Der fundamentale Unterschied
Beide Verfahren lösen dieselbe Aufgabe, aber mit gegensätzlicher Philosophie:
- S/MIME baut auf Zertifikate von offiziellen CAs — wie HTTPS. Sie kaufen ein Zertifikat, eine Stelle bürgt für Ihre Identität.
- PGP setzt auf ein Web of Trust — Nutzer signieren gegenseitig ihre Schlüssel; Vertrauen entsteht durch das Netzwerk, nicht durch eine Zentralstelle.
Direktvergleich
| S/MIME | PGP / OpenPGP | |
|---|---|---|
| Vertrauen | Zertifizierungsstelle (CA) | Web of Trust |
| Schlüsselverteilung | Automatisch (Signatur enthält Cert) | Manuell oder Keyserver |
| Client-Unterstützung | Outlook, Apple Mail, Thunderbird nativ | Thunderbird nativ; Outlook/Apple Mail via Plug-in |
| Mobile | iOS / Android nativ | Zusatz-Apps nötig |
| Zentrale Verwaltung | Sehr gut (Zertifikat-Rollout via MDM) | Aufwändig |
| Key-Recovery | Möglich (CA / Escrow) | Schwierig bis unmöglich |
| Kosten | Zertifikat (~40–200 € / Nutzer / Jahr) | Kostenfrei |
| Einsatz | Unternehmen, Behörden | Tech-affine Community, IT-Security |
Wann S/MIME die bessere Wahl ist
S/MIME empfehlen wir für:
- Unternehmen mit zentraler IT / MDM.
- Kommunikation mit Behörden (viele nutzen S/MIME).
- Nutzer, die keine zusätzliche Software installieren wollen.
- Compliance-Anforderungen, die einen Trust-Anker verlangen.
Wann PGP die bessere Wahl ist
PGP passt für:
- Einzelpersonen und kleine Teams, die keiner kommerziellen CA vertrauen wollen.
- Kommunikation mit Journalist:innen, Aktivist:innen, Open-Source-Community.
- Technisch versierte Nutzer, die Schlüsselverwaltung selbst übernehmen.
Was beide NICHT leisten
Weder S/MIME noch PGP verhindern Phishing oder schützen Metadaten. Betreff-Zeile, Absender und Empfänger bleiben sichtbar. Nur Inhalt und Anhänge sind verschlüsselt. Für den Schutz vor gefälschten Absendern brauchen Sie DMARC.
Können sie parallel laufen?
Technisch ja — ein Mailclient kann beide Verfahren unterstützen. In der Praxis ist das selten sinnvoll: Nutzer wissen oft nicht, welches Verfahren sie gerade nutzen, und Schlüsselverwaltung wird doppelt aufwändig. Lieber eine Lösung konsequent ausrollen.
Schlüsselverlust = Datenverlust. Wer den privaten Schlüssel verliert, kann keine alten Mails mehr lesen. Richten Sie von Anfang an eine dokumentierte Backup-Strategie ein.