Was ist AES-256-Verschlüsselung? Ein Leitfaden für Nicht-Kryptografen

TL;DR

AES-256 (Advanced Encryption Standard mit 256-Bit-Schlüssel) ist eine symmetrische Blockchiffre, die 2001 von NIST ratifiziert wurde. Sie verschlüsselt Daten in 128-Bit-Blöcken mit 14 Runden Substitutions-Permutations-Netzwerk. AES-256-GCM fügt authentifizierte Verschlüsselung hinzu, die Manipulation verhindert. Die Chiffre gilt als sicher gegen alle bekannten praktischen Angriffe, einschließlich Brute-Force mit klassischen Computern. Ihre Hauptschwäche ist nicht die Mathematik, sondern die Implementierung: schwache Passwörter, Seitenkanal-Leaks und Softwarefehler brechen AES-256 weitaus häufiger als kryptoanalytische Verfahren.

Was ist AES-256-Verschlüsselung?

AES-256 ist eine symmetrische Blockchiffre. „Symmetrisch“ bedeutet, dass derselbe Schlüssel zum Ver- und Entschlüsseln verwendet wird. „Blockchiffre“ bedeutet, dass Daten in festen Blöcken verarbeitet werden – 128 Bit (16 Byte) auf einmal. Die „256“ gibt die Schlüssellänge an: 256 Bit.

Der Advanced Encryption Standard (AES) wurde 2001 vom US-amerikanischen National Institute of Standards and Technology (NIST) nach einem mehrjährigen öffentlichen Wettbewerb ausgewählt. Der Gewinner-Algorithmus Rijndael wurde von Joan Daemen und Vincent Rijmen entwickelt. NIST veröffentlichte ihn als FIPS 197. Der Standard spezifiziert drei Schlüssellängen: 128, 192 und 256 Bit. AES-256 verwendet 14 Runden, AES-128 10.

Wenn Sie in einer Produktbeschreibung „256-Bit-Verschlüsselung“ hören, handelt es sich fast immer um AES-256. Es gibt andere Chiffren mit 256-Bit-Schlüsseln (Twofish, ChaCha20), aber AES ist am weitesten verbreitet und am gründlichsten analysiert.

Dieser Artikel ist der verständliche Überblick. Wenn Sie die tiefere technische Aufschlüsselung der authentifizierten Verschlüsselungsvariante wünschen – die Nonce-Disziplin, das GHASH-Authentifizierungstag, die AEAD-Konstruktion in RFC 5116 – lesen Sie den ausführlichen Leitfaden zu AES-256-GCM.

Wie AES-256 funktioniert

AES arbeitet auf einem 4×4-Raster von Bytes, dem sogenannten State. Jede Runde wendet vier Operationen an:

1. SubBytes – jedes Byte wird durch eine feste Substitutionstabelle (S-Box) ersetzt. Dies führt Nichtlinearität ein.
2. ShiftRows – die Zeilen des State werden zyklisch verschoben. Dies verteilt die Bytes über die Spalten.
3. MixColumns – jede Spalte wird mit einem festen Polynom multipliziert. Dies mischt die Daten weiter.
4. AddRoundKey – der Rundenschlüssel (aus dem Hauptschlüssel abgeleitet) wird in den State eingeführt (XOR).

AES-256 wiederholt diese Schritte 14 Mal. Die erste Runde lässt MixColumns aus. Auch die letzte Runde lässt MixColumns aus. Die Rundenschlüssel werden vom Schlüsselplan erzeugt, der den 256-Bit-Schlüssel in 15 separate 128-Bit-Rundenschlüssel expandiert.

Die Chiffre kann in verschiedenen Modi betrieben werden – im Wesentlichen, wie die Blockchiffre auf Daten angewendet wird, die länger als ein Block sind.

AES-256-GCM: Der empfohlene Modus

GCM steht für Galois/Counter Mode. Es ist ein authentifiziertes Verschlüsselungsschema (AEAD) – es bietet sowohl Vertraulichkeit als auch Integrität. Jede Nachricht wird mit einer eindeutigen 96-Bit-Nonce verschlüsselt. Der Chiffretext enthält ein Authentifizierungstag, das beweist, dass die Daten nicht manipuliert wurden. Die Spezifikation ist RFC 5116.

GCM ist der Standardmodus in TLS 1.2 und TLS 1.3. Es ist auch das, was App-Vault für jede Datei verwendet, die es verschlüsselt. Eine eindeutige Nonce pro Datei verhindert, dass ein Angreifer Chiffretexte vergleichen kann, um identische Dateien zu erkennen.

AES-256-CBC: Legacy-Modus

Cipher Block Chaining (CBC) XORiert jeden Klartextblock vor der Verschlüsselung mit dem vorherigen Chiffretextblock. Es bietet nur Vertraulichkeit. Ohne einen separaten HMAC ist CBC anfällig für Padding-Oracle-Angriffe. NIST und die meisten Sicherheitsbehörden empfehlen heute GCM gegenüber CBC für neue Implementierungen.

AES-256 vs. AES-128

Der Hauptunterschied ist der Schlüsselraum. AES-128 hat 2^128 mögliche Schlüssel. AES-256 hat 2^256. Das ist nicht doppelt so viele – es ist 2^128-mal mehr. Die Zahl 2^128 ist bereits enorm: etwa 340 Undezillionen. 2^256 ist das Quadrat von 2^128.

Für praktische Zwecke sind beide gegen Brute-Force mit klassischen Computern sicher. Die NSA erlaubt AES-128 für Verschlusssachen und AES-256 für streng geheim. Die Wahl ist für die langfristige Geheimhaltung wichtig. Wenn ein Angreifer heute verschlüsselten Datenverkehr aufzeichnet und speichert, könnte ein zukünftiger Durchbruch (oder ein Quantencomputer) AES-128 in Jahrzehnten knacken. AES-256 bietet eine größere Sicherheitsmarge.

Quantencomputer mit Grover-Algorithmus würden die effektive Schlüsselstärke halbieren: AES-256 wird zu 128 Bit, AES-128 zu 64 Bit. 128-Bit-Schlüssel gelten noch als sicher gegen Quantenangriffe für absehbare Zeit, 64-Bit-Schlüssel jedoch nicht. AES-256 ist die sicherere Wahl für Daten, die über 2030 hinaus vertraulich bleiben müssen.

Leistung: AES-256 ist in Software etwa 40 % langsamer als AES-128. Auf modernen CPUs mit AES-NI-Befehlen ist der Unterschied viel geringer – typischerweise 10-20 %. Für die meisten Anwendungen überwiegt der Sicherheitsgewinn die Leistungseinbuße.

Wo AES-256 eingesetzt wird

AES-256 ist überall.

• TLS/HTTPS – Jede sichere Website verwendet AES im GCM- oder CBC-Modus. Die Cipher Suite TLS_AES_256_GCM_SHA384 ist üblich.
• Wi-Fi – WPA2 und WPA3 verwenden AES-CCMP (128-Bit-Schlüssel) oder AES-GCMP (256-Bit-Schlüssel in WPA3-Enterprise).
• iPhone-Dateiverschlüsselung – iOS verschlüsselt Dateien mit AES-256 unter Verwendung von Schlüsseln, die von der Secure Enclave umschlossen werden. Apples Platform Security Guide beschreibt die Schlüsselhierarchie.
• Festplattenverschlüsselung – BitLocker (Windows), FileVault (macOS) und LUKS (Linux) verwenden alle AES-256.
• Messaging – Signal, WhatsApp und iMessage verwenden AES-256 in Kombination mit anderen Primitiven.
• VPNs – OpenVPN, WireGuard und IPsec unterstützen alle AES-256-GCM.

AES-256 ist auch die Verschlüsselungs-Engine in App-Vault. Jedes Foto, Video und jede Datei wird mit AES-256-GCM verschlüsselt, bevor es den Speicher berührt. Der vollständige Stack wird auf der Seite AES-256-GCM-Verschlüsselung dokumentiert.

Wovor AES-256 NICHT schützt

Der Algorithmus ist mathematisch einwandfrei. Die Fehler passieren drumherum.

Schwache Passwörter. AES-256 ist nur so stark wie der Schlüssel. Wenn der Schlüssel von einer vierstelligen PIN abgeleitet wird, kann ein Angreifer alle 10.000 Möglichkeiten in Millisekunden durchprobieren. Schlüsselableitungsfunktionen wie PBKDF2, bcrypt oder Argon2 dehnen schwache Passwörter zu stärkeren Schlüsseln. App-Vault verwendet PBKDF2-SHA256 mit 600.000 Iterationen und einem installationsspezifischen 128-Bit-Salt, um Brute-Force-Versuche zu verlangsamen.

Seitenkanalangriffe. Wenn ein Angreifer Stromverbrauch, elektromagnetische Emissionen oder Cache-Timing messen kann, kann er den Schlüssel wiederherstellen, ohne die Chiffre zu brechen. Hardware-Implementierungen mit AES-NI widerstehen vielen Seitenkanälen. Software-Implementierungen müssen konstante Laufzeit haben, um keine Daten durch Timing preiszugeben.

Implementierungsfehler. AES ist komplex korrekt zu implementieren. Nonce-Wiederverwendung in GCM zerstört die gesamte Sicherheit. Padding-Oracle-Angriffe brechen CBC, wenn die Integritätsprüfung fehlt. Ein einziger Pufferüberlauf kann den Schlüssel preisgeben. Der sicherste Ansatz ist die Verwendung einer gut auditierten Bibliothek des Betriebssystems – Apple’s CryptoKit, iOS CommonCrypto oder OpenSSL.

Physischer Zugriff ohne Verschlüsselung im Ruhezustand. AES-256 schützt Daten im Ruhezustand. Wenn das Gerät eingeschaltet und entsperrt ist, befindet sich der Schlüssel im Arbeitsspeicher. Ein Angreifer mit forensischen Werkzeugen kann den Schlüssel auslesen. Deshalb verwendet die iPhone-Dateiverschlüsselung hardwaregestützte Schlüssel, die beim Sperren des Geräts gelöscht werden.

Der menschliche Faktor. Verschlüsselung verhindert nicht, dass jemand Sie dazu bringt, das Passwort preiszugeben. Sie verhindert keine gerichtliche Anordnung, das Gerät zu entsperren. Sie verhindert nicht, dass eine bösartige App auf demselben Telefon Dateien liest, nachdem sie entschlüsselt wurden.

Die Seite Bedrohungsmodell von App-Vault listet auf, wogegen die App schützt und wogegen nicht. Die ehrliche Antwort: AES-256-GCM schützt vor einem Angreifer, der physischen Zugriff auf das Gerät im gesperrten Zustand erhält oder das verschlüsselte Backup abfängt. Es schützt nicht vor einem Keylogger auf dem Gerät oder einem Gummischlauch-Angriff.

Wie App-Vault AES-256-GCM einsetzt

App-Vault implementiert AES-256-GCM mit mehreren Schichten über die Chiffre hinaus.

Eindeutige Nonce pro Datei. Jeder Verschlüsselungsvorgang erzeugt eine frische 96-Bit-Nonce mit dem Zufallszahlengenerator der Secure Enclave. Selbst wenn zwei Dateien identisch sind, unterscheiden sich ihre Chiffretexte. Ein Angreifer kann keine Rückschlüsse auf Dateiinhalte durch Vergleiche von Größen oder Mustern ziehen.

Schlüsselableitung aus dem Muster. Das 5×5-Pattern-Lock des Benutzers wird mit PBKDF2-SHA256 und 600.000 Iterationen in einen 256-Bit-Schlüssel umgewandelt. Die Iterationszahl folgt der OWASP-Empfehlung von 2026. Der Salt ist 128 Bit, pro Installation generiert. Der resultierende Schlüssel wird dann von einem Schlüssel umschlossen, der in der iPhone Secure Enclave generiert wird. Der Enclave-Schlüssel verlässt den Chip nie. Das bedeutet, selbst wenn ein Angreifer die PBKDF2-Ausgabe aus dem Arbeitsspeicher extrahiert, kann er Dateien ohne Zugriff auf die Secure Enclave nicht entschlüsseln.

Keine Server. App-Vault führt standardmäßig keine Netzwerkaufrufe durch. Verschlüsselungsschlüssel verlassen das Gerät nie. Verschlüsseltes iCloud-Backup ist optional und verwendet einen separaten gerätespezifischen Backup-Schlüssel. Apple erhält nur Chiffretext. Dies ist eine Zero-Knowledge-Architektur: App-Vault kann Ihre Dateien nicht lesen, selbst wenn es dazu gezwungen wird.

Katalogverschlüsselung. Die Liste der Dateien – ihre Namen, Größen und Daten – ist ebenfalls verschlüsselt. Ein Angreifer mit Rohspeicherzugriff kann nicht feststellen, wie viele Dateien im Tresor sind, geschweige denn, welche.

Deco-Tresor. Die Funktion Deco-Tresor erstellt einen zweiten, mathematisch unabhängigen verschlüsselten Katalog hinter einem anderen Muster. Jeder Tresor verwendet seine eigene Schlüsselableitungskette. Die Existenz eines Tresors verrät den anderen nicht.

Das Fazit

AES-256-Verschlüsselung ist der Goldstandard für Datenvertraulichkeit. Bei korrekter Implementierung – mit authentifizierter Verschlüsselung, eindeutigen Nonces, starker Schlüsselableitung und hardwaregestützter Schlüsselspeicherung – bietet sie ein Sicherheitsniveau, das kein bekannter Angreifer brechen kann.

Aber Verschlüsselung ist ein Werkzeug, kein Talisman. Sie schützt nicht vor schwachen Passwörtern, kompromittierten Geräten oder Social Engineering. Die beste Chiffre der Welt ist nutzlos, wenn der Benutzer „1234“ als Tresorcode festlegt.

App-Vaults Design trägt dieser Realität Rechnung. Der Kryptographie-Stack verwendet AES-256-GCM mit Secure-Enclave-Umschließung, PBKDF2 mit 600.000 Iterationen und Zero-Knowledge-Architektur. Die Seite Pattern-Lock erklärt genau, wie aus einem 5×5-Gitter ein 256-Bit-Schlüssel wird. Der Vergleich mit Keepsafe zeigt, wie verschiedene Apps dasselbe Problem angehen.

AES-256 ist keine Magie. Es ist Mathematik. Und Mathematik, richtig angewandt, ist das, was dem Garantieversprechen für Privatsphäre, das die Ingenieurskunst bieten kann, am nächsten kommt.