Kritik an GnuPG und seinem Umgang mit gemeldeten Lücken

Ende Dezember 2025 haben die Sicherheitsforscher Lexi Groves alias 49016 und Liam Wachter auf dem 39. Chaos Communication Congress in Hamburg Sicherheitslücken in verschiedenen Werkzeugen zum Verschlüsseln und Signieren von Daten demonstriert. Neben einzelnen Lücken in den Tools Age, Minisign und Sequoia-PGP stand die populäre PGP-Implementierung GnuPG im Fokus des Vortrags. Darin fanden die Sicherheitsforscher zahlreiche Probleme unterschiedlichen Schweregrades und mit diversen Ursachen. In den Tagen nach der Präsentation entspannen sich mehrfach Diskussionen über die Bewertung der einzelnen Lücken und die Reaktion der GnuPG-Entwickler darauf.

Weitgehend einig ist man sich bei einer fehlerhaften Schleife, die zu uninitialisiertem Speicher und einem inkonsistenten Programmzustand führt. Seit 1999 schlummerte dieser Bug im GnuPG-Code. Werner Koch, Urheber und maßgeblicher Entwickler von GnuPG, nennt ihn „den einzigen schweren Fehler“ von den vorab an GnuPG gemeldeten Problemen. Behoben wurde der Bug in Version 2.5.14 vom 19. November 2025. Allerdings wurden 2.5.x-Versionen damals vom GnuPG-Projekt noch als Entwicklungszweig („devel“) geführt. Übliche Linux-Distributionen lieferten daher 2.4.x-Versionen aus und waren von der Lücke zum Zeitpunkt der Veröffentlichung betroffen. Erst am 30. Dezember, drei Tage nach dem Vortrag, veröffentlichte das GnuPG-Projekt Version 2.4.9 mit demselben Bugfix. Ebenfalls kurz nach dem Vortrag wurde der 2.4.x-Zweig auf der GnuPG-Hompage als „oldstable“ deklariert und 2.5.x wurde zu „stable“.

„Not a bug“

Gar nicht beheben wollen die GnuPG-Entwickler dagegen ein anderes Problem: Die Forscher demonstrierten einen Angriff, bei dem das Opfer scheinbar einen Schlüssel des Angreifers dechiffriert und das Resultat auf einen Schlüsselserver hochlädt; beispielsweise im Glauben, damit dem Angreifer im Kampf gegen Zensurmaßnahmen zu helfen. In Wahrheit dechiffriert GnuPG bei dem Angriff dagegen eine an das Opfer verschlüsselte (und für den Angreifer unlesbare) Datei – und platziert einen Teil des gewonnenen Klartextes in der generierten Schlüsseldatei. Wer die nun tatsächlich auf den Schlüsselserver hochlädt, dessen URL der Angreifer ebenfalls setzen kann, exfiltriert unwissentlich vertrauliche Daten an den Angreifer.

Für den Angriff nutzen die Forscher eine geschickt manipulierte Datei, die GnuPG mehrfach fundamental aus dem Tritt bringt. Statt einer deutlichen Sicherheitswarnung, dass die Datei manipuliert wurde, meldet GnuPG lediglich, dass es auf ein „ungültiges Paket“ gestoßen sei, das nicht entschlüsselt werden konnte. Eine scheinbar korrekte Schlüsseldatei produziert es dennoch, was Opfer plausiblerweise dazu verleiten könnte, die Datei wie gewünscht hochzuladen. Doch weil GnuPG grundsätzlich ein Problem meldet, halten seine Entwickler keine Gegenmaßnahmen für erforderlich.

Viele weitere der demonstrierten Probleme betreffen „Cleartext Signatures“, ein altes und von grundsätzlichen Problemen geplagtes Signaturformat. Die meisten dieser Probleme wollen die GnuPG-Entwickler ebenfalls nicht beheben, weil sie ohnehin grundsätzlich von Cleartext Signatures abraten und empfehlen, die verbreiteteren „detached signatures“ zu nutzen, die üblicherweise auch bei E-Mails zum Einsatz kommen. Entfernen könne man das problematische Format allerdings nicht, weil es noch zu verbreitet sei, so Werner Koch, und zudem gebe es kein Problem, wenn man Cleartext Signatures richtig nutze.

Grundsätzliche Kritik an PGP

Alle weiteren von Lexi Groves und Liam Wachter demonstrierten Probleme zu beschreiben, würde den Umfang dieses Artikels deutlich sprengen; wir haben Ihnen eine Übersicht mit weiterführenden Links zusammengestellt. Der Umfang der Probleme und die teilweise als unzureichend wahrgenommenen Reaktionen der Entwickler ließen jedenfalls grundsätzliche Diskussionen zum Zustand von GnuPG und dem PGP-System insgesamt wieder aufflammen.

An PGP wird seit geraumer Zeit viel kritisiert, etwa dass das Kryptosystem kompliziert in der Handhabung sei und es Nutzern leicht mache, fatale Fehler zu begehen. Ein zentraler Kritikpunkt ist, dass PGP zu viele Aufgaben erfüllen wolle, um irgendeine davon wirklich gut zu erfüllen. Außerdem tragen PGP-Implementierungen viele veraltete Algorithmen und Formate mit sich herum, derer sie sich aus Gründen der Kompatibilität nur schlecht entledigen können.

Hinzu kam vor etwa zwei Jahren ein Richtungsstreit, der in zwei neuen, zueinander inkompatiblen Standards mündete: OpenPGP (RFC 9580), dem die meisten PGP-Implementierungen folgen, und LibrePGP, der von Werner Koch für GnuPG definiert wurde. Dass man im Alltag von diesen Inkompatibilitäten oft wenig merkt, liegt unter anderem an einem FreePG genannten Patchset, mit dem einige große Linux-Distributionen das von ihnen ausgelieferte GnuPG modifizieren und standardmäßig weitgehende Kompatibilität wiederherstellen. Die jetzt demonstrierten Probleme lassen Aufrufe, PGP insgesamt oder zumindest GnuPG hinter sich zu lassen, wieder lauter werden.

(syt)