Stel je voor dat je een brief schrijft en die op een postkaart zet in plaats van in een envelop. Iedereen die de kaart onderweg in handen krijgt — de postbode, de sorteercentrale, de buurman die hem uit de bus haalt — kan meelezen. Niemand hoeft in te breken; de tekst ligt gewoon open. Zo werkt een gewone e-mail. En toch voelt het veilig aan. Dat gevoel klopt niet.
In het kort. Een gewone e-mail is als een open postkaart. PGP verandert die in een verzegelde brief die alleen de bedoelde ontvanger kan openen. Hieronder lees je in gewone taal waarom dat belangrijk is, welke alternatieven er zijn, en hoe je het zelf instelt — van nul werk met Proton tot Thunderbird op je computer en telefoon.
Wat gebeurt er als je een gewone e-mail stuurt?
Een e-mail bestaat uit twee delen: de inhoud (wat je schrijft) en de metadata (de gegevens eromheen). Bij een onversleutelde e-mail liggen ze allebei open.
De inhoud reist open mee
Je bericht passeert onderweg een reeks servers. Versleuteling van de verbinding (TLS) is intussen gebruikelijk, maar beschermt alleen het stukje weg tussen twee servers — niet de inhoud zelf. Op elke server onderweg, en bij je e-mailprovider, ligt je bericht leesbaar. Grote gratis providers scannen die inhoud automatisch om profielen op te bouwen.
Metadata verdwijnt nooit
Zelfs als je de inhoud versleutelt, blijft de metadata zichtbaar: wie stuurt naar wie, wanneer, met welk onderwerp, vanaf welk IP-adres, via welke servers. Onderschat dat niet. Onderzoekers van Stanford lieten zien dat metadata álleen — zonder ook maar één woord van de inhoud — genoeg is om iemands relaties, gewoonten en gevoelige situaties bloot te leggen (Mayer, Mutchler, & Mitchell, 2016).
Belangrijke nuance. PGP versleutelt de inhoud van je e-mail, niet de metadata. Onderwerp, afzender en ontvanger blijven leesbaar. Zet daarom nooit gevoelige informatie in de onderwerpregel.
| Onderdeel | Zichtbaar bij gewone e-mail? | Beschermd door PGP? |
|---|---|---|
| Inhoud van het bericht | Ja, leesbaar onderweg | Ja |
| Bijlagen | Ja, leesbaar onderweg | Ja |
| Onderwerp | Ja | Nee |
| Afzender / ontvanger | Ja | Nee |
| Tijdstip en route | Ja | Nee |
Wat is PGP, in gewone taal?
PGP staat voor “Pretty Good Privacy”. Het verzegelt je bericht zodat alleen de bedoelde ontvanger het kan openen. De moderne, open versie heet OpenPGP en is vastgelegd in een internationale standaard (Wouters, Huigens, Winter, & Niibe, 2024). Het idee erachter — “publiekesleutelcryptografie” — valt met één beeld op zijn plaats.
Het beeld van het hangslot. Iedereen heeft twee bij elkaar horende sleutels:
- een publieke sleutel — als een open hangslot dat je aan iedereen mag uitdelen. Wie jou iets stuurt, doet het in een kistje en klikt jouw hangslot dicht.
- een privésleutel — die houd je strikt geheim. Alleen jouw privésleutel opent dat hangslot weer.
Zo kan iedereen jou iets versleutelen, maar kan alleen jij het lezen — zonder ooit een geheim wachtwoord te moeten delen.
Je deelt je publieke sleutel dus gerust rond (bijvoorbeeld op je website), terwijl je privésleutel veilig op je apparaat blijft. Dezelfde techniek kan een bericht ook ondertekenen: de ontvanger controleert dan dat het echt van jou komt en onderweg niet gewijzigd is.
Waarom PGP belangrijk is — en waar het niet tegen helpt
PGP zorgt voor end-to-end-versleuteling: het bericht is versleuteld vanaf jouw apparaat tot dat van de ontvanger. Zelfs je e-mailprovider ziet de inhoud niet meer.
- Vertrouwelijkheid: alleen de ontvanger leest je bericht.
- Echtheid: een ondertekend bericht bewijst dat het van jou komt (handig tegen phishing).
- Onafhankelijkheid: PGP is een open standaard — je bent niet afhankelijk van één bedrijf.
Eerlijk blijven hoort erbij. PGP heeft een reputatie van “moeilijk”. Een beroemd onderzoek toonde al in 1999 dat de meeste mensen de software niet correct aan de praat kregen (Whitten & Tygar, 1999), en meer dan vijftien jaar later was dat nog steeds zo (Ruoti, Andersen, Zappala, & Seamons, 2015). De goede boodschap: de moderne gereedschappen hieronder — vooral Proton en Thunderbird — hebben die drempel grotendeels weggenomen.
Waar PGP niet tegen helpt: het verbergt geen metadata, het beschermt niet als je apparaat besmet is met malware, en het werkt alleen als ook je gesprekspartner PGP gebruikt.
Alternatieven voor PGP
S/MIME
S/MIME doet ongeveer hetzelfde als PGP, maar bouwt op officiële certificaten van een certificaatautoriteit. Het zit ingebakken in veel zakelijke mailprogramma’s. Nadeel: je bent afhankelijk van die uitgevende instanties, terwijl PGP je zelf de controle geeft.
Versleutelde berichten-apps (Signal, Threema)
Voor snelle, persoonlijke communicatie zijn end-to-end-versleutelde chat-apps vaak eenvoudiger dan e-mail. Ze versleutelen standaard en sommige beschermen ook een deel van de metadata (Threema vraagt bijvoorbeeld geen telefoonnummer). Nadeel: het is geen e-mail — je bereikt er alleen mensen mee met dezelfde app.
Providers met ingebouwde versleuteling (Proton)
Sommige diensten passen OpenPGP automatisch toe, zodat je zelf geen sleutels hoeft te beheren. Proton Mail is het bekendste voorbeeld — en meteen de makkelijkste manier om te beginnen.
Zo simpel kan het — stap voor stap
Proton: nul werk
Maak je een Proton-account aan, dan is PGP al voor je geregeld. Proton genereert je sleutels automatisch en versleutelt je e-mail zonder dat je iets instelt.
- Naar een andere Proton-gebruiker: volledig automatisch end-to-end versleuteld.
- Naar iemand met een PGP-sleutel: voeg diens publieke sleutel één keer toe aan het contact.
- Naar iemand zonder PGP: kies “Versleutelen voor buitenstaanders” en spreek een wachtwoord af; de ontvanger opent het via een beveiligde link.
Aanrader om te beginnen. Wil je vandaag nog versleuteld mailen zonder gedoe? Maak een gratis Proton-account. Dit is letterlijk de minst technische route die er bestaat.
Gmail (of een andere provider) met Thunderbird op je computer
Wil je je bestaande adres houden maar toch met PGP werken? Gebruik dan een e-mailprogramma met PGP ingebouwd. Thunderbird (gratis, van Mozilla) is de beste keuze: sinds versie 78 zit OpenPGP er standaard in, zonder plug-ins.
- Installeer Thunderbird en voeg je bestaande account toe (voor Gmail via een aanmeldvenster van Google).
- Ga naar Accountinstellingen → End-to-End-versleuteling → Sleutel toevoegen, en laat Thunderbird een nieuwe OpenPGP-sleutel aanmaken.
- Deel je publieke sleutel met wie je wil.
- Voeg de publieke sleutels van je contacten toe. Klaar: klik bij het opstellen op het slotje om te versleutelen.
Let op bij Gmail. Gmail zelf biedt geen gewone PGP. De versleuteling gebeurt in Thunderbird, vóór het bericht naar Google gaat. Google ziet dan enkel de versleutelde tekst.
Thunderbird op je Android-telefoon
Sinds eind 2024 bestaat er een officiële Thunderbird-app voor Android (voortgekomen uit K-9 Mail).
- Installeer Thunderbird for Android en voeg je account toe.
- Voor het sleutelbeheer werkt de app samen met OpenKeychain, een gratis app die je privésleutel veilig op je toestel bewaart.
- Importeer in OpenKeychain dezelfde sleutel als op je computer, zodat je overal dezelfde identiteit gebruikt.
Sleutel aanmaken zoals een expert
De routes hierboven volstaan voor bijna iedereen. Wie het echt grondig wil doen, kan zijn sleutel aanmaken volgens een strengere methode, gebaseerd op de heldere handleiding van Kagelmacher (2023). De kerngedachte: bescherm je hoofdsleutel extra goed door hem los te koppelen van je dagelijkse gebruik. Dit is geavanceerd en optioneel.
De drie principes
- Kies een moderne curve (Curve25519). Deze sleutels zijn kort maar zeer sterk — niet zwakker dan de oude, veel langere RSA-sleutels, wel sneller.
- Werk met subsleutels. Maak één hoofdsleutel die alleen mag certificeren, en drie subsleutels: versleutelen, ondertekenen en aanmelden. De hoofdsleutel bewaar je offline en haal je alleen boven om iets te wijzigen.
- Geef alles een vervaldatum. Bijvoorbeeld vijf jaar voor de hoofdsleutel en één jaar voor de subsleutels. Een vervaldatum is je redding als je ooit een sleutel kwijtraakt.
Waarom dit slim is. Raken je dagelijkse subsleutels in verkeerde handen, dan haal je de offline hoofdsleutel boven, trek je de subsleutels in en maak je nieuwe aan. Je herkenbare vingerafdruk blijft ongewijzigd, want die hoort bij de hoofdsleutel — en die was nooit op je werkende computer aanwezig (Kagelmacher, 2023).
In de praktijk (GnuPG)
Op Linux start je de expertmodus in de terminal. Je maakt eerst de hoofdsleutel die enkel certificeert:
gpg --full-gen-key --expert
# Kies (11) ECC (set your own capabilities)
# Zet 'Sign' uit -> enkel 'Certify' blijft over -> Q
# Kies (1) Curve 25519
# Geldigheid: 5y (hoofdsleutel, vijf jaar)Daarna voeg je drie subsleutels toe — telkens één jaar geldig — voor ondertekenen (S), versleutelen (E) en aanmelden (A):
gpg --edit-key --expert JOUW@ADRES
gpg> addkey # herhaal voor S, E en A; kies 1y
gpg> saveTot slot maak je back-ups op USB, verwijder je de sleutels van de computer en importeer je alleen de subsleutels terug:
gpg --export-secret-keys -a JOUW@ADRES > PRIVE_VOLLEDIG.asc
gpg --export-secret-subkeys -a JOUW@ADRES > PRIVE_SUBKEYS.asc
gpg --export -a JOUW@ADRES > PUBLIEK.asc
gpg --delete-secret-keys JOUW@ADRES # na back-up!
gpg --import PRIVE_SUBKEYS.asc # enkel subsleutels terugBewaar het intrekkingscertificaat. GnuPG maakt bij het aanmaken automatisch een “revocation certificate”. Zet dat samen met je back-ups op een veilige plek: ermee kun je je sleutel ongeldig verklaren als hij ooit verloren gaat.
Een volledige doorloop met alle schermuitvoer vind je in de bronhandleiding van Kagelmacher (2023). Wie een hardwaresleutel (zoals een YubiKey) gebruikt, kan de subsleutels daar bovendien naartoe verplaatsen, zodat ze niet uitleesbaar zijn.
En daarna? Zo’n hoofdsleutel is je kroonjuweel — die hoort niet op je computer, maar veilig offline. Hoe je hem robuust back-upt (met de 3-2-1-1-regel, versleutelde SD-kaarten en een papieren afdruk), lees je in deel 2: je hoofdsleutel veilig bewaren.
Denk er even over na
Je hoeft geen journalist, activist of geheim agent te zijn om recht te hebben op een gesloten envelop. Vertrouwelijkheid is de normale toestand van menselijke communicatie; de open postkaart is de uitzondering die we per ongeluk normaal zijn gaan vinden. En de drempel om dat te veranderen is lager dan ooit.
Één concrete stap. Kies vandaag één ding: maak een gratis Proton-account, of installeer Thunderbird en genereer je eerste sleutel. Deel daarna je publieke sleutel met één iemand die je vertrouwt, en stuur elkaar een eerste versleutelde e-mail. Vanaf dan wordt privacy een gewoonte in plaats van een goed voornemen.
Referenties
Kagelmacher, N. (2023, 4 september). PGP Schlüssel generieren wie ein Experte. Kagel Blog. https://www.kagel.ch/artikel/pgp-schluessel-generieren-wie-ein-experte/
Mayer, J., Mutchler, P., & Mitchell, J. C. (2016). Evaluating the privacy properties of telephone metadata. Proceedings of the National Academy of Sciences, 113(20), 5536–5541. https://doi.org/10.1073/pnas.1508081113
Ruoti, S., Andersen, J., Zappala, D., & Seamons, K. (2015). Why Johnny still, still can’t encrypt: Evaluating the usability of a modern PGP client (arXiv:1510.08555). arXiv. https://doi.org/10.48550/arXiv.1510.08555
Whitten, A., & Tygar, J. D. (1999). Why Johnny can’t encrypt: A usability evaluation of PGP 5.0. In Proceedings of the 8th USENIX Security Symposium (pp. 169–184). USENIX Association.
Wouters, P., Huigens, D., Winter, J., & Niibe, Y. (2024). OpenPGP (RFC 9580). Internet Engineering Task Force. https://doi.org/10.17487/RFC9580