Grundlagen der Public-Key-Kryptografie: sicheres Teilen

Public-Key-Kryptografie — auch asymmetrische Kryptografie genannt — arbeitet mit zwei mathematisch verknüpften Schlüsseln: einem öffentlichen, den Sie frei weitergeben können, und einem privaten, den Sie geheim halten. Verschlüsseln Sie etwas mit meinem öffentlichen Schlüssel, kann nur mein privater Schlüssel es lesen. Das löst das älteste Problem der Kryptografie: Wie können zwei Fremde, die sich nie begegnet sind, über einen offenen Kanal ein Geheimnis teilen? 1976 von Diffie und Hellman erfunden und ein Jahr später durch RSA praktikabel gemacht, bildet es heute das Fundament von TLS 1.3, Signal, SSH, Ed25519-Code-Signierung und jedem Dateiübertragungsdienst, der Nutzer authentifiziert. So funktioniert es wirklich.

Die mathematische Falltür

Jede Public-Key-Kryptografie stützt sich auf „Falltür"-Funktionen — Berechnungen, die vorwärts leicht, aber ohne Zusatzinformation praktisch nicht umkehrbar sind. Zwei Familien dominieren:

• Ganzzahlfaktorisierung (RSA): Zwei große Primzahlen zu multiplizieren ist trivial; ihr Produkt zu faktorisieren ist exponentiell schwer. Ein 2048-Bit-RSA-Schlüssel nutzt zwei ~1024-Bit-Primzahlen. Der beste bekannte Angriff, General Number Field Sieve, benötigt etwa 2^112 Operationen — unerreichbar.
• Diskrete Logarithmen auf elliptischen Kurven (ECDH, ECDSA, Ed25519): Punktmultiplikation auf einer Kurve zu berechnen ist schnell; sie umzukehren, um den Multiplikator zu finden, ist schwer. 256-Bit-Kurven wie Curve25519 bieten Sicherheit äquivalent zu 3072-Bit-RSA.

Beide Probleme sind für Quantencomputer mittels Shors Algorithmus lösbar, weshalb NIST 2024 post-quantenkryptografische Alternativen standardisiert hat (ML-KEM und ML-DSA in FIPS 203–205).

RSA in der Praxis

Ron Rivest, Adi Shamir und Leonard Adleman veröffentlichten RSA 1977. Das Schema ist elegant:

1. Wählen Sie zwei große Primzahlen p und q.
2. Berechnen Sie n = p × q (den Modulus) und φ(n) = (p-1)(q-1).
3. Wählen Sie e teilerfremd zu φ(n), üblicherweise 65537.
4. Berechnen Sie d mit e × d ≡ 1 (mod φ(n)).
5. Öffentlicher Schlüssel: (n, e). Privater Schlüssel: (n, d).

Verschlüsselung: Chiffretext = Nachricht^e mod n. Entschlüsselung: Nachricht = Chiffretext^d mod n. Die Mathematik funktioniert dank Eulers Theorem.

Reales RSA verwendet OAEP-Padding (RFC 8017), um Chosen-Ciphertext-Angriffe zu verhindern. Lehrbuch-RSA ist katastrophal unsicher. RSA-2048 ist das aktuelle Minimum für neue Systeme; RSA-3072 oder 4096 für alles mit langer Lebensdauer.

Diffie-Hellman: gemeinsame Geheimnisse ohne Schlüsselversand

RSA ermöglicht Verschlüsselung für einen bekannten Empfänger. Diffie-Hellman tut etwas subtil Anderes: Es lässt zwei Parteien ein gemeinsames Geheimnis über einen öffentlichen Kanal ableiten, ohne das Geheimnis selbst zu versenden.

Die klassische Version (DH über ganzen Zahlen modulo einer großen Primzahl):

1. Beide Parteien einigen sich auf eine große Primzahl p und Generator g.
2. Alice wählt Geheimzahl a, sendet A = g^a mod p.
3. Bob wählt Geheimzahl b, sendet B = g^b mod p.
4. Alice berechnet B^a mod p = g^(ab) mod p.
5. Bob berechnet A^b mod p = g^(ab) mod p.

Beide gelangen zu g^ab mod p, ohne a oder b je zu versenden. Ein Lauscher sieht g, p, A, B — aber g^ab aus A und B zu berechnen erfordert die Lösung des diskreten Logarithmusproblems.

Modernes DH nutzt elliptische Kurven (ECDH). X25519 ist die Standardwahl: 32-Byte-Schlüssel, 32-Byte-gemeinsame Geheimnisse, implementierungssicher gegen Timing-Angriffe.

Elliptische Kurven und warum sie gewonnen haben

RSA wirkt altmodisch — und ist es auch weitgehend. Elliptische Kurven-Kryptografie hat es aus drei praktischen Gründen abgelöst:

• Kleinere Schlüssel. Ein 256-Bit-EC-Schlüssel bietet die Sicherheit eines 3072-Bit-RSA-Schlüssels. Das sind 32 Bytes gegenüber 384 Bytes.
• Schnellere Operationen. ECDH auf Curve25519 dauert auf einer modernen CPU etwa 70 Mikrosekunden. RSA-3072-Schlüsselgenerierung dauert Sekunden.
• Bessere Zufälligkeitsresilienz. Ed25519 ist deterministisch — Signaturen benötigen kein zufälliges Nonce pro Nachricht, was die Sony-PS3-ECDSA-Katastrophe von 2010 vermieden hätte, bei der ein konstantes Nonce den Master-Key preisgab.

NIST-Kurven (P-256, P-384, P-521) sind weit verbreitet, wurden aber historisch von einigen Kryptografen wegen ungeklärter Konstanten misstraut. Curve25519 und Ed25519, entworfen von Daniel Bernstein, sind die modernen Standards in TLS 1.3, WireGuard, Signal und SSH.

Signaturen: beweisen, wer was gesendet hat

Public-Key-Kryptografie kann etwas, das symmetrische Verfahren nicht können: Urheberschaft beweisen. Signieren kehrt die Verschlüsselungsrollen um — Sie „verschlüsseln" (signieren) mit Ihrem privaten Schlüssel, und jeder mit Ihrem öffentlichen Schlüssel kann „entschlüsseln" (verifizieren). Wenn es verifiziert wird, müssen Sie den privaten Schlüssel gehalten haben.

Echte Signaturen verwenden Hash-Funktionen für beliebig große Nachrichten:

1. h = SHA-256(Nachricht) berechnen.
2. h mit dem privaten Schlüssel signieren (RSA-PSS, ECDSA oder Ed25519).
3. Der Prüfer hasht die empfangene Nachricht und prüft gegen die Signatur mit dem öffentlichen Schlüssel.

Anwendungen: TLS-Zertifikate (die CA signiert den öffentlichen Schlüssel der Website), Code-Signierung (Apples Notarisierung, Microsoft Authenticode), Git-Commit-Signierung, Software-Paketmanager (apt, Homebrew, npm).

Wo Dateiübertragungen Public-Key-Kryptografie nutzen

Bei anonymen linkbasierten Übertragungen (SwissTransfer, HexaTransfer) tritt Public-Key-Kryptografie oft nicht direkt in Erscheinung — ein zufälliger symmetrischer Schlüssel im URL-Fragment erledigt alles. Für kontobasierte Dienste spielen öffentliche Schlüssel jedoch eine Rolle:

• TLS 1.3-Server-Authentifizierung. Jede HTTPS-Verbindung beginnt mit dem Zertifikat des Servers, verifiziert gegen eine CA-Kette. Ephemere ECDHE-Schlüsselaushandlung leitet dann den Sitzungsschlüssel ab.
• Konto-zu-Konto-Verschlüsselung. Tresorit, Proton Drive und Mega geben Nutzern bei der Anmeldung ein Schlüsselpaar. Zwischen Konten geteilte Dateien werden mit dem öffentlichen Schlüssel des Empfängers verpackt.
• Signierte Clients und Updates. Desktop-Apps verifizieren Updates mit Ed25519- oder RSA-Signaturen, um Supply-Chain-Angriffe zu verhindern.
• Passwortlose Authentifizierung. WebAuthn und Passkeys nutzen EC-Schlüssel in sicherer Hardware (Touch ID, Windows Hello, YubiKey).

Schlüsselverteilung: das verbleibende schwierige Problem

Public-Key-Kryptografie löst ein Schlüsselverteilungsproblem, schafft aber ein anderes: Woher wissen Sie, dass ein öffentlicher Schlüssel wirklich dem gehört, dem er gehören soll? Drei Modelle:

• PKI (Public Key Infrastructure). Zertifizierungsstellen signieren öffentliche Schlüssel. Genutzt von TLS mit Vertrauensankern in Chrome, Firefox, Safari.
• Web of Trust. PGPs Ansatz — Nutzer signieren gegenseitig ihre Schlüssel. Flexibel, aber Skalierungsprobleme haben die Verbreitung begrenzt.
• TOFU (Trust On First Use). SSHs Ansatz — Schlüssel beim ersten Mal akzeptieren, bei Änderung warnen. Einfach, aber anfällig für anfängliches Abfangen.
• Key Transparency. Merkle-Baum-Logs, in denen alle öffentlichen Schlüssel öffentlich auditierbar sind. Genutzt von WhatsApp, iMessage Contact Key Verification und modernen Passkey-Systemen.

Bei Dateiübertragungen an unbekannte Empfänger umgeht das URL-Fragment-Teilen das Problem vollständig — der Sender gibt dem Empfänger den Schlüssel direkt via Link, und die Authentizität hängt vom Kanal ab, über den der Link geteilt wird.

Was Quantencomputer verändern

Ein großformatiger Quantencomputer mit Shors Algorithmus bricht sowohl RSA als auch elliptische Kurven-Kryptografie. Aktuelle Schätzungen setzen den Zeitrahmen auf 10–20 Jahre, aber das Risiko ist unmittelbar für Daten mit langer Haltbarkeit: „Harvest now, decrypt later"-Angriffe zeichnen heute verschlüsselten Datenverkehr auf und entschlüsseln ihn 2040.

NISTPs Post-Quanten-Standards von 2024:

• FIPS 203 (ML-KEM) — ersetzt Diffie-Hellman / ECDH für Schlüsselaustausch. Basiert auf Gitterproblemen.
• FIPS 204 (ML-DSA) — ersetzt RSA/ECDSA für Signaturen.
• FIPS 205 (SLH-DSA) — hash-basierte Signatur-Reserve.

Cloudflare und Google unterstützen ML-KEM bereits in TLS 1.3. Dateiübertragungsdienste werden in den nächsten Jahren folgen. Symmetrische Verschlüsselung (AES-256-GCM) ist weitgehend unberührt — Grovers Algorithmus halbiert lediglich die effektive Stärke.

Alles zusammenfügen

Für sensible Freigaben heute: TLS 1.3 mit X25519-Schlüsselaustausch schützt die Verbindung, AES-256-GCM erledigt die Massenverschlüsselung, und für kontobasierte Dienste verpackt ECDH mit Curve25519 dateispezifische Schlüssel. Linkbasierte Dienste überspringen die Kontoschicht, gewinnen aber an Einfachheit. Beide Modelle liefern starke Sicherheit, wenn sie korrekt implementiert werden.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.