AES-256-Verschlüsselung erklärt: Was das für deine Daten bedeutet

AES-256 erklärt: wie der Algorithmus funktioniert, warum 256-Bit-Schlüssel wichtig sind, was der GCM-Modus hinzufügt und worauf du achten solltest, wenn eine App AES-256 bewirbt.

Was ist AES-256?

AES-256 ist eine symmetrische Blockchiffre: der Advanced Encryption Standard mit einem 256-Bit-Schlüssel. Ein und derselbe Schlüssel ver- und entschlüsselt. Er verarbeitet Daten in 128-Bit-Blöcken über 14 Runden, und NIST hat ihn 2001 als FIPS 197 standardisiert.

Der Name vereint drei Fakten. AES benennt den Algorithmus, den NIST 2001 aus der Rijndael-Einreichung ausgewählt hat. 256 ist die Schlüssellänge in Bit und legt fest, wie viele Schlüssel ein Brute-Force-Angreifer durchprobieren muss. Ein Modus wie GCM oder CBC, meist hinter dem Namen als AES-256-GCM geschrieben, bestimmt, wie Blöcke verkettet werden und ob der Chiffretext auf Manipulation geprüft wird. AES-256 allein nennt dir die Chiffre und die Schlüssellänge. Es nennt dir weder den Modus noch, wer den Schlüssel hält.

AES-256 ist der Advanced Encryption Standard mit einem 256-Bit-Schlüssel, von NIST als FIPS 197 im Jahr 2001 standardisiert. Es ist der symmetrische Verschlüsselungsalgorithmus, den die US-Regierung für verschlüsselte Informationen, Banken für Finanztransaktionen und sicherheitsorientierte Anwendungen zum Schutz ruhender und übertragener Daten verwenden. AES-256 hat 2^256 mögliche Schlüssel – eine Zahl, die größer ist als die geschätzte Anzahl von Atomen im beobachtbaren Universum. Kein bekannter Angriff reduziert diesen Schlüsselraum auf eine rechnerisch machbare Suche.

Diese Anleitung erklärt, was AES-256 tatsächlich tut, warum die Schlüsselgröße wichtig ist, was die verschiedenen Modi bedeuten (ECB, CBC, GCM) und worauf du achten solltest, wenn eine App behauptet, AES-256-Verschlüsselung zu verwenden.

Was AES tatsächlich tut

AES ist eine symmetrische Blockchiffre. „Symmetrisch“ bedeutet, dass derselbe Schlüssel ver- und entschlüsselt. „Blockchiffre“ bedeutet, dass Daten in Blöcken fester Größe von 128 Bit (16 Byte) verarbeitet werden.

Der Algorithmus nimmt deine Daten (Klartext), kombiniert sie mit einem Schlüssel und erzeugt durch eine Reihe mathematischer Transformationen eine verschlüsselte Ausgabe (Chiffretext). Diese Transformationen – Substitution, Verschiebung, Mischung und Schlüsseladdition – wiederholen sich für eine feste Anzahl von Runden. AES-256 verwendet 14 Runden.

Jede Runde wendet vier Operationen an:

1. SubBytes: Jedes Byte wird durch eine feste Substitutionstabelle (S-Box) ersetzt, was Nichtlinearität einführt.
2. ShiftRows: Bytes in jeder Zeile werden um unterschiedliche Versätze verschoben, sodass Daten über Positionen verteilt werden.
3. MixColumns: Spalten werden durch Matrixmultiplikation in einem endlichen Feld gemischt, wodurch Änderungen über Bytes hinweg gestreut werden.
4. AddRoundKey: Der Rundenschlüssel (abgeleitet vom Hauptschlüssel) wird mit den Daten per XOR verknüpft.

Nach 14 Runden ist der Klartext gründlich verschlüsselt. Durch Umkehren dieser Operationen mit dem richtigen Schlüssel werden die Originaldaten wiederhergestellt. Ohne den Schlüssel ist der Chiffretext von zufälligem Rauschen nicht zu unterscheiden.

Warum 256 Bit wichtig sind

Die „256“ in AES-256 bezieht sich auf die Schlüssellänge: 256 Bit. Dies bestimmt die Anzahl der möglichen Schlüssel, die ein Angreifer ausprobieren muss, um die Verschlüsselung durch rohe Gewalt zu brechen.

Zum Vergleich: Das Universum ist ungefähr 1,38 × 10^10 Jahre alt. AES-256 durch Brute-Force zu knacken würde ungefähr 10^41 Mal länger dauern als das Alter des Universums – selbst bei einer Billion Versuche pro Sekunde.

AES-128 ist bereits rechnerisch nicht durch Brute-Force zu knacken. AES-256 bietet eine zusätzliche Reserve gegen künftige Rechenfortschritte, einschließlich Quantencomputing. Grovers Algorithmus (ein Quantenangriff) halbiert effektiv die Schlüssellänge – und reduziert AES-256 auf das Äquivalent von AES-128, was immer noch nicht machbar ist. AES-128 würde auf eine effektive 64-Bit-Sicherheit reduziert, was potenziell anfällig ist. Deshalb bevorzugen sicherheitskritische Anwendungen AES-256.

AES-Modi: Warum sie wichtig sind

AES allein verschlüsselt jeweils nur einen 128-Bit-Block. Für echte Daten (Fotos, Dokumente, Videos) braucht man einen „Betriebsmodus“, der Daten größer als 16 Byte verarbeitet. Der Modus bestimmt, wie Blöcke miteinander verknüpft werden, und hat erhebliche Sicherheitsimplikationen.

ECB (Electronic Codebook) – Nicht verwenden

Jeder Block wird unabhängig mit demselben Schlüssel verschlüsselt. Identische Klartextblöcke erzeugen identische Chiffretextblöcke. Das verrät Muster in den Daten. Die klassische Demonstration: Das Verschlüsseln eines Bitmap-Bildes mit ECB bewahrt die Bildstruktur im Chiffretext, sodass der Inhalt erkennbar bleibt. ECB ist im Standard enthalten, sollte aber niemals für Daten mit Struktur oder Wiederholungsmustern verwendet werden (was praktisch alle realen Daten umfasst).

CBC (Cipher Block Chaining) – Veraltet

Jeder Block wird vor der Verschlüsselung per XOR mit dem vorherigen Chiffretextblock verknüpft. Dies eliminiert das Musterleck von ECB. CBC war jahrzehntelang der Standardmodus, wurde aber für die meisten Anwendungen durch GCM abgelöst. CBC erfordert einen zufälligen Initialisierungsvektor (IV) und bietet keine eingebaute Authentifizierung (es lässt sich nicht erkennen, ob der Chiffretext manipuliert wurde).

GCM (Galois/Counter Mode) – Aktueller Standard

GCM kombiniert Counter-Modus-Verschlüsselung mit Galois-Feld-Authentifizierung. Es bietet authentifizierte Verschlüsselung: Es verschlüsselt die Daten UND erzeugt einen Authentifizierungs-Tag, der jede Änderung des Chiffretexts erkennt. Wenn ein einziges Bit geändert wird, schlägt die Entschlüsselung fehl, anstatt beschädigten Klartext zu liefern.

NIST hat GCM in SP 800-38D (2007) standardisiert. Es ist der empfohlene Modus für neue Implementierungen.

AES-256-GCM ist AES mit einem 256-Bit-Schlüssel im Galois/Counter-Modus. Das ist es, was sicherheitskritische Anwendungen verwenden sollten und was Vaultaire für die Verschlüsselung von Foto- und Dateiinhalten verwendet.

Was AES-256 für die Fotospeicherung bedeutet

Wenn eine Foto-Tresor-App „AES-256-Verschlüsselung“ behauptet, sollten drei Dinge zutreffen:

1. Der Dateiinhalt ist mit AES-256 verschlüsselt. Die rohen Fotodaten (Pixel, Metadaten, Vorschaubilder) werden mit einem 256-Bit-Schlüssel in Chiffretext umgewandelt.

2. Jede Datei verwendet einen eindeutigen Initialisierungsvektor (IV). Wenn zwei identische Fotos mit demselben Schlüssel verschlüsselt werden, sollte der Chiffretext unterschiedlich sein. Das erfordert einen eindeutigen IV pro Datei. Ohne diesen kann statistische Analyse Muster offenbaren.

3. Der Modus bietet Authentifizierung (GCM oder gleichwertig). Ohne Authentifizierung könnte ein Angreifer den Chiffretext unbemerkt ändern. Das entschlüsselte Ergebnis wären beschädigte Daten anstatt einer Fehlermeldung.

Was „AES-256“ auf einer Marketingseite nicht verrät

AES-256 ist notwendig, aber nicht ausreichend. Mehrere kritische Faktoren bestimmen, ob die Verschlüsselung deine Daten tatsächlich schützt:

Die Schlüsselableitung zählt. Wie wird der 256-Bit-Schlüssel generiert? Wenn sie mithilfe eines schwachen KDF von einer 4-stelligen PIN abgeleitet wird, beträgt die effektive Sicherheit 4 Ziffern (10.000 Kombinationen) und nicht 256 Bit. Eine starke Implementierung verwendet PBKDF2 mit hoher Iterationszahl oder Argon2 mit entsprechenden Speicher- und Zeitparametern. Vaultaire verwendet PBKDF2 mit HMAC-SHA512 und 600.000 Iterationen, um einen lokalen Tresorschlüssel aus dem gewählten 5x5-Muster und einem Geräte-Salt abzuleiten. PBKDF2 macht jeden Rateversuch teurer; die Entropie des Musters wird dadurch nicht auf 256 Bit erhöht.

Die Schlüsselaufbewahrung zählt. Wo liegt der Schlüssel? Wenn der Schlüssel im Klartext in der Sandbox der App gespeichert ist, kann Malware mit Dateizugriff ihn lesen. Apples Secure Enclave unterstützt bestimmte nicht exportierbare Schlüsseloperationen, keine beliebigen, von der App bereitgestellten AES-Schlüssel. Stattdessen können Designs mit symmetrischen Schlüsseln Keychain und Datenschutz verwenden, daher sollte die Dokumentation die genaue API und Schutzklasse benennen und nicht nur „hardwaregestützt“ sagen.

Was verschlüsselt wird, ist entscheidend. Einige Apps verschlüsseln Dateiinhalte, lassen aber Dateinamen, Vorschaubilder und Metadaten unverschlüsselt. Ein Forensiker sieht vielleicht nicht dein Foto, aber er sieht „urlaub-strand-2025.jpg“ in der Dateiliste. Umfassende Verschlüsselung deckt Metadaten separat ab.

Der Schlüssel-Lebenszyklus zählt. Wie lange bleibt entschlüsseltes Schlüsselmaterial verfügbar? Vaultaire löscht seinen aktiven Tresor- und Hauptschlüsselstatus, wenn es gesperrt oder geschlossen wird und erfordert eine neue Freischaltung. Symmetrische Schlüsselbytes sind notwendigerweise im App-Speicher vorhanden, während ein Tresor geöffnet ist, und Swift und iOS erlauben einer App nicht, zu beweisen, dass jede vorübergehende Kopie überschrieben wurde.

AES-256 in der Praxis: Wer es verwendet

Häufige Missverständnisse

„Militärische Verschlüsselung“ bedeutet nichts Konkretes. Marketingseiten verwenden diesen Begriff, weil er beeindruckend klingt. AES-256 wird von Streitkräften verwendet. Genau wie AES-128. Der Begriff sagt nichts über den Modus, die Schlüsselableitung, die Schlüsselspeicherung oder welche Daten tatsächlich verschlüsselt werden.

„256-Bit-Verschlüsselung“ bedeutet nicht unbedingt AES-256. Andere Algorithmen verwenden ebenfalls 256-Bit-Schlüssel (ChaCha20, Twofish, Serpent). Prüfe, welcher Algorithmus angegeben ist. AES-256-GCM ist der aktuelle Standard.

AES-256 schützt nicht gegen schwache Passwörter. Wenn dein Passwort „1234“ ist und die Schlüsselableitung schwach ist, ist die Verschlüsselung effektiv 4-stellig sicher – unabhängig von der Stärke des Algorithmus. Die Kette bricht an ihrem schwächsten Glied.

AES-256 schützt keine Daten während der Nutzung. Wenn du ein Foto ansiehst, muss es im Speicher entschlüsselt werden. In diesem Moment existiert es im Klartext im RAM. Ordnungsgemäße Implementierungen minimieren dieses Fenster und löschen entschlüsselte Daten umgehend.

Häufig gestellte Fragen

Wofür steht AES-256?

Für Advanced Encryption Standard mit einem 256-Bit-Schlüssel. AES ist die Chiffre, die NIST 2001 nach der Auswahl des Rijndael-Entwurfs als FIPS 197 standardisiert hat. Die 256 ist die Schlüssellänge in Bit. Ein Zusatz wie AES-256-GCM nennt den Betriebsmodus, der unabhängig von Chiffre und Schlüssellänge gewählt wird.

Kann AES-256 geknackt werden?

Es ist kein Angriff bekannt, der AES-256 durch Reduzierung des gesamten Schlüsselraums knackt. Der beste bekannte Angriff (ein Biclique-Angriff von Bogdanov, Khovratovich und Rechberger, 2011) reduziert AES-256 von 2^256 auf 2^254,4 Operationen – eine theoretische Verbesserung, die in der Praxis rechnerisch bedeutungslos ist. AES-256 bleibt ungebrochen.

Ist AES-256 quantenresistent?

Im Wesentlichen ja. Grovers Quantenalgorithmus halbiert die effektive Schlüssellänge: AES-256 wird gegen Quantenangriffe einer 128-Bit-Sicherheit äquivalent. AES-128 würde auf eine effektive 64-Bit-Sicherheit reduziert, was potenziell anfällig ist. Eine Grover-Suche gegen AES-256 bräuchte immer noch etwa 2^128 Operationen, was nicht praktikabel ist.

Was ist der Unterschied zwischen AES-128 und AES-256?

AES-128 verwendet einen 128-Bit-Schlüssel (10 Runden). AES-256 verwendet einen 256-Bit-Schlüssel (14 Runden). Beide gelten gegen aktuelle Angriffe als sicher. AES-256 bietet eine größere Reserve gegen künftige Fortschritte, insbesondere im Bereich Quantencomputing. AES-256 ist aufgrund der zusätzlichen Runden etwa 40 % langsamer als AES-128, aber Hardware-Beschleunigung macht dies auf modernen Geräten vernachlässigbar.

Verlangsamt AES-256-Verschlüsselung mein iPhone?

Bei normalem Gebrauch nicht spürbar. Moderne Apple-Prozessoren bieten Hardwarebeschleunigung für AES durch kryptografische Systembibliotheken. Das bedeutet nicht, dass der AES-Vorgang einer App in der Secure Enclave ausgeführt wird. Die Zeit hängt immer noch von der Dateigröße, dem Gerät, dem Speicher und der Implementierung ab, daher sollte sich ein Sicherheitsanspruch auf Messungen und nicht auf eine universelle Millisekundenzahl stützen.

Wie erkenne ich, ob eine App wirklich AES-256 verwendet?

Überprüfe die Sicherheitsdokumentation der App, nicht nur die Marketingseite. Suche nach dem spezifischen Algorithmus und Modus, der Schlüsselhierarchie, den Ableitungsparametern, der Nutzung von Keychain oder Secure Enclave, der Nonce-Behandlung, Wiederherstellungspfad und ob Metadaten auch verschlüsselt werden. Open-Source-Code und unabhängige Prüfungen erleichtern die Überprüfung dieser Behauptungen.

Fazit

AES-256 ist eine weit verbreitete symmetrische Chiffre, von NIST standardisiert, ohne bekannten praktischen Angriff; ein Quantencomputer mit Grovers Algorithmus bräuchte immer noch etwa 2^128 Rechenschritte. Wenn du Apps bewertest, die AES-256-Verschlüsselung behaupten, schaue über den Algorithmus hinaus: Prüfe den Modus (GCM), die Schlüsselableitung (PBKDF2/Argon2 mit hoher Iterationsanzahl), die Schlüsselspeicherung (eine benannte Keychain- und Datenschutzklasse) und welche Daten tatsächlich verschlüsselt werden (Inhalte + Metadaten).

Vaultaire verwendet AES-256-GCM für Dateiinhalte, Header, Metadaten, Indizes und Miniaturansichten. PBKDF2 mit HMAC-SHA512 leitet aus dem Muster und einem geräteweiten Keychain-Salt einen lokalen Tresorschlüssel ab; Dieser Schlüssel entschlüsselt einen zufälligen Hauptschlüssel, der für die Dateiverschlüsselung verwendet wird. Die symmetrischen Operationen laufen im App-Prozess über CryptoKit, während iOS Keychain und Datenschutz den Wiederherstellungsstatus schützen, wenn das Gerät gesperrt ist. Die vollständige Hierarchie ist im Sicherheitsmodell dokumentiert.