Tutorials

Wie du GPG-Keys zu GitHub hinzufügst [2025 Easy Guide]

Melden

Hier ist ein aktuelles Tutorial für das Jahr 2025, wie du GPG-Keys (GNU Privacy Guard) zu GitHub hinzufügst. Mit einem GPG-Key kannst du deine Commits signieren, sodass sie auf GitHub das grüne „Verified“-Label erhalten.

Ein GPG-Key stellt sicher, dass Commits tatsächlich von dir stammen und nicht von jemandem, der nur deinen Namen und deine E-Mail-Adresse verwendet. In dieser Anleitung gehen wir Schritt für Schritt vor.

Voraussetzungen

  • Ein installiertes GPG-Tool:
    • macOS: brew install gpg2 (oder GPG Suite)
    • Windows: Gpg4win
    • Linux: Meist vorinstalliert (sonst sudo apt install gnupg)

Schritt 1: Prüfen, ob bereits Keys vorhanden sind

Bevor du einen neuen Key erstellst, schaue nach, ob du bereits einen hast:

gpg --list-secret-keys --keyid-format=LONG

Wenn eine Liste erscheint, kannst du einen vorhandenen Key nutzen. Wenn nicht, fahre mit Schritt 2 fort.

Schritt 2: Einen neuen GPG-Key generieren

Gib folgenden Befehl in dein Terminal ein:

gpg --full-generate-key

Folge den Anweisungen:

  1. Art des Keys: Wähle (1) RSA and RSA (default).
  2. Schlüssellänge: Gib 4096 ein.
  3. Gültigkeit: Drücke Enter für „läuft nie ab“ (oder wähle z.B. 1y für ein Jahr).
  4. Bestätigung: Bestätige mit y.
  5. Identität: Gib deinen Namen und die E-Mail-Adresse an, die du auch bei GitHub verwendest.
  6. Passphrase: Wähle ein sicheres Passwort. Merke es dir gut!

Schritt 3: Den Public Key exportieren

Zuerst müssen wir die ID deines Schlüssels herausfinden:

gpg --list-secret-keys --keyid-format=LONG

Suche die Zeile, die mit sec beginnt. Die ID ist die Zeichenfolge nach dem Schrägstrich. Beispiel: sec rsa4096/3AA5C34371567BD2 2025-01-01 [SC] -> Die ID ist 3AA5C34371567BD2.

Kopiere nun den Key mit folgendem Befehl (ersetze DEINE_ID durch deine tatsächliche ID):

gpg --armor --export DEINE_ID

Kopiere den gesamten Block von -----BEGIN PGP PUBLIC KEY BLOCK----- bis -----END PGP PUBLIC KEY BLOCK-----.

Schritt 4: Den Key zu GitHub hinzufügen

  1. Logge dich bei GitHub ein.
  2. Klicke auf dein Profilbild oben rechts -> Settings.
  3. Wähle in der linken Seitenleiste SSH and GPG keys.
  4. Klicke auf den grünen Button New GPG key.
  5. Gib dem Key einen Namen (z. B. "Mein MacBook 2025").
  6. Füge den kopierten Block in das Feld Key ein.
  7. Bestätige mit Add GPG key.

Schritt 5: Git für das Signieren konfigurieren

Damit Git weiß, welchen Key es nutzen soll, gib diese Befehle im Terminal ein:

# Setze deinen Key für Git (ID von oben einsetzen)
git config --global user.signingkey DEINE_ID

# Aktiviere das automatische Signieren für alle Commits
git config --global commit.gpgsign true

Zusatz für macOS/Linux: Falls Git beim Committen einen Fehler meldet, füge dies zu deiner .bashrc oder .zshrc hinzu:

export GPG_TTY=$(tty)

Schritt 6: Testen und Verifizieren

Erstelle einen Test-Commit in einem deiner Repositories:

git commit -m "Test GPG Signatur"

Pushe den Commit zu GitHub. Wenn du jetzt in der Commit-Historie auf GitHub nachsiehst, solltest du neben deinem Commit ein grünes Verified-Badge sehen.

Profi-Tipps für 2025:

  • Vigilant Mode: Gehe in den GitHub-Einstellungen zu „SSH and GPG keys“ und aktiviere „Flag unsigned commits as unverified“. So siehst du sofort, wenn ein Commit (auch von anderen) nicht signiert wurde.
  • Backup: Sichere deinen Private Key, falls du deinen Rechner neu aufsetzt, sonst musst du einen neuen erstellen und diesen erneut bei GitHub hinterlegen.

Glückwunsch! Deine Commits sind jetzt sicher und verifiziert.

0