Hi Peer,
eine verschlüsselte Email an mehrere Empfänger mit verschiedenen Krypto-Systemen
(also OpenPGP/MIME und S/MIME) sollte gehen. Technisch werden dann zwei Emails
daraus. (KMail kann das, ich meine GpgOL auch, aber ich habe das bei GpgOL schon länger nicht mehr selbst getestet.)
Es ist richtig, dass zum Verschlüsseln nur die öffentlichen Schlüssel der Empfänger benötigt werden, aaaaaber:
a) üblicherweise wird auch an den eigenen öffentlichen Schlüssel verschlüsselt, damit
mensch die Email später wieder aufbekommt (im Versendet Ordner oder so)
b) Die Empfehlung ist, jede Email auch zu signieren. Das schützt gegen verschiedene
Angriffe und bei S/MIME ist es technisch wirklich Pflicht, da viele alte Implementationen
keinen wirksamen Schutz gegen einen Angriff haben, der Crypto-Gadget Angriff heißt.
(Siehe https://www.gpg4win.de/statement-efail.html)
Was das Auswählen der Optionen bei Outlook angeht, am besten selbst mal ausprobieren, dann passt es zur Version. Sonst gern fragen.
Die Krypto-Engine GnuPG in Gpg4win ist sehr vielseitig, da machen Leute sehr viele Sachen mit. Gleichzeitig ist Kleopatra ein Werkzeug, was sich eigentlich zum großen Teil an Experten richtet. In den letzten Jahren haben wir das schrittweise zu besserer Benutzerfeundlichkeit weiterentwickelt, viele ältere Infos im Netz sind da nicht ganz auf Stand oder behandeln Spezialfälle.
Schwierig ist vor allem die richtige Einrichtung, die bei S/MIME (also dem Krypto-Standard CMS) in der Regel
von IT-Experten erfolgen muss (weil eine hierarchische Vertrauensstellung notwendig ist).
Wird WKD genutzt bei bei den Kommunikationspartnern, dann funktioniert OpenPGP deutlich benutzerfreundlicher.
Es gibt allgemein viel Kritik im Netz die sich um drei Punkte konzentiert:
a) OpenPGP/MIME per Email sei veraltet. (Meist mit Verweis auf Messenger Lösungen)
Dabei wird oft übersehen, dass Email noch sehr oft verwendet wird und eins der wenigen
dezentralen, Systeme mit verschiedenen Implementationen ist, auch fähig asynchron zu
funktionieren. Die verwendete Kryptographie ist konservativ, kann nur langsam geändert werden
und kann bestimmte Funktionen nicht umsetzen, welche zentrale und online Systeme können.
b) Die GnuPG Implementierung in der Programmiersprache C sei veraltet, da C veraltet und
fehleranfällig sei und zuwenig automatisch getested und gefuzzt würde. Da ist das GnuPG-Team
anderer Ansicht: Ja C hat Schwächen, aber die Implementierung ist schon recht reif.
GnuPG ist und wird von vielen verschiedenen Gruppen und Leuten immer wieder angesehen und gefuzzt.
Ein allgemeines, jedes-Commit-Testen hat eine schlechteres Nutzen/Kostenverhältnis, als viele meinen.
c) OpenPGP könne nicht benutzerfreundlich sein, wegen des Web-of-Trusts. Vor einigen Monaten
hat irgendwer tatsächlich das bisher bestehende Netz von öffentlichen Keyservern kaputt gemacht
und es dauert etwas, mit neuen Implementation hinterher zu kommen. Es gibt aber viele andere Möglichkeiten die öffentlichen Schlüssel zuverlässig auszutauschen, die einen automatischen Ablauf ermöglichen (z.B. WKD)
Vielleicht hilft das schon etwas weiter.
Gruß,
Bernhard