Der fundamentale Unterschied
Beide Verfahren lösen dieselbe Aufgabe, aber mit gegensätzlicher Philosophie:
- S/MIME baut auf Zertifikate von offiziellen CAs, wie HTTPS. Sie kaufen ein Zertifikat, eine Stelle bürgt für Ihre Identität.
- PGP setzt auf ein Web of Trust, Nutzer signieren gegenseitig ihre Schlüssel; Vertrauen entsteht durch das Netzwerk, nicht durch eine Zentralstelle.
Direktvergleich
| Merkmal | S/MIME | PGP / OpenPGP |
|---|---|---|
| Vertrauen | Zertifizierungsstelle (CA) | Web of Trust |
| Schlüsselverteilung | Automatisch (Signatur enthält Cert) | Manuell oder Keyserver |
| Client-Unterstützung | Outlook, Apple Mail, Thunderbird nativ | Thunderbird nativ; Outlook/Apple Mail via Plug-in |
| Mobile | iOS / Android nativ | Zusatz-Apps nötig |
| Zentrale Verwaltung | Sehr gut (Zertifikat-Rollout via MDM) | Aufwändig |
| Key-Recovery | Möglich (CA / Escrow) | Schwierig bis unmöglich |
| Kosten | Zertifikat (~40-200 € / Nutzer / Jahr) | Kostenfrei |
| Einsatz | Unternehmen, Behörden | Tech-affine Community, IT-Security |
Wann S/MIME die bessere Wahl ist
S/MIME empfehlen wir für:
- Unternehmen mit zentraler IT / MDM.
- Kommunikation mit Behörden (viele nutzen S/MIME).
- Nutzer, die keine zusätzliche Software installieren wollen.
- Compliance-Anforderungen, die einen Trust-Anker verlangen.
Wann PGP die bessere Wahl ist
PGP passt für:
- Einzelpersonen und kleine Teams, die keiner kommerziellen CA vertrauen wollen.
- Kommunikation mit Journalist:innen, Aktivist:innen, Open-Source-Community.
- Technisch versierte Nutzer, die Schlüsselverwaltung selbst übernehmen.
Was beide NICHT leisten
Weder S/MIME noch PGP verhindern Phishing oder schützen Metadaten. Betreff-Zeile, Absender und Empfänger bleiben sichtbar. Nur Inhalt und Anhänge sind verschlüsselt. Für den Schutz vor gefälschten Absendern brauchen Sie DMARC.
Können sie parallel laufen?
Technisch ja, ein Mailclient kann beide Verfahren unterstützen. In der Praxis ist das selten sinnvoll: Nutzer wissen oft nicht, welches Verfahren sie gerade nutzen, und Schlüsselverwaltung wird doppelt aufwändig. Lieber eine Lösung konsequent ausrollen.
Schlüsselverlust = Datenverlust. Wer den privaten Schlüssel verliert, kann keine alten Mails mehr lesen. Richten Sie von Anfang an eine dokumentierte Backup-Strategie ein.