglich, nur mit Hilfe der fortlaufenden Lesetasten der Braillezeile ein ganzes Buch zu lesen, ohne von Hand die Seite umblättern zu müssen.

Audioducking abschaltbar

in iOS 8 ist es jetzt ähnlich wie in OS X Mavericks endlich möglich, das Audioducking, also das Leiserdrehen der Medienwiedergabe, wenn VoiceOver spricht, an – und abzuschalten. Man geht hierfür in die Rotoreinstellungen und aktiviert den Punkt Audioducking. Will man die Funktion nun umschalten, kann man dies mit Wahl der Rotoreinstellung und dem Wischen nach oben oder unten tun.

Eine neue Tastatureingabemethode

In der Rotorstellung Eingabemodus gibt es eine neue Einstellung mit Namen “Direkte Berührung Eingabe”. Apple empfiehlt, diese nur in Verbindung mit den Einstellungen “Zeichen” oder “Zeichen und Wörter” beim Sprechen der Eingabe für Softwaretastaturen zu verwenden. Diese Einstellung besagt nämlich, dass man den Bildschirm nur ganz kurz berühren soll, um eine Taste einzugeben. Legt man den Finger zu lange auf eine Taste, wird sie gesprochen und beim Anheben des Fingers nicht eingegeben. Diese Art der Eingabe ist für Leute gedacht, die die Lage der Tasten ihrer Tastatur sehr genau kennen und so sehr schnell schreiben können wollen.

Die Standardeinstellung für diese Rotorfunktion ist jetzt übrigens auch in den VoiceOver-Einstellungen vorbelegbar. Es gibt dafür einen neuen Punkt “Eingabemodus”.

Neue Stimmeneinstellungen

Der Umschalter “Kompakte Stimme” ist aus den VoiceOver-Einstellungen verschwunden. Stattdessen gibt es jetzt einen neuen Punkt “Sprachausgabe”, der dem Punkt “Sprachen und Dialekte” entspricht, aber etwas umgestaltet und erweitert wurde. Hier fügt man wie gehabt diejenigen Sprachen hinzu, die man im Rotor haben möchte und die VoiceOver auch beim automatischen Erkennen von Sprachen z. B. auf Webseiten verwenden soll. Ganz oben legt man die Standardsprache fest, inklusive der Tatsache, ob die Standard- oder Premium-Stimme verwendet werden soll und wie schnell diese spricht.

Sämtliche solche Einstellungen kann man nun für jede weitere hinzuzufügende Sprache einstellen. Für jede Sprache ist einstellbar, ob die kompakte bzw. Standard-Stimme oder die Premium-Stimme heruntergeladen und verwendet werden soll, und wie schnell diese spricht. Für U.S. Englisch gibt es in iOS 8 außerdem die Stimme Alex, die von OS X seit Jahren als englische Standardstimme bekannt ist. Allerdings ist diese den 64-Bit-Geräten, also iPhone 5S oder neuer und iPad Air und iPad Mini mit Retina Display vorbehalten. Ältere Geräte bekommen diese Stimme nicht angeboten. Achtung, der Download ist 805 MB groß!

Zoom

Der Zoom ist in iOS 8 erheblich erweitert worden. So kann man jetzt einstellen, ob der Fokus verfolgt werden soll oder nicht, ob die Tastatur gezoomt werden soll und ob ein Menü mit Zoomfunktionen angezeigt wird. Auch kann man jetzt festlegen, ob der gesamte Bildschirm oder nur das Fenster gezoomt werden soll. Und letztendlich kann man die maximale Zoomstufe festlegen. Standardwert ist fünffacher Zoom, man kann dies aber auch auf bis zu 15-fach hochdrehen. Ob man das Gerät dann allerdings noch sinnvoll bedienen kann, überlasse ich dem geneigten Leser festzustellen.

Graustufen-Darstellung

Dieser Punkt befindet sich unterhalb der Einstellung für die Farbumkehr und ist neu in iOS 8.

Sprachausgabe

Dieser Punkt ist neu und ersetzt die Punkte “Auswahl vorlesen”, “Autotext vorlesen” und “Autokorrektur und Autogroßschreibung”. Diese sind in dieses neue Dialogfeld gewandert, und die Punkte “Autotext” und “Autogroßschreibung…” wurden zu “Autotext” zusammengefasst.

Bildschirminhalt sprechen

Außerdem gibt es einen neuen Punkt “Bildschirminhalt sprechen”. Ist er aktiviert, kann man mit zwei Fingern vom oberen Bildschirmrand streichen, um sich eine Webseite, E-Mail, einen Text in iBooks o. ä. vorlesen zu lassen. Auf dem Bildschirm erscheinen dann Wiedergabe-Steuerelemente zum Pausieren und fortfahren und schnellen Spulen vor und zurück.

Diese Funktion ist übrigens auch mit VoiceOver kombinierbar. Man legt zwei Finger an den oberen Bildschirmrand und wartet auf das dezente aufsteigende Tonsignal, das anzeigt, dass jetzt erfolgende Fingerbewegungen direkt an die Anwendung durchgereicht werden. Erforscht man den Bildschirm, während der Bildschirm vorgelesen wird, wird die Vorlesestimme je nach Audioducking-Einstellung leiser gedreht, so dass die VoiceOver-Stimme deutlich besser zu hören ist. Man kann so auch die Wiedergabe-Steuerelemente fürs Vorlesen des Bildschirms bedienen.

Aktiviert man einen dieser drei Punkte, wird der Schalter “Stimmen” verfügbar, der dem oben schon beschriebenen Dialog für die Sprachausgabe in VoiceOver entspricht, allerdings ohne die Standard-Sprache. Und außerdem sind hier alle verfügbaren Sprachen aufgelistet und konfigurierbar, weil der vorzulesende Text ja in jeder Sprache vorliegen kann und man ohne VoiceOver ja keinen Rotor hat. Außerdem sind die hier gemachten Einstellungen unabhängig von VoiceOver, man kann also fürs Vorlesen des Bildschirms für die gleiche Stimme eine andere Sprechgeschwindigkeit einstellen als bei VoiceOver.

Neue Einstellung Hörgerätbetrieb

Diese Einstellung findet sich im Dialogfeld “Hörgeräte” und soll laut Aussage dazu beitragen, die Audioqualität zu verbessern. Auch werden in diesem Dialogfeld jetzt explizit “Made for iPhone”-Hörgeräte verbunden.

Geräuschunterdrückung

Mit dieser Einstellung werden Umgebungsgeräusche bei Telefonaten unterdrückt, um die Sprachqualität zu verbessern. Dies ist aber nur dann in Anwendung, wenn das iPhone ans Ohr gehalten wird, also nicht im Freisprech-Betrieb.

Videobeschreibungen

iOS unterstützt jetzt die Wiedergabe von Audiodeskriptionen in Videos. Dieser Punkt findet sich zusammen mit den Untertiteln im neu geschaffenen Abschnitt “Medien” und legt fest, ob Audiodeskription automatisch abgespielt wird, wenn verfügbar, oder eben nicht.

Neue Optionen beim geführten Zugriff

Man kann den geführten Zugriff nun auch per Fingerabdruck sperren und entsperren. Weiterhin ist es nun möglich, bestimmte Zeiten festzulegen, zu denen der geführte Zugriff aktiv ist.

Art der Anrufannahme festlegen

Es ist nun möglich festzulegen, ob Anrufe automatisch (wie bisher) oder immer auf dem angeschlossenen Kopfhörer oder immer beim eingebauten Lautsprecher landen sollen.

Tastaturen

iOS 8 bietet nun endlich die Möglichkeit, Tastaturen von Drittherstellern systemweit einzubinden und zu nutzen. Und mehrere Hersteller von bekannten Apps haben nicht nur angekündigt, dass ihre Funktionalität in Zukunft per Tastatur zur Verfügung stehen wird, sondern auch, dass diese mit VoiceOver kompatibel sein werden. Dazu gehören natürlich die schon bekannte Tastatur Fleksy, die Snippet-Verwaltung TextExpander (Ankündigung) und der Passwort-Manager 1Password. Andere werden folgen oder haben ebenfalls Tastaturen angekündigt, ob diese alle mit VoiceOver kompatibel sind, muss sich zeigen. Aber die Tastaturerweiterungen ermöglichen natürlich viel mehr Flexibilität und Produktivität, so dass hier eine ganze Reihe von neuen Anwendungen möglich wird.

Notfall-Pass in der Health-App

In der neuen App Health (Engl. für Gesundheit) kann man sich einen Notfall-Pass einrichten. Dies ist der ganz rechte Tab. Diese Notfall-Informationen können dazu dienen, im Falle des nicht mehr kommunizieren Könnens wichtige Informationen an Personen weiterzugeben, die erste Hilfe leisten oder zu einem Notfall-Team gehören. Hier kann man wichtige Medikationsangaben hinterlegen, seinen Namen, sein Alter und andere relevante Informationen zur Verfügung stellen usw. Die Einsatzmöglichkeiten sind vielfältig. Ob ein Diabetiker, der in einen Unterzucker geraten ist und nicht mehr sprechen kann, ein Mensch mit Autismusspektrumsstörung, der unter Stress verstummt, Anweisungen für die Behandlung im Falle eines Bewusstseinsverlustes in der Öffentlichkeit usw.

Diese Informationen sind, sofern hinterlegt, vom Sperrbildschirm aus zugänglich, ohne das iPhone entsperren zu müssen. Der Weg dorthin ist allerdings etwas kompliziert: erst muss man zum Entsperren nach rechts wischen, dann unten links auf “Notfall” tippen, woraufhin man eine Telefontastatur angeboten bekommt, in der wiederum unten links ein kleiner Link zum Notfallpass steht. Es bleibt zu hoffen, dass Apple diesen Weg in Zukunft noch vereinfacht.

Apple verspricht, dass keine App, die das neue HealthKit unterstützt, auf diese besonderen Informationen zugreifen kann.

Einige nützliche Tipps

Im Folgenden habe ich einige nützliche Tipps für Neuerungen in an Bord befindlichen Apps zusammengefasst, primär für VoiceOver-User.

Audio-Nachrichten

In iMessage kann man jetzt Audio-Nachrichten verschicken. Dies funktioniert sogar betriebssystemübergreifend auch mit OS X Yosemite, der neuen Version des Mac-Betriebssystems. Ist das Eingabefeld für eine iMessage leer, einfach die Taste “Audio aufnehmen” finden und doppeltippen und halten. Nach Beendigung der Aufnahme den Finger anheben, und die Nachricht wird verschickt.

Mailentwurf minimieren

In Mail kann man jetzt eine im Entwurf befindliche Mail vorübergehend minimieren, um z. B. in einer anderen Mail etwas nachzuschlagen oder eine Info zu kopieren. Neben der Abbrechen-Taste oben links befindet sich eine entsprechende weitere Taste. Genauso kann man das Fenster wiederherstellen, indem man die entsprechende neue Taste im normalen Mail-Fenster betätigt. Nicht-VoiceOver-Anwender ziehen das Entwurfsfenster nach unten weg bzw. wieder nach oben.

Apple Pay

Apple hat auf der Veranstaltung, auf der das iPhone 6 und iPhone 6 Plus vorgestellt wurden, auch einen Bezahldienst namens Apple Pay angekündigt. Mit einem in diese beiden neuen iPhones eingebauten NFC-Chip und den Fingerabdruck-Sensor wird ein Bezahlvorgang ermöglicht, der kein Herumhantieren mit einer Plastikkarte, eine PIN-Eingabe oder eine Unterschrift mehr erfordert. Der Händler bekommt nicht einmal die Kontodetails oder Kreditkartennummer übermittelt. Dieser Dienst startet im Oktober in den USA, und ich hoffe, dass er seinen Weg schnell auch nach Deutschland findet! Als jemand, der schon mal per EC-Karte um einige tausend DM (ja, ist schon eine Weile her) erleichtert wurde, weil ihm ein “Freund” beim Geld Abheben bzw. der PIN-Eingabe trotz Absicherung über die Schulter schauen konnte, sehne ich den Tag herbei, an dem wir nicht mehr mit Bargeld oder Plastikkarten hantieren müssen. Apple Pay hat das Potential, als erste Bezahlfunktion per Smartphone endlich massentauglich zu werden. Alles, was PayPal und andere bisher so gezeigt haben, krankt immer noch an zuviel Umständlichkeit. Auch für Menschen mit motorischen Einschränkungen dürfte diese Zahlungsmethode interessant werden, weil sie wenig Bewegung erfordert.

Fingerabdruck als Zugang zu Daten in Apps

Apropos Absicherung mit dem Fingerabdruck: Apple hat den Zugang zu Touch ID in iOS 8 auch Apps von Drittherstellern geöffnet. Dieser Zugang schließt quasi bestimmte angeforderte Datensätze im Schlüsselbund auf. Es findet also keine Übertragung des tatsächlichen Fingerabdrucks statt. Ähnlich wie in iTunes und dem App Store wird es so zukünftig auch in Apps von anderen Entwicklern möglich sein, Transaktionen oder Authentifizierungen mit dem Fingerabdruck durchzuführen. Natürlich nur auf unterstützten Geräten, also ab iPhone 5s aufwärts. Auch dies bedeutet wieder ein höheres Maß an Sicherheit, da man nicht mehr Gefahr läuft, beim Eintippen des Kennworts oder einer PIN diese von den Fingern abgeguckt zu bekommen. Es ist also zu hoffen, dass viele App-Entwickler diesen Mechanismus in Zukunft nutzen werden!

Leider auch ein paar Bugs

Wie bei jeder ersten Version eines neuen Releases leider fast schon üblich, gibt es auch in iOS 8 ein paar nervige Bugs, die hoffentlich bald behoben sein werden. Zu diesen gehören:

• Selbst wenn man das Sprechen der Eingabe auf “Wörter” oder “Keine” gestellt hat, werden alle eingegebenen Zeichen in fast allen Apps von VoiceOver gesprochen.
• In der letzten Reihe der Apps auf den Home-Bildschirmen ist es nicht möglich, durch Doppeltippen und Halten den Bearbeitungsmodus einzuschalten. Workaround: Einfach irgendwoanders starten, danach sind die Apps der unteren Reihe lösch- und bearbeitbar.
• Auf manchen Geräten wird die Statuszeile direkt über einer Dritthersteller-Tastatur dupliziert. Ich war in der Lage, eine Tastatur im Betatest auszuprobieren und sah dieses Phänomen auf meinem iPhone 5s, aber nicht auf dem iPad Air. Mir wurde bestätigt, dass dies auch mit einer zweiten Tastatur eines anderen Herstellers passiert, ist also ein generelles VoiceOver- bzw. iOS-Problem. Scheint aber nur für VoiceOver so auszusehen, visuell sieht alles ganz normal aus.
• Im Web gibt es weiterhin einige Unstimmigkeiten beim Bearbeiten von Textfeldern. Es ist etwas besser geworden als in iOS 7, aber immer noch nicht perfekt.
• Auf meinem iPhone 5s sagt VoiceOver bei der automatischen Bildschirmsperre nicht “Bildschirmsperre”, sondern “Code eingeben”.
• Beim kontinuierlichen Lesen z. B. in der Kindle-App bleibt VoiceOver manchmal beim Umblättern hängen. Ob dies ein VoiceOver-Bug ist oder durch ein iOS-8-Kompatibilitäts-Update der Kindle App behoben wird, bleibt abzuwarten.

Weiterhin vermeldet der Entwickler der beliebten Navigations-App BlindSquare GPS, dass die Acapela-Stimmen für iOS 8 zunächst nicht zur Verfügung stehen, sondern ein Update brauchen. Der Entwickler von Voice Dream Reader, der diese auch nutzt, hat sich bisher nicht geäußert, es könnte aber auch hier zu Problemen kommen. Workaround: Auf die iOS-Stimmen umschalten, die beide Apps unterstützen.

Für Entwickler

Entwickler können jetzt abfragen, ob bestimmte visuelle Anpassungen ein- oder ausgeschaltet sind, und können ihr Design entsprechend anpassen, um auf die Nutzerwünsche Rücksicht zu nehmen.

Weiterhin ist es möglich, eigene Aktionen für den VoiceOver-Rotor zu definieren, so dass z. B. Wischgesten nach links und rechts, wenn VoiceOver ausgeschaltet ist, hier für VoiceOver leichter zugänglich gemacht werden können, ohne gleich auf so aufdringliche Dinge wie extra Alert Views zurückgreifen zu müssen.

Für diese und alle weiteren neuen Möglichkeiten empfehle ich Entwicklern das Anschauen des 2014er iOS Accessibility Videos von der WWDC und das Studium der zugehörigen Beispiel-App HelloGoodbye. Ein Update meiner Seite zur Zugänglichkeit für VoiceOver folgt in den nächsten Tagen.

Fazit

Wie dieser Artikel zeigt, gibt es viele neue Funktionen und Möglichkeiten für Entwickler, diese auch auszunutzen. Die Möglichkeiten, die sich durch die Brailleeingabe, die Tastaturen, die Unterstützung von Touch ID und andere neue Funktionen bieten, machen Spaß und Lust auf mehr! Die neuen Einstellmöglichkeiten für die Darstellung beim Zoom, Farben abdunkeln o. ä. haben in meinem Umfeld schon für viel Wohlwollen gesorgt, nicht nur bei Sehbehinderten. Die Bildschirm-Lesen-Funktion eröffnet z. B. Autofahrern ganz neue Möglichkeiten, Inhalte auf ihrem iPhone zu konsumieren, ohne die Aufmerksamkeit von der Straße nehmen zu müssen.

Trotz der oben aufgeführten Bugs ist iOS 8 definitiv ein sehr lohnenswertes Upgrade, das viele tolle neue Funktionen bietet, deren ganzes Potential sich erst im Alltagsgebrauch erschließt.

Viel Spaß beim Entdecken!

Neben den an anderer Stelle schon ausführlich behandelten Neuerungen zu den Bedienungshilfen bietet iOS 8 eine Fülle neuer Produktivitätsfunktionen, deren Stärken sich im Zusammenspiel mehrerer Apps erst richtig zeigen. Die Integration verschiedener Apps miteinander ist so gut gelungen, dass die Übernahme von Daten und die Interaktion zum Teil deutlich besser funktioniert als auf Mac oder PC.

Ich habe mal ein paar Apps zusammengetragen, die diese neuen Funktionen nutzen und die ich auch täglich selbst im Einsatz habe. Dabei liegt ein Schwerpunkt meiner Betrachtungen auch durchaus auf der Bedienbarkeit mit VoiceOver, und ich gebe einige Tipps, wo sich manche Funktionen verstecken, die zu aktivieren sich definitiv lohnt.

Sämtliche unten beschriebenen Apps sind mit VoiceOver zugänglich. Manche Apps sind kostenpflichtig, andere kostenlos. Links zum App Store sind Affiliate-Links, d. h., wenn Du über mein Blog eine kostenpflichtige App aufrufst und kaufst, erhalte ich eine kleine Provision von Apple dafür.

Begriffsklärung

iOS 8 kommt mit einigen neuen Konzepten daher, deren Begrifflichkeiten zu sortieren manchem vielleicht noch etwas schwer fallen könnte. Diese kleine Aufstellung soll dabei helfen, diese ein wenig zu sortieren. Wer mit Widgets, Erweiterungen, Teilen-Bildschirmen usw. schon vertraut ist, kann diesen Abschnitt gern überspringen.

Widgets

Widgets werden in die Mitteilungszentrale eingebunden und erscheinen auf dem Reiter “Heute”. Es handelt sich um kleine Teile der jeweiligen Anwendung, die Informationen anzeigen oder Schnelleinstiege zu den Apps bieten, um z. B. sofort ein neues Dokument o. ä. zu erstellen.

Unten am Bildschirmrand befindet sich eine Taste “Bearbeiten”, die einen Dialog öffnet, in dem man Widgets ein- und ausschalten und diese neu anordnen kann, so dass man den Heute-Bildschirm nach den eigenen Bedürfnissen anpassen kann. Schon aus iOS 7 bekannte Widgets sind diejenigen für den Kalender, Erinnerungen oder das Wetter. Stellt eine installierte App ein Widget bereit, erscheint es hier, ist aber standardmäßig ausgeschaltet, also nicht aktiv. Zum Einschalten einfach den zugehörigen Umschalter doppeltippen. Zum neuen Anordnen das zugehörige ziehbare Element am rechten Rand finden, doppeltippen und halten und dann langsam auf- oder abwärts bewegen, bis das Widget an der gewünschten Stelle ist. Den Finger danach einfach anheben, und das Widget ist platziert. Zum Abschluss der Konfiguration oben rechts auf Fertig doppeltippen. Einige nützliche Widgets werde ich weiter unten an passender Stelle erwähnen.

Teilen-Funktion

Viele neue Versionen von Apps erlauben jetzt durch Erweiterungen, dass Inhalte wie Fotos, Webseiten oder Dokumente mit ihnen geteilt werden. Sie können dazu in die Teilen-Funktion eingebunden werden. Am einfachsten kommt man da hin, indem man im Safari eine Webseite öffnet und dann die Taste Freigeben doppeltippt. In der oberen Reihe befinden sich Anwendungen wie Nachrichten, E-Mail, Twitter usw. Rechts am Ende dieser Reihe befindet sich eine Taste “Mehr”. Doppeltippt man sie, kommt man in einen sehr ähnlichen Konfigurationsdialog wie für die oben beschriebenen Widgets. Hier kann man Apps aktivieren, die Erweiterungen zur Verfügung stellen, um Inhalte entgegenzunehmen. Wer Pocket oder Instapaper nutzt, muss jetzt also nicht mehr umständlich ein JavaScript-Bookmarklet in Safari einbinden, sondern kann die jeweilige Ap jetzt hier aktivieren und sich an die gewünschte Stelle ziehen. Will man eine Webseite für später zum Lesen markieren, aktiviert man einfach Freigeben und dann die App, und schon ist die Webseite gespeichert. Evernote kann direkt eine neue Notiz aus Inhalten erstellen, man kann einfach Bilder an Dropbox senden und vieles mehr. Es lohnt sich ein Blick hier hinein, um festzustellen, welche Apps schon Erweiterungen zur Verfügung stellen!

Safari-Erweiterungen

Ein ähnliches Konzept bieten Safari-Erweiterungen, die jedoch, wie der Name schon vermuten lässt, auf Safari beschränkt sind. Mit 1Password kann man Logins generieren und ausführen, mit View Source sich den Quelltext von Webseiten anzeigen lassen usw. Die Konfiguration findet auch im Freigeben-Bildschirm von Safari statt, aber man nimmt hierfür die untere Reihe, wo vorkonfiguriert so Dinge wie Lesezeichen, an Leseliste senden usw. zu finden sind. Auch hier gibt es eine Taste “Mehr”, die einen entsprechenden Konfigurationsbildschirm öffnet, in dem Safari-spezifische Erweiterungen aktiviert werden können.

Speicheranbieter

Eine vierte Erweiterungsmöglichkeit ist die Einbindung von Speicherorten für Dateien. Apple stellt mit iCloud Drive bereits einen solchen Speicheranbieter zur Verfügung, Dropbox und auch der FTP/SFTP/WebDAV/Amazon-S3-Client Transmit haben ebenfalls solche Dokumentenspeicher-Erweiterungen im Angebot. Zukünftige Versionen von Apps wie Pages oder Microsoft Word fürs iPad können Dateien dann von solchen Speicherorten öffnen und bearbeiten. Der Clou ist: Diese agieren als virtuelle Laufwerke, d. h., Änderungen, die man vornimmt, werden transparent gleich wieder über diesen Speicheranbieter auf dem Server gespeichert, so dass die Änderungen sofort in Dropbox oder der privaten Cloud zur Verfügung stehen. Mit Transmit und einem kleinen Kniff ist damit sogar ein voller Zugriff auf das Dateisystem des heimischen Macs möglich. Mehrere App-Entwickler haben schon angekündigt, diese Möglichkeit, Dokumente von Cloudspeichern zu öffnen, einbinden zu wollen.

Am einfachsten konfiguriert man vorhandene Cloudspeicher aus Dropbox heraus. In Dropbox die Taste “Weitere Optionen”, dann “Datei Hinzufügen” antippen, auf “Mehr” tippen und vorhandene Speicheranbieter aktivieren. Die Konfiguration ist analog, nur dass diesmal keine Möglichkeit zur Änderung der Reihenfolge besteht. Will man also z. B. eine Datei von seinem SFTP-Server in Dropbox kopieren, kann man Transmit einbinden und einfach eine Datei von dort auswählen, und sie wird in Dropbox gespeichert.

App-Erweiterungen in anderen Apps

In iOS 8 ist es jetzt endlich möglich, Erweiterungen installierter Apps in anderen Apps zu verwenden. Prominenteste Vertreter hier sind wohl 1Password und Text Expander Touch. War es früher nur über Kniffe möglich, Erweiterungen einer App in einer anderen zur Verfügung zu stellen, bietet Apple nun einen offiziellen Weg. So kann man in Transmit z. B. mit Hilfe von 1Password einen Panic Sync Account erstellen, indem man anstatt ein Passwort einzugeben einfach die 1Password-Taste tippt und sich von diesem direkt ein starkes Passwort generieren lässt. Man vergibt für das zu erstellende Login einen Titel, tippt auf Fertig, das generierte Passwort wird im Formular zur Accounterstellung eingetragen, und zwar in beide Felder, und gleichzeitig wird das Login in 1Password gespeichert, so dass es auch auf anderen iOS-Geräten zur Verfügung steht. Installiert man Transmit nun auf diesem zweiten Gerät, kann man sich einfach an sein Panic Sync Konto anmelden, indem man im Anmelde-Bildschirm wieder auf 1Password tippt, sich am Tresor anmeldet und das oben erstellte Login für Panic Sync auswählt. Die Daten werden übernommen, man muss in Transmit dann nur noch auf Log in tippen.

Vor iOS 8 musste man für diese Abläufe umständlich über die Zwischenablage gehen und mehrere App-Wechsel vollziehen, um das gleiche Ergebnis zu erzielen. Diese neuen Erweiterungen sind also ein toller Zugewinn an Komfort und Integration.

Einige nützliche Apps

1Password

1Password von AgileBits Inc. ist ein Verwaltungsprogramm für alle möglichen Daten. Logins, Kreditkarten, Bankkonten, Reisepass- oder Personalausweisnummern, Adressen und vieles mehr können in einem sicher verschlüsselten Tresor gespeichert und jederzeit abgerufen und automatisch auf Webseiten ausgefüllt werden. Wie oben beschrieben, unterstützen auch immer mehr andere Apps das Einloggen per 1Password. Die Safari-Erweiterung integriert 1Password in den täglichen Surfablauf. 1Password gibt es nicht nur für iOS, sondern auch für Android, Mac und Windows. Auch Browsererweiterungen gibt es viele, die direkt mit dem Client interagieren und eine plattform- und browserübergreifende Passwortverwaltung ermöglichen. Stellt man seine Passwörter ganz unter den Scheffel von 1Password, kann man seine gängigen Passworte durch zufällig und stark generierte Passwörter ersetzen und somit die Sicherheit der eigenen Accounts erhöhen. Wird doch mal ein Account gehackt, hat der Angreifer dann nicht gleich Zugriff auf 10 andere, weil man zu faul war, sich für jedes ein neues Passwort auszudenken.

Hat man ein iPhone 5s, 6 oder 6 Plus, unterstützt 1Password auch die Freischaltung per Touch ID, also dem Fingerabdruck, so dass man nicht jedes mal das Master-Passwort oder die PIN eingeben muss.

Ich empfehle zur Synchronisierung Dropbox, da dieser Dienst universeller einsetzbar ist als iCloud Drive, welches lediglich auf das Apple-Universum beschränkt ist. Die iOS- und Mac-Versionen sind sehr gut mit VoiceOver bedienbar, die Windows-Version größtenteils, die Browsererweiterungen vereinfachen das Handling erheblich. Die Android-Version kenne ich nicht, kann zu deren Zugänglichkeit also nichts sagen.

Dropbox

OK, zu Dropbox, dem wohl bekanntesten Cloudspeicher, muss man eigentlich keine Worte mehr verlieren, und seit der kürzlichen Neugestaltung der Preise ist auch ein Pro-Abo mit echtem Mehrwert verknüpft. Nicht nur 1 Terrabyte Speicher bekommt man für 10 Euro im Monat bzw. 99 Euro im Jahresabonnement, sondern auch vielfältige Teilen-Funktionen mit anderen Dropbox-Nutzern. Auch können sehr viele Apps Dateien aus Dropbox lesen oder dort speichern, und mit den neuen oben schon erwähnten Teilen-Erweiterungen erhöhen sich die Möglichkeiten nochmals um ein vielfaches, selbst wenn eine App Dropbox nicht selbst unterstützt.

Dropbox bietet auch ein Widget für den Heute-Bildschirm an, in dem die letzten Kontoaktivitäten angezeigt werden. So kann man schnell feststellen, ob z. B. Dateien in einem geteilten Ordner von einem anderen Teilnehmer aktualisiert wurden usw.

Kleiner Tipp: Entscheidet man sich für ein Pro-Abonnement, kann man beim Jahres-Abo 10 Euro sparen, indem man dieses per In-App-Kauf in Dropbox abschließt. Apple rechnet nämlich die 99 US$ in 89 Euro um. Auf der Webseite kostet es 99 Euro, es wird also ein schlechterer Wechselkurs zu Grunde gelegt. Auch ist Dropbox als Cloudspeicher deutlich billiger als dieselbe Speichergröße bei Apple selbst, denn 1 TB kosten dort fast 240 Euro.

Transmit

Transmit von Panic, Inc. ist ein auf dem Mac sehr beliebter und verbreiteter Client für FTP, WebDAV und Amazon S3 Cloudspeicher. FTP deckt hier auch das sichere SFTP ab. Mit dem Erscheinen von iOS 8 hat Panic mit Transmit iOS auch eine iOS-Version bereitgestellt, die es zur Einführung zum halben Preis gibt. Die universelle iPhone- und iPad-App nutzt mehrere der neuen iOS-Funktionen aus, wie oben schon angedeutet. Durch die vielfältigen Protokolle hat man Zugriff auf sehr unterschiedliche Cloudspeicher, man hat eine lokale Dateiverwaltung und kann Dateien leicht hin und her jonglieren. Zip-Dateien werden ebenfalls unterstützt sowie eine Vorschau für viele Dokumenttypen. Man kann den Client absichern per Passwort/PIN oder auch per Fingerabdruck, sofern das Gerät es unterstützt. Per Panic Sync lassen sich die Server-Logins auch mit anderen iOS-Geräten und dem Mac abgleichen.

TextExpander 3

TextExpander 3 + custom keyboard von SmileOnMyMac, LLC ist eine Textbausteinverwaltung, die mächtiger ist als die, die in iOS bereits eingebaut ist. Kann die iOS-Funktion lediglich reine Textbausteine verwalten, können die Snippets bei TextExpander mit Formatierungen, Makros wie dem aktuellen Datum oder anderen Angaben usw. angereichert sein und sind somit viel dynamischer. Die neue Version für iPhone und iPad bietet darüber hinaus noch eine Tastatur, mit der sich diese Textbausteine in jede beliebige App einfügen lassen. Die Tastatur und App sind natürlich voll VoiceOver-zugänglich, es gibt jedoch einen Bug, der die Statuszeile direkt oberhalb dieser und anderer Tastaturen dupliziert. Dies tut der eigentlichen Funktionalität jedoch keinen Abbruch, man sollte sich nur nicht davon irritieren lassen. Auch TextExpander unterstützt das Synchronisieren der Textbausteine über iCloud oder Dropbox zu anderen iOS-Geräten sowie der Mac-Version.

NitroStats

Und zum Schluss habe ich noch eine kleine App, die zur Zeit hauptsächlich für Kunden der Telekom oder solchen Anbietern wie Congstar interessant sein dürfte, die das Telekom Mobilfunknetz nutzen. NitroStats von goldfish design GbR ist eine App, deren Hauptfunktion es ist, ein Widget zu sein. Dieses zeigt bei bestehender Mobilfunkverbindung und ausgeschaltetem oder nicht verbundenem WiFi den aktuellen Datenverbrauch an, so dass man sehr einfach das monatliche Volumen im Blick behalten kann. Im Gegensatz zur Statistik im iPhone werden die Daten hier direkt von der Telekom abgefragt, so dass auch der Verbrauch von per Multi-SIM ebenfalls verbundenen Geräten mitgerechnet wird. Weiterhin zeigt das Widget an, wie viel freier Speicherplatz sich noch auf dem iPhone befindet. Die Entwickler planen laut eigener Aussage, das Widget noch um weitere Funktionen zu ergänzen. Man darf also gespannt sein, was da noch kommt!

Ich hoffe, diese kleine Einführung hat dem einen oder der anderen geholfen, sich etwas besser in den neuen Begrifflichkeiten und Funktionsweisen von iOS 8 zurechtzufinden. Und vielleicht war ja auch der eine oder andere nützliche App-Tipp dabei!

In zukünftigen Teilen dieser neuen Serie plane ich, mir weitere Apps genauer anzusehen und zu rezensieren. Man hört z. B., dass es demnächst eine spannende neue Version von Drafts geben wird. Und wer weiß, wer noch auf tolle Ideen mit den neuen Funktionen von iOS 8 kommt! Also bis demnächst an dieser Stelle auf dieser Welle!

Am Dienstag, den 21.10.2014, fand in Hamburg der 8. IT-Gipfel der Bundesregierung statt. Ich nahm selbst nicht dran teil, und im Nachhinein ist das auch gut so. Denn die quasi einheitliche Berichterstattung und Live-Tweets belegen mal wieder, wie sehr Neuland das Internet, IT-Dienstleistungen und die Vernetzung im Jahr 2014 für unsere Volksvertreter immer noch sind.

Bundeswirtschaftsminister Gabriel eierte bei der Frage nach der Netzneutralität dermaßen, dass man denken konnte, die Frage träfe ihn völlig unvorbereitet. Dass er dann den Strohhalm Medizintechnik fand, ist schon fast als Glückstreffer zu bezeichnen! Operation gerade so geglückt, Patient noch nicht ganz tot.

Herr Dobrindt als Verkehrs- und selbst ernannter Breitbandminister musste unbedingt ganz tief in der Mottenkiste wühlen und das arme Kind Datenautobahn mal wieder aus den 1990ern hervorzerren. Die Verknüpfung mit der tatsächlichen Autobahn, also der, auf der man mit dem Auto meist viel zu schnell fährt, war nicht witzig, sondern wirkte so abgedroschen, dass man den Eindruck gewinnen konnte, er versuchte, komisch zu sein.

Die Datenpanne bei der Live-Schaltung zur Konferenz der deutschen Maschinenbauer in Berlin, die sich durch ruckelnde Bilder und eine miese Tonqualität äußerte, waren da nur symptomatisch für das Gegurke zu nennen, was die Bundesregierung großspurig “Digitale Agenda” nennt. Aber mit Reinfällen – um nicht zu sagen Totalschäden – mit Namen Agenda haben wir in Deutschland ja leider sehr viel Erfahrung.

Ach ja und dann wurde das arme, schon tot gerittene Pferd De-Mail durch eine Zombie-Beschwörungsformel namens “Arbeitsgemeinschaft” zu neuerlichem, vermutlich ähnlich lausigem (wie bei den echten Zombies), untotem Leben erweckt. Fehlte nur noch, dass man sie jetzt auf einem Poken weitergeben soll.

Und natürlich durfte auch Frau Neuland-Kanzlerin Angela Merkel nicht fehlen, die der Netzneutralität quasi gleich mal eine Absage erteilte, indem sie sie auf die lange Bank schob, auf der sie elendig verwesen wird, wenn nicht endlich mal von außen gegengesteuert wird, also von den Verbrauchern.

Im Lichte dieser geballten Kompetenzäußerungen aus dem Hinterhaus bin ich mal wieder sehr froh, nicht für eines dieser deutschen Unternehmen zu arbeiten und meine Talente dort sinnlos zu verschwenden. Abgesehen davon, dass ich ohne “echten” Studienabschluss und trotz mittlerweile 15-jähriger Berufserfahrung sowieso von vornherein durch die Raster der zeugnisfixierten Personalabteilungen fallen würde, sähe ich doch tagtäglich das Elend des deutschen IT-Wesens noch viel dichter vor mir als ohnehin schon. Natürlich gibt es Ausnahmen, aber diese Firmen sind in der Regel so nicht-deutsch in Struktur, Aufbau und Attitüde, dass es schon wieder passt.

Ein Lichtblick: Parallel zu dieser Veranstaltung fand im Vorderhaus desselben Veranstaltungsorts der Offene IT-Gipfel statt, unter anderem mit einer Initiative der Hamburger Grünen, Open-Source-Software in die Landesbehörden bringen zu wollen, um die Abhängigkeit von Microsoft zu verringern. Es ist zum Glück also nicht alles verloren im Staate Deutschland, aber es braucht eine ganze Menge Kraftanstrengung, um Deutschland wirklich zukunftsfähig zu machen. Und diese kommt meiner Meinung nach nicht aus dem Hinterhaus.

Vor einigen Tagen hat Google eine neue Version von RECAPTCHA veröffentlicht, die angeblich zugänglich sein soll. Warum dies kompletter Bullshit und lediglich Augenwischerei ist, möchte ich hier gern einmal verdeutlichen.

Was ist nochmal ein CAPTCHA?

CAPTCHA steht für “Completely Automated Public Turing test to tell Computers and Humans Apart”, also “vollautomatisierter öffentlicher Turing-Test, um Computer und Menschen voneinander unterscheiden zu können”. Es geht hierbei darum, ein Blog, Forum oder anderes kontogestütztes Webangebot vor Spam-Robotern zu schützen, also Computern, die automatisiert Konten anlegen, um darüber dann massenhaft Werbung zu verbreiten.

Ein CAPTCHA besteht zumeist aus für Computer schwer lesbaren Texten oder Ziffern, die ein Mensch aber in der Regel entziffern können soll und sich somit als “echt” gegenüber dem Server zu erkennen gibt. Da nicht alle Menschen lesen können, gibt es auch Alternativen wie verzerrte oder durch Hintergrundgeräusche gestörte Audiodateien, die Ziffern oder Wörter enthalten, die man abtippen muss, oder es werden Matheaufgaben gestellt, die man lösen und sich so mit dem richtigen Ergebnis als Mensch zu erkennen geben muss. Dass gerade letztere in aller Regel durch nur wenige Zeilen Perl oder Python gelöst werden können, ist eine Tatsache, die aber nicht Teil dieses Posts ist.

Das Problem mit der Zugänglichkeit

Google behauptet nun, dass die neue Version von RECAPTCHA, die man z. B. auf dieser von Patrick Lauke erstellten Beispielseite (öffnet in neuem Tab) ausprobieren kann, für Menschen mit Behinderungen zugänglicher sei als frühere Versionen. Es gibt jetzt ein Kontrollkästchen, das beschriftet ist mit “Ich bin kein Bot”. Aktiviert man dieses, laufen einige Tests ab, die darüber entscheiden sollen, ob man als Mensch erkannt wird oder nicht. Unter anderem fließen so Dinge wie die Bewegung der Maus in diese Heuristik ein, die man ausführt, um das Kontrollkästchen zu aktivieren. Weiterhin wird natürlich die IP-Adresse geprüft und verschiedene andere Dinge, wie z. B. ob man gerade oder kürzlich bei einem Google-Konto angemeldet war usw. Schlägt diese automatische Überprüfung fehl, wird man auf das herkömmliche System mit Text- oder Audio-CAPTCHA zurückgeworfen.

Das Problem ist nun, dass Screen Reader für Blinde oder Spracherkennungssoftware Kontrollkästchen eben nicht wie ein Mensch aktivieren, sondern einen Skriptbefehl oder ein Äquivalent ausführen, um das tun. Sie tun also im Grunde nichts anderes als Spambots, vor denen sich Webseiten ja gerade schützen wollen.

In den letzten Tagen gab es auf Twitter aber immer wieder Berichte, dass Anwender von Screen Readern vermeldet haben, dass sie das CAPTCHA problemlos lösen konnten, indem sie einfach das Kontrollfeld per Screen Reader aktivieren. Andere hatten jedoch mit exakt der gleichen Screen-Reader-/Browser-Kombination negative Ergebnisse.

Funktioniert, wenn man die obige Aussage über Screen Reader und Spambots zu Grunde legt, das CAPTCHA also nicht? Betrachten wir es doch mal nach einem typischen Ausschlussverfahren, das “funktionieren” und “zugänglich” miteinander kombiniert:

1. Es funktioniert nicht und ist nicht zugänglich.
2. Es funktioniert, ist aber nicht zugänglich.
3. Es funktioniert nicht, ist aber zugänglich.
4. Es funktioniert und ist zugänglich.

Punkt 1 erledigt sich von Selbst. Punkt 2 ebenfalls. Punkt 3 ist ebenso unsinnig, denn wie die Testergebnisse zeigen, ist es zwar i.d.r. zugänglich, funktioniert aber nicht immer, also nicht. Und Punkt 4 ist ein Widerspruch in sich, denn dieses RECAPTCHA-System kann nicht gleichzeitig zugänglich sein und funktionieren. Nochmals: Um ein Kontrollkästchen zu aktivieren, müssen Screen Reader und andere Spezialsoftware für Menschen mit Behinderungen automatisiert auf dieses Kontrollkästchen zugreifen und es aktivieren. Ein zuverlässiges Interagieren mit solchen Elementen ist allein durch eine Emulation von Mausbewegungen nicht möglich.

Während Googles neue Version von RECAPTCHA also rein vom Markup her die Voraussetzungen für Zugänglichkeit erfüllt, da dieses Kontrollfeld sowohl mit der Tastatur angesprungen werden kann als auch die richtigen Informationen an Screen Reader raus gibt, ist seine Zuverlässigkeit alles andere als gegeben, wenn man damit als Person mit einer Behinderung interagieren will. Zur Demonstration seien einige Videos angefügt, die Patrick Lauke kürzlich mit verschiedenen Screen Readern und Browsern auf der o. g. Testseite durchgeführt hat (öffnen alle in neuen Tabs):

• Firefox und JAWS
• IE 11 und JAWS, inklusive eines netten Absturzes am Ende
• NVDA mit Firefox und IE 11

All diese Videos zeigen, wie unzuverlässig die Erkennung läuft, obwohl, mal abgesehen von einigen Kinderkrankheiten bei der Tastaturbedienbarkeit, die Zugänglichkeit prinzipiell funktioniert. Warum es bei manchen manchmal doch klappt, weiß keiner. Eventuell hängt es auch davon ab, ob der amerikanische Präsident gerade auf Klo sitzt oder so.

CAPTCHAs gehören aber eh in die Tonne

Das Hauptproblem bei CAPTCHAs ist aber, dass dies für alle, egal ob Behinderung oder nicht, ein absoluter Alptraum der Benutzbarkeit ist. Die Schrift muss heute so verschwurbelt sein, damit Computer sie nicht entziffern können, dass selbst Menschen sie kaum noch lesen können. Mal ganz davon abgesehen, dass die Verantwortung für ein sicheres System hier auf den Endanwender abgewälzt wird, indem er erhebliche Mühen aufwenden muss, um sich als Mensch zu erkennen zu geben. Es gibt diverse Möglichkeiten, die Systeme auf Serverseite zu schützen, die effektiv sind, so dass man diese Bürde einem Endanwender wirklich nicht aufdrücken muss. Als Lektüre empfehle ich z. B. diesen englischsprachigen Artikel von Karl Groves mit Titel “Captchaless security“.

Und ja, jedem Webentwickler, der mich nach einer zugänglichen CAPTCHA-Lösung fragt, werde ich auch weiterhin sagen, dass er sich gefälligst auf seine vier Buchstaben zu setzen und seine Hausaufgaben ordentlich zu machen hat, anstatt sich jede Woche ein neues Framework wie rülps.js oder furz.js von Github herunterzuladen und damit zu spielen! Ihr wollt, dass eure Webseiten von Menschen benutzt werden, die eventuell sogar Geld da lassen sollen. Also implementiert gefälligst eine Lösung, die diesen Menschen nicht aufbürdet, sich als solche erkennen geben zu müssen, sondern behandelt sie mit Respekt!

Ein frohes neues Jahr wünsche ich allen meinen regelmäßigen und unregelmäßigen Lesern!

Und nach dem Motto “Alles neu macht der Januar” starte ich zu Beginn des neuen Jahres eine neue Serie und Blogkategorie, und zwar zum Thema Verschlüsselung oder auf Neudeutsch: Kryptografie. Meine Hoffnung ist es, dazu beizutragen, das Thema einem noch größeren, auch nicht so technisch versierten Publikum zugänglich zu machen. Denn wenn der NSA-Skandal eines gezeigt hat, dann dass unsere und die Regierungen anderer westlicher Staaten unbescholtene Bürger in Massen unter Generalverdacht stellen und ohne richterliche Anordnung unsere sämtliche Internetkommunikation abschnorcheln und speichern. Und gerade weil wir nichts zu verbergen haben, geht es diese Regierungen nichts an, was wir uns mit Lebenspartnern, Familie, Verwandtschaft, Freunden oder Geschäftspartnern schreiben.

Es ist also an der Zeit, dass noch mehr Menschen die E-Mail, den Chat oder die Sofortnachricht nicht mehr als allgemein lesbare Postkarte verschicken, sondern sie mit einem Umschlag versehen, dessen Öffnen nur Sender und Empfänger erlaubt ist, aber sonst niemandem! Dabei zu helfen ist das bescheidene Ziel dieser neuen Serie. Es wird um Grundlagen, Software, Vorgehensweisen, Best Practice und andere Aspekte rund ums Thema gehen. Dabei bin ich selbst lediglich Anwender und möchte euch einfach an meinem erworbenem Wissen und meinen Erfahrungen teilhaben lassen. Ich würde mich freuen, wenn diese Serie dem einen oder der anderen hilft, in Zukunft sicherer zu kommunizieren.

Und nun viel Spaß!

Bevor wir in die eigentliche Anwendung von Verschlüsselung einsteigen können, müssen leider wie so häufig ein paar theoretische Grundlagen angesprochen werden. Ganz ohne die geht’s leider nicht, aber ich werde versuchen, diese möglichst anschaulich und nicht zu technisch zu erläutern.

Verschlüsselung oder “Kryptografie” bezeichnet das systematische Unkenntlichmachen von Textinformationen. Nur wer weiß oder das entsprechende Mittel hat, die Verschlüsselung umzukehren, ist in der Lage, diese Informationen zu lesen.

Verschlüsselung gibt es schon seit Urzeiten. Es gab immer Informationen, die nur für einen bestimmten Personenkreis zugänglich sein sollten. Dieser Personenkreis einigte sich also auf ein System, mit dem Text umgeschrieben, sprich verschlüsselt, werden musste, damit nur die Eingeweihten ihn auch wieder entschlüsseln konnten. Im einfachsten Fall ist eine Verschlüsselung von Text eine Ersetzung von Zeichen durch andere, in anderen Fällen das Codieren von Zeichen durch Zahlen o. ä. Da jedem Eingeweihten jederzeit der Schlüssel bekannt sein musste, um Informationen zu ver- oder entschlüsseln, handelt es sich um eine sogenannte symmetrische Verschlüsselung. Derselbe Schlüssel wird verwendet, um Informationen zu codieren oder zu decodieren.

Dies war bis in die 1970er Jahre die einzig bekannte Verschlüsselungsform. Erst mit der Entwicklung von Conputersystemen und der Steigerung von deren Leistungsfähigkeit war es dann möglich, ein weiteres Verfahren zu entwickeln, das asymmetrische Verschlüsselungsverfahren. Dieses basiert auf einem Schlüsselpaar. Der eine Teil dieses Paares ist öffentlich. Der andere jedoch steht nur der Person zur Verfügung, die das Schlüsselpaar erzeugt hat.

Man kann sich das ungefähr so vorstellen: Der öffentliche Schlüssel dient dazu, die zu übertragende Information vor Beginn des Transports übers Internet unkenntlich zu machen. Dabei weiß dieser Schlüssel nur, wie man die Information verklausuliert, aber nicht, wie man diese Verklausulierung wieder rückgängig macht. Das wiederum weiß nur der private Schlüssel, also der Schlüssel, der sich nur im Besitz des Empfängers befindet. Dieser private Schlüssel ist zusätzlich mit einem Kennwort geschützt, so dass er sich auch tatsächlich drehen lässt, wenn er einmal im imaginären Schloss steckt und die Information wieder lesbar machen soll.

Um das ganze jetzt mal auf Software zu übertragen, denn um die soll es ja letztendlich gehen, ist der öffentliche Schlüssel eine Datei, die z. B. auf einem Webserver wie dieser Webseite hinterlegt und für jeden abrufbar ist. Jeder kann ihn benutzen, um z. B. mir verschlüsselte Informationen zukommen zu lassen. Aber nur ich kann diese Informationen wieder lesbar machen, indem ich einen weiteren Schlüssel verwende, der sich nur in meinem Besitz befindet und den ich möglichst nirgends hochladen oder gar irgendwo auf einem USB-Stick in einer Kneipe vergessen sollte. OK, um tatsächlich Informationen zu entschlüsseln, braucht es auch noch das Passwort (oder im Jargon der Kryptologen die Pass Phrase), aber man kann mit dem privaten Schlüssel auch so genug Missbrauch treiben, dass er nie in fremde Hände geraten sollte.

Antworte ich jetzt jemandem, der mir eine verschlüsselte Nachricht geschickt hat, gehört es zum guten Ton, dies auch verschlüsselt zu tun. Ich brauche dafür also seinen oder ihren öffentlichen Schlüssel, denn nur damit kann ich ja eine Nachricht so verschlüsseln, dass deren privater Schlüssel diese auch wieder entschlüsseln kann.

So, und da ja kein Schreiben ohne anständige Unterschrift vollkommen ist, gibt es auch hierfür eine Methode. Mit meinem privaten Schlüssel kann ich nämlich nicht nur an mich gerichtete Nachrichten entschlüsseln, sondern auch eigene Nachrichten damit unterschreiben. Diese Unterschrift kann der Empfänger dann mit meinem öffentlichen Schlüssel, den er/sie ja bereits hat, auswerten und so feststellen, dass die Nachricht tatsächlich von mir stammt.

Also nochmal: Ich verschlüssele mit dem öffentlichen Schlüssel des Empfängers, unterschreibe aber mit meinem privaten Schlüssel. Der Empfänger entschlüsselt mit seinem privaten Schlüssel und prüft die Gültigkeit der Unterschrift (oder verifiziert meine Signatur)) mit meinem öffentlichen Schlüssel.

Würde jetzt also z. B. jemand unter meiner E-Mail-Adresse eine Mail verschlüsseln, die Signatur aber nicht stimmen, weil der Schummler ja meinen privaten Schlüssel nicht hat, wüsste der Empfänger bei Erhalt der Nachricht sofort, dass sie nicht von mir stammt und daher eine Fälschung sein muss.

Um die Sicherheit zu gewährleisten, dass Informationen auch tatsächlich geheim bleiben, sind die mathematischen Verfahren so entwickelt, dass eine Berechnung in einer Richtung schnell geht, in der anderen aber im Grunde gar nicht oder nur mit jahre- oder jahrzehntelangem Aufwand mit massivem Computereinsatz dauern würde. Der wichtigste Aspekt dabei: Besitzt man den öffentlichen Schlüssel, muss es quasi unmöglich sein, den privaten Schlüssel daraus abzuleiten. Denn in dem Moment, wo der private Schlüssel aus dem öffentlichen abgeleitet werden könnte, wäre die gesamte Verschlüsselung nichts mehr wert.

Die häufigste Anwendung zur Übermittlung verschlüsselter Informationen ist, wie vielleicht bereits vermutet, die E-Mail. Zwei gängige Vertreter von E-Mail-Verschlüsselung sind OpenPGP und S/MIME. Beide Verfahren nutzen die asymmetrische Verschlüsselung. PGP steht für Pretty Good Privacy, also “ziemlich guter Datenschutz”, und wurde Anfang der 1990er Jahre von Phil Zimmerman in den USA für die dortige Regierung entwickelt. Da der Export aber einen Bruch der Sicherheit dargestellt hätte, der ursprüngliche Autor das Verfahren aber einer weltweiten Öffentlichkeit zugänglich machen wollte, entschied er sich, den Programmcode in Buchform zu veröffentlichen. Dadurch fiel er unter den Schutz der freien Meinungsäußerung und konnte nicht mehr belangt werden. OpenPGP ist der offizielle, nicht kommerzielle und in Dokumentation und Programmcode für jedermann einsehbare (“quelloffene”) Standard. Es gab auch eine kommerzielle Variante, die aber von Anfang an unter dem Verdacht stand, eine Möglichkeit für Regierungsorganisationen zu enthalten, jede Verschlüsselung per “Generalschlüssel” auszuhebeln. So etwas nennt man eine Hintertür.

Es gibt auch ein verbreitetes Verfahren zur Verschlüsselung von Chats oder Sofortnachrichten über verschiedene Dienste wie Jabber/XMPP, AIM usw., diese nutzen jedoch in der Regel symmetrische Verfahren und sind daher für den Anwender in der Handhabung etwas einfacher. Das gängigste Verfahren heißt Off The Record, was übersetzt soviel heißt wie “informell” oder “nicht für die Akten”.

OpenPGP und Off The Record (OTR) sind vollständig quelloffene Standards und Protokolle. Der entscheidende Vorteil quelloffener Systeme gegenüber Systemen, deren Programmcode nur unter der Kontrolle einzelner Firmen steht (“geschlossenen Systemen”), ist, dass jeder sich den Quellcode anschauen kann. Der Versuch, durch Regierungsorganisationen Hintertüren in Software einzubauen ist unmöglich, ohne dass die an der Programmierung beteiligten Leute, die “Entwicklergemeinde”, dies mitbekämen. Im Gegensatz dazu garantiert einem niemand, dass in zwar verschlüsselten, aber nicht im Quellcode offen liegenden Systemen wie Skype keine Hintertüren enthalten sind. Im Gegenteil: Im Falle von Skype ist bekannt, dass die NSA und der britische GCHQ genau solche Hintertüren besitzen und seit Ende 2011 im Grunde jede beliebige Skype-Chat-Unterhaltung, die sie abgefangen haben, entschlüsseln und somit lesen können.

Im Verlauf der weiteren Serie wird es also vornehmlich um quelloffene Systeme gehen. Laut der neuesten vom Spiegel veröffentlichten Dokumente des NSA-Whistleblowers Edward Snowden sind sowohl OpenPGP als auch OTR von der NSA und ihren Partnern bisher nicht knackbar und Kommunikation, die mit diesen Verfahren verschlüsselt wurde, somit nicht für deren Mitarbeiter lesbar. Es garantiert natürlich niemand, dass dieses sich nicht irgendwann ändert, aber zumindest hat man bei Quelloffenen Systemen eben die Kontrolle darüber, was der Code tut und was nicht.

Dies soll es erst einmal zur Theorie gewesen sein. Wer tiefer in die Materie einsteigen möchte, wird z. B. bei den Wikipedia-Artikeln zu symmetrischen und asymmetrischen Verschlüsselungsverfahren sowie zu OpenPGP und Off-The-Record Messaging fündig.

Und wer dies alles schon kennt und mir in Zukunft verschlüsselt schreiben möchte, findet unter diesem Link meinen öffentlichen OpenPGP-Schlüssel (öffnet in neuem Tab).

Im nächsten Teil der Serie steigen wir dann ein in die spezifischen Grundlagen von OpenPGP und lernen einige Software kennen, die uns die Handhabung hiermit ermöglicht und in einigen Fällen sogar sehr leicht macht.

Das Thema, um das es in der Serie zuerst gehen soll, ist die Verschlüsselung von E-Mails mit Hilfe des Standards OpenPGP. In diesem Beitrag beleuchte ich einige Konzepte, die bei allen Installationen von OpenPGP-Software gleich oder zumindest sehr ähnlich sind. In den weiteren Beiträgen geht es dann um die Installation von OpenPGP für verschiedene Anwendungen unter diversen Desktop- und mobilen Betriebssystemen. Wer jetzt erst in die Serie einsteigt, ist gut beraten, den vorigen Beitrag zu lesen, in dem ich erkläre, was Verschlüsselung eigentlich genau ist. Dieses Wissen wird vorausgesetzt, um diesem und allen weiteren Beiträgen folgen zu können.

Die Basis

PGP steht, wie in der Einführung zu Verschlüsselung bereits erwähnt, für “Pretty Good Privacy”, also zu deutsch etwa “ziemlich guter Datenschutz”. Es wurde 1991 von dem Informatiker Phil Zimmerman entwickelt und gelangte durch verschiedene rechtliche Irrungen und Wirrungen schließlich als für jedermann einsehbarer Programmcode in die Öffentlichkeit.

Basierend hierauf wurde 1998 das Protokoll OpenPGP entwickelt, das genau definiert, wie ein verschlüsselter Text formatiert sein muss, welche Informationen in welcher Reihenfolge in ihm gespeichert sind, damit er mit den passenden Schlüsseln entschlüsselt oder die Signatur verifiziert (für gültig befunden) werden kann. Auch wird hiermit das Schlüsselformat selbst festgelegt.

Die Referenzimplementierung, also diejenige Entwicklung eines Programmes, das diesen Standard am getreuesten abbildet, ist der GNU Privacy Guard (GnuPG). Hierbei handelt es sich zum einen um ein alleinstehendes Programm. Dieses hat jedoch keine grafische Benutzeroberfläche wie der Webbrowser oder eine Textverarbeitung, sondern ist ein sogenanntes Programm für die textbasierte Kommandozeile. Unter Windows heißt diese “Eingabeaufforderung”, unter Mac OS X oder Linux “Terminal” oder “Shell”. Und zum anderen ist GnuPG eine sogenannte Bibliothek, also ein Programmodul, das in andere Programme eingebunden wird und seine Funktionalität diesen zur Verfügung stellt.

GnuPG bildet die Basis für sämtliche in den nächsten Artikeln zu behandelnde Software, ist sozusagen das Herzstück dessen, womit wir arbeiten, was wir aber selbst nur selten bis gar nicht direkt zu sehen bekommen. Einzige Ausnahme: Man kennt sich bereits so gut aus, dass man bestimmte Dinge eben mit diesem obigen Kommandozeilen-Programm erledigen möchte.

E-Mail-Formate

E-Mails, die mit OpenPGP verschlüsselt werden, können grundsätzlich zwei Formate haben.

Das eine, althergebrachte, Format ist eingebettetes PGP (“Inline PGP”). Dies erfordert zwingend, dass man seine Mails im absoluten Nur-Text-Format schreibt, also ohne jegliche Formatierungen.

Der Nachteil ist, dass diese in der Regel fest umbrochene Zeilen haben und damit auf verschieden großen Bildschirmen schwer lesbar sein können, indem nämlich Zeilen abgeschnitten oder überlange Zeilen in kurzen “Zeilenstummeln” fortgesetzt werden, die nächste echte Zeile dann aber nach wenigen Zeichen wieder auf einer neuen zeile anfängt usw. Auch kann man so nur schwer Tabellen, Listen oder andere heutzutage durchaus übliche Strukturierungen nicht oder nur per schwer überschaubarer Zeichenaufteilung erreichen.

Das andere, moderne, Format heißt PGP/MIME und ist auf alle E-Mail-Formate, also auch formatierte (oder HTML-) E-Mails anwendbar. Die Teile der Mail werden hierbei als Gesamtheit verschlüsselt und die Eigenschaften der einzelnen Teile werden bewahrt, so dass nach dem Entschlüsseln der Originalzustand unverfälscht wiederhergestellt werden kann.

Schlüsselpaar erzeugen

OpenPGP ist, wie bereits erwähnt, ein asymmetrisches Verschlüsselungsverfahren. Es gibt also immer ein Schlüsselpaar, das aus einem öffentlichen und einem privaten Schlüssel besteht. E-Mails werden vom Absender mit dem öffentlichen Schlüssel des Empfängers verschlüsselt. Der Empfänger entschlüsselt die Mail dann mit seinem privaten Schlüssel. Gleichzeitig unterschreibt der Absender die Mail mit seinem privaten Schlüssel. Der Empfänger überprüft diese Unterschrift (Signatur) mit dem öffentlichen Schlüssel des Absenders.

Nach der Installation der jeweiligen Software ist der erste Schritt folglich der, dass man sein persönliches Schlüsselpaar erzeugt. Man gibt dafür seinen Namen, seine hauptsächlich benutzte E-Mail-Adresse, ein möglichst komplexes, aber dennoch leicht zu merkendes Kennwort (die sogenannte Passphrase) an und lässt das Programm den Schlüssel erzeugen. Dabei beeinflusst man die Erstellung in der Regel durch Mausbewegungen oder zufällige Tastatureingaben, die dem ganzen mathematischen Mix, der da abläuft, genügend Zufallszahlen zur Verfügung stellen, damit es möglichst schwer wird, diesen Schlüssel überhaupt jemals zu knacken.

Schlüssel beglaubigen und Vertrauen erzeugen

Die OpenPGP-Verschlüsselung basiert auf gegenseitigem Vertrauen. Dazu kann man den öffentlichen Schlüssel einer anderen Person, von dessen Echtheit man überzeugt ist, unterschreiben, diesen also beglaubigen. Man fängt damit in der Regel beim eigenen Schlüssel an und unterschreibt diesen selbst. Dies ist also der nächste Schritt nach der Erstellung des Schlüssels. Ein von einem selbst nicht unterschriebener Schlüssel gilt in den Augen überzeugter Kryptografen als im Grunde nicht existent. Es ist also ratsam, diesen Schritt unbedingt sofort durchzuführen.

Verbreitung des eigenen öffentlichen Schlüssels und Erhalt anderer öffentlicher Schlüssel

Nun, da man seinen schönen öffentlichen Schlüssel erstellt und unterschrieben hat, möchte man diesen natürlich auch verbreiten, damit andere einem zukünftig verschlüsselte E-Mails zukommen lassen können. Hierzu gibt es grundsätzlich zwei Möglichkeiten.

Die eine besteht darin, den öffentlichen Schlüssel an eine Sammelstelle, einen sogenannten Schlüsselserver, zu schicken und somit anderen zugänglich zu machen. Jedes gängige OpenPGP-Programm stellt eine Suchfunktion zur Verfügung, mit der man nach Namen, E-Mail-Adressen oder Schlüssel-IDs anderer Nutzer suchen kann. Der gefundene öffentliche Schlüssel kann dann gleich importiert und genutzt werden.

Die zweite Möglichkeit ist die, den öffentlichen Schlüssel in Eigenverwaltung auf seiner eigenen Webseite zu lagern und von dort per Link zu verbreiten. Eine Initiative wie pgp.ascC argumentiert, dass diese öffentlichen Schlüssel vertrauenswürdiger sind als solche auf Schlüsselservern, da man in jedem Fall davon ausgehen kann, dass nur der Besitzer schreibenden Zugriff auf die eigene Webseite hat, also nur selbst Dateien zum Abruf dort plazieren kann. Außerdem dürfte dort in der Regel immer die aktuellste Version des öffentlichen Schlüssels zu finden sein.

Ich stimme dieser Argumentation durchaus zu, fahre selbst aber die Doppelstrategie, dass mein öffentlicher Schlüssel stets auch auf Schlüsselservern abrufbar ist.

Weiteres Vertrauen in öffentliche Schlüssel

Das weitere Vertrauen in öffentliche Schlüssel wird durch den persönlichen Kontakt mit anderen Nutzern von OpenPGP aufgebaut. Wenn also Person A den Schlüssel von Person B unterschreibt und Person C mit Person A bekannt ist, kann Person C auch dem Schlüssel von Person B vertrauen, da eine gültige Signatur von Person A vorliegt. So wird über kurz oder lang ein Netz des Vertrauens (Web Of Trust) gebildet.

Bewerkstelligt wird dies, indem man in persönlichem Kontakt (direkte Begegnung, Telefongespräch o. ä.) die Angaben der öffentlichen Schlüssel vergleicht. Die hierbei wichtigsten Angaben sind zum einen die achtstellige ID und zum anderen der 40-stellige Fingerabdruck des öffentlichen Schlüssels. Im Beispiel meines auf dieser Seite zugänglichen öffentlichen Schlüssels lauten die Angaben wie folgt:

• Schlüssel-ID: 789EDB19 oder 0x789EDB19
• Fingerabdruck: 79DB 97B0 3399 79F3 24F3 76D3 8E3F 7B7B 789E DB19

Beobachtern wird aufgefallen sein, dass die Schlüssel-ID mit den letzten acht Stellen des Fingerabdrucks übereinstimmt. Die Vermutung liegt also nahe, dass auch der Rest stimmt und es reicht, die ID zu vergleichen. Leider kann man sich hierauf nicht mehr zu 100% verlassen, wie in diesem Artikel nachzulesen ist. Will man aber völlig sicher gehen, ist der Vergleich des gesamten Fingerabdrucks dringend empfohlen, oder zumindest mehrere zufällig ausgewählte Blöcke davon. Vielen Dank an Henning für diesen Hinweis!

Kontakt zu anderen OpenPGP-Nutzern kann auch auf bestimmten Konferenzen geknüpft werden, auf denen es manchmal sogenannte “Key Signing parties”, also “Schlüssel-Unterschreibe-Partys” gibt, auf denen man sich in persönlichem Kontakt gegenseitig die öffentlichen Schlüssel zukommen lässt, vergleicht und gegenseitig signiert. Eine weitere Möglichkeit sind Krypto-Parties in der Region. Dies sind zumeist privat organisierte Workshops oder Seminare, in denen ein Experte oder sachkundiger Anwender anderen, die keine oder nur wenig Kryptografiekenntnisse haben, die Grundlagen der Verschlüsselung beibringt und man dort Kontakte zu anderen Interessierten knüpfen kann. Und was liegt da näher, die frisch generierten Schlüssel dort gleich im persönlichen Kontakt zu beglaubigen?

Die so frisch von dritten unterschriebenen öffentlichen Schlüssel können dann als aktualisierte Version wieder auf die eigene Webseite und/oder den Schlüsselserver hochgeladen werden, und die Unterschriften der Beglaubiger sind zukünftig für alle anderen sichtbar, und die Wahrscheinlichkeit, dass man für echt und vertrauenswürdig gehalten wird, steigt. Auch die Unterschrift, die man selbst unter andere Schlüssel setzt, bekommen dadurch höheres Gewicht bei der Vertraulichkeit.

Wenn mal was schiefgeht: Schlüssel widerrufen

Es kann immer mal was passieren, das dazu führt, dass der Schlüssel kompromitiert wird, indem er z. B. irgendwie den Weg an die Öffentlichkeit findet, der Computer gestohlen wird, auf dem dieser gespeichert ist usw. Daher ist es unbedingt angeraten, am Ende des Einrichtungsvorgangs ein Widerrufszertifikat zu erstellen, das man auf einem externen Medium, z. B. einem USB-Stick, speichert und aufbewahrt. Denn wenn mal was schief geht, kann man seinen öffentlichen Schlüssel damit für ungültig erklären. Gerade wenn dieser auf Keyservern gespeichert ist, kann man so schnell die Neuigkeit verbreiten, dass dieser öffentliche Schlüssel nun nicht mehr sicher ist und nicht mehr verwendet werden sollte.

Weitere E-Mail-Adressen hinzufügen

Möchte man unter mehreren E-Mail-Adressen verschlüsselt kommunizieren, kann man diese einfach als weitere sogenannte User-IDs hinzufügen und den öffentlichen Schlüssel aktualisieren. Man muss also nicht für jede neue E-Mail-Adresse, für die man Verschlüsselungsbedarf hat, ein neues, eigenes, Schlüsselpaar erstellen.

Abschied von Webmailern

Eines haben auch alle in den nächsten Artikeln behandelten Installationen gemeinsam: Verschlüsseltes Kommunizieren ist in Webmailern, also wenn man Gmail, GMX, web.de, FastMail oder ähnliche im Webbrowser wie Firefox oder Chrome nutzen will, nicht möglich. Man muss ein echtes E-Mail-Programm verwenden. Webmailer haben keine Ver- und Entschlüsselungsfunktionen eingebaut. Das wäre auch wenig sinnvoll, denn damit diese das könnten, müsste man seinen eigenen privaten Schlüssel auf den Server des Anbieters hochladen, damit dieser ihn nutzen kann. Und damit hätte man nicht mehr die volle Kontrolle über diesen Schlüssel. Es gibt zwar Ansätze, Ver- und Entschlüsselungsfunktionen in Webbrowsern per Erweiterung zur Verfügung zu stellen, diese sind aber nicht einheitlich oder deren Entwicklung aus Mangel an Interesse oder Zeit schon vor Jahren wieder eingestellt worden. Man könnte zwar die verschlüsselten Texte markieren und kopieren und den Inhalt der Zwischenablage dann von einem OpenPGP-Programm entschlüsseln lassen, die Antwort schreiben und diese dann wieder verschlüsseln und in den Antworttext im Browser kopieren, das wäre aber sehr umständlich und auch würde auch nicht immer die Lesbarkeit auf der anderen Seite garantieren.

Wer also Verschlüsselung nutzen will, sollte sich von Mail im Browser verabschieden und sich an die Nutzung eines echten E-Mail-Programmes gewöhnen.

Und nun genug der Vorrede! In den nächsten Beiträgen geht’s ans Eingemachte, sprich an die Einrichtung in verschiedenen Programmen.

Jetzt geht’s ans Eingemachte! In diesem Artikel knöpfen wir uns gleich die – zumindest unter Windows – aufwendigste Installation von OpenPGP zur Verschlüsselung von E-Mails vor. Der Artikel setzt Wissen voraus, das ich im vorangegangenen Artikel vermittelt habe. Am Ende werden wir das E-Mail-Programm Thunderbird mit der Erweiterung Enigmail zur Verschlüsselung von Mails verwenden.

Erster Schritt: Gnu Privacy Guard installieren

Wie im vorangegangenen Artikel erwähnt, bildet das Herzstück unserer Installation der Gnu Privacy Guard (GnuPG). Dies ist die Referenzimplementierung des OpenPGP-Standards.

Microsoft Windows

Unter allen gängigen Windows-Versionen besteht die einfachste und zumeist empfohlene Vorgehensweise darin, das Programmpaket GPG4Win zu installieren. Der Link zum Herunterladen des Installationsprogramms befindet sich direkt auf der Startseite.

Die Installation ist denkbar einfach, man muss nur auf Weiter klicken und die Standardvorgaben akzeptieren, so wie sie sind. Mit dem Gnu Privacy Guard haben wir ab jetzt allerdings nur noch dann zu tun, wenn es uns zur Eingabe unserer Passphrase, die wir weiter unten vergeben werden, auffordert.

Hinweis für Screen-Reader-Nutzer: Der Gnu Privacy Guard bzw. dessen Dialog zur Eingabe einer Passphrase ist ein nicht zugänglicher Dialog für die von mir getesteten Screen Reader (NVDA und JAWS). Wenn also ein Fenster kommt, das sich quasi wie eine Eingabeaufforderung anhört, ist das das Fenster zur Eingabe der Passphrase.

Linux & Co.

Die meisten Linux-Distributionen haben GnuPG bereits an Board. Ihr könnt dies am einfachsten herausfinden, indem ihr ein Terminal-Fenster öffnet und

gnupg --version

eingebt. Sollte es wider erwarten nicht installiert sein, sollte der Paketinstaller eures Vertrauens das Paket im Angebot haben. Da es für verschiedene Linux-Distributionen unterschiedliche Paketverwaltungen gibt und ich eh davon ausgehe, dass ihr euch relativ gut auskennt, wenn ihr euch traut, eine Linux-Installation produktiv einzusetzen, werdet ihr mit Sicherheit herausfinden, wie es geht.

Mac OS X

Der Gnu Privacy Guard ist Bestandteil der GPGTools. Auch hier findet sich der Link zur Installation direkt auf der (allerdings englischsprachigen) Startseite.

Die Installation ist denkbar einfach: Das Disc Image herunterladen, öffnen (entweder durch Doppelklick oder im Finder mit Cmd+O, das Installationspaket durch Doppelklick oder Cmd+O ausführen und die Installation nach üblichem Schema befolgen.

Hinweis für VoiceOver-Nutzer: Die GPGTools sind weitgehend mit VoiceOver zugänglich. Da Thunderbird unter OS X es jedoch nicht ist, empfehle ich den Einsatz von Apple Mail (siehe dazu separaten Artikel), für das die GPGTools ebenfalls benötigt werden.

Thunderbird installieren

Thunderbird ist ein von der Mozilla-Gemeinde gepflegtes E-Mail-Programm. Sein Programmcode ist für jedermann einsehbar, es ist also quelloffen (Open Source). Unter Windows und Linux ist es mein E-Mail-Programm der Wahl, mit VoiceOver unter OS X ist es zur Zeit leider nicht kompatibel. Wer auf VoiceOver nicht angewiesen ist, kann es unter OS X aber genauso einsetzen und von seinen Funktionen profitieren.

Wer Thunderbird bereits nutzt, kann zur nächsten Überschrift weiterscrollen.

Für alle anderen: Die Startseite bietet fürs aktuell verwendete Betriebssystem und die Sprache bereits den passenden Download. Einfach herunterladen und installieren:

• Unter Windows läuft ein Installationsprogramm durch, das sehr nach dem Schema anderer Installationsprogramme verläuft.
• Unter Linux ist Thunderbird wahrscheinlich schon installiert, ansonsten übernimmt diese Aufgabe der Paket-Manager des Vertrauens.
• Unter Mac OS X einfach die DMG-Datei herunterladen, doppelklicken bzw. mit Cmd+O öffnen und das darin enthaltene Thunderbird-Programmpaket auf den Programme-ordner ziehen bzw. mit Cmd+C kopieren und dann im Programme-Ordner mit Cmd+V einfügen.

Beim ersten Start von Thunderbird meldet sich gleich der Einrichtungsassistent für ein E-Mail-Konto. Thunderbird sollte mit allen gängigen E-Mail-Providern wie Gmail, GMX, web.de, T-Online oder auch FastMail klarkommen. Also einfach Namen, E-Mail-Adresse und Kennwort eintragen sollte genügen. Bei etwas exotischeren Mailprovidern kann es vorkommen, dass Thunderbird die richtigen Einstellungen nicht erkennt. In diesem Fall auf “Manuelle Einrichtung” klicken und die Server- und Portdaten, die man in der Regel auf der Webseite des E-Mail-Anbieters findet, entsprechend eintragen. Die meisten E-Mail-Provider bieten auch Anleitungen für Thunderbird auf ihrer Webseite an.

Sind schon E-Mails im Postfach vorhanden, sollten diese nach erfolgreicher Einrichtung im Hauptbereich angezeigt werden.

Enigmail installieren

Hinweis: Das folgende gilt analog nicht nur für Thunderbird, sondern auch für die mit diesem eng verwandte SeaMonkey-Suite. Wer diese anstatt von Thunderbird nutzt, sollte also mit denselben Schritten ebenfalls zum Ziel kommen.

Enigmail ist eine Erweiterung für Thunderbird. Erweiterungen sind kleine Pakete, die den Funktionsumfang von Thunderbird, Firefox und anderen erweitern. Sie integrieren sich dabei nahtlos in die Benutzeroberfläche. Enigmail stellt für uns die Verbindung zwischen Thunderbird und dem Gnu Privacy Guard her, ist also eine Benutzeroberfläche für letzteren, die sich aber eben nahtlos in Thunderbird integriert und uns so den Umgang mit OpenPGP erleichtert, E-Mail-Ver- und Entschlüsselung veranlasst usw.

Erweiterungen (oder auch Add-Ons) werden in Thunderbird über das Menü und dort den Menüpunkt Add-Ons installiert. Unter Windows klickt man das Thunderbird-Menü und wählt Add-Ons. Alternativ kann man mit der Tastatur mit Alt+X das Extras-Menü öffnen und dort den entsprechenden Menüpunkt wählen. Unter Linux und OS X findet sich der Menüpunkt im entsprechenden Menü Extras.

Im Add-Ons-Manager wählt man nun den Reiter “Nach Add-Ons suchen”, dem ersten verfügbaren. In das Suchfelt gibt man nun “Enigmail” ein und drückt die Eingabetaste.

Thunderbird durchsucht nun die verfügbaren Add-Ons nach Enigmail und zeigt die Ergebnisse in einer Liste an. Man klickt einfach auf Installieren bzw. wählt diesen Punkt mit der Tastatur im Kontextmenü des Suchergebnisses aus.

Nach der Installation fordert Thunderbird zum Neustart auf. Dieser ist notwendig, um die Installation abzuschließen. Einfach mit “Jetzt neu starten” bestätigen.

Die Ersteinrichtung von Enigmail

Nach dem Neustart startet der Ersteinrichtungsassistent von Enigmail. Hier können die wichtigsten Grundeinstellungen vorgenommen und das erste Schlüsselpaar erzeugt werden.

Hinweis: Sollte der Assistent wider Erwarten nicht starten, findet man ihn unter dem neuen Pulldown-Menü/Reiter “Enigmail” in der Menüleiste von Thunderbird.

Grundeinstellungen

Im ersten Schritt wird man gefragt, ob man den Assistenten überhaupt verwenden möchte. Diese Frage sollte beim ersten Mal mit Ja beantwortet werden.

Im nächsten Schritt wird gefragt, ob Enigmail für alle Konten eingerichtet werden soll. Auch diese Frage sollte für die besten Ergebnisse mit Ja beantwortet werden, es sei denn, ihr möchtet eine genauere Kontrolle haben und nicht alle Konten, die ihr in Thunderbird bereits eingerichtet habt, mit OpenPGP-Verschlüsselung versorgen. Achtung Fallstrick: Dies aktiviert nur die prinzipielle Unterstützung für Enigmail im jeweiligen Konto bzw. allen Konten. Bei der später erfolgten Schlüsselerzeugung werden nicht automatisch alle hier gefundenen E-mail-Adressen als zusätzliche Benutzerkennungen in den Schlüssel eingetragen.

Im folgenden Schritt wird gefragt, welchen Arbeitsmodus man verwenden möchte. Wie die Erklärung im oberen Bereich besagt, bedeutet die Voreinstellung “bequem”, dass verschlüsselt wird, wenn möglich, und nicht, wenn kein öffentlicher Schlüssel für einen oder mehrere Empfänger vorliegt. Praktischerweise sollte man diesen Modus ruhig wählen.

Im nächsten Schritt wird nach dem generellen Arbeitsmodus für das Unterschreiben von Nachrichten gefragt. Hier ist die Voreinstellung “Alle Unterschreiben”. Das ist auch in Ordnung, denn auch nicht verschlüsselte Nachrichten sind für den Empfänger unterschrieben immer noch lesbar. Außerdem ist es eine gute Möglichkeit, dem Empfänger anzuzeigen, dass man OpenPGP verwendet. Der Empfänger kann dann also nicht nur die Signatur überprüfen, sondern auch entscheiden, dass er z. B. verschlüsselt antworten möchte. So kann auch eine Initiierung verschlüsselter Kommunikation erfolgen, selbst wenn man nicht wusste, dass dieser bestimmte Empfänger ebenfalls OpenPGP verwendet.

Im nun folgenden Schritt wird gefragt, ob man Enigmail so anpassen möchte, dass es “besser funktioniert”. Die Antwort auf diese Frage beantworte ich grundsätzlich mit “nein, danke!”, und ich empfehle, dies auch zu tun. Der Grund ist, dass hier einige Einstellungen getroffen werden, die in der heutigen Zeit anachronistisch anmuten. So würde in Zukunft grundsätzlich nur noch Mail im reinen Textformat mit fester Zeilenlänge erzeugt. Wie ich im vorigen Artikel erkläre, ist das in Zeiten von Smartphones, Tablets und anderen unterschiedlichen Bildschirmgrößen einfach nicht mehr zeitgemäß und sorgt für “Flatterabsätze”, die nun wahrlich nicht mehr schön zu lesen sind.

Erzeugung des Schlüsselpaares

Im nächsten Schritt geht es nun an die Erzeugung des Schlüsselpaares. Ist, aus welchem Grund auch immer, schon eines vorhanden, was bei einer kompletten Neuinstallation unwahrscheinlich ist, wird man gefragt, ob man das vorhandene Schlüsselpaar verwenden oder ein neues erzeugen möchte. Ist noch keines vorhanden, entfällt diese Frage.

Als erstes wird man nach seiner Benutzerkennung und der Passphrase gefragt. Die Benutzerkennung besteht aus Namen und E-Mail-Adresse. Hat man angegeben, dass man für alle Konten konfigurieren will, werden alle E-Mail-Adressen, die Thunderbird bereits kennt, hier angezeigt, und man kann die gewünschte primäre Kennung auswählen. Weitere Kennungen können später hinzugefügt werden, so dass man mit einem Schlüsselpaar unter mehreren E-Mail-Adressen sowohl senden als auch verschlüsselt empfangen kann. Achtung: Dieses Hinzufügen muss später in der Schlüsselverwaltung erfolgen, dieser Schritt des Assistenten erzeugt den Schlüssel lediglich für die hier angegebene E-Mail-Adresse!

Im nächsten Schritt wird man aufgefordert, die vorgenommenen Einstellungen zu bestätigen. Anzumerken ist hier, dass Enigmail nicht abfragt, wie stark die Verschlüsselung sein soll oder nach welcher Berechnungsmethode er erzeugt wird. Für diesen Assistenten wurden Voreinstellungen getroffen, die für die allermeisten Fälle ausreichen sollten. Es wird ein Schlüssel nach der RSA-Methode erzeugt, der eine Länge von 2048 Bit hat (Alternativen wären mindestens 1024 oder auch hohe 4096 Bit). Das bedeutet, dass immer 2048 Bit = 256 Zeichen (1 Zeichen = 8 Bit) auf einmal verschlüsselt werden. Um das zu knacken, bräuchten heutige Supercomputer schon mindestens die halbe Zeit vom Urknall bis heute, um die richtige Zahlenkombination zum Entschlüsseln zu erraten, also in etwa 10 Milliarden Jahre. Da in dieser Standardinstallation der Schlüssel, wie in der nächsten Zeile zu sehen, auf fünf Jahre Gültigkeit ausgelegt ist, kann man aber ganz beruhigt sein.

Apropos Gültigkeit: Der Schlüssel kann vor Ablauf dieser fünf Jahre verlängert werden, es muss also dann kein neuer Schlüssel erzeugt werden, wenn man feststellt, dass man den Schlüssel weiterhin verwenden möchte. Gleichzeitig gibt diese zeitliche Begrenzung aber auch die Sicherheit, dass, sollte was schiefgehen und man den Schlüssel nicht ordnungsgemäß für ungültig erklären können, nach fünf Jahren er automatisch von den Servern gelöscht und als ungültig bzw. abgelaufen gekennzeichnet wird.

Der Schlüssel wird nun erzeugt. Auf heutigen schnellen Rechnern ist die Meldung, dass dies mehrere Minuten dauern kann, eine glatte Übertreibung, denn auf meinem 2012er MacBook Air dauerte dies keine 10 Sekunden mehr.

Im letzten Schritt wird nun empfohlen, ein Widerrufszertifikat zu erstellen. Das sollte dringend gemacht und dieses auf einem externen Medium gespeichert oder ausgedruckt werden, um den Schlüssel bei Bedarf für ungültig zu erklären. Beim Erstellen des Widerrufszertifikats wird das erste Mal die Passphrase abgefragt. Na, habt ihr sie euch auch gut gemerkt?

Nach dem Speichern des Widerrufszertifikats wird mit “Fertigstellen” der Assistent beendet.

Weitere Einstellungen

Durch die Installation von Enigmail sind in Thunderbird an verschiedenen Stellen Dinge hinzugekommen. Zum einen ist da das Menü Enigmail, das verschiedene Funktionen enthält wie Ver- und Entschlüsselungseinstellungen, Zugriff auf die Schlüsselverwaltung und das Verändern von Einstellungen.

Zum zweiten ist in den Konten-Einstellungen von Thunderbird, also dort, wo man fortgeschrittene Einstellungen zu seinen E-Mail-Konten ändert, ein Reiter “OpenPGP-Sicherheit” hinzugekommen. Dieser enthält folgende Einstellungen:

• Enigmail-Unterstützung für dieses Konto aktivieren: Ist standardmäßig aktiviert, wenn man für dieses Konto oder für alle Konten Enigmail angewiesen hat, die Unterstützung einzuschalten.
• Zu verwendender Schlüssel: Hier wird angezeigt, welcher private Schlüssel für diese Unterstützung verwendet wird. Normalerweise hat man ja nur einen, aber wenn man mehrere hat, kann hier auswählen, welcher der privaten Schlüssel verwendet werden soll.
• Nachrichten standardmäßig verschlüsseln: Ist normalerweise nicht aktiviert und besagt, ob alle Nachrichten standardmäßig verschlüsselt werden sollen oder nicht.
• Nachrichten Standardmäßig unterschreiben: Besagt, ob alle Nachrichten standardmäßig eine Signatur bekommen. Dieser Punkt ist normalerweise aktiviert.
• PGP/MIME standardmäßig verwenden: Besagt, dass der modernere Standard für die Verschlüsselung und/oder das Unterschreiben von Mails verwendet werden soll. Dieser ist auch mit HTML-Mails bzw. Mails in formatiertem Text kompatibel. Diesen Punkt solltet ihr unbedingt aktivieren, egal was die Standardvorgabe ist.
• Unverschlüsselte Nachrichten unterschreiben und Verschlüsselte Nachrichten unterschreiben unter der Überschrift “Nach dem Anwenden von Standards und Regeln” besagt, dass, wenn alle Standardeinstellungen und empfängerspezifischen Regeln abgearbeitet sind, wie das übrig gebliebene Verhalten aussehen soll.
• Entwürfe verschlüsselt speichern: Bedeutet, dass auch Mailentwürfe verschlüsselt gespeichert werden, also nicht für jedermann einsehbar sind.

Darunter gibt es noch zwei Schalter: Erweitert enthält Einstellungen, die man in der Regel nicht anpassen muss, und Enigmail-Einstellungen enthalten die übergeordneten Grundeinstellungen zur Verschlüsselung und Signierung von E-Mails. Hier findet sich auch ein Hilfe-Schalter, der zu der Enigmail-eigenen Hilfe führt, die auch in deutsch verfügbar und sehr hilfreich ist.

Schlüsselverwaltung

Ein weiterer Punkt ist die Schlüsselverwaltung. Hier sind sowohl das eigene Schlüsselpaar als auch sämtliche importierten öffentlichen Schlüssel von Kontakten hinterlegt. Weiß man, dass ein Schlüssel definitiv von einem vertrauenswürdigen Kontakt stammt, weil man den Schlüsselfingerabdruck abgeglichen hat, kann man diese öffentlichen Schlüssel mit seinem eigenen privaten Schlüssel unterschreiben und somit die Vertrauensstellung erhöhen.

Man kann nach Schlüsseln auf Schlüsselservern suchen (man braucht hierbei die Standardvorgabe des Schlüsselservers in der Regel nicht zu verändern), man kann sogar sein ganzes Adressbuch durchsuchen und die öffentlichen Schlüssel, die gefunden wurden, nach Prüfung importieren.

Weiterhin werden hier Schlüssel zurückgezogen oder der öffentliche Schlüssel auf Schlüsselserver hochgeladen oder eine Datei mit dem öffentlichen Schlüssel kann exportiert werden, um diesen auf der eigenen Webseite zu veröffentlichen.

Hier werden auch zusätzliche Benutzerkennungen ins eigene Schlüsselpaar eingetragen, damit alle in Thunderbird vorhandenen E-Mail-Konten, bei denen die Enigmail-Unterstützung aktiviert ist, auch verschlüsselt senden und empfangen können und die Schlüsselsignaturen als gültig anerkannt werden.

Schlusswort

Die Menge an Optionen und Einstellmöglichkeiten kann leicht überfordern. Ich empfehle, sich langsam heranzutasten und ansonsten den Standardeinstellungen zu vertrauen. Das Finetuning kommt, wenn man ein bisschen Erfahrung gesammelt und sich auf den Hilfeseiten umgeschaut hat, die jede Menge an guten Infos liefern. Auch sollte man immer das Angebot der eingebauten Hilfe nutzen.

Die oben beschriebenen Schritte, also im Prinzip das Durchlaufen des Assistenten bis auf die letzte Frage nach den Einstellungen zum “besseren Funktionieren”, plus dem Einschalten von PGP/MIME in den Konteneinstellungen, sollten für die meisten Anwendungsfälle zum Start vollkommen ausreichen. Bei Fragen kann man sich immer im Forum oder der Mailingliste an andere Mitglieder wenden. Der Umgangston ist, wie fast überall im Internet, weitgehend freundlich.

Ich wünsche nun viel Spaß beim verschlüsselten Kommunizieren mit Thunderbird!

In diesem Artikel geht es darum, die Funktionalität von OpenPGP in Apple Mail unter Mac OS X nachzurüsten. Wer OS X kennt, wird nicht enttäuscht werden, denn die Integration ist sozusagen nahtlos und sehr einfach. Dieser Artikel setzt die Grundlagen voraus, die ich in diesem Artikel eingeführt habe.

Die Installation der GPGTools

Die Installation ist denkbar einfach:

1. Ladet euch von der GPGTools-Seite das Installationspaket herunter. Auch wenn ihr noch nicht Yosemite verwendet, also die neueste Version von Mac OS X, wird inzwischen empfohlen, die aktuelle Beta zu installieren. Nach meiner Erfahrung kann dies problemlos geschehen, da die Beta sehr stabil läuft.
2. Nachdem das Disc Image (.DMG-Datei) heruntergeladen wurde, dieses im Finder doppelklicken bzw. mit Cmd+O öffnen.
3. Im Festplatten-Image befindet sich ein Installationspaket und ein Deinstallationsprogramm. Das Festplatten-Image also nach der Installation am besten nicht löschen, sonst müsst ihr es bei einer eventuell gewollten Deinstallation erneut laden. Jetzt einfach per Doppelklick oder Cmd+O das Installationspaket ausführen.
4. Es handelt sich um eine Standardinstallation, wie es sie unter OS X häufig gibt. Es sind alle Einstellungen richtig getroffen. Also einfach auf Fortfahren, 2x Akzeptieren, Installieren klicken und dann das Computerkennwort eingeben, das ihr auch bei anderen Installationen eingebt.
5. Eventuell werdet ihr aufgefordert, Mail zu beenden, falls dieses gerade gestartet ist. Dies ist nötig, weil das Installationsprogramm die Unterstützung für OpenPGP gleich in mail installiert.
6. Am Ende einfach auf Schließen klicken.

Ein Hinweis: Das GPGTools-Team hat angekündigt (englischer Artikel), dass die GPGTools nach Ende der Betatest-Phase kostenpflichtig werden. Das Spenden-Modell bei quelloffener Software funktioniert leider nicht immer. Ich finde aber, dass die Tools ihr Geld definitiv Wert sind und ein erheblicher Aufwand betrieben wurde, die Integration so nahtlos wie möglich zu gestalten.

Ein Überblick

Das Installationsprogramm für die GPGTools-Suite hat mehrere Komponenten installiert:

• Die Mac-Version des Gnu Privacy Guard. Dieser werkelt im Hintergrund, ist aber jederzeit über das Terminal per Kommandozeile auch aufrufbar. Für die Hartgesottenen und Fortgeschrittenen, die auch das letzte Feature herauskitzeln wollen. Die meisten von uns bekommen von ihm nicht mehr mit als die Abfrage der Passphrase.
• Das Programm GPG Keychain. Dieses findet sich neu im Programme-Ordner des Finder oder im Launchpad. Dieses werdet ihr viel verwenden, um Schlüssel zu suchen, sie zu verwalten und auch neue zu generieren (siehe unten).
• Eine neue Seite GPGPreferences in den Systemeinstellungen, die einige grundlegende programmübergreifende Einstellungen verwaltet. Hier wird z. B. festgelegt, welcher private Schlüssel standardmäßig verwendet werden soll, wie lange sich die Tools die eingegebene Passphrase merken sollen, bevor sie erneut abgefragt wird (Passphrase-Zwischenspeicher oder -Cache genannt) und weitere. Diese muss man nur selten aufsuchen.
• Das Plugin für Apple Mail. Dies sorgt für einen neuen Reiter in den Einstellungen, in dem einige wenige spezifische Einstellungen für Mail vorgenommen werden können. Hier wird unter anderem festgelegt, ob neue Mails standardmäßig verschlüsselt und/oder signiert werden sollen. Weiterhin sorgt es dafür, dass Mails ver- und entschlüsselt werden, bei entschlüsselten mails die Signatur im Kopfbereich angezeigt wird usw. Neben der GPG Keychain ist dies der Teil der GPGTools-Suite, mit dem ihr wohl am meisten zu tun haben werdet.

Für jedes der oben genannten Module kann man aktivieren, dass automatisch nach Updates gesucht wird. Da es sich hier nicht um einen Download über den Mac App Store handelt, werden Updates für die GPGTools nicht von diesem erfasst. Ich empfehle aus Gründen der Sicherheit und Kompatibilität, die Updates zu aktivieren und bei Erscheinen auch umgehend einzuspielen.

Bei großen OS-X-Updates wie von 10.9 “Mavericks” zu 10.10 “Yosemite” sollte vorher auch überprüft werden, ob die GPGTools schon für das neue Betriebssystem verfügbar sind (wenigstens in einer Beta), damit man beim Upgrade des Systems nicht die Verschlüsselungsfunktion verliert und dann vorübergehend Teile seiner Mails nicht mehr lesen kann.

Erzeugen des Schlüsselpaares

Diese Aufgabe übernimmt das Programm GPG Keychain. Es befindet sich im Programme-Ordner und im Launchpad. Startet der Assistent nicht automatisch, klickt man in der Symbolleiste oder im Menü “Ablage” auf “Neu…”.

Ohne viel Schnörkeleien werden sämtliche wichtigen Informationen in einem einzigen Fenster abgefragt:

• Vollständiger Name: Der eigene Name. Ist in der Regel schon vorausgefüllt.
• E-Mail-Adresse: Wird aus den in Mail vorhandenen Adressen ausgefüllt. Bei mehreren kann man hier diejenige wählen, mit der man den Schlüssel als Hauptadresse erzeugen möchte.
• Öffentlichen Schlüssel hochladen: Besagt, ob der öffentliche Schlüssel nach Erzeugen gleich auf einen öffentlichen Server hochgeladen werden soll. Dies ist standardmäßig deaktiviert, und es ist vom eigenen Geschmack abhängig, ob man dies hier gleich aktiviert oder nicht. Gerade wenn man hinterher weitere User-IDs, also E-Mail-Adresse-/Name-Kombinationen hinzufügen möchte, sollte man dies deaktiviert lassen und ihn erst am Ende der Konfiguration von Hand hochladen.
• Es folgt nun die zweimalige Eingabe der Passphrase.

Die voreingestellten erweiterten Optionen sind für den täglichen Bedarf und die meisten Nutzer vollkommen ausreichend und können in der Regel eingeklappt bleiben. Einfach auf Schlüssel Erstellen klicken, und schon hat man sein Schlüsselpaar erzeugt.

Erweiterte Optionen

Wer neugierig ist oder erfahren genug, um die Optionen anzupassen, kann die erweiterten Optionen ausklappen und findet darunter noch folgende Einstellungen:

• Schlüsselart: Die Art, wie der Schlüssel erzeugt wird. Voreingestellt ist das weithin übliche “RSA und RSA”, und man braucht dies in der Regel nicht zu ändern.
• Länge: Die Menge der in einem Schritt verschlüsselten Bits. Im Gegensatz zum im letzten Artikel beschriebenen Enigmail erzeugt GPGTools standardmäßig die noch schwerer zu knackenden längeren Schlüssellängen von 4096 Bit. Es werden also 512 Zeichen (1 Zeichen = 8 Bit) in einem Rutsch verschlüsselt.
• Schlüssel läuft ab: Die von GPGTools erzeugten Schlüssel haben standardmäßig eine Lebensdauer von vier Jahren, und sie können vor Ablauf verlängert werden.
• Kommentar: Wenn man es braucht, kann man seinen Schlüssel noch kommentieren.

Wie oben bereits geschrieben, sollte es eigentlich nicht nötig sein, hier Änderungen vorzunehmen.

Weitere Benutzer-IDs hinzufügen

Möchte man mit mehr als einer E-Mail-Adresse aus Mail heraus verschlüsselt senden und empfangen, muss man dem eigenen Schlüsselpaar nun von Hand weitere Benutzer-IDs hinzufügen. Man macht dazu einen Rechtsklick auf das eigene Schlüsselpaar, wählt Details und dann den Reiter Benutzer-IDs. Hier fügt man nun alle gewünschten Namen/E-Mail-Adressen hinzu, die verwendet werden soll. Hat man den öffentlichen Schlüssel bereits auf den Schlüsselserver hochgeladen, sollte man dies nach Abschluss dieses Schritts wiederholen, damit die auf dem Server hinterlegte Kopie die aktuellsten Informationen zu den Benutzer-IDs anzeigt. Auch der öffentliche Schlüssel auf der eigenen Webseite muss natürlich erneuert werden, wenn man dort einen hinterlegt hat.

Und das war’s schon!

Ja, mehr gibt’s hierzu nicht zu sagen! Klar, man kann mit dem Kontextmenü seines Schlüssels ein Zertifikat zum Widerruf des Schlüssels erstellen (dringend empfohlen!) und diesen und andere Schlüssel beglaubigen. Das ist aber alles so selbsterklärend und logisch aufgebaut, wie im Apple-Universum allgemein üblich, dass es euch sicher Freude bereiten wird, hier selbst auf Entdeckungstour zu gehen.

Im Gegensatz zum eher doch noch etwas technischeren Enigmail des vorhergehenden Artikels wird hier auch nicht mit verschiedenen Formaten “herumgedoktert”. Es werden immer PGP/MIME-Nachrichten erzeugt, weil dies das aktuellste Format ist und heute eigentlich von allen Implementierungen unterstützt werden sollte.

Im nächsten Artikel geht es dann um den täglichen Einsatz von sowohl Enigmail als auch GPGTools in Apple Mail, da sich die grundlegenden Konzepte ähneln.

Hier ein schneller Hinweis für alle Leser: Dieses Blog verwendet ab sofort verschlüsselte Verbindungen, also solche, deren Adressen mit “https” beginnen. Auch Links zu meinen Beiträgen, die ihr euch vielleicht als Lesezeichen gespeichert habt, werden automatisch auf ihre verschlüsselten Äquivalente umgeleitet, so dass ihr nichts weiter tun müsst.

Für euch bedeutet dies vordergründig zweierlei:

Erstens könnt ihr in der Adresszeile eures Browsers überprüfen, dass ihr euch tatsächlich auf meiner Seite befindet und nicht auf irgendeiner betrügerischen Website, die sich als meine ausgibt und meinen Inhalt kopiert hat.

Zweitens werden alle Daten, die ihr beim Hinterlassen von Kommentaren an mein Blog übertragt, u. a. ja auch die E-Mail-Adresse, nun verschlüsselt übertragen. Dadurch kann nicht mehr ohne weiteres jeder, der irgendwo am Rand der Leitung sitzt, die Daten einfach abschnorcheln.

Dies ist mein Beitrag dazu, Verschlüsselung als die Norm zu etablieren und nicht mehr als Ausnahme zu betrachten. Je mehr Leute dies tun, desto unwahrscheinlicher ist es, dass man von Geheimdiensten allein aufgrund der Tatsache, dass man Verschlüsselung benutzt, als verdächtig eingestuft wird.

Sollte es wider Erwarten Probleme geben, lasst es mich bitte wissen!

Nachdem ihr nun die Anleitungen für Windows und Mac OS X durchgearbeitet habt, habt ihr hoffentlich die letzte Woche genutzt, euch vielleicht schon mal selbst eine verschlüsselte E-Mail zu schicken oder Kontakt zu Freunden aufzunehmen, die OpenPGP ebenfalls einsetzen. Ich habe erfreulicherweise mehrere Mails von Lesern dieses Blogs erhalten, die sich die Verschlüsselung erfolgreich eingerichtet haben. Es gab natürlich auch ein paar Nachfragen, deren Beantwortung ich in Updates zu den Artikeln durch Klarstellungen oder Erweiterungen vorgenommen habe.

Allgemein ist zu sagen, dass die E-mail-Programme nun einige weitere Elemente im Fenster zur Erstellung von Nachrichten enthalten als vorher. In Apple Mail sind dies zwei Kontrollkästchen zwischen dem Betreff- und dem Absender-Feld. In Thunderbird sind dies zum einen ein weiteres Menü in der Menüleiste namens OpenPGP und einige weitere Schaltflächen in der Symbolleiste. Beide haben ähnliche Funktionen: man stellt ein, ob die E-Mail, die man gerade schreibt, verschlüsselt und/oder unterschrieben werden soll. Dabei ist das Unterschreiben standardmäßig aktiviert, das Verschlüsseln hingegen nicht. Das ist eine durchaus sinnvolle Einstellung, denn unterschriebene Mails sind weiterhin von allen lesbar, verschlüsselte hingegen nur für die Empfänger mit den passenden privaten Schlüsseln. Daher ermöglichen beide E-Mail-Programme das Verschlüsseln auch nur für solche E-Mail-Empfänger, für die sie im Schlüsselbund des Gnu Privacy Guard auch einen passenden öffentlichen Schlüssel finden.

Das Unterschreiben von E-Mails kann auch als Verbreitungsweg für die Neuigkeit dienen, dass man nun OpenPGP-Verschlüsselung eingerichtet hat und verschlüsselte Mails empfangen kann. Also auch jemand, der bisher nicht wusste, dass man nun OpenPGP “versteht”, bekommt so signalisiert, dass dem so ist und kann den öffentlichen Schlüssel abrufen, um zukünftig verschlüsselt zu kommunizieren.

Denn auch beim lesen sind ein paar Dinge neu hinzugekommen. Erhält man eine unterschriebene E-Mail, ist im Bereich der Mailkopfzeilen ein entsprechender Hinweis zu finden. Hat man den öffentlichen Schlüssel des Absenders bereits im eigenen Schlüsselbund, wird die Signatur dann in der Regel als gültig angezeigt, während Absender, deren Schlüssel man noch nicht hat, als “unbekannter Signaturgeber” angezeigt werden. Ruft man den Schlüssel dann ab, ändert sich dies bei korrekter Signatur natürlich. Praktischerweise unterstützt Apple Mail bzw. die GPGTools das automatische Abrufen von Schlüsseln bei neuen/unbekannten Absendern mit OpenPGP-Fähigkeit. Hat derjenige also einen öffentlichen Schlüssel auf dem Schlüsselserver hinterlegt, holt Apple mail den automatisch ab und verifiziert. Ab sofort ist dann mit diesem Absender verschlüsselte Kommunikation möglich, ohne dass man irgend etwas weiteres tun muss. Diese Funktion ist übrigens in den Systemeinstellungen/GpgTool-Preferences abschaltbar (Kontrollkästchen ganz unten im Fenster). Thunderbird und Enigmail unterstützen den automatischen Abruf von Schlüsseln in dieser Form leider nicht.

Eine weitere allgemeine Faustregel ist, dass man bei Standardeinstellungen verschlüsselt antwortet, wenn man eine verschlüsselte Mail erhält. Voraussetzung ist natürlich, dass man bereits den öffentlichen Schlüssel des Absenders in seinem Schlüsselbund hat. So ist eine einmal begonnene verschlüsselte Mailkonversation durchgehend verschlüsselt.

Das Abfragen der Passphrase

Einigen von euch ist sicher aufgefallen, dass oft nach der Passphrase zum Ver- und Entschlüsseln und/oder Signieren gefragt wird. Den einen oder die andere von euch wird dies vielleicht schnell nerven. Man kann sowohl in den GPGTools als auch in Enigmail einstellen, dass die Passphrase länger zwischengespeichert wird als die vorgegebenen 10 Minuten. In Enigmail findet man diese Einstellung in den OpenPGP-Einstellungen. In GPGTools befindet sich diese Einstellung in den bereits erwähnten Systemeinstellungen/GPGTool-Preferences. Hier ist allerdings das Umrechnen von Sekunden in Minuten oder Stunden nötig, um den richtigen Wert einzugeben. Um z. B. die Passphrase für eine Stunde zwischenzuspeichern, muss man 3600 Sekunden angeben, Standardwert sind 600, also 10 Minuten. Unter OS X kann man die Passphrase auch wahlweise noch im Schlüsselbund des Betriebssystems abspeichern, so wird sie bei der Eingabeaufforderung automatisch eingetragen, und man muss nur noch mit Druck Auf Eingabe bestätigen. Bei Verlorengehen des Computers ist dies aber sehr risikobehaftet und sollte nur mit Vorsicht eingesetzt werden!

Angeblich ungültige E-mails

Eine Frage, die im Laufe der letzten Woche aufkam, betraf eine angeblich ungültig formatierte E-Mail, nachdem ein Leser versucht hatte, jemand anderem eine verschlüsselte E-Mail zu schicken. Das Problem war, dass der Empfänger kein PGP/MIME zuließ oder dessen Client dieses Format nicht unterstützte. So etwas kann leider vorkommen, sollte aber die Ausnahme bleiben. Da kommt es dann darauf an, das Gegenüber davon zu überzeugen, PGP/MIME als inzwischen etabliert anzuerkennen. Auch die Auswahl eines anderen Clients oder ein Update desselbigen sollte der Empfänger in diesem Fall in Erwägung ziehen, um kompatibel zu bleiben.

Synchronisieren von Schlüsselbunden

Wer E-Mail-Clients auf mehreren Rechnern (z. B. Desktop und Notebook, oder Privat- und Arbeitsrechner) einsetzt, dem wird schnell aufgefallen sein, dass es keine leichte Möglichkeit gibt, die Schlüsselbunde für den GnuPG synchron zu halten. Mir ist auch nach längerer Recherche keine automatisierte Möglichkeit zum Abgleich von GnuPG-Schlüsselbunden in die Hände gefallen.

Um seine Schlüsselbunde möglichst synchron zu halten, sollte man sich also angewöhnen, einen auf einem Rechner neu importierten öffentlichen Schlüssel gleich in der Schlüsselverwaltung zu exportieren und z. B. in einem Ordner seiner Dropbox oder anderen Cloudspeicher der Wahl zu speichern. Die anderen Rechner bekommen diese dann bei der nächsten Synchronisierung übertragen und man kann sie dann in die dortige Schlüsselbundverwaltung importieren.

Lediglich wenn man ausschließlich mit Mac-Computern und GPGTools arbeitet, übernimmt das Mail-Plugin die Synchronisation durch das automatische Abrufen von neuen öffentlichen Schlüsseln bei Erhalt von E-Mails. Eine Synchronisation über z. B. iCloud wird bisher nicht unterstützt.

Updates

Ein wichtiger Aspekt ist, seine Software (wie auch allgemein üblich) auf dem neuesten Stand zu halten. Unter OS X ist dies mal wieder recht einfach, da alle Teile der GPGTools anbieten, automatisch nach Updates zu suchen und diese zu installieren. Auch Thunderbird selbst und seine Erweiterungen werden in der Regel automatisch aktualisiert, wenn Updates verfügbar sind. Lediglich der Gnu Privacy Guard bzw. GPG4Win unter Windows hat keinen automatischen Update-Mechanismus. Hier muss man also regelmäßig auf der Website vorbeischauen, den RSS-Feed der Neuigkeiten abonnieren oder eine andere Möglichkeit finden, sich regelmäßig über Updates informieren zu lassen und diese dann einzuspielen.

Fazit

Nach der zumindest für Windows etwas komplizierteren Einrichtung von OpenPGP zeigt sich in der Regel, dass im täglichen Umgang wenig bis gar keine Hürden bei der Benutzung auftreten sollten. Die Benutzbarkeit hat sich in den letzten Jahren deutlich verbessert, und man muss nicht mehr wie früher mit Kommandozeilen und super komplizierten Abläufen über die Zwischenablage arbeiten, um verschlüsselt kommunizieren zu können.

Wer in der Hauptsache seine E-Mails unter Mac OS X oder Windows macht, hat mit der bisherigen Serie inklusive diesem Beitrag nun das nötige Rüstzeug erhalten, um in Zukunft verschlüsselt kommunizieren zu können. Ich hoffe, dass sich mir viele von euch anschließen und dies in Zukunft selbstverständlich tun und nicht nur bei “besonderen Anlässen”. Denn je mehr selbstverständlich verschlüsselt wird, desto schwerer wird es für Geheimdienste und andere Regierungsorganisationen, mit der Annahme “wer verschlüsselt, ist kriminell” eine Massenüberwachung zu rechtfertigen, die jeden unter Generalverdacht stellt. Gerade wir unbescholtenen Bürger, die nichts zu verbergen haben, müssen vor dem Staat keinen Daten-Striptease durchführen und Dinge preisgeben, die wir nie auf eine Postkarte schreiben würden!

In den nächsten Beiträgen zum Thema geht es um die Einrichtung von OpenPGP unter iOS, und wir werfen einen Blick auf die OpenPGP-Alternative S/MIME sowie die Chat-Verschlüsselung per Off-The-Record-Messaging.

Heutzutage möchte man E-Mails nicht mehr nur auf dem Desktop- oder Laptop-Computer lesen und schreiben. Der mobile Zugriff per Smartphone oder Tablet sind inzwischen mindestens genauso wichtig. Das gilt natürlich auch für verschlüsselte E-Mails.

In diesem Artikel geht es um die Einrichtung und Nutzung von OpenPGP-Verschlüsselung unter iOS. Und wie heißt es so schön in einem sozialen Netzwerk? “Es ist kompliziert.” Nun ja, nicht so kompliziert, dass es eine unüberwindliche Hürde wäre, aber doch eher umständlich. Dies liegt vor allem daran, dass das iOS-Mail-Programm keine Erweiterungen unterstützt und selbst keine Unterstützung für OpenPGP mitbringt.

Man muss also auf Apps von findigen Entwicklern zurückgreifen, die die Funktionalität zur Verfügung stellen und die Inhalte zwischen sich und der Mail-App hin und her reichen. Die umfassendsten und gangbarsten Lösungen, die ich bei meinen Recherchen gefunden habe, sind die kostenpflichtigen Apps iPGMail und oPenGP (beides iTunes Partner-Links). Ich werde anhand von iPGMail die Vorgehensweise erläutern, oPenGP ist ähnlich aufgebaut. Beide Apps sind für iPhone und iPad gedacht.

Grundsätzlicher Aufbau

iPGMail ist in fünf Tabs (Register) unterteilt:

Keys enthält die Schlüssel. Oben kann man die Anzeige nach öffentlichen (public) oder privaten Schlüsseln umschalten. Ein Tippen auf einen Schlüssel zeigt dessen Details an.

Decode dient zum Entschlüsseln von Text in der Zwischenablage oder aus Mail heraus übertragenen Anhängen (siehe unten).

Compose dient zum Erstellen von Mails.

Files beinhaltet die lokal gespeicherten heruntergeladenen oder aus iTunes übertragenen Dateien und bietet Zugriff auf Dropbox und iCloud. Hier können entschlüsselte Mails gelesen, Keys importiert, Dateien verschlüsselt o. ä. werden.

Settings enthält alle Einstellungen. Hier kann man das Entsperren per PIN und/oder Fingerabdruck (iPhone 5s, 6, 6 Plus oder iPad Air 2) einrichten, Dropbox und iCloud an- und abschalten, einstellen, wie oft nach der Passphrase gefragt werden soll usw.

Ersteinrichtung

Nach der Installation der App hat man zwei Möglichkeiten. Entweder man fängt ganz frisch an, weil man OpenPGP bisher noch nicht eingesetzt hat und erstellt ein neues Schlüsselpaar. Die Vorgehensweise ähnelt stark der Einrichtung unter Windows oder OS X: Man gibt Namen und E-Mail-Adresse an, wählt ggf. die Verschlüsselungsstärke, wobei der Standardwert OK ist, und lässt das iOS-Gerät den Schlüssel generieren. Die Option findet sich unter “Add” auf dem Register “Keys” der Anwendung.

Oder man hat seine Schlüssel schon unter Windows oder OS X erzeugt und möchte sie auch unter iOS nutzen. Dann muss man zuerst die Schlüssel in der jeweiligen Schlüsselverwaltung inklusive privatem Schlüssel exportieren (letzteres ist ganz entscheidend!) und diese dann per iTunes-Dateiübertragung oder notfalls per iCloud oder Dropbox auf das iOS-Gerät übertragen. Aus Sicherheitsgründen empfehle ich hier den Weg über iTunes: Gerät anschließen, in iTunes das Gerät auswählen, Register Apps, iPGMail auswählen und die Datei(en) des Exports hierher kopieren. Dann synchronisieren, so dass sie auf dem Gerät landen.

Alternativ speichert man sie in Dropbox, aktiviert dieses über den Settings-Tab auf dem Gerät, geht auf Files, wählt unter “Folders” Dropbox aus, tippt die Datei an und wählt “Download”. Sie landet dann im lokalen Speicher und sollte danach umgehend aus der Dropbox gelöscht werden.

Nun öffnet man die Datei und wählt unter Actions dann “Decode”. Man wird nach der Passphrase des privaten Schlüssels gefragt, und danach sind die Schlüssel unter Keys im Reiter “Public” und “Private” zu finden.

Tipp: Beim Exportieren kann man auch alle anderen öffentlichen Schlüssel gleich mit auswählen, die man von Kontakten bekommen hat. So kann man den aktuellen Stand einmal in einem Rutsch in iPGMail importieren.

Empfangene E-Mail entschlüsseln

Empfängt man nun eine verschlüsselte mail in der iOS Mail App, gibt es zwei Möglichkeiten:

Die Mail ist mit Inline-PGP, also dem verschlüsselten Text im Mailtext verfasst. In diesem Fall muss man den kompletten Mailtext markieren und in die Zwischenablage kopieren. Dann geht man nach iPGMail, wählt die Registerkarte “Decode” und wählt oben links den Schalter “Import”. Ggf. wird man nach der Passphrase gefragt, und die decodierte Mail landet dann in den Files.

Die bequemere Variante ist, dass man eine Mail im PGP/MIME-Format bekommen hat. In diesem Fall enthält die Mail zwei Anhänge. Der wichtige Anhang ist derjenige mit Namen encrypted.txt. Diesen lange antippen (VoiceOver-User: Doppeltippen und halten). Es öffnet sich dann ein Menü “Öffnen mit”, und man wählt hier iPGMail aus.

Der Mailtext wird nun automatisch decodiert und landet in den Files. Ggf. wird man nach der Passphrase gefragt. Spätestens jetzt zeigt sich noch ein großer Vorteil von PGP/MIME, denn das Umgehen hiermit ist wesentlich bequemer als das Markieren vielleicht mehrere Bildschirmseiten langer Mailtexte.

Erstellen oder Beantworten von Mails

Verschlüsselte Mails werden in iPGMail erstellt und dann an die Mail-App zum Versenden übergeben. Eine neue Mail erstellt man über das Register “Compose”. Auf eine Mail antwortet man, indem man die entschlüsselte Version unter “Files” öffnet und dann oben rechts auf “Reply” drückt.

In beidem Fällen öffnet sich ein Fenster zum Erstellen einer Mail. Man wählt die Absender-ID aus, gibt ggf. Empfänger ein (entfällt normalerweise bei Antworten), fügt ggf. Anhänge hinzu, die dann ebenfalls verschlüsselt werden, und schreibt seine Mail. Im Fall einer Antwort ist die ursprüngliche Mail im Klartext zum Zitieren schon vorhanden.

Zum Abschluss überträgt man mit dem Send-Schalter die Mail an die Mail-App. Sie wird verschlüsselt und dann als PGP/MIME-Mail in einer neuen Mail geöffnet. Nach Überprüfung des Absenders kann man hier einfach auf Senden drücken, und raus geht die Mail!

Fazit

Das war’s im Prinzip schon! Es ist wegen der Beschränkungen von iOS leider nicht möglich, die Ver- und Entschlüsselung von Mails direkt in der Mail-App vorzunehmen. Hier bleibt die Hoffnung, dass Apple sein Erweiterungssystem in Zukunft vielleicht dahingehend erweitert, dass solche Mail-Plugins möglich werden. So muss man sich eben immer vergegenwärtigen, Mails erst in iPGMail zu schreiben und dann an Mail zu übertragen. Und das Lesen der entschlüsselten Mail findet eben auch in iPGMail statt, nicht in der Mail-App selbst.

Wie sich andere Mailprogramme wie die App für Gmail oder Gmx mit iPGMail vertragen, habe ich nicht getestet. Fest steht, dass die Übergabe einer geschriebenen Mail immer an die interne Mail-App erfolgt. Ob man aus anderen Mail-Apps die Anhänge von PGP/MIME-Mails ebenfalls so öffnen kann, entzieht sich meiner Kenntnis.

Wie ich oben schon schrieb: OpenPGP in iOS zu nutzen ist möglich, aber komplizierter als unter Windows oder OS X, weil man immer mit zwei Apps hantieren muss. Aber es ist eben nicht unmöglich, und das ist heute ja nicht ganz unwichtig!

In diesem Artikel geht es um die Verschlüsselung und Signierung von E-Mails mit S/MIME (secure/multipurpose internet mail extensions) als Alternative zu OpenPGP. Viele der Grundprinzipien sind ähnlich, die Formate sind jedoch nicht zueinander kompatibel. Eine mit OpenPGP verschlüsselte Mail kann also nicht von jemandem gelesen werden, der nur S/MIME einsetzt und umgekehrt. Glücklicherweise ermöglichen alle in der Serie bisher besprochenen Lösungen eine Koexistenz beider Systeme, so dass man sich nicht entscheiden muss, sondern beide parallel betreiben kann. Dabei zeigt sich, dass S/MIME zwar das geschlossenere System von beiden ist, von der Benutzerfreundlichkeit und Integration jedoch einige Vorteile gegenüber OpenPGP bietet, die auch die in den letzten Jahren gemachten Fortschritte nicht ganz haben wett machen können.

Das wichtigste jedoch: S/MIME ist genauso sicher wie OpenPGP. Die Algorithmen zur Berechnung der Schlüssel sind sehr ähnlich, und auch die Privatheit des privaten Schlüssels ist gegeben (mehr dazu siehe unten). Es gibt allerdings einige Unterschiede, deren man sich bewusst sein sollte. Wer kein OpenPGP nutzen möchte, aber S/MIME, kann den folgenden Abschnitt überspringen und gleich zur Beantragung gehen.

Die wichtigsten Unterschiede

Der wichtigste Unterschied ist, dass bei OpenPGP die Beglaubigung oder Echtheit öffentlicher Schlüssel durch die Unterschriften verschiedener Benutzer bezeugt wird. Bei S/MIME-Zertifikaten hingegen wird diese Beglaubigung durch eine globale Zertifizierungsstelle (CA) ausgestellt. Viele globale Zertifizierungsstellen werden von Apple, Microsoft, Mozilla und anderen als Vertrauenswürdig eingestuft und die E-mail-Zertifikate daher als gültig anerkannt, wenn die Unterschrift auf dem öffentlichen Schlüssel verifiziert werden kann. Jeder öffentliche Schlüssel hat daher auch nur genau eine Unterschrift zur Beglaubigung, nämlich die der Zertifizierungsstelle.

Die S/MIME-Schlüssel werden nur immer genau auf eine E-Mail-Adresse ausgestellt. Hat man also fünf E-Mail-Adressen, mit denen man verschlüsselt kommunizieren möchte, muss man sich auch fünf Zertifikate besorgen.

Die Zertifikate werden im Falle kostenloser Varianten in der Regel nur auf die E-Mail-Adresse ausgestellt. Die Zertifizierungsstelle bestätigt also lediglich die Echtheit der E-Mail-Adresse, nicht die Identität der dahinter stehenden Person. Dies ist ein Zertifikat der Stufe 1. Zertifikate der Stufe 2 verifizieren auch den Namen der Person, indem z. B. Prüfungen des Personalausweises o. ä. durchgeführt werden, um die Echtheit der Personenangaben zu bestätigen. Die Stufe 3 letztendlich erwartet ein persönliches Erscheinen der Person zur Verifizierung, was in der Regel von Zertifikatsstellen gar nicht angeboten wird.

Ein Hinweis für Leser in Deutschland: Es ist gesetzlich verboten, eine Kopie des Personalausweises anzufertigen oder von dritten anfertigen zu lassen. Will man sich also für ein Zertifikat der Stufe 2 registrieren, muss man genau hinschauen, was erwartet wird und was man wie preisgeben kann und darf.

Es gibt keine Passphrase zur Ver- und Entschlüsselung, die abgefragt wird. E-Mails werden automatisch entschlüsselt, wenn für den Absender ein öffentlicher Schlüssel vorliegt. Erhält man eine nicht verschlüsselte, aber signierte E-Mail, importieren viele Mailer unter OS X und Windows die öffentlichen Schlüssel automatisch, so dass ab sofort verschlüsselt kommuniziert werden kann. Dies ist auch der übliche Verbreitungsweg für öffentliche Schlüssel im S/MIME-Verfahren: man schreibt nicht verschlüsselte, aber signierte Mails.

Beantragen eines kostenlosen Zertifikats

Es gibt mehrere Anbieter für kostenlose S/MIME-Zertifikate der Stufe 1. Ich selbst habe sehr gute Erfahrungen mit den Zertifikaten von Comodo gemacht. Dieser Link führt direkt zum auszufüllenden Formular.

1. Das Formular ausfüllen. Wichtig ist neben der korrekten E-Mail-Adresse und dem Namen hier das Revocation Password (Kennwort zum Zurückziehen des Schlüssels). Dieses unbedingt irgendwo sicher verwahren (z. B. sichere Notiz in 1Password), um das Zertifikat zurückziehen zu können, falls man das Gefühl bekommt, es könne kompromittiert worden sein.
2. Nach Abschicken des Formulars bekommt man per E-Mail den Link zur Installation des Zertifikats.
3. Den Link in der Mail anklicken. Es öffnet sich ein neuer Browser-Tab. Das Schlüsselpaar wird nun auf dem Computer generiert und der öffentliche Schlüssel danach an den Server von Comodo gesendet. Diese unterschreiben ihn nun und schicken den unterschriebenen öffentlichen Schlüssel, das Zertifikat, an uns zurück.
4. Es findet nun ein Download einer Datei mit der Endung .p7s statt. Der Safari im Mac speichert die Datei automatisch im Downloads-Ordner, der Firefox installiert das Zertifikat automatisch in seiner Zertifikatsverwaltung.

Die folgenden Schritte werden nun getrennt für OS X und Windows behandelt.

Installation des Zertifikats

Mac OS X

Nachdem der Schlüssel heruntergeladen wurde, doppelklickt man die Datei bzw. öffnet sie mit Cmd+O. Das Schlüsselpaar wird nun in den Schlüsselbund importiert.

Nun Mail beenden und neu starten. Danach stehen bei neuen Mails zwei Schaltflächen bzw. Kontrollkästchen zur Verfügung. Die eine steht fürs Unterschreiben, die andere fürs Verschlüsseln der mail. Wer bereits OpenPGP einsetzt, kann nun mit Cmd+Wahltaste+P auf OpenPGP bzw. Cmd+Wahltaste+S auf S/MIME umschalten, also beide Verschlüsselungsverfahren nutzen.

Erhält man nun eine mit S/MIME unterschriebene Mail, speichert Mail den öffentlichen Schlüssel des Absenders automatisch. Ihr selbst solltet nun auch immer unterschreiben, wenn ihr eine neue Mail schreibt, um so anzuzeigen, dass ihr S/MIME unterstützt. Kommen beide Verfahren zum Einsatz, kann man ja an den gleichen Empfänger in einer Mail mit S/MIME, in der anderen mit OpenPGP unterschreiben.

Kommt jetzt eine verschlüsselte Mail an, wird diese automatisch entschlüsselt. Beantwortet man sie, wird auch die Antwort automatisch mit dem richtigen Verfahren verschlüsselt.

iOS

Möchte man das Zertifikat auch unter iOS nutzen, muss man wie folgt vorgehen:

1. Im Ordner Programme/Dienstprogramme das Programm Schlüsselbundverwaltung öffnen.
2. Nach der eigenen E-Mail-Adresse suchen und in den Ergebnissen den Eintrag mit dem Typ “Zertifikat” auswählen.
3. Diesen jetzt erweitern, dass der dahinter versteckte Eintrag “Privater Schlüssel” sichtbar wird. VoiceOver-Nutzer drücken Ctrl+Wahltaste+Nummernzeichen.
4. Diesen Eintrag “Privater Schlüssel” jetzt rechtsklicken bzw. mit Ctrl+Option+Umschalt+M von VoiceOver das Kontextmenü aufrufen und Exportieren wählen.
5. Namen vergeben, Ort wählen und sicherstellen, dass als Dateiformat Personal Information Exchange (P12) ausgewählt ist.
6. Im nächsten Schritt ein Kennwort vergeben, mit dem die exportierte Datei geschützt wird.
7. Diese P12-Datei jetzt per Mail an sich selbst schicken. Andere Wege werden von iOS leider nicht unterstützt, z. B. AirDrop.
8. Auf dem iPhone oder iPad die Mail öffnen und den Anhang antippen.
9. Es öffnen sich die Einstellungen. Jetzt oben rechts auf Installieren tippen und mit dem Geräte-Code bzw. Kennwort bestätigen.
10. Man wird nun gewarnt, dass das Zertifikat noch unbekannt sei. Mit nochmaligem Drücken auf Installieren bestätigen, und das gleiche im darauf erscheinenden Sicherheits-Abfrage-Hinweis.
11. Jetzt das eben vergebene Kennwort eingeben und auf Weiter tippen.
12. Das Zertifikat ist nun installiert. Auf Fertig tippen, und man gelangt wieder in die E-Mail.
13. In die Einstellungen zurückkehren und den Punkt E-Mail, Kalender … wählen.
14. Das E-Mail-Konto wählen, unter dem die E-Mail-Adresse des Zertifikats geführt wird.
15. Das Konto bearbeiten und ganz unten auf Erweitert tippen.
16. Ganz nach unten scrollen und S/MIME aktivieren.
17. Sowohl Signieren als auch Verschlüsseln aktivieren. Das richtige Zertifikat sollte jeweils ausgewählt sein.
18. Zurück wählen und oben rechts auf Fertig. Da keine anderen Änderungen am Konto vorgenommen wurden, sollte sich das Fenster einfach schließen, und wir können die Einstellungen verlassen.

Jetzt werden unterstützte Empfänger automatisch mit verschlüsselten Mails versorgt, und alle anderen Mails werden mit S/MIME unterschrieben. Erhält man eine unterschriebene Mail, kann man beim Absender direkt auf die Details tippen und das Zertifikat (den öffentlichen Schlüssel) installieren. Ein automatisches Importieren von öffentlichen Schlüsseln findet im Gegensatz zu OS X leider nicht statt, wenn man eine unterschriebene Mail erhält.

Wie man aber sieht, ist das Behandeln von S/MIME-verschlüsselten E-Mails im Vergleich zu OpenPGP deutlich einfacher und direkt in die Mail-App integriert. Es ist nicht nötig, Apps von Drittherstellern zu verwenden.

Windows

Hat man sich das Zertifikat mit Hilfe von Firefox erstellt, also den Link in der E-Mail angeklickt, wird das Zertifikat automatisch in Firefox installiert. Man bekommt darüber auch eine Meldung. Um es nun in Thunderbird nutzen zu können, geht man wie folgt vor:

1. Man öffnet Extras, Einstellungen (bzw. Optionen) und wechselt aufs Register Erweitert.
2. Hier wählt man das Unter-Register Zertifikate aus und klickt auf Zertifikate Anzeigen.
3. Im folgenden Fenster wechselt man aufs Register Eigene Zertifikate, wählt das gerade installierte Zertifikat von Comodo CA aus und klickt auf Backup.
4. Man vergibt einen Dateinamen, wählt ggf. einen Zielordner und belässt das Dateiformat tunlichst auf P12.
5. Im nächsten Schritt vergibt man ein Kennwort zum Schützen der exportierten Datei. Danach wird die Datei gespeichert und dies bestätigt. Man kann nun die Dialoge schließen.
6. Jetzt wechselt man zu Thunderbird und öffnet Extras/Konteneinstellungen. Man wählt das Konto für die E-Mail-Adresse aus, für die man eben ein Zertifikat erstellt hat und wechselt auf den Eintrag Sicherheit.
7. Hier wählt man wieder Zertifikate anzeigen und wechselt auf das Register Eigene Zertifikate.
8. Auf Import klicken, die in Schritt 4 gespeicherte Datei wählen, das in Schritt 5 vergebene Passwort eingeben, und das Zertifikat wird importiert. Der Zertifikatmanager kann nun auch durch Klick auf OK geschlossen werden.
9. Jetzt für die Signierung von E-Mails den Schalter “Wählen” betätigen und das soeben importierte Zertifikat wählen.
10. Thunderbird fragt nun nach, ob dieses Zertifikat auch für das Verschlüsseln von Mails verwendet werden soll. Dies wird bejaht.
11. Nun noch einstellen, dass E-Mails standardmäßig signiert werden sollen, und bei Verschlüsselung “notwendig” auswählen. Mit OK die Konteneinstellungen schließen.

Nun kann man mit S/MIME verschlüsselte Mails senden und empfangen. Hat man zusätzlich OpenPGP mit Enigmail installiert, fragt Enigmail im Zweifel nach, ob die Verschlüsselung mit PGP/MIME oder S/MIME passieren soll. Auch hier ist also eine Koexistenz beider Systeme möglich.

Auch Thunderbird importiert automatisch S/MIME-Zertifikate bei Erhalt digital unterschriebener Mails. Man muss also auch hier keine öffentlichen Schlüssel von Hand importieren. Man kann sogar direkt verschlüsselt antworten, vorausgesetzt, man hat dem Empfänger schon mal eine digital signierte Mail geschickt und dessen Client hatte die Chance, den öffentlichen Schlüssel abzurufen.

Hat man iOS-Geräte, kann man mit derselben Datei, die man aus Firefox per Backup exportiert hat, so vorgehen, wie im vorigen Abschnitt ab Schritt 7 beschrieben, also dem Punkt, an dem man sich seine Backup-Datei selbst per Mail zuschickt.

Die Optionen zum Einstellen, ob man eine S/MIME-Mail signiert und/oder verschlüsselt, finden sich entweder im Popup-Menü der oberen Symbolleiste oder im Menü Optionen als unterste zwei Menüpunkte.

Fazit

Das Erstellen, der tägliche Umgang und die Integration ist mit S/MIME deutlich einfacher als mit OpenPGP. Welches Verschlüsselungsverfahren man nimmt, oder ob man zweigleisig fährt, ist eine Geschmacks- und Glaubensfrage. Manche werden der Unterschrift einer Firma, auch wenn diese sich CA nennt, niemals so sehr vertrauen wie den Unterschriften ihnen persönlich bekannter Personen und von daher OpenPGP vorziehen. Andere werden vielleicht die einfachere Handhabung von S/MIME bevorzugen, gerade wenn sie auch unter iOS arbeiten, und von daher diese Variante bevorzugen. Beide Verfahren sind bisher nicht geknackt worden. Von dieser Seite herrscht also eher kein Unterschied.

Ich selbst habe mich dazu entschieden, beide Verfahren einzusetzen und dadurch mit beiden erreichbar zu sein. So kann jeder selbst entscheiden, wie er/sie mit mir verschlüsselt kommunizieren möchte. Wer also meinen öffentlichen S/MIME-Schlüssel möchte, schickt mir einfach eine Mail mit der Bitte um Zusendung einer signierten Antwort. Idealerweise enthält diese Anfrage schon gleich die eigene Signatur, dann ist sofortige verschlüsselte Kommunikation möglich.

Viel Spaß beim verschlüsselten Kommunizieren, mit welchem Verfahren auch immer!

Es ist jetzt schon zweimal vorgekommen, dass mich E-Mails erreicht haben, die signiert waren, deren Signatur aber als ungültig angezeigt wurde. Das Problem war in beiden Fällen, dass die Schlüssel bzw. Zertifikate auf eine E-Mail-Adresse ausgestellt wurden, die auf @gmail.com endete. Der Absender der Mails hatte aber in beiden Fällen eine Adresse in seinem Mailer stehen, die auf @googlemail.com endete.

Die Folge davon ist, dass weder die Überprüfung der Signatur hinhaut, noch dass ich verschlüsselt hätte antworten können. Obwohl es sich um denselben Provider handelt, sind @gmail.com und @googlemail.com für die Schlüsselverwaltungen aller Mailprogramme und OpenPGP- und S/MIME-Tools zwei völlig unterschiedliche Paar Schuhe.

Die Lösung dieses Problems liegt darin, seine E-Mail-Adressen idealerweise auf @gmail.com zu vereinheitlichen. Zunächst gilt es zu überprüfen, ob man, wenn man in Deutschland mit einer @googlemail.com-Adresse gestartet ist, diese per Google bereits auf @gmail.com umgestellt hat. Auf dieser Seite könnt ihr mehr darüber lesen und es für euren Account gleich überprüfen.

Ist die Umstellung bereits erfolgt oder durch die oben stehende Überprüfung angestoßen worden, gilt es nun, in allen Mail-Programmen alle Vorkommen von @googlemail.com auf @gmail.com zu ändern. Nichts anderes braucht verändert werden, aber der Login für die Server, die Absender-E-Mail-Adresse und ggf. “Identität” müssen angepasst werden.

In Thunderbird findet man alle diese Einstellungen unter Extras/Konteneinstellungen, das Gmail-Konto auswählen und auf der Hauptseite, unter “Identitäten” und in den Servereinstellungen die Vorkommen ändern. Auch ganz unten bei den SMTP-Servern sollte wegen der Vereinheitlichung die Einstellung angepasst werden.

In Apple Mail findet man alle passenden Einstellungen unter Mail/Einstellungen auf der Registerkarte Konten, in den Kontoeigenschaften und bei den Servern für ausgehende E-Mails.

Unter iOS ändert man die Einstellung in Einstellungen/Mail, Kontakte… unter dem jeweiligen Konto einmal auf der Hauptseite und einmal im Fenster für den Postausgangsserver.

Das ist einmal ein bisschen Fummelarbeit, aber wenn das einmal gemacht wurde, ist nicht nur das Angeben der E-Mail-Adresse einfacher (gmail.com spricht sich einfacher als googlemail.com), sondern jetzt stimmt auch alles mit dem Zertifikat überein, so dass von nun an das korrekte Signieren klappen sollte, und der Empfänger kann auch verschlüsselt antworten.

Bei Amazon gibt es zur Zeit ein sehr günstiges Jahres-Abonnement für Microsoft Office 365 Home. Für alle, die ihr vielleicht schon in die Jahre gekommenes Office mal auf den neuesten Stand bringen wollen, ist dies eine gute Gelegenheit.

Im Gegensatz zu früheren Office-Versionen ist Office 365 ein Abo-Modell. Man kauft also nicht mehr ein Softwarepaket für mehrere hundert Euro und nutzt dieses dann auf einem PC, sondern man abonniert die Nutzung und kann das jeweils aktuelle Office dann auf bis zu 5 PCs oder Macs nutzen. Man kann Teile dieser Nutzung auch an Familienmitglieder weitergeben. Auch Mischbetrieb, z. B. 3x Windows + 2x Mac sind problemlos möglich. Zusätzlich darf man die Office-Versionen für iOS und Android bis zu 5 mal freischalten, so dass auch dort der volle Funktionsumfang zur Verfügung steht, und das gleiche dann auch noch mal auf bis zu 5 Smartphones verschiedener Hersteller.

Bei Microsoft kostet dieses Office 365 Home entweder 10 Euro im Monat oder 99 Euro im Jahresabonnement. Bei Amazon gibt es zur Zeit einen Produkt-Key für ein Jahresabonnement für 66,99 Euro (Stand 04.02.2015). Man erwirbt also diesen Produkt-Key und schaltet sein Abo auf office.microsoft.com frei. Vor Ablauf des Jahres kann man entweder mit einem neuen Produkt-Key verlängern oder man hinterlegt Zahlungsdaten und bezieht es dann zu Microsofts Konditionen weiter. Oder man lässt es auslaufen und hat dann eben nur noch eingeschränkten Zugriff, bis man es erneuert. Der Link zum Amazon-Angebot ist:

Microsoft Office 365 Home – 5PCs/MACs – 1 Jahresabonnement – multilingual (Product Key Card ohne Datenträger)

Hinweis: Bei diesem Link handelt es sich um einen Amazon-Affiliate Link. Ich bekomme also eine kleine Provision, wenn ihr dieses oder andere Produkte bei Amazon kauft, wenn ihr diesen Link benutzt. Die Unterstützung bleibt 90 Tage in eurem Browser hinterlegt.

Office 365 ist insofern ein sehr spannendes Modell, als dass man nicht nur die Vollversionen von Word, Excel, PowerPoint, Outlook, OneNote, Publisher und Access bekommt, sondern sie auch immer auf dem aktuellen Stand gehalten werden. Kommt also im Laufe dieses Jahres Office 2016 heraus, was zur Zeit für die 2. Jahreshälfte angekündigt ist, werden die Office-365-Editionen automatisch aktualisiert. Man zahlt also nicht mehr mehrere 100 Euro für ein Upgrade.

Weiterhin hat man eben auch Zugriff von Tablets und Smartphones aus, und man kann zusätzlich die Online-Versionen von Word, Excel und PowerPoint im Browser nutzen. Man erhält 1 Terabyte Speicherplatz bei Microsoft OneDrive, kann also seine Dokumente in der Cloud speichern und hat immer Zugriff drauf. Zusätzlich erhält man 60 Skype-Freiminuten pro Monat für Anrufe ins Festnetz und ausgewählte Mobilfunknetze.

Zur Zugänglichkeit für Blinde ist zu sagen, dass Office unter Windows immer noch die zuverlässigste und produktivste Office-Lösung von allen ist. Alle Screen-Reader-Hersteller sorgen eigentlich stets für eine Kompatibilität ihrer aktuellen Versionen mit aktuellen Office-Versionen. NVDA hat im Jahr 2014 sehr viel Office-Support bekommen, und die zur Zeit im Betatest befindliche Version 2015.1 bringt für Word und Outlook wieder viele Neuerungen mit, z. B. das Lesen von HTML-mails in Outlook mit dem virtuellen Cursor und einen Browse-Modus für Word, in dem man schnell zu verschiedenen Elementen eines Dokuments springen kann, um dann dort weiter zu arbeiten. Selbst wenn der eigentlich eingesetzte Screen Reader also nicht mit der aktuellsten Version klar kommen sollte, hat man mit NVDA eine kostenlose Alternative, die dies kann.

Office für Mac ist mit VoiceOver leider bisher noch nicht kompatibel. Gerade die Dokumente in Word kann VoiceOver noch nicht lesen. Es gibt aber Gerüchte, dass sich das mit dem im Lauf des Jahres angekündigten Update ändern soll.

Office für iPad und iPhone ist mit VoiceOver kompatibel, es werden ständig fehlende VoiceOver-Lücken geschlossen. Bei Office für Android wird nach Berichten ähnlich verfahren.

Auch Office im Browser ist mit Firefox und NVDA oder JAWS prima bedienbar. IE funktioniert wohl so leidlich, es lohnt sich also, immer einen Firefox und ein NVDA zur Hand zu haben.

Vielleicht hilft dies ja der einen oder dem anderen, sein Office zu modernisieren! Das Umstiegsangebot finde ich persönlich sehr attraktiv, und man bekommt viel mehr fürs Geld als bei den klassischen Software-Paketen, in denen es Office bisher immer gab.

Der Gnu Privacy Guard (GnuPG) ist das Herzstück aller in der Serie zur E-Mail-Verschlüsselung behandelter OpenPGP-Lösungen. Er ist die einzige Instanz einer wirklich offenen und transparenten E-Mail-Verschlüsselung, die vollkommen von irgendwelchen Firmen unabhängig ist.

So ein Projekt braucht nicht nur Nutzer, sondern auch Menschen, die die Software weiterentwickeln, die Webseiten am laufen halten usw. Der Gnu Privacy Guard wird seit 1997 in der Hauptsache von Werner Koch aus Erkrath entwickelt und am Leben gehalten. 1999 und 2005 erhielt er zwei projektbezogene Unterstützungen von der deutschen Bundesregierung, das zweite Projekt lief aber 2010 aus und wurde nicht erneuert. Diese und weitere Hintergrundinformationen zu Werner Koch und dem Projekt enthält dieser englischsprachige Artikel bei ProPublica.

Die aktuelle Spendenkampagne hat 120.000 Euro zum Ziel und bisher knapp 55.000 Euro davon geschafft (Stand 05.02.2015 ca. 19:00 Uhr). Ich möchte alle Leserinnen und Leser dieses Blogs eindringlich bitten, eine Spende zu leisten und vielleicht bei der Gelegenheit mit E-Mail-Verschlüsselung anzufangen, wenn ihr dies nicht eh schon getan habt. In der Seitenleiste findet ihr die Einstiegsseite zum Thema. Auch Mehrfachspenden sind sicher möglich, ich versuche gerade herauszufinden, wie ich eine regelmäßige Spende automatisiert leisten kann.

Lasst uns gemeinsam mithelfen, nicht nur einmalig, sondern nachhaltig dafür zu sorgen, dass wir auch in Zukunft sicher kommunizieren können!

Bisher haben wir uns in der Serie zur Verschlüsselung um die Verschlüsselung des eigentlichen Mailtextes gekümmert. Es gibt aber noch einen weiteren wichtigen Bestandteil von E-mails, nämlich die sogenannten Kopfzeilen inklusive Absender, Empfänger, Betreff und eventuell in Kopie oder Blindkopie gesetzte Empfänger. Auch hier findet die Übertragung inzwischen bei sehr vielen E-Mail-Diensteanbietern verschlüsselt statt, so dass auch diese Daten auf dem Transportweg nicht mehr oder nur noch in einer eventuellen fernen Zukunft entschlüsselt werden können. Diese sogenannten Metadaten, also Daten des wer an wen, wann und warum, sind für Geheimdienste und Kriminelle ebenso interessant auszuspähen wie die eigentlichen Mailinhalte. Durch die Wahl des richtigen Providers kann man aber noch mehr Sicherheit erhalten und auch diese Schnüffeleien mindestens erheblich erschweren.

Voraussetzung 1: E-Mail überhaupt verschlüsselt versenden

Über einen ganz langen Zeitraum bestand der E-mail-Verkehr im Internet aus unverschlüsselter Kommunikation. Auch wenn man den mailtext mit OpenPGP oder S/MIME verschlüsselt hatte, wurden die Kopfzeilen trotzdem weiterhin unverschlüsselt übermittelt, und zwar nicht nur vom Mailprogramm des Absenders zu dessen E-mail-Anbieter, sondern auch von diesem auf dem weiteren Weg durchs Internet bis zum Empfänger. Auch der Abruf der Mails per älterem POP3-Verfahren fand bis weit in die 2000er Jahre standardmäßig unverschlüsselt statt. Erst später kam eine Möglichkeit der verschlüsselten Kommunikation hinzu. Bei der Alternative IMAP, bei der die Mails auf dem server verbleiben und man ein Abbild in sein Mailprogramm lädt, war Verschlüsselung schon eher vorgesehen. IMAP brauchte aber eine ganze Zeit, bis es sich durchsetzte, manche Anbieter bieten es selbst heute nur gegen Bares an.

E-mails auf dem Transportweg verrieten also weit mehr als der Brief im Umschlag, selbst wenn der Mailtext verschlüsselt war. Man konnte nicht nur Absender, Empfänger und “Datum des Poststempels” sehen, sondern auch den Betreff immer einsehen, und auch ob diese mail noch in Kopie an jemand anderes ging. Man brauchte sich nur an den Rand der Internetleitung postieren und fleißig abschnorcheln.

Erst mit den Enthüllungen des NSA-Whistleblowers Edward Snowden fand auch die Verschlüsselung des Transportweges die Aufmerksamkeit, die sie eigentlich schon immer hätte haben sollen. Die erste Voraussetzung ist, dass Mails vom Mailprogramm des Absenders zum Server des E-Mail-Providers verschlüsselt versendet werden können. Viele Anbieter bieten dies schon länger, aber erst seit den Snowden-Enthüllungen ist den meisten providern in den Sinn gekommen, diese Verschlüsselung zu erzwingen, nicht nur optional anzubieten. Interessanterweise hatte eine der größten Datenkraken des Internets, nämlich Google mit seinem Maildienst Gmail, schon immer nur verschlüsselten Versandt im Angebot.

Seit den Snowden-Enthüllungen ist auch klar, dass E-Mail-Anbieter untereinander beim Weiterreichen der Mails unbedingt Verschlüsselung einsetzen müssen. Microsoft war mit Outlook.com der letzte große Anbieter, der dies endlich auch Mitte 2014 umsetzte.

Voraussetzung 2: SSL/TLS-Verkehr mit Perfect Forward Secrecy absichern

Das Problem herkömmlicher SSL/TLS-Verschlüsselung ist, dass diese nachträglich entschlüsselt werden kann, sollte Geheimdiensten oder Kriminellen der private Schlüssel des Zertifikatinhabers irgendwie in die Hände fallen. So kann abgehörter Verkehr noch Jahre später entschlüsselt werden. Ist der Mailtext selbst nicht verschlüsselt, liegt dem Entschlüsseler also in diesem Moment alles im Klartext vor.

Das Rezept dagegen heißt Perfect Forward Secrecy. Die beiden Gesprächspartner, also z. B. zwei mailprovider untereinander, handeln bei der ersten Kontaktaufnahme nicht nur gegenseitig ihre öffentlichen Schlüssel aus, sondern auch über mehrere Berechnungsstufen eine weitere Verschlüsselungsebene, deren Schlüssel nach erfolgreicher Übertragung weggeworfen werden. Selbst wenn also jemand diesen Verkehr abhört, kann er zum einen den Schlüssel nicht aus der Unterhaltung rekonstruieren, und zum zweiten ist es unmöglich, diese Daten hinterher zu entschlüsseln, weil es die Schlüssel dafür nicht mehr gibt. Sie wurden ja nach Ende der Übertragung verworfen. Für tiefer in die Materie einsteigen wollende Leser hat Heise Security eine gut lesbare Erklärung vorrätig.

Gute E-Mail-Provider sollten also mindestens Perfect Forward Secrecy beherrschen, wofür natürlich SSL/TLS-Verschlüsselung allein schon die Voraussetzung ist. Und zwar bitte schön sowohl beim Kommunizieren mit anderen Servern als auch beim Kommunizieren mit dem E-mail-Client des Kunden und beim Aufruf des Webmail-Interfaces per Browser. Die Stiftung Warentest veröffentlichte am 04.02.2015 einen ausführlichen Test verschiedener Provider auf diese Punkte hin.

Weitere Sicherheit mit DANE/TLSA

Trotz der oben genannten Absicherungen ist es im Design dieser Protokolle immer noch möglich, dass ein unbefugter Dritter sich als der Server ausgibt, den man erreichen will, und dann E-Mails abfängt, die eigentlich gar nicht für ihn bestimmt waren. Dies hat u. a. mit der sogenannten Zertifikatskette zu tun, also der Tatsache, dass Browser und andere Programme bestimmten Zertifizierungsstellen vertrauen und im Standardfall ein als gültig erkanntes Zertifikat ab einem bestimmten Punkt nicht mehr weiter hinterfragen.

Um dies zu verhindern, wurde der offene Standard DANE/TLSA entwickelt. DANE steht für “DNS-based Authentication of Named Entities”. Wikipedia beschreibt diesen Standard hier sehr gut. Die Kurzfassung ist, dass im “Telefonbuch des Internets”, den sogenannten Domain Name Servern (DNS) ein Ausweis hinterlegt ist, der ganz klar bezeichnet, wie das Zertifikat beim Verifizieren einer verschlüsselten Verbindung auszusehen hat. Das Telefonbuch kennt also die richtigen Zertifikate für eine Domain, so dass ein böser Dritter diese nicht mehr so einfach fälschen kann. Das Verfahren ist recht aufwendig zu implementieren, aber immer mehr Anbieter tun dies, um unbefugten Zugriff und Zertifikatsfälschungen einen Riegel vorzuschieben. In Deutschland sind die Vorreiter die kleinen Anbieter Posteo, Mailbox.org und Tutanota. FastMail plant die Einführung.<

Die Mogelpackung E-Mail Made In Germany

Im April 2014 wurde mit großem Brimborium E-Mail Made in Germany angekündigt. Ursprünglich wurde diese von Gmx, Web.de und der Deutschen Telekom ins Leben gerufen, inzwischen haben sich ihr auch Freenet, 1&1 und Strato angeschlossen. Es wird mit einer vollständig sicheren Kommunikation geworben, damit, dass die E-mails Deutschland beim Versandt untereinander nicht verlassen würden und dass man in den Webmailern sofort sehen würde, wenn man mit anderen E-Mail-Made-In-Germany-Teilnehmern kommuniziert. Es wurde weiterhin verlautbart, dass der TÜV Rheinland ab Ende April 2014 weitere Anbieter zertifizieren würde.

An dieser Initiative gibt es mehrere Punkte auszusetzen. Zum einen nutzen die Teilnehmer ein proprietäres, nicht offen gelegtes Verfahren zur gegenseitigen Vertrauensstellung mit Namen Inter-Mail Provider-Trust. Dieses igelt die Teilnehmer in ein Silo ein, an das kein anderer herankommt. Anstatt wie Posteo, Mailbox.org oder Tutanota auf DANE zu setzen, das ebenfalls abgefragt und sofort als sicher gekennzeichnet werden könnte, bauten die Teilnehmer sich eine hübsche Insellösung, die andere vertrauenswürdige Provider ausschließt, es sei denn, diese sind bereit, viel Geld an den TÜV Rheinland zu zahlen, um eine Zertifizierung zu bekommen. Voraussetzung ist natürlich, dass die Anfragen interessierter Provider überhaupt beantwortet werden. Ich teile hier durchaus die Meinung des Geschäftsführers von Mailbox.org, dass das als wettbewerbsverzerrend gewertet werden könnte.

Dies bedingt den zweiten Kritikpunkt: Das Verfahren ist für außenstehende nicht transparent und nicht offen gelegt. Die werkeln also wunderbar im Geheimen, und eine unabhängige Kontrolle ist nicht möglich.

Ach und übrigens: Nicht mal das Bundesamt für Sicherheit in der Informationstechnik (BSI) vertraut E-Mail Made In Germany, sondern setzt für bund.de und dessen Subdomains lieber auf DANE/TLSA. Das spricht für sich, würde ich sagen!

Dies bedeutet nicht, dass T-Online, web.de oder GMX oder irgendeiner der anderen Teilnehmer zwangsläufig schlechte E-Mail-Provider sind. Wie der Test der Stiftung Warentest zeigt, sind bis auf bei Freenet die Bedingungen durchaus als in Ordnung zu bezeichnen. Nur sollte man sich nicht von dem Marketing-Sprech der Initiatoren von E-Mail Made In Germany ins Bockshorn jagen lassen. Selbst mit Gmail-Teilnehmern kommuniziert man heute mit per Forward Secrecy abgesicherten Verbindungen.

De-Mail: Finger weg!

Überrascht es hier irgendjemanden, dass De-Mail, der angeblich so sichere “Briefersatz” ebenfalls von Telekom, Gmx und Web.de angeboten wird? Ja, das sind genau die gleichen, die E-mail Made In Germany initiiert haben. Was für ein Zufall aber auch! Dabei sind die Verfahren, die Bei De-Mail zum Einsatz kommen, noch wesentlich weniger transparent als bei EMIG. Vor allem soll es hier sogar Standard sein, die Mails auf dem Weg zu entschlüsseln, um sie einer Prüfung auf Schadsoftware hin zu unterziehen. Oho, das wäre genauso als würde jeder Brief schon im Postamt geöffnet, um sicherzustellen, dass kein Vanillezucker drin ist. Und neben dran steht der freundliche BND-Agent und macht sich Notizen. Denn im Gegensatz zu S/MIME oder OpenPGP unterliegen die bei De-Mail eingesetzten Verschlüsselungsverfahren vollständig der Kontrolle der Anbietergemeinschaft, und da ist nichts quelloffen. Mein Rat: Finger weg von De-Mail, wenn es sich irgendwie vermeiden lässt!

Ein persönlicher Tipp

Wer einen der in Deutschland und somit den wirklich guten strengen deutschen Datenschutzrichtlinien unterworfenen Provider sucht, ist mit Posteo oder Mailbox.org sehr gut bedient. Beide Dienste sind kostenpflichtig, bieten dafür aber auch einen erheblichen Gegenwert. Posteo.de ist besonders auf Anonymität bedacht und erlaubt nur Posteo-E-Mail-Adressen. Mailbox.org hat ein umfangreicheres Portfolio, in dem auch eine quelloffene Office-Anwendung zur Textverarbeitung und Tabellenkalkulation enthalten ist, wenn man dies braucht. Die zum Einsatz kommende Open-Xchange App Suite ist sogar ziemlich barrierefrei für Screen-Reader-Benutzer, und die Punkte, an denen es hakt, werde ich in nächster Zeit mal mit den Machern besprechen.

Wer seine Daten lieber in der Schweiz beheimatet haben möchte, findet mit KolabNow (ehemals MyKolab) eine gute Alternative.

“aber halt!” mag jetzt jemand fragen, “Was ist denn mit FastMail, für den Du in Deinem Post darüber, wie Du Google-frei wirst, geworben hast?” Ich halte FastMail nach wie vor für einen sehr sicheren Dienst. Die Maßnahmen zum Schutz der Benutzerdaten (englisch) klingen sehr gründlich. Allerdings macht mir die Tatsache, dass die primären Server in den USA stehen, doch etwas Sorgen, denn im Zweifelsfall ist nicht zu 100% geklärt, unter welche Jurisdiktion die Daten letztendlich fallen würden. Daher werde ich im Laufe der nächsten zeit meine E-Mail-Angelegenheiten umziehen, und zwar unter das Dach deutschen Datenschutzrechts. Ich habe auch schon ein wahrscheinliches Ziel im Visier, das mir nicht nur E-Mails mit eigenen Domains, sondern sogar ein Online Office bietet, was mir FastMail nicht bieten konnte, und mich somit noch näher an eine Google- und Microsoft-Alternative bringt. Aufmerksame Leser können sich denken, welchen Provider ich meinen könnte.

Wer meine Serie zur Verschlüsselung verfolgt hat, hat es sicher an der einen oder anderen Stelle gemerkt: Gerade OpenPGP ist nicht immer die Benutzerfreundlichkeit in Person. Die Front-Ends wie Enigmail und vor allem GPGTools federn viel ab, können aber auch nicht alles ausmerzen, was im Design von OpenPGP hakt.

Dies betrifft vor allem die Schlüsselverwaltung. Ist man nur mit einem Rechner unterwegs, ist das alles noch gut zu verwalten. Sobald aber schon ein handy dazukommt, merkt man, dass das Synchronisieren der Schlüssel, die man hat, nur manuell geht, und das schließt nicht nur öffentliche Schlüssel von anderen, sondern auch Aktualisierungen des eigenen Schlüsselpaares (z.B. mit neuen E-Mail-Adressen) ein.

Ein weiteres Problem ist, dass gerade bei den viel verwendeten Schlüsselservern nicht kontrolliert werden kann, dass der Schlüssel, den man für einen Empfänger dort gerade gefunden hat, tatsächlich von diesem auch dort abgelegt wurde. Es ist durchaus möglich, dass ein Scherzbold im Namen einer anderen Person, deren E-Mail-Adresse er kennt, ein Schlüsselpaar erzeugt und den öffentlichen Schlüssel dann auf den Schlüsselserver hochlädt. OpenPGP fragt nicht ab, ob die E-Mail-Adresse tatsächlich gültig ist. Und der Schlüsselserver auch nicht.

Die Folge ist, dass ich als Absender vielleicht einen solchen gefälschten Schlüssel erwische, meinem E-Mail-Empfänger eine verschlüsselte Mail schicke, dieser sie aber nicht entschlüsseln kann. Warum nicht? Natürlich weil er den passenden geheimen Schlüssel zu diesem von mir verwendeten öffentlichen Schlüssel nicht besitzt. Für mich war aber in diesem Moment gar nicht feststellbar, dass der öffentliche Schlüssel nicht von ihm stammt. Klar hätte ich ihn in diesem Fall zunächst z. B. anrufen oder ihm eine unverschlüsselte Mail schicken sollen, um den Fingerabdruck oder wenigstens die acht- oder sechzehnstellige Schlüssel-ID zu vergleichen. Spätestens dann wäre uns aufgefallen, dass da ein falscher Schlüssel von ihm auf dem Server liegt.

Das alles ist aber verdammt umständlich. Es führt sogar dazu, dass Autoren wie der c’t-Redakteur Jürgen Schmidt im Editorial der c’t 6/2015 fordern, PGP sterben zu lassen. Als Beispiel nennt Herr Schmidt unter anderem Apple’s iMessage, welches einfach transparent ende zu ende verschlüsselt und der Anwender davon gar nichts mitbekommt. Herr Schmidt lässt aber die Frage offen, welche Alternativen er denn sieht. Denn eine Neuentwicklung wäre zwar wünschenswert, aber bis die marktreif ist, vergehen wieder mehrere Jahre, im schlimmsten Fall.

Und was macht man in der Zwischenzeit? S/MIME ist gerade nach dem Lenovo-Skandal mit der Werbe- und Schadsoftware Superfish keine wirklich vertrauenswürdige Alternative, weil dieses auf demselben todkranken Prinzip der Zertifikatsverkettung aufbaut, auf dem auch SSL fußt. Wer sich irgendwie als CA, (Certificate Authority oder zertifikatsautorität) ausweist und es in die Liste der Browser oder des Betriebssystems schafft, wird klaglos akzeptiert, selbst wenn die dahinter stehende Firma nur Böses im Sin hat. S/MIME vertraut also einem System, das eben durchaus mit sehr leichten Mitteln angreifbar ist. Man braucht nur einmal an den falschen Computerhersteller geraten.

Eine Mögliche Lösung für den “Dinosaurier PGP” könnte ein Dienst wie Keybase.io sein, welcher die Verantwortung des Echtheitsnachweises für öffentliche PGP-Schlüssel dorthin überträgt, wo sie hin gehört, nämlich zum Besitzer des Schlüsselpaares. Keybase.io funktioniert so, dass man seinen öffentlichen Schlüssel dort hinterlegt und dann mittels verschiedener beliebig kombinierbarer Verfahren nachweist, dass man tatsächlich der Inhaber dieses öffentlichen Schlüssels ist. Dies kann ein Tweet auf Twitter, eine kleine Datei im Github-Konto, ein Posting auf Reddit oder auch eine Datei auf dem eigenen Webserver oder ein DNS-Eintrag für die eigene Domain sein. Wer sich mein Keybase.io-Profil anschaut, wird dort vorfinden, dass ich mich per Twitter, Github und Nachweis des Besitzes von mehreren Domains, u. a. auch dieser, als Inhaber meines öffentlichen Schlüssels ausweise. Der Schlüssel ist – oh Wunder – tatsächlich der, den ich auch im Laufe der Serie mehrmals verlinkt und im Impressum hinterlegt habe.

Wer den Fingerabdruck abgleicht oder mich dort sucht, um meinen öffentlichen Schlüssel zu erhalten, kann also relativ sicher sein, dass ich der bin, der ich vorgebe zu sein. Denn einen Account zu hacken ist vielleicht möglich, aber mehrere, und gerade auch Zugriff auf die Namensserver der Domains zu erlangen, und das alles gleichzeitig, ist schon viel unwahrscheinlicher. Eine Fälschung eines Schlüssels ist so also zumindest mal erschwert.

Zur Unterstützung ist zu sagen, dass iPGMail unter iOS die Schlüsselsuche per Keybase.io bereits unterstützt. GPGTools hat bereits ein offenes Ticket, für Enigmail habe ich eines eingereicht, um die Unterstützung zu integrieren.

Wie Nico Brünjes in seinem Beitrag schreibt, übernimmt Keybase.io in gewissen Grenzen die Funktion einer Krypto-party, auf der man sich gegenseitig seine Schlüssel unterschreibt. Hier sind es die vom Besitzer selbst hinterlegten Nachweise, die ihn als höchstwahrscheinlich echt ausweisen.

Keybase.io ist noch in der Beta-Phase und nimmt Neuregistrierungen nur nach einer Warteliste oder per Einladung durch bereits registrierte Mitglieder entgegen. Meine Einladungen sind zur Zeit leider erschöpft, es gab einige interessierte Blogleser, die mein in der ursprünglichen Fassung eingestelltes Angebot angenommen haben.

Endlich ist es soweit! Die von vielen mit Spannung erwartete Apple Watch, die Computeruhr von Apple, kann seit dem 10.04.2015 in den Apple Retail Stores angeschaut und vor allem auch angefasst werden. Und auch meine Herzdame und ich ließen es uns nicht nehmen, uns in den Apple Store im Alstertal Einkaufszentrum (AEZ) in Hamburg zu begeben und einen vorher reservierten Termin zur Anprobe und dem Kennenlernen wahrzunehmen.

Im Vorfeld hatten mich schon zwei Artikel von David Woodbridge und Steven Aquino sehr neugierig gemacht und bestätigt, was schon die letzten Monate durch die Gerüchteküche waberte: Die Apple Watch hat diverse Bedienungshilfen gleich eingebaut wie Zoom, großen Text, Mono Audio und auch VoiceOver. Sie ist meines Wissens nach damit das erste Wearable, das für Blinde von vorn herein zugänglich ist. Die mir bekannte Android-Wear hat entweder keine Lautsprecher oder keine Bedienungshilfen, oder beides. Apple haben hier also mal wieder ganz deutlich die Nase vorn. Sebastian Müller hat sich dankenswerterweise die Mühe gemacht und den Artikel von David auf deutsch zusammengefasst.

Als wir nun gestern in den Apple Store kamen, wurden wir gleich freundlich empfangen und zu unserer Anprobe gebeten. Wir konnten sogar den Termin gleich beginnen, als wir eintrafen, etwa 20 Minuten vor der eigentlichen Zeit.

In diesem Apple Store waren die Apple Watch Sport, also die Uhr mit eloxiertem Aluminiumgehäuse, und die Apple Watch in Edelstahl zu bewundern. Die Edition-Variante aus 18-karatigem Gold ist hier nicht vorhanden, interessiert mich aber auch ehrlich gesagt nicht. Ich mag’s eher dezent. Auch waren sämtliche Armbänder vorhanden.

Die Uhr ist angenehm abgerundet geformt, eindeutig als Uhr erkennbar und sehr solide verarbeitet. Die beiden unterschiedlichen Größen (38 und 42 mm) sind durchaus gerechtfertigt. An meinem Handgelenk kam sich die 38-mm-Uhr sehr verloren vor, während die 42-mm-Uhr durchaus zu mir passte. Dennoch ist die Uhr nicht wuchtig oder klobig, sondern sehr anschmiegsam und fühlt sich nach einer runden Sache an.

Der Unterschied zwischen der Sport und der Edelstahl-Variante ist sehr deutlich spürbar, sobald man die Uhr am Arm trägt. Ja, obwohl es nur 25 Gramm sind, die den Unterschied ausmachen, ist die Apple Watch deutlich schwerer bei Handbewegungen als die Apple Watch Sport. Auch die verwendeten Armbänder machen hier einen deutlichen Unterschied aus. Die beiden Varianten in Leder und die Sportarmbänder sind deutlich leichter als das Milanaise- oder gar das Gliederarmband. Die Apple Watch mit Gliederarmband fühlte sich richtig schwer an.

Zu den Bedienungselementen: Die digitale Krone ist sehr angenehm leichtgängig zu bedienen, ohne dass man die Uhr vom Handgelenk nehmen muss oder es beim Drehen zu einem unangenehmen Hautkontakt kommt. Ich konnte sie problemlos mit einem Finger in beide Richtungen bewegen. Der darunter liegende Knopf zum Aufruf der Freundesliste ist ebenfalls mit einem angenehmen Druckpunkt ausgestattet und lässt sich bequem bedienen. Der Touch Screen schmeichelt sich geradezu an den Finger, wenn man darauf wischt oder tippt. Und dieses tut er sowohl bei der Edelstahl- als auch bei der Sport-Edition.

Zu den Gehäusen kann ich sagen, dass die Sport Edition am Rand leicht angeraut ist, während die Edelstahl-Edition sehr glatt ist. Die Sport-Edition wirkt dadurch jedoch keinesfalls unedler oder unsauber.

Die Armbänder sind verschieden bedienbar. Das An- und Abdocken von der Uhr selbst dürfte mit ein wenig Fingerübung bald schnell von der Hand gehen. Das Milanaise- und “Lederarmband mit Schlaufe”haben quasi stufenlos verstellbare Längen, indem man einen Teil des Armbands durch eine Schlaufe fädelt und dann per Magnet dort an das Armband klippt, wo man es braucht, so dass die Uhr gut sitzt. Das Sportarmband aus Fluorelastomer hat mehrere Löcher, in die man ein passendes Gegenstück einfach hineindrückt, das klassische Lederarmband hat einen Verschluss wie übliche Armbänder, und das Gliederarmband öffnet und schließt man durch einen Verschluss an der Unterseite. Man passt es der Dicke des Handgelenks an, indem Glieder aus dem Armband entfernt oder wieder hinzugefügt werden. Meine Herzdame erinnert der „Flügeltürmechanismus“ dieses Armbands übrigens an die Flügeltüren des Lamborghini aus den 1980er Jahren.

Zu guter letzt sei noch die taktile Komponente auf der Unterseite der Uhr angesprochen, über die man z. B. durch sanftes Tippen Signale empfangen kann. Dieses ist kreisrund und nimmt fast die gesamte Unterseite der Uhr ein. Sie fühlt sich beim Tragen jedoch überhaupt nicht wie ein Fremdkörper an, sondern passt sehr angenehm zum Tragegefühl.

Die Modelle, die man zur Anprobe verwendet, sind entweder komplett ausgeschaltet oder laufen in einer fest programmierten Demo-Schleife. Sie dienen wirklich nur dazu, das Gefühl fürs Tragen und die Armbänder zu bekommen. Zum Testen der eigentlichen Funktionen waren mehrere Modelle auf einem anderen Ausstellungstisch auf besondere iPads gemountet. Leider befinden sich diese in einem DemoModus, in dem fast alle, aber eben nicht alle Funktionen zur Verfügung stehen. So sind sämtliche Bedienungshilfen in diesem Demo-Uhren nicht aktivierbar. Ich konnte also VoiceOver nicht selbst testen. Und da ich keinen Presseausweis oder ähnliches besitze, konnte ich auch keine privilegierte Vorführung mit einer voll funktionsfähigen Uhr bekommen. Es waren allerdings auch einige andere Funktionen nicht verfügbar, für die die Uhr definitiv ein gekoppeltes iPhone braucht.

Apropos: Um es nochmals deutlich zu sagen: Die Apple Watch benötigt ein iPhone 5 oder neuer als Partnergerät, um überhaupt in Betrieb genommen zu werden. Danach kann sie einige Funktionen selbstständig ausführen, für die allermeisten braucht sie aber das iPhone in der Nähe. So können auch einige Aspekte der Bedienungshilfen lediglich über die Apple-Watch-App auf dem iPhone richtig konfiguriert werden, wie David in seinem Artikel schreibt. Und auf dem iPhone wird mindestens iOS 8.2 vorausgesetzt, aber wer iOS 8 nutzt, sollte gerade als VoiceOver-Anwender eh auf die 8.3 aktualisieren, wegen einer riesigen Menge an Fehlerbehebungen.

Und noch ein Hinweis für Leserinnen und Leser, die selbst iOS-Apps mit Apple-Watch-Erweiterungen entwickeln: Da die Apple Watch ein voll funktionsfähiges VoiceOver enthält, müssen auch die Elemente der Benutzerführung wie unter iOS zugänglich gemacht werden. Rein grafische Elemente brauchen also genauso ein AccessibilityLabel wie die iOS App für ihre grafischen Buttons selbst. Ich habe meinen Artikel zur VoiceOver-Unterstützung für iOS um einen Abschnitt für die Apple Watch erweitert.

Zusammenfassend kann ich sagen, dass ich schon sehr gespannt auf mein persönliches Modell bin! Meine Herzdame und ich haben ein ganz konkretes Anwendungsbeispiel, wofür uns die Apple Watch schon in ihrer Grundausstattung eine große Hilfe sein wird. Immer dann, wenn sie wegen einer Kataplexie nicht in der Lage ist, ein iPhone in die Hand zu nehmen und mich per Textnachricht zu Hilfe zu rufen, kann sie aber im Regelfall wenigstens ein Tap-Muster an mich senden, bei dem ich dann sofort bescheid weiß, was Sache ist. Die Apple Watch wird hier also zu einem Zweck zum Einsatz kommen, den Apple selbst so vielleicht noch gar nicht überlegt hat. Und sie ist eben nicht ein bloßes Gadget, sondern wird ein richtiges Hilfsmittel für uns sein, dass es so bisher noch nicht gab. Ich werde dann weiter berichten!