Das Bundesamt für Sicherheit in der Informationstechnik (BSI) teilte am 7. Mai 2019 mit, dass Behörden bestimmte vertrauliche Dokumente mit GPG verschlüsseln dürfen. Die damalige Meldung zur Zulassung von Gpg4win und GnuPG unter Linux bezog sich auf die niedrigste Geheimhaltungsstufe „Verschlusssache, nur für den Dienstgebrauch“ (VS-NfD).
Für Windows wurde Gpg4win genannt. Die Software integriert GnuPG in den Windows Explorer und stellt mit GpgOL ein Outlook-Add-in für verschlüsselte E-Mails bereit. Unter Linux sollte eine Konfiguration von GnuPG mit dem E-Mail-Programm KMail eingesetzt werden. Die Freigabe bezog sich damit nicht auf jede beliebige OpenPGP-Installation, sondern auf die vom BSI beschriebenen Implementierungen und deren Betriebsumgebung.
Nur die niedrigste Geheimhaltungsstufe
Dokumente der Stufen VS-Vertraulich, Geheim oder Streng Geheim waren von der damaligen Aussage nicht erfasst. Für die Verarbeitung von VS-NfD-Unterlagen galten außerdem organisatorische und technische Vorgaben des BSI. Die Zertifizierung war deshalb als klar begrenzte Freigabe für einen bestimmten Einsatzbereich zu verstehen, nicht als allgemeine Empfehlung für Behördenkommunikation.
GPG ist freie Software und wird auch in Entwicklungsumgebungen zur Signierung von Quellcode, Paketen und Releases verwendet. Für Teams aus der Spiele- und Softwareentwicklung zeigt der Fall, dass die verwendete Implementierung, die Schlüsselverwaltung und die konkrete Sicherheitsfreigabe getrennt bewertet werden müssen.