Eine per E-Mail zu versendende Nachricht kann mit dem sogenannten öffentlichen Schlüssel des Empfängers verschlüsselt werden. Der verschlüsselte Text ist von niemandem außer dem Empfänger lesbar (auch nicht von der NSA). Nur der Empfänger kann die Nachricht entschlüsseln. Er verwendet dafür einen passenden privaten Schlüssel, der auf seinem Rechner gesichert gespeichert ist. Der öffentliche Schlüssel wird dagegen allgemein bekannt gemacht; jeder, der ihn kennt, kann eine verschlüsselte Nachricht an den Empfänger schicken.
Das Schlüsselpaar öffentlicher/privater Schlüssel kann auch eingesetzt werden, um mit Hilfe von digitalen Signaturen die Authentizität von Nachrichten zu gewährleisten: der Absender erzeugt mit Hilfe seines privaten Schlüssels eine digitale Unterschrift unter die Nachricht; der Empfänger setzt den öffentlichen Schlüssel ein, um die Unterschrift zu verifizieren und sich damit von der Authentizität von Absender und Inhalt der Nachricht zu überzeugen.Glücklicherweise ist der Umgang mit den Schlüsselpaaren in den gängigen Mail-Programmen über den Standard S/MIME weitgehend automatisiert. Der Absender einer Nachricht muss lediglich festlegen, ob verschlüsselt und/oder unterschrieben gesendet werden soll. Das Mail-Programm ergreift unter Einsatz geeigneter Zertifikate die notwendigen Maßnahmen; entsprechendes geschieht auch auf Empfängerseite.
Das Schöne bei der Übertragung einer digital signierten Nachricht ist, dass das öffentliche Zertifikat des Absenders mit übertragen wird: es wird beim Empfänger zur Verifizierung benutzt und kann in einer Zertifikatsammlung für zukünftige Verwendungen gespeichert werden. Insbesondere wird der Empfänger dadurch in die Lage versetzt, dem Sender mit verschlüsselten Nachrichten zu antworten, ohne sich die Mühe machen zu müssen, auf irgendwelchen anderen Wegen dessen öffentlichen Schlüssel in Erfahrung zu bringen. Sobald also mehr und mehr Teilnehmer es sich zur Gewohnheit machen, unterschriebene Nachrichten zu verschicken, können sich auch mehr und mehr Teilnehmer daran gewöhnen, die Nachrichten auch zu verschlüsseln. Eine flächendeckende E-Mail-Verschlüsselung setzt aber eben auch voraus, dass „möglichst alle“ sich ein privates Zertifikat beschaffen.Ein privates Zertifikat erhält man vom Aussteller
in Form einer passwortgeschützten Datei vom Typ .p12 oder .pfx.
Es gibt verschiedene „Klassen“ von
Zertifikaten, die sich in ihren
Sicherheitsgarantien unterscheiden. Entscheidend beim Erwerb
eines Zertifikats ist, dass man dem Aussteller vertraut – wie man etwa
einem Notar vertraut. Bei einfachen Zertifikaten kann nahezu
vollautomatisch vorgegangen werden: gesteuert über eine Website des
Ausstellers wird im Browser des Benutzers das Schlüsselpaar
generiert, und der Aussteller erzeugt und signiert das private Zertifikat.