Kommt die Datei wirklich von Mantel?

Jeder Download hat eine eigene GPG-Signatur. Damit prüfst du in ein paar Minuten, dass die Datei unterwegs nicht verändert wurde und mit dem Mantel-Release-Schlüssel signiert ist.

Mantel Release Signing

ed25519 · gültig bis 21. Oktober 2028

Fingerabdruck

Öffentlichen Schlüssel ladenZum Download

Android-Signaturzertifikat (SHA-256)

Anleitung

  1. 1

    GnuPG installieren

    Windows: Gpg4win von gpg4win.org (bringt gpg für PowerShell und Eingabeaufforderung mit). macOS: GPG Suite oder Homebrew. Linux: gpg ist meist vorinstalliert, sonst über die Paketverwaltung.

    gpg --version
brew install gnupg        # macOS
sudo apt install gnupg    # Debian/Ubuntu
  2. 2

    Schlüssel importieren

    Lade den öffentlichen Schlüssel mantel-release-key.asc herunter (Knopf oben) und importiere ihn.

    gpg --import mantel-release-key.asc
  3. 3

    Fingerabdruck vergleichen

    Lass dir den Fingerabdruck anzeigen und vergleiche ihn Block für Block mit dem oben. Stimmt er nicht überein, hör hier auf.

    gpg --fingerprint "Mantel Release Signing"
  4. 4

    Signatur prüfen

    Lade die Datei (Windows-Installer oder Android-APK) und ihre Signatur (.asc) in denselben Ordner und prüfe sie dort.

    gpg --verify Mantel-Setup-<version>-x64.exe.asc Mantel-Setup-<version>-x64.exe
gpg --verify Mantel-2026.0.2.apk.asc Mantel-2026.0.2.apk

Das Ergebnis lesen

gpg: Signature made …
gpg:                using EDDSA key 5F211CA226A2D3067503C77AA2D7CDF2674DE23E
gpg: Good signature from "Mantel Release Signing" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 5F21 1CA2 26A2 D306 7503  C77A A2D7 CDF2 674D E23E

  • „Good signature from "Mantel Release Signing"“ heißt: Die Datei ist Bit für Bit unverändert und wurde mit dem Mantel-Schlüssel signiert.

  • Die Warnung „This key is not certified with a trusted signature!“ ist normal. GnuPG weiß nur nicht, dass du dem Schlüssel vertraust. Entscheidend ist, dass der Fingerprint mit dem auf dieser Seite übereinstimmt. Wer die Warnung loswerden will, beglaubigt den Schlüssel lokal mit gpg --lsign-key.

  • „BAD signature“, „No public key“ oder ein anderer Fingerprint: Datei nicht installieren, neu herunterladen und erneut prüfen.

Prüfsummen mit SHA256SUMS

SHA256SUMS listet die SHA-256-Prüfsummen aller Dateien eines Releases und ist selbst signiert. Erst die Signatur der Liste prüfen, dann die Prüfsumme deiner Datei.

Linux, macOS, Git Bash

gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS --ignore-missing
shasum -a 256 -c SHA256SUMS --ignore-missing   # macOS

Windows PowerShell (Ergebnis mit der Zeile in SHA256SUMS vergleichen)

gpg --verify SHA256SUMS.asc SHA256SUMS
(Get-FileHash .\Mantel-Setup-<version>-x64.exe -Algorithm SHA256).Hash.ToLower()
Get-Content SHA256SUMS

Android-APK

Android-Apps haben zusätzlich eine eigene Signatur, und Android installiert Updates nur, wenn sie mit demselben Zertifikat signiert sind. Den Fingerprint zeigt apksigner aus den Android SDK Build-Tools. Die Zeile „Signer #1 certificate SHA-256 digest“ muss so lauten:

apksigner verify --print-certs Mantel-2026.0.2.apk

Der Windows-Installer hat noch keine Authenticode-Signatur, deshalb warnt SmartScreen weiterhin. Die GPG-Signatur ändert daran nichts, belegt aber, dass die Datei von Mantel stammt.