AES-Verschlüsselung erklärt: Der Algorithmus hinter dem Schloss und was er für Ihre Daten bedeutet

Jedes Mal, wenn Sie ein Schloss sehen, macht wahrscheinlich AES die Arbeit — TLS, Festplattenverschlüsselung, Passwortmanager, verschlüsselte Notizen. Doch AES ist auch der am meisten missbrauchte Algorithmus: Menschen „verschlüsseln mit einem Passwort“ und nehmen an, das reiche, während die echten Sicherheitsentscheidungen an drei Stellen liegen, über die sie nie nachdenken — wie das Passwort zu einem Schlüssel wird, welcher Betriebsmodus die Chiffre ausführt und ob die Nonce einzigartig ist. Diese Anleitung gibt Ihnen das dreischichtige Denkmodell, damit Sie eine gut verschlüsselte Datei von einer nur verzierten unterscheiden können.

Ein Schlüssel tut beides

AES ist eine symmetrische Chiffre: Derselbe Schlüssel ver- und entschlüsselt. Wer den Schlüssel hält, kann die Daten lesen — das ist zugleich ihre Kraft (schnell, einfach) und ihr Vertrag (schützen Sie den Schlüssel, sonst haben Sie nichts verschlüsselt). Sie ist das Gegenteil von asymmetrischen Systemen wie RSA, wo ein öffentlicher Schlüssel verschlüsselt und ein separater privater entschlüsselt. AES ist außerdem kein Hash: Ein Hash hat keinen Schlüssel, ist nicht umkehrbar und hat eine feste Ausgabelänge. Hashing ist ein eigenes Thema; Verschlüsselung ist eine Zwei-Wege-Tür mit Schlüssel.

Schlüsselgrößen: 128, 192, 256

AES gibt es in drei Schlüsselgrößen — AES-128, AES-192, AES-256. Die Zahl ist die Schlüssellänge in Bits und steuert die Anzahl der internen Runden (10/12/14).

Zwei Dinge sind wissenswert:

256 ist nicht „doppelt so sicher“ wie 128. 128 zusätzliche Schlüsselbits bedeuten einen astronomisch größeren Suchraum, aber für reale Angriffe ist AES-128 bereits unerreichbar. Die praktischen Unterschiede sind Geschwindigkeit (etwas langsamer) und Sicherheitsmargen, die in manchen Kontexten bevorzugt werden.
Die Schlüsselgröße zählt weniger als die Art, wie der Schlüssel erzeugt und genutzt wird. Ein schwaches Passwort, das zu einem AES-256-Schlüssel wird, bleibt ein schwacher Schlüssel. Starkes Schlüsselmaterial, schlecht im ECB-Modus genutzt, bleibt gebrochen. Bringen Sie die Pipeline in Ordnung, und die Bitgröße ist ein Rundungsfehler Ihres Risikos.

Ein Passwort ist kein Schlüssel

Sie tippen ein Passwort; AES braucht einen Schlüssel von genau 16, 24 oder 32 Byte. Diese Übersetzung ist eine Schlüsselableitungsfunktion (KDF), und hier werden die meisten „verschlüsselten“ Dateien tatsächlich geknackt.

Der Standardansatz ist PBKDF2 (oder eine moderne Alternative wie Argon2 oder scrypt): Das Passwort läuft wiederholt durch einen Hash — tausende oder Millionen Male —, zusammen mit einem zufälligen Salt, um den Schlüssel zu erzeugen. Zwei Konsequenzen:

Salt. Ein zufälliger Salt pro Verschlüsselung sorgt dafür, dass dasselbe Passwort nie denselben Schlüssel erzeugt — zwei mit demselben Passwort „verschlüsselte“ Dateien verraten also nicht, dass sie übereinstimmen, und vorberechnete Passworttabellen sind nutzlos.
Iterationen. Das wiederholte Hashing ist absichtlich langsam, weil es das Erraten Ihres Passworts teuer macht. Eine „verschlüsselte“ Datei, in der die KDF einmal läuft, ist trivial brute-force-bar; eine, in der sie 600.000-mal läuft, ist der Unterschied zwischen Minuten und Jahren.

Wenn Sie mit einem Passwort verschlüsseln, fragen Sie, was die KDF ist — nicht nur, welche Chiffre auf dem Etikett steht.

Betriebsmodi: Wo die echten Schwachstellen leben

AES verschlüsselt feste 16-Byte-Blöcke. Ein Modus verdrahtet diese Blöcke, um Daten beliebiger Länge zu verschlüsseln, und der Modus — nicht die Chiffre — ist, wo Sicherheit gewonnen oder verloren wird:

ECB — verschlüsselt jeden Block unabhängig. Zwei identische Klartextblöcke erzeugen identische Chiffretextblöcke, was Muster leakt (das berühmte verschlüsselte Tux-Bild). Nutzen Sie ECB nie.
CBC — verkettet jeden Block mit dem vorherigen und nutzt einen zufälligen IV (Initialisierungsvektor). Solide, braucht aber korrektes Padding und ist nicht authentifiziert.
GCM — ein authentifizierter Modus: Er erzeugt ein Auth-Tag, das jede Manipulation am Chiffretext erkennt. Das ist der Standard, zu dem Sie greifen sollten: Verschlüsselung plus Integrität in einem Modus. GCM hat außerdem eine Nonce-Anforderung — die Nonce darf unter demselben Schlüssel nie wiederverwendet werden, sonst kollabiert die Sicherheit.

Die praktische Lehre: Bevorzugen Sie GCM, nutzen Sie für jede Verschlüsselung eine frische zufällige Nonce/IV, und speichern oder senden Sie Schlüssel und Chiffretext nie so zusammen, dass sie die Nonce teilen.

Verschlüsselung schützt Geheimhaltung, nicht Integrität oder Identität

AES verbirgt Inhalte; es beweist nicht, wer sie gesendet hat oder dass nichts geändert wurde. Das ist die Aufgabe von Hashes und Message Authentication Codes:

Ein Hash ist ein Fingerabdruck fester Größe von Daten — er erkennt versehentliche oder böswillige Änderungen, hat aber keinen Schlüssel.
Ein MAC (wie HMAC) ist ein geschlüsselter Hash — er erkennt Änderungen und beweist, dass die Daten von jemandem mit dem Schlüssel kommen. GCM bündelt ein HMAC-artiges Tag.

Deshalb sind JWT-Signierung und -Verschlüsselung verschiedene Schritte, und deshalb ist „verschlüsselt“ nicht dasselbe wie „vertrauenswürdig“. Brauchen Sie beides, nutzen Sie einen authentifizierten Modus (GCM) oder encrypt-then-MAC.

Eine praktische Checkliste

Wenn Sie Ihre eigenen Daten verschlüsseln — eine Datei, eine Notiz, einen Config-Wert:

Nutzen Sie AES-256-GCM, wenn Ihr Werkzeug es bietet (oder CBC mit zufälligem IV, wenn nicht).
Leiten Sie den Schlüssel mit einer starken KDF aus Ihrem Passwort ab — PBKDF2 mit hoher Iterationszahl oder Argon2/scrypt — und einem zufälligen Salt.
Erzeugen Sie pro Verschlüsselung eine frische zufällige Nonce/IV; verwenden Sie sie nie unter demselben Schlüssel wieder.
Speichern Sie Nonce und Salt mit dem Chiffretext (sie sind nicht geheim), aber niemals den Schlüssel.
Nutzen Sie ein langes, einzigartiges Passwort — die KDF verlangsamt Erraten, kann aber „passwort123“ nicht stark machen.
Basteln Sie nichts Eigenes. Jedes selbstgebaute Schema macht fast sicher einen der obigen Punkte falsch.

Kurzreferenz

AES ist symmetrisch: ein Schlüssel ver- und entschlüsselt. Es ist kein Hash (kein Schlüssel, nicht umkehrbar) und nicht asymmetrisch (kein Schlüsselpaar).
Schlüsselgrößen 128/192/256 → Runden 10/12/14; 256 ist nicht „doppelt so sicher“, sondern eine größere Marge.
Ein Passwort wird durch eine KDF (PBKDF2/Argon2/scrypt) zum Schlüssel: zufälliger Salt + viele Iterationen. Schwache KDF = brute-force-bare Datei.
Der Modus entscheidet die Sicherheit: niemals ECB, CBC braucht einen zufälligen IV, GCM ist authentifiziert und der beste Standard.
GCMs Nonce muss pro Schlüssel einzigartig sein — Wiederverwendung kollabiert die Verschlüsselung.
Verschlüsselung ist nur Geheimhaltung; Integrität/Identität kommen von Hashes und MACs (HMAC, GCM-Tag).
Checkliste: AES-256-GCM + starke KDF + zufälliger Salt + einzigartige Nonce/IV pro Nachricht + langes Passwort. Nie selbst bauen.

Um einen String lokal mit einem Passwort zu verschlüsseln, nutzt das AES-Verschlüsselungstool passwortbasiertes AES-GCM mit zufälligem Salt und Nonce pro Nachricht — die Pipeline, die diese Anleitung empfiehlt. Um zu erkennen, ob etwas manipuliert wurde (statt verborgen), erzeugt der Hash-Generator die Fingerabdrücke für Vergleiche.