GnuPG-(VS-)Desktop-Daten auf einen neuen Rechner umziehen

GnuPG (VS-)Desktop®: Konfigurationsdaten und Schlüssel auf einen neuen Rechner umziehen

Einleitung

Diese Anleitung erklärt, wie Sie Ihre GnuPG-Daten vollständig und sicher auf einen neuen Rechner übertragen, einschließlich aller relevanten Konfigurationsdateien.

Tipp: Ein unter Windows erstelltes Backup lässt sich auch unter Linux wiederherstellen, und umgekehrt. Die gespeicherten Daten sind plattformunabhängig.

GnuPG speichert alle sicherheitsrelevanten Daten in einem zentralen Verzeichnis, dem GnuPG-Home. Es entspricht dem Pfad, der über die Umgebungsvariable GNUPGHOME definiert ist. Dieses Verzeichnis muss vollständig übertragen werden, unabhängig davon, ob Sie Windows oder Linux verwenden und ob Sie allein arbeiten oder eine größere Organisation betreuen. Die folgenden Abschnitte erklären, welche Dateien Sie sichern müssen und wie die Übertragung unter Windows und Linux abläuft.

Im ersten Schritt erfahren Sie, welche Dateien und Ordner gesichert werden müssen. Danach folgen Schritt-für-Schritt-Anleitungen für die Übertragung unter Windows und Linux – jeweils mit Hinweisen für typische Einsatzszenarien und Besonderheiten bei der Migration.

VS-NfD: Besonderheiten beim Backup

Sofern Sie keine Smartcard verwenden, enthält das Backup des GnuPG-Home-Verzeichnisses Ihren geheimen Schlüssel. Dieser zählt zum VS-NfD-Material. Weitergabe und Lagerung des Backups unterliegen daher den Vorgaben der VSA (Verschlusssachenanweisung).

Bewahren Sie das Backup auf einem transportablen, verschlüsselten Datenträger auf, z. B. einem USB-Stick, der gemäß VSA gekennzeichnet und geschützt ist.

Wichtige Dateien sichern

Um Ihre GnuPG-Nutzerdaten vollständig auf einen neuen Rechner zu übertragen, sichern Sie das gesamte GnuPG-Home. Dieses persönliche Datenverzeichnis enthält unter anderem:

geheime Schlüssel
öffentliche Schlüssel (OpenPGP-Zertifikate)
S/MIME-Zertifikate
Vertrauensdatenbank
Konfigurationsdateien

Je nach System kann das Verzeichnis unterschiedlich heißen:

unter Windows: %APPDATA%\gnupg
unter Linux: ~/.gnupg oder ~/.gnupg-vsd

Wenn Sie Ihre Kleopatra-Einstellungen angepasst haben, sollten Sie außerdem die folgenden Konfigurationsdateien sichern. Das ist nur erforderlich, wenn diese Dateien in der auf dem alten Rechner installierten Version noch außerhalb des GnuPG-Home-Verzeichnisses gespeichert sind:

kleopatragroupsrc: Kleopatra-Gruppen (relevant für Versionen vor 3.3.x)
kleopatrarc: nutzerspezifische Kleopatra-Einstellungen

Hinweis: Ab GnuPG VS-Desktop^® 3.3.x ist kleopatragroupsrc im GnuPG-Home-Verzeichnis enthalten. Sie müssen die Datei nur dann explizit sichern, wenn Sie von einer älteren Version migrieren und wesentliche Änderungen an der Datei vorgenommen haben.

Übersicht: Speicherorte wichtiger Dateien

Je nach Betriebssystem kann der Speicherort der relevanten Konfigurationsdateien variieren. Die folgenden Tabellen zeigen, wo GnuPG und Kleopatra ab Version 3.3.x ihre Daten standardmäßig ablegen.

Windows

Komponente	Speicherort	Hinweis
GnuPG-Home	`%APPDATA%\gnupg`	enthält Schlüssel, `trustdb`, nutzerspezifische Konfiguration
`kleopatragroupsrc`	`%APPDATA%\gnupg\kleopatra`	für die Kleopatra-Gruppen-Funktion
`kleopatrarc`	• 3.3.x: `%LOCALAPPDATA%` • 3.4.x: `%APPDATA%\GnuPG VS-Desktop` oder `%APPDATA%\GnuPG Desktop`	nutzerspezifische Kleopatra-Einstellungen

Hinweis: Vor Version 3.3.x (veraltet) wurden sowohl kleopatragroupsrc als auch kleopatrarc in %LOCALAPPDATA% gespeichert. Wenn Sie von einer Version vor 3.3.x migrieren, prüfen Sie auch diesen Speicherort.

Linux

Komponente	Speicherort	Hinweis
GnuPG-Home	• GnuPG Desktop: `~/.gnupg` • GnuPG VS-Desktop: `~/.gnupg-vsd`	enthält Schlüssel, `trustdb`, nutzerspezifische Konfiguration
`kleopatragroupsrc`	• GnuPG Desktop: `~/.gnupg/kleopatra` • GnuPG VS-Desktop: `~/.gnupg-vsd/kleopatra`	für die Kleopatra-Gruppen-Funktion
`kleopatrarc`	`~/.config`	oder `$XDG_CONFIG_HOME`, falls gesetzt (gilt für alle Kleopatra-Versionen)

Komponente	Speicherort	Hinweis
GnuPG-Home	`~/.gnupg-vsd`	für GnuPG VS-Desktop
`kleopatragroupsrc`	`~/.gnupg-vsd/kleopatra`	für die Kleopatra-Gruppen-Funktion, GnuPG VS-Desktop
`kleopatrarc`	`~/.config`	oder `$XDG_CONFIG_HOME`, falls gesetzt (gilt für alle Kleopatra-Versionen)

Hinweis: Vor Version 3.3.x (veraltet) wurde kleopatragroupsrc in ~/.config (bzw. $XDG_CONFIG_HOME, falls gesetzt) gespeichert und nicht in ~/.gnupg-vsd/kleopatra. Wenn Sie von einer älteren Version migrieren, prüfen Sie auch diesen Speicherort.

Sicherung und Wiederherstellung unter Windows

Installieren Sie GnuPG (VS-)Desktop^® auf dem neuen Rechner entweder vor oder nach dem Kopieren des GnuPG-Home. Wichtig ist nur: Beim betroffenen Benutzer darf das GnuPG-Home noch nicht existieren – sonst drohen Konflikte mit bestehenden Konfigurationen.

Kopieren Sie den Ordner %APPDATA%\gnupg vom alten auf den neuen Rechner und zwar vollständig und benutzerbezogen, also in das Verzeichnis %APPDATA% des neuen Benutzerprofils.

Beachten Sie, dass GnuPG VS-Desktop^® die Daten VS-NfD konform übertragen werden müssen; eine unverschlüsselte Übertragung über ein nicht VS-konformes Netzwerk ist nicht gestattet. Sie können bei Bedarf das GnuPG-Home vor der Übertragung mittels Kleopatra mit einem Passwort verschlüsseln, um es über das Netzwerk zu übertragen, und dann auf dem Zielrechner wieder entschlüsseln. Eine andere Möglichkeit wäre die Verwendung eines gemäß der VSA gekennzeichneten (optimalerweise verschlüsselten) Datenträgers für den Transfer.

Tipp: Der Ordner %APPDATA% ist in der Windows-Standardkonfiguration versteckt. Sie können ihn erreichen, indem Sie im Explorer %APPDATA% in die Adresszeile eingeben oder die Anzeige versteckter Dateien aktivieren.

Sicherung und Wiederherstellung unter Linux

Auch unter Linux lässt sich ein bestehendes GnuPG-Profil auf einen neuen Rechner übertragen. Achten Sie darauf, dass alle relevanten Dateien vollständig und im richtigen Benutzerkontext kopiert werden.

Verzeichnisse und Konfigurationsdateien

Unter Linux speichert GnuPG standardmäßig alle Daten im Verzeichnis ~/.gnupg. Wenn Sie GnuPG VS-Desktop^® verwenden, kommt stattdessen das Verzeichnis ~/.gnupg-vsd zum Einsatz – insbesondere bei VS-NfD-konformer Nutzung. Der Hintergrund: Viele Linux-Systeme enthalten bereits eine nicht konforme GnuPG-Version, sodass das Standardverzeichnis nicht verwendet werden darf.

Hinweis: Achten Sie darauf, genau das Verzeichnis zu sichern, das auf Ihrem System tatsächlich verwendet wird.

Sichern Sie zudem kleopatragroupsrc aus:

$XDG_CONFIG_HOME/kleopatragroupsrc oder
~/.config/kleopatragroupsrc

Verzeichnis auf externes Medium kopieren

Nutzen Sie beispielsweise den folgenden Befehl, um das GnuPG-Verzeichnis auf ein externes Medium zu kopieren:

cp -a ~/.gnupg{,-vsd} /media/usb-stick/backup-gnupg/

Die Option -a sorgt dafür, dass Dateirechte, Zeitstempel und symbolische Links erhalten bleiben.

Alternativ: Inkrementelles Backup mit rsync

Für wiederkehrende oder automatisierte Backups eignet sich rsync besonders gut. Der folgende Befehl kopiert nur geänderte Dateien und setzt die passenden Zugriffsrechte:

rsync -av --chmod=700 ~/.gnupg{,-vsd} /media/usb-stick/backup-gnupg/

Sie können rsync auch dazu verwenden, den Ordner auf den neuen Rechner zu übertragen:

rsync -av --chmod=700 ~/.gnupg{,-vsd} user@neuer-rechner:~/

Hinweis: Da rsync bei Remote-Zugriffen standardmäßig ssh verwendet, ist die Verbindung automatisch verschlüsselt.

Hinweise zur Sicherheit

Private Schlüssel sind besonders sensibel. Wenn Sie den alten Rechner nicht mehr verwenden, sollten Sie alle vertraulichen Daten – insbesondere den Ordner %APPDATA%\gnupg unter Windows und ~/.gnupg (bzw. ~/.gnupg-vsd bei GnuPG VS-Desktop^®) unter Linux – vollständig und sicher löschen.

Sofern Sie GnuPG (VS-)Desktop^® im Kontext von VS-NfD-konformer Kommunikation einsetzen, ist das Backup des Verzeichnisses %APPDATA%\gnupg bzw. ~/.gnupg-vsd gemäß der Vorgaben der Verschlusssachenanweisung (VSA) zu behandeln. Das bedeutet insbesondere, dass geheime Schlüssel (sofern keine Smartcards verwendet werden) auf einem geeigneten Speichermedium gesichert und entsprechend der VSA-Richtlinien aufbewahrt werden müssen.

Tipp: Wenn Sie Smartcards nutzen, ist auf dem System selbst kein geheimes Schlüsselmaterial gespeichert. Dennoch sollten Sie auch in diesem Fall das Verzeichnis %APPDATA%\gnupg bzw. ~/.gnupg(-vsd) sichern, um die öffentlichen Schlüssel (Zertifikate) und die Konfiguration mitzunehmen.