Thunderbird PGP-Verschlüsselung einrichten (2026): OpenPGP Schritt für Schritt

Die meisten Anleitungen zu „verschlüsselter E-Mail” gehen davon aus, dass Sie etwas installieren. Thunderbird braucht dafür seit Jahren kein Add-on mehr — OpenPGP steckt seit Version 78 fest im Programm, und die alte Enigmail-Erweiterung wurde im selben Moment eingestellt. Ich habe beim Schreiben dieses Texts ein frisches Schlüsselpaar in Thunderbird 152 erzeugt, die öffentlichen Schlüssel mit einem zweiten Konto getauscht und eine Nachricht gesendet, deren Text für alles außer dem Schlüssel des Empfängers wirklich unlesbar war. Die Einrichtung dauert rund zehn Minuten, wenn Sie die richtige Reihenfolge wählen — und die falsche Reihenfolge ist genau der Punkt, an dem Leute hängenbleiben. Hier ist die Abfolge, die funktioniert.

Integriert, Kein Add-on

Thunderbird bringt OpenPGP seit Version 78 nativ mit, standardmäßig aktiviert seit 78.2.1. Kein Enigmail zu installieren — dieses Add-on wurde eingestellt und nur zur Migration früherer Nutzer behalten. Im aktuellen monatlichen Release (Thunderbird 152) oder der 115 ESR richten Sie PGP vollständig über die Konten-Einstellungen ein.

Wenn Ihr letzter Kontakt mit PGP in die Enigmail-Zeit fällt, vergessen Sie den Plugin-Schritt. Laut Mozilla Thunderbird Support führte Thunderbird 78 die integrierte Unterstützung zweier Verschlüsselungsstandards ein, OpenPGP und S/MIME, und OpenPGP ist seit Version 78.2.1 standardmäßig aktiviert. Das Enigmail-Add-on ist für Thunderbird 78 nicht mehr verfügbar, außer um seinen früheren Nutzern bei der Migration zu helfen.

Das zählt für eine Einrichtung 2026, denn jedes nötige Fenster lebt nun im Programm selbst. Die aktuelle stabile Version ist Thunderbird 152 im monatlichen Release-Kanal, mit einer 115 ESR für alle, die jährliche Funktions-Updates bevorzugen — und der OpenPGP-Ablauf ist in beiden identisch. Alles geschieht an zwei Orten: dem Fenster Ende-zu-Ende-Verschlüsselung in den Konten-Einstellungen, wo Ihr eigener Schlüssel lebt, und dem OpenPGP-Schlüsselmanager im Menü Extras, wo die Schlüssel aller anderen leben. Orientieren Sie sich an diesen beiden, und der Rest läuft mechanisch ab. Wenn Sie ganz neu starten, deckt die Anleitung zum Umstieg auf Thunderbird ab, wie Sie Ihre Konten einrichten, bevor Sie die Verschlüsselung darüberlegen.

Schritt 1: Ihr Schlüssel

Öffnen Sie das Menü (≡), wählen Sie Konten-Einstellungen, markieren Sie Ihr Konto und klicken Sie auf Ende-zu-Ende-Verschlüsselung, dann Schlüssel hinzufügen. Erstellen Sie einen neuen OpenPGP-Schlüssel für diese Adresse. Thunderbird erzeugt ein Schlüsselpaar — einen öffentlichen Schlüssel zum Weitergeben und einen geheimen, den Sie niemals teilen dürfen — und setzt ihn als persönlichen Schlüssel.

Beginnen Sie bei sich selbst. Sie können nichts Verschlüsseltes senden oder empfangen, bis Ihre Identität einen Schlüssel hat.

1. Konten-Einstellungen öffnen. Klicken Sie auf das Menü (≡), wählen Sie Konten-Einstellungen und markieren Sie links das zu schützende Konto.
2. Ende-zu-Ende-Verschlüsselung öffnen. Klicken Sie auf den Eintrag Ende-zu-Ende-Verschlüsselung dieses Kontos. Dieses Fenster enthält Ihren persönlichen OpenPGP-Schlüssel.
3. Auf Schlüssel hinzufügen klicken. Wählen Sie, einen neuen OpenPGP-Schlüssel zu erstellen, oder eine vorhandene Schlüsseldatei zu importieren, wenn Sie bereits eine von einem anderen Rechner haben.

Beim Erstellen erzeugt Thunderbird das Schlüsselpaar für Sie. Die Mechanik lohnt sich einmal zu verstehen: laut Mozillas Einführung in die Ende-zu-Ende-Verschlüsselung wird eine Nachricht mit dem öffentlichen Schlüssel verschlüsselt und kann nur von der Person mit dem passenden geheimen Schlüssel entschlüsselt werden — und Sie dürfen den geheimen Schlüssel niemals mit anderen teilen. Legen Sie ein Ablaufdatum fest, bestätigen Sie, und der Schlüssel wird der persönliche Schlüssel dieser Identität. Dieser eine Schritt ist das Fundament für alles Weitere.

Schritt 2: Schlüssel Tauschen

Öffnen Sie den OpenPGP-Schlüsselmanager im Menü Extras. Exportieren Sie über Datei Ihren öffentlichen Schlüssel und senden Sie ihn an Ihren Kontakt. Importieren Sie dessen Schlüssel, indem Sie die Aufforderung beim Anhängen annehmen, ihn über Bearbeiten aus der Zwischenablage einfügen, oder auf seine Adresse klicken und Schlüssel entdecken wählen, das WKD und keys.openpgp.org abfragt.

Verschlüsselung ist eine Vereinbarung zwischen zwei Parteien. Jede Seite braucht den öffentlichen Schlüssel der anderen, und der OpenPGP-Schlüsselmanager — im Menü Extras — ist der Ort dieses Austauschs.

So geben Sie Ihren weiter: Schlüssel auswählen, Datei öffnen und den öffentlichen Schlüssel exportieren. Er darf frei geteilt werden; das ist der ganze Sinn eines öffentlichen Schlüssels. Senden Sie diese Datei an Ihren Kontakt oder veröffentlichen Sie sie.

Um dessen Schlüssel einzubinden, bietet Thunderbird drei Wege, laut Mozilla Support:

• Aus einem Anhang. Wenn ein Korrespondent Ihnen seinen öffentlichen Schlüssel mailt, bietet Thunderbird den Import an — nehmen Sie das Angebot an.
• Aus der Zwischenablage. Fügen Sie einen Schlüsselblock über das Menü Bearbeiten des Schlüsselmanagers ein.
• Per Entdeckung. Klicken Sie auf eine Adresse in einer Nachricht und wählen Sie Schlüssel entdecken. Thunderbird durchsucht das WKD-Protokoll und den Schlüsselserver keys.openpgp.org — die alten, nicht verifizierenden Schlüsselserver, die Sicherheitsprobleme verursachten, meidet es bewusst.

Dieser letzte Weg ist die leise Verbesserung im modernen Thunderbird: bei Kontakten, deren Anbieter Schlüssel veröffentlicht, erhalten Sie deren Schlüssel oft, ohne dass ein einziger Anhang den Besitzer wechselt.

Schritt 3: Akzeptieren und Senden

Wählen Sie im Schlüsselmanager den importierten Schlüssel Ihres Kontakts und legen Sie dessen Akzeptanz fest — akzeptieren heißt, dass Sie bereit sind, ihn zum Verschlüsseln an diese Person zu nutzen. Verfassen Sie dann, öffnen Sie das Menü der Sicherheits-Schaltfläche, aktivieren Sie Verschlüsselung erforderlich und Digitale Unterschrift, und senden Sie. Verschlüsseln bleibt unverfügbar, bis ein Empfängerschlüssel akzeptiert ist.

Diesen Schritt überspringen Leute und wundern sich dann, warum die Verschlüsselungsoption ausgegraut ist. Einen Schlüssel zu importieren ist nicht dasselbe, wie ihm zu vertrauen. Wählen Sie im Schlüsselmanager den Schlüssel Ihres Kontakts und legen Sie dessen Akzeptanz fest: laut Mozilla bedeutet einen Schlüssel zu akzeptieren, dass Sie bereit sind, ihn zum Senden verschlüsselter Nachrichten an diesen Korrespondenten zu verwenden. Keine Akzeptanz, keine Verschlüsselung.

Nach der Akzeptanz verfassen Sie eine Nachricht an diese Adresse. Öffnen Sie im Verfassen-Fenster das Menü Optionen oder das Menü der Sicherheits-Schaltfläche und aktivieren Sie Verschlüsselung erforderlich und idealerweise Digitale Unterschrift. Senden Sie. Der Text ist nun Chiffretext für jeden, der ihn abfängt; nur der geheime Schlüssel des Empfängers kann ihn öffnen.

Ein praktischer Hinweis zur Reihenfolge: Signieren funktioniert, sobald Sie Ihren eigenen Schlüssel haben, aber Verschlüsseln wartet auf den akzeptierten Schlüssel des Empfängers. Daher hinkt die allererste verschlüsselte Nachricht jeder neuen Beziehung stets einen Schlüsseltausch hinterher. Planen Sie damit, statt dagegen zu kämpfen. Wenn Sie eine Adresse härten, passt das gut zu einer strafferen Einrichtung des Spam-Filters in Thunderbird, damit das gerade gesicherte Postfach sauber bleibt.

Signieren oder Verschlüsseln

Signieren belegt, dass eine Nachricht unverändert von Ihnen stammt, mit Ihrem geheimen Schlüssel und ohne Bedarf am Empfänger. Verschlüsseln verbirgt den Text vor allen außer dem Empfänger, mit dessen akzeptiertem öffentlichen Schlüssel. Sie sind unabhängig — Sie können das eine, das andere, keines oder beides — und für private Mail ist beides die richtige Voreinstellung.

Die beiden Schutzmechanismen werden ständig verwechselt, und der Unterschied ist der zwischen Echtheit und Geheimhaltung.

Eine digitale Unterschrift beantwortet „stammt das wirklich von ihnen, und wurde es verändert?”. Sie entsteht aus Ihrem geheimen Schlüssel, der Empfänger prüft sie also mit Ihrem öffentlichen Schlüssel. Mozilla sagt es klar: eine Signatur bestätigt die Identität des Absenders. Entscheidend: Signieren verlangt nichts von der anderen Partei — deshalb können Sie jede ausgehende Nachricht sofort signieren, lange bevor Sie irgendjemandes Verschlüsselungsschlüssel haben.

Verschlüsselung beantwortet eine andere Frage: „kann jemand außer dem Empfänger das lesen?”. Sie nutzt den öffentlichen Schlüssel des Empfängers, also entschlüsselt nur dessen geheimer Schlüssel sie. Das ist die Hälfte, die von Schlüsseltausch und Akzeptanz abhängt.

Für wirklich private Korrespondenz aktivieren Sie beides. Die Signatur lässt den Empfänger dem Absender vertrauen; die Verschlüsselung hindert alle anderen am Mitlesen. Beides als einen Schalter zu behandeln ist der häufigste Denkfehler von Einsteigern — und der Grund, warum die Verschlüsseln-Schaltfläche inaktiv bleiben kann, während Signieren schon funktioniert.

Was PGP Nicht Verbirgt

PGP verschlüsselt den Nachrichtentext, nicht alles drumherum. Die Betreffzeile kann selbst bei Ende-zu-Ende-Verschlüsselung lesbar bleiben, Metadaten wie Absender, Empfänger und Zeit bleiben sichtbar, und ein verlorener geheimer Schlüssel bedeutet den Verlust des Zugriffs auf alte Nachrichten für immer. Diese Grenzen zu kennen verhindert, dass PGP zu falscher Sicherheit wird.

Verschlüsselung ist zugleich mächtig und eng. Drei Grenzen entscheiden, ob Ihre Einrichtung wirklich sicher ist:

• Die Betreffzeile leckt. Mozillas Dokumentation ist eindeutig: der Betreff der E-Mail kann ungeschützt und leicht lesbar bleiben, selbst bei Ende-zu-Ende-Verschlüsselung. Thunderbird 91 und neuer lassen verschlüsselte Betreffzeilen steuern, aber verlassen Sie sich nie darauf — halten Sie Namen, Beträge und Kontext aus dem Betreff und in den verschlüsselten Text.
• Metadaten sind nicht der Inhalt. PGP verbirgt den Text, nicht den Umschlag. Wer wem wann und wie oft schrieb, bleibt für jeden sichtbar, der den Verkehr beobachtet. Ist die Beziehung selbst sensibel, deckt Verschlüsselung allein Sie nicht ab.
• Ein verlorener geheimer Schlüssel ist nicht wiederherstellbar. Öffentliche Schlüssel lassen sich neu teilen; der geheime nicht. Verlieren Sie ihn, wird jede je an Sie verschlüsselte Nachricht dauerhaft unlesbar. Sichern Sie ihn — im Schlüsselmanager, Datei → Geheimen Schlüssel sichern — und bewahren Sie ihn offline auf.

Diese Grenzen erklären, warum manche Anbieter bevorzugen, die metadatenbewusstes Design und automatische Verschlüsselung in ein Paket falten; der Kompromiss wird in der Tutanota-Preisanalyse untersucht. Für selbstverwaltetes PGP in Thunderbird gilt eine einfache Regel: verschlüsseln Sie den Text, vertrauen Sie nie dem Betreff, und hüten Sie den geheimen Schlüssel wie das unersetzliche Ding, das er ist.

Fazit

Thunderbird PGP-Verschlüsselung ist 2026 integriert, kostenlos und standardbasiert — kein Add-on, eingerichtet über Konten-Einstellungen und Schlüsselmanager. In der richtigen Reihenfolge — Ihr Schlüssel, dann Tausch, dann Akzeptanz — sendet sie in rund zehn Minuten echt verschlüsselte, signierte Mail. Der Haken bleibt die Betreffzeile und die Metadaten, die sichtbar bleiben.

Ideal für: alle, die echte, anbieterunabhängige Ende-zu-Ende-Verschlüsselung wollen und bereit sind, Schlüssel selbst zu verwalten. Der Gewinn ist Kontrolle — Ihr geheimer Schlüssel verlässt nie Ihren Rechner, die Verschlüsselung ist offenes OpenPGP statt einer proprietären Box, und sie funktioniert mit jedem Korrespondenten, der einen Schlüssel veröffentlicht. Für Entwickler und Datenschutzbewusste, die ohnehin in einem Desktop-Client leben, fügt sie sich glatt ein; die Übersicht der besten E-Mail-Clients für Entwickler erklärt, warum Thunderbird diesen Platz behält.

Überspringen, wenn: Sie Verschlüsselung unsichtbar und mühelos für ein ganzes Team brauchen, oder Sie einen geheimen Schlüssel nicht zuverlässig sichern und schützen können. Manuelles PGP belohnt Sorgfalt und bestraft Nachlässigkeit — ein verlorener Schlüssel sperrt Sie endgültig aus. Überwiegt dieses Risiko die Kontrolle, ist ein verwalteter verschlüsselter Anbieter die vernünftigere Wahl.

Richten Sie jetzt Ihren Schlüssel ein, tauschen Sie mit einem Kontakt und senden Sie eine einzige verschlüsselte Testnachricht. Sobald Sie einen Text unlesbar werden und dann auf der anderen Seite sauber öffnen sehen, ergibt das ganze Modell Sinn — und die zehnminütige Einrichtung wird zum Reflex, sobald eine Nachricht wirklich privat bleiben muss.

Alexis Dollé

Founder & Editor

Alexis Dollé, email expert for 10+ years. Founder of Email Tools. I test every email client and utility myself, then write about them the way I’d explain them to a friend — no marketing fluff, no sponsored rankings, every claim sourced.

LinkedIn

Auch lesenswert: Auf Thunderbird umsteigen — Konten einrichten, bevor Sie die Verschlüsselung darüberlegen. Spam-Filter in Thunderbird einrichten — das gesicherte Postfach sauber halten. ProtonMail Bridge einrichten — Verschlüsselung ohne manuelle Schlüsselverwaltung. Beste E-Mail-Clients für Entwickler — warum Thunderbird seinen Platz behält.