Symmetrische vs asymmetrische Verschlüsselung: Unterschiede

Symmetrische Verschlüsselung verwendet einen einzigen Schlüssel sowohl zum Ver- als auch zum Entschlüsseln – denken Sie an AES-256-GCM, den Algorithmus, der Ihre Dateien beim Transfer absichert. Asymmetrische Verschlüsselung verwendet ein Schlüsselpaar: einen öffentlichen Schlüssel, den jeder sehen kann, und einen privaten Schlüssel, den nur Sie besitzen – genutzt von Algorithmen wie RSA-4096 und Curve25519. Symmetrisch ist schnell (Gigabytes pro Sekunde auf modernen CPUs), erfordert aber, dass beide Parteien dasselbe Geheimnis teilen. Asymmetrisch löst das Schlüsselaustauschproblem, ist aber 1.000-mal langsamer. Jeder moderne Dateitransferdienst – HexaTransfer, Tresorit, Proton Drive, SwissTransfer – verwendet beide: asymmetrisch zum Austausch eines symmetrischen Schlüssels, dann symmetrisch zur Verschlüsselung der eigentlichen Datei.

Die Welt mit einem Schlüssel: symmetrische Verschlüsselung

Symmetrische Algorithmen verwenden denselben Schlüssel in beide Richtungen. Verschlüssele ich eine Datei mit Schlüssel K, benötigen Sie Schlüssel K zur Entschlüsselung. Die wichtigsten noch in Gebrauch befindlichen symmetrischen Algorithmen:

AES (Rijndael) mit 128-, 192- oder 256-Bit-Schlüsseln, standardisiert in FIPS 197.
ChaCha20 mit 256-Bit-Schlüsseln, bevorzugt auf Geräten ohne AES-NI-Hardwarebeschleunigung.
3DES – von NIST 2023 abgekündigt, nicht mehr verwenden.

Durchsatz ist der große Vorteil. AES-256-GCM läuft auf Intel AES-NI mit rund 3 bis 5 GB/s pro Kern, und ChaCha20-Poly1305 erreicht 1,5 bis 3 GB/s auf ARM-Smartphones. Eine 10-GB-Datei verschlüsselt sich in Sekunden.

Das Problem: Wie übergeben Sie den Schlüssel der anderen Person? Per E-Mail zu senden, verfehlt den Zweck. Das ist das Schlüsselverteilungsproblem – und der Grund, warum asymmetrische Verschlüsselung existiert.

Die Welt mit zwei Schlüsseln: asymmetrische Verschlüsselung

Erfunden von Diffie und Hellman 1976 und realisiert von Rivest, Shamir und Adleman als RSA 1977. Jeder Nutzer hat ein Schlüsselpaar: einen öffentlich veröffentlichten Schlüssel und einen geheim gehaltenen privaten Schlüssel. Alles, was mit dem öffentlichen Schlüssel verschlüsselt wurde, kann nur mit dem privaten Schlüssel entschlüsselt werden – und umgekehrt.

Möchten Sie mir eine geheime Datei senden, verschlüsseln Sie sie mit meinem öffentlichen Schlüssel. Nur mein privater Schlüssel kann sie öffnen – ohne dass ich jemals ein Geheimnis mit Ihnen teilen musste. Schlüsselverteilung gelöst.

Aktuelle asymmetrische Algorithmen:

RSA-2048 oder RSA-4096 – langsam, aber universell unterstützt, in TLS-Zertifikaten verwendet.
Elliptische Kurven (ECDH, ECDSA) über Kurven wie P-256, P-384 oder Curve25519 – kleinere Schlüssel, schnellere Operationen. Ein 256-Bit-EC-Schlüssel entspricht der Sicherheit eines 3072-Bit-RSA-Schlüssels.
Ed25519 – der moderne Standard für Signaturen, von SSH und Signal verwendet.

Warum asymmetrisch für Dateien zu langsam ist

Asymmetrische Mathematik ist aufwendig. RSA-4096-Verschlüsselung läuft auf einer modernen CPU mit rund 100 bis 500 Operationen pro Sekunde. Jede Operation verarbeitet etwa 470 Byte (die RSA-Blockgröße minus Padding). Das sind vielleicht 200 KB/Sekunde – rund 50.000-mal langsamer als AES-256-GCM.

Eine 10-GB-Datei mit RSA zu verschlüsseln würde rund 14 Stunden dauern. Mit AES-256-GCM dauert es etwa 3 Sekunden. Diese Geschwindigkeitsdifferenz ist der Grund, warum niemand RSA zur direkten Dateiverschlüsselung einsetzt.

Hybridverschlüsselung: der praxisnahe Ansatz

Jedes Protokoll, das sowohl Sicherheit als auch Geschwindigkeit braucht, kombiniert beide. TLS 1.3, PGP, Signal, Age und jeder glaubwürdige Dateitransferdienst verwenden dieses Muster:

Der Sender erzeugt einen zufälligen 256-Bit-AES-Schlüssel (den „Session-Schlüssel" oder „Datei-Schlüssel").
Die Datei wird mit AES-256-GCM unter Verwendung dieses Schlüssels verschlüsselt.
Der AES-Schlüssel selbst wird mit dem öffentlichen Schlüssel des Empfängers verschlüsselt (RSA-OAEP oder ECIES).
Sowohl der Chiffretext als auch der verschlüsselte Schlüssel gelangen zum Empfänger.
Der Empfänger entschlüsselt den AES-Schlüssel mit seinem privaten Schlüssel und verwendet ihn dann zur Entschlüsselung der Datei.

Sie zahlen den asymmetrischen Preis einmal pro Empfänger, für einen 256-Bit-Schlüssel. Die Massendatei wird symmetrisch mit voller Geschwindigkeit verarbeitet. Das Beste aus beiden Welten.

Unterschiede zwischen Dateitransferdiensten

Browserbasierte Transferdienste stehen vor einer Besonderheit: Der Empfänger hat möglicherweise kein Schlüsselpaar. Er klickt einfach auf einen Link. Drei Muster lösen das:

Shared-Link nur symmetrisch (SwissTransfer, HexaTransfer, Firefox-Send-Nachfolger). Ein zufälliger AES-256-Schlüssel wird im Browser des Senders erzeugt, in das URL-Fragment eingebettet, und der Browser des Empfängers liest ihn aus dem Fragment. Kein asymmetrisches Krypto erforderlich – das Fragment ist der Kanal.
Konto-zu-Konto asymmetrisch (Tresorit, Proton Drive). Jeder Nutzer hat ein bei der Registrierung generiertes RSA- oder ECC-Schlüsselpaar. Für einen bestimmten Empfänger verschlüsselte Dateien verwenden dessen öffentlichen Schlüssel.
Hybrid mit Passwort (viele Dienste). Das URL-Fragment enthält ein Salt; der Nutzer tippt ein Passwort; PBKDF2 oder Argon2id leitet den symmetrischen Schlüssel ab. Kein asymmetrisches Krypto, aber das Passwort fungiert als gemeinsames Geheimnis.

Der Shared-Link-Ansatz ist am einfachsten und funktioniert für Empfänger ohne Konten. Konto-gebundene asymmetrische Verschlüsselung ist stärker, weil der Verlust des Links nicht den Schlüssel preisgibt. Wählen Sie basierend auf Ihrem Bedrohungsmodell.

Digitale Signaturen: die andere Aufgabe von Asymmetrisch

Asymmetrische Verschlüsselung kann etwas, das symmetrische nicht kann: Urheberschaft beweisen. Signiere ich eine Datei mit meinem privaten Schlüssel, kann jeder mit meinem öffentlichen Schlüssel verifizieren, dass ich signiert habe – und er weiß, dass sie seitdem nicht verändert wurde. Symmetrisch kann Authentifizierung bieten (HMAC, GCMs Tag), aber nur zwischen Parteien, die bereits ein Geheimnis teilen.

Signaturalgorithmen in Gebrauch:

RSA-PSS mit SHA-256 – legacy, aber weit unterstützt.
ECDSA auf P-256 oder P-384 – NIST-zugelassen, in US-Bundesbehörden verwendet.
Ed25519 – schnell, deterministisch, resistent gegen schlechte Zufallsgeneratoren. Die moderne Wahl.

Software-Distribution (apt, Homebrew, Docker-Images) verlässt sich auf Ed25519- oder RSA-Signaturen zum Schutz vor Supply-Chain-Manipulation. Dateitransferdienste exponieren Signaturen typischerweise nicht direkt, aber der GCM-Authentifizierungs-Tag in AES-256-GCM liefert Integrität innerhalb einer einzelnen Verschlüsselung.

Schlüsselgrößen und Sicherheitsniveaus

Eine Umrechnungstabelle für äquivalente Sicherheit gegen klassische Computer:

128-Bit-symmetrisch = 3072-Bit-RSA = 256-Bit-EC (P-256 oder Curve25519)
192-Bit-symmetrisch = 7680-Bit-RSA = 384-Bit-EC (P-384)
256-Bit-symmetrisch = 15360-Bit-RSA = 512-Bit-EC (P-521)

NISTsaktuelle Empfehlung für neue Systeme: mindestens 112-Bit-Sicherheit, also RSA-2048 oder P-256. Bundesbehörden verwenden bis 2030 mindestens 128-Bit (RSA-3072, P-384) als Minimum.

Gegen künftige Quantencomputer verlieren symmetrische Schlüssel rund die Hälfte ihrer Stärke (Grovers Algorithmus), während RSA und ECC vollständig brechen (Shors Algorithmus). NIST hat 2024 Post-Quanten-Ersatz standardisiert: ML-KEM (früher Kyber) für Schlüsselaustausch und ML-DSA (früher Dilithium) für Signaturen. Die Migration läuft, ist aber langsam.

Wann Sie welche Methode verwenden

Ein praktischer Entscheidungsleitfaden:

Datei für sich selbst verschlüsseln (Backup, Archiv): Symmetrisch AES-256-GCM mit einem starken Passwort durch Argon2id. Kein Asymmetrisch nötig.
Datei an einen bekannten Empfänger senden: Hybrid – AES-256-GCM für die Datei, Public-Key-Wrap für den Session-Schlüssel.
An viele Empfänger senden: Datei einmal mit AES verschlüsseln, dann den Schlüssel separat mit dem öffentlichen Schlüssel jedes Empfängers umhüllen. Fügt etwa 300 Byte pro Empfänger hinzu.
Urheberschaft beweisen: Ed25519-Signatur über den Chiffretext.
Einmalige Freigabe per Link: Symmetrisch mit dem Schlüssel im URL-Fragment.

Alles zusammen

Für sensible Transfers heute: ein pragmatischer Stack aus AES-256-GCM für die Massenverschlüsselung, X25519 ECDH für den Schlüsselaustausch, wenn Empfänger Identitäten haben, PBKDF2 oder Argon2id für passwortabgeleitete Schlüssel, und TLS 1.3 als Transportschicht. Diese Kombination setzen moderne auditierte Dienste ein.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.