PGP vs. PKI im Unternehmensalltag, was wirklich schützt und was zu TISAX & ISO 27001 passt
Montagmorgen, 8:37 Uhr. Ein Kollege aus der Buchhaltung bekommt eine E-Mail vom „Geschäftsführer“. Der Betreff: "DRINGEND – Zahlung bis 10 Uhr veranlassen". Im Anhang: eine angeblich verschlüsselte PDF mit Kontodaten. Die E-Mail sieht auf den ersten Blick authentisch aus. Nur war sie das nicht. Was fehlte? Eine kryptographische Signatur, der digitale Ausweis des Absenders.
In Zeiten von CEO-Fraud, Phishing und manipulierten PDF-Anhängen ist die elektronische Signatur kein Luxus, sondern ein Baustein der grundlegenden digitalen Hygiene. Doch wie lässt sich E-Mail-Kommunikation sicher gestalten? Und was ist der Unterschied zwischen OpenPGP (bzw. GnuPG) und klassischer PKI?
PGP vs. PKI – Zwei Wege zum gleichen Ziel?
Beide Systeme verfolgen das Ziel, Vertraulichkeit, Integrität und Authentizität zu gewährleisten. Doch sie unterscheiden sich grundlegend im Aufbau:
GnuPG / OpenPGP (Web of Trust)
Dezentral, jeder Nutzer erstellt seinen eigenen Schlüssel.Vertrauen wird durch manuelles Bestätigen von Schlüsseln (z.B. Keysigning-Partys) aufgebaut.Ideal für technikaffine Nutzer, Entwicklerkreise, kleinere Organisationen ohne zentrale IT.
Vorteile:
KostenfreiPlattformunabhängigHohe Autonomie
Nachteile:
Keine zentrale WiderrufsstelleVertrauen muss individuell aufgebaut werdenFür Laien schwer verständlich
PKI (Public Key Infrastructure)
Zentral organisiert über eine Zertifizierungsstelle (CA)Nutzer erhalten ein Zertifikat, das von der CA signiert wirdGängig in Unternehmen, Banken, öffentlichen Verwaltungen
Vorteile:
Standardisiert, professionell integrierbarSkalierbar für große OrganisationenAutomatisierbar (z.B. mit S/MIME, Smartcards)
Nachteile:
Lizenzkosten für Zertifikate (je nach Anbieter)CA ist eine zentrale SchwachstelleKomplex in der Administration
Praxisbezug – Was bedeutet das für den Alltag?
Signierte E-Mails helfen, gefälschte Absender sofort zu erkennen.Verschlüsselte E-Mails schützen z.B. personenbezogene Daten vor unberechtigtem Zugriff, ein Muss im Sinne der DSGVO.In der TISAX-Vorbereitung sind verlässliche Kommunikationskanäle zwischen Lieferanten, Kunden und Dienstleistern entscheidend.ISO 27001 fordert den „Schutz vor unautorisiertem Zugriff auf Informationen während der Übertragung“. Dies ist mit PGP/PKI direkt umsetzbar (Kapitel A.10.1.1 und A.13.2.3).
Was passt besser zu meinem Unternehmen?
 **
Empfehlung aus der Praxis
Für KMUs mit technischer Affinität oder Open-Source-Kultur kann PGP ein praktikabler, sicherer Weg sein, insbesondere bei projektbasierten Teams oder Entwicklungskooperationen.
Für mittelgroße bis große Unternehmen, die sich auf ISO 27001 oder TISAX vorbereiten, führt jedoch oft kein Weg an einer zentralisierten PKI vorbei. Hier punktet die Kombination aus strukturierter Zertifikatsverwaltung, zentralem Widerrufsmanagement und eindeutiger Rollenvergabe.
Im Jahr 2025 reicht ein Anti-Virus nicht mehr. Ohne digitale Signatur in der E-Mail ist jeder Kommunikationskanal ein offenes Tor für Angriffe. Unternehmen, die sensible Daten verschicken, sei es Personalakten, Verträge oder Maschinenprotokolle, müssen sich heute verbindlich authentifizieren und verschlüsseln können.
Wer es nicht tut, riskiert nicht nur Sicherheitsvorfälle, sondern auch Punktabzug im TISAX-Assessment und die Nichterfüllung der ISO-Vorgaben.
Abschließender Impuls "Wenn dein E-Mail-Postfach ein Briefkasten ist, dann ist die Signatur dein Ausweis und die Verschlüsselung dein Siegel."
Sicherheit beginnt mit Identität. Und die beginnt heute digital.
Du möchtest wissen, wie du Signatur und Verschlüsselung einfach im Unternehmen etablieren kannst inkl. TISAX oder ISO27001 Checklisten und Beispielrichtlinien?
Schreib mir direkt oder kommentiere.
Die kritische Gegenperspektive
Die Gegenposition lautet, dass zusätzliche Sicherheitsanforderungen Aufwand schaffen, Projekte verlangsamen und gerade kleinere Organisationen überfordern können. Dieser Einwand ist berechtigt. Er spricht aber für risikogerechte, umsetzbare Kontrollen bei „Digitale Identität sichern, warum E-Mail-Signaturen kein "nice to have" sind“ – nicht dafür, bekannte Risiken einfach auszublenden.
Was beide Seiten leicht übersehen
Oft liegt der entscheidende Punkt zwischen Technik und Organisation. Werkzeuge können Grenzen setzen, aber Menschen vergeben Rechte, definieren Prozesse und reagieren auf Warnungen. Bei „Digitale Identität sichern, warum E-Mail-Signaturen kein "nice to have" sind“ müssen deshalb technische Maßnahmen, verständliche Kommunikation und eindeutige Verantwortung zusammenpassen.
Mein Fazit
Für mich zeigt „Digitale Identität sichern, warum E-Mail-Signaturen kein "nice to have" sind“ vor allem, dass einfache Antworten zu kurz greifen. Der sinnvolle Weg liegt zwischen unkritischer Begeisterung und pauschaler Ablehnung: Nutzen klar benennen, Nebenwirkungen sichtbar machen und Verantwortung so organisieren, dass Entscheidungen auch im Alltag nachvollziehbar bleiben.
Quellen und Einordnung
Grundlage dieses Beitrags ist mein ursprünglich am 2025-07-25 auf LinkedIn veröffentlichter Artikel. Die dort enthaltenen Verweise und fachlichen Einordnungen wurden für diese Fassung übernommen und um die Perspektiven dieses Blogs ergänzt.
Themen: #Cybersecurity · #Digitale Zukunft · #Informationssicherheit · #IT-Sicherheit · #KI · #KI-Governance