AES-256-Verschlüsselungs-Guide: Schutz auf Militärniveau

AES-256 ist ein symmetrischer Blockverschlüsselungsalgorithmus, der von der US-amerikanischen NSA unter CNSSP-15 für TOP-SECRET-Daten zugelassen ist. Er verschlüsselt 128-Bit-Blöcke mit einem 256-Bit-Schlüssel über 14 Runden aus Substitutions-, Permutations- und Mischoperationen. Das Brute-Forcing eines einzelnen AES-256-Schlüssels würde im Schnitt rund 2^255 Operationen erfordern – eine Zahl, die so groß ist, dass alle Computer der Erde zusammen, die das gesamte Alter des Universums lang laufen, ihn nicht knacken würden. Deshalb verwenden alle ernstzunehmenden Dateiübertragungsdienste, von SwissTransfer bis Tresorit, AES-256 als Massenverschlüsselung. So funktioniert es im Detail.

Woher die „256" stammt

AES gibt es in drei Schlüsselgrößen: 128, 192 und 256 Bit. Die Zahl bezieht sich nur auf die Schlüssellänge, nicht auf die Blockgröße (die ist immer 128 Bit). Die Schlüsselgröße bestimmt, wie viele Runden der Algorithmus durchläuft: 10 für AES-128, 12 für AES-192, 14 für AES-256.

Mehr Runden bedeuten mehr Diffusion – jedes Ausgabe-Bit hängt von mehr Eingabe-Bits ab – und mehr Widerstand gegen kryptanalytische Angriffe wie den Biclique-Angriff von 2011, der AES-256s effektive Sicherheit theoretisch von 256 auf 254,4 Bit reduzierte. Das liegt immer noch weit jenseits eines praktischen Angriffs.

Federal Information Processing Standard FIPS 197 definiert AES, und NIST SP 800-38A bis 800-38G definieren die Betriebsmodi.

Betriebsmodi: GCM vs. CBC vs. ECB

AES ist ein Blockverschlüsselungsalgorithmus und weiß nur, wie er einen einzigen 128-Bit-Block verschlüsselt. Um eine beliebig große Datei zu verschlüsseln, brauchen Sie einen Betriebsmodus. Die Wahl ist entscheidend:

ECB (Electronic Codebook): Gleiche Klartextblöcke erzeugen gleichen Chiffretext. Verwenden Sie das niemals. Das berühmte „ECB-Pinguin"-Bild zeigt Tux' Umriss durch ECB-verschlüsselte Pixel hindurch.
CBC (Cipher Block Chaining): XOR-verknüpft jeden Block mit dem vorherigen Chiffretext. Sicher bei Kombination mit HMAC zur Authentifizierung, aber CBC allein ist anfällig für Padding-Oracle-Angriffe (POODLE traf SSL 2014).
GCM (Galois/Counter Mode): Verschlüsselt mit einem Zähler und erzeugt in einem Durchgang ein 128-Bit-Authentifizierungs-Tag. Manipulation am Chiffretext bricht die Entschlüsselung lautstark. Das ist der Modus, den moderne Dienste verwenden.

AES-256-GCM ist der Standard in TLS 1.3, Signal, WireGuard und jedem glaubwürdigen Dateitransferdienst. Erwähnt ein Dienst „AES-256" ohne Angabe des Modus, fragen Sie nach GCM.

Der IV (Nonce), den Sie nie wiederverwenden dürfen

GCM erfordert pro Verschlüsselung mit einem gegebenen Schlüssel einen einzigartigen 96-Bit-Initialisierungsvektor. Verwenden Sie denselben IV auch nur einmal mit demselben Schlüssel, kann ein Angreifer zwei Chiffretexte XOR-verknüpfen, um Klartext zu gewinnen – ein katastrophaler Fehler, der berühmt gegen WEP-WLAN ausgenutzt wurde.

Best Practice: Erzeugen Sie den IV mit einem kryptografisch sicheren Zufallsgenerator (crypto.getRandomValues() in Browsern, /dev/urandom auf Linux) und stellen Sie ihn dem Chiffretext voran. Ein 96-Bit-Zufalls-IV hat eine Kollisionswahrscheinlichkeit von rund 2^-48 nach 2^32 verschlüsselten Dateien – für einen Dateitransferdienst akzeptabel. Bei Schlüsselwiederverwendung über Milliarden von Dateien verwenden Sie stattdessen einen deterministischen Zähler.

Schlüsselableitung: Passwörter in Schlüssel umwandeln

Benutzer möchten Passwörter wie meinHund2024. AES braucht 256 Bit gleichmäßige Zufälligkeit. Die Brücke ist eine Key Derivation Function (KDF). Drei sind gängig:

PBKDF2 mit HMAC-SHA-256 und 600.000 Iterationen (OWASP-Empfehlung 2023). Weit verbreitet, in der Web Crypto API verfügbar.
scrypt fügt Speicher-Härte hinzu und erhöht die GPU-Angriffskosten. Bitcoin und LastPass verwenden es.
Argon2id ist der aktuelle Best Practice, Gewinner des Password Hashing Competition 2015. Parameter: memory=64 MB, iterations=3, parallelism=4.

Ein 12-Zeichen-Zufallspasswort durch Argon2id würde eine moderne GPU rund eine Milliarde Jahre zum Brute-Forcen benötigen. Ein schwaches Passwort wie passwort123 fällt in Millisekunden, unabhängig von der KDF.

AES im Browser: die Web Crypto API

Browser stellen AES-256-GCM nativ über window.crypto.subtle bereit. Ein typischer Ablauf:

const key = await crypto.subtle.generateKey(
  { name: "AES-GCM", length: 256 },
  true,
  ["encrypt", "decrypt"]
);
const iv = crypto.getRandomValues(new Uint8Array(12));
const ciphertext = await crypto.subtle.encrypt(
  { name: "AES-GCM", iv },
  key,
  fileBytes
);

Moderne CPUs haben AES-NI-Instruktionen, die das auf rund 3 bis 5 GB/s pro Kern beschleunigen. Eine 1-GB-Datei verschlüsselt sich auf einem mittelmäßigen Laptop in unter einer Sekunde. Auf Mobilgeräten bieten Apples A-Series- und Qualcomm-Snapdragon-Chips ARMv8-Crypto-Extensions für ähnlichen Durchsatz.

Wovor AES-256 schützt – und wovor nicht

AES-256 löst ein spezifisches Problem: Vertraulichkeit von Daten at Rest oder in Transit, vorausgesetzt, der Schlüssel bleibt geheim. Es löst nicht:

Schlüsselmanagement. Schicken Sie das Passwort per E-Mail zusammen mit der Datei, bietet AES-256 keinen Mehrwert.
Kompromittierte Endpunkte. Malware, die Klartext vor der Verschlüsselung liest, umgeht den Algorithmus vollständig.
Implementierungsfehler. Die Angriffe BEAST, CRIME und Lucky13 aus 2018 zielten auf TLS-Implementierungen, nicht auf AES selbst.
Seitenkanal-Angriffe. Cache-Timing und Leistungsanalyse haben AES-Schlüssel aus eingeschränkten Geräten extrahiert. AES-NI minimiert das auf Desktops weitgehend.

AES-256 beweist auch nicht, wer die Datei gesendet hat. Für Authentifizierung kombinieren Sie es mit digitalen Signaturen via Ed25519 oder ECDSA.

Warum „Militärniveau" meist Marketing ist

Der Begriff ist verbreitet, weil die NSA AES-256 2003 unter CNSSP-15 für TOP-SECRET-Daten zuließ. Das ist real, aber auch mehr als 20 Jahre alt – AES-128 ist für SECRET zugelassen und würde die meisten zivilen Anwendungsfälle identisch abdecken. Der Sprung von 128 auf 256 ist eine Absicherung gegen zukünftige Quantencomputer: Grovers Algorithmus halbiert theoretisch die Sicherheit symmetrischer Schlüssel, reduziert AES-256s effektive Stärke auf 128 Bit – noch immer sicher.

In der Praxis kostet AES-256 mit AES-NI rund 40 % mehr CPU als AES-128 und wird überall unterstützt, weshalb es selbst dann zum Standard geworden ist, wenn 128 Bit ausreichen würden.

Wie Sie prüfen, ob ein Dienst wirklich AES-256-GCM nutzt

Drei Möglichkeiten:

Lesen Sie das Security-Whitepaper. Glaubwürdige Dienste wie Tresorit, Proton Drive, SwissTransfer und HexaTransfer veröffentlichen den genauen Modus und das IV-Handling.
Untersuchen Sie den Client-Code. Öffnen Sie DevTools, suchen Sie im JavaScript-Bundle nach AES-GCM oder aes-256-gcm. Sie sollten es explizit finden.
Prüfen Sie Drittanbieter-Audits. Cure53, NCC Group und Trail of Bits veröffentlichen Audits, die die geprüften Algorithmen benennen.

Warnsignale: „Bank-grade encryption" ohne Angabe des Modus, „proprietärer Algorithmus" jeglicher Art oder Verweise auf AES-128-ECB.

Praktische Umsetzung

Für das Senden einer sensiblen Datei heute: Wählen Sie einen Dienst, der AES-256-GCM explizit angibt, einen 96-Bit-Zufalls-IV pro Datei verwendet und die Verschlüsselung in Ihrem Browser ausführt (nicht auf dem Server). Kombinieren Sie das mit einer Passphrase aus 16+ Zeichen, die durch Argon2id oder PBKDF2 mit 600.000+ Iterationen abgeleitet wird.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.