AES-256 Verschlüsselung: Was sie schützt, wie sie funktioniert und wovon sie abhängt

AES-256 ist der Advanced Encryption Standard mit einem 256-Bit-Schlüssel. Es handelt sich um eine symmetrische Blockchiffre, die in FIPS 197 spezifiziert ist. Das bedeutet, dass derselbe Schlüssel Daten ver- und entschlüsselt. Die Chiffre schützt Daten in 128-Bit-Blöcken durch 14 Runden aus Substitution, Permutation, Durchmischung und Schlüsseladdition. Ein praktischer Angriff auf das vollständige AES-256 ist nicht bekannt, und das Durchprobieren eines 256-Bit-Schlüssels ist rechnerisch nicht durchführbar. In realen Umgebungen ist die Chiffre selten das schwache Glied. Die Sicherheit hängt davon ab, wie Schlüssel erzeugt, gespeichert, rotiert und kontrolliert werden und ob die Chiffre in einem soliden Modus mit einem validierten kryptografischen Modul eingesetzt wird.

Für regulierte Organisationen ist AES-256 die Grundlage, die Regelwerke wie HIPAA (US-Gesetz zum Schutz von Gesundheitsdaten), CMMC und FedRAMP erwarten, in der Regel zusammen mit FIPS-140-3-validierter Kryptografie und starker Schlüsselverwaltung. Kiteworks wendet AES-256 auf Dateiebene und erneut auf Festplattenebene an, unterstützt kundeneigene Schlüssel und Hardware-Sicherheitsmodule und bietet die Control Plane für den sicheren Datenaustausch, die steuert, wie verschlüsselte Daten zwischen Menschen, Maschinen und Systemen übertragen werden.

Diese Seite bietet allgemeine Informationen und keine Rechts- oder Compliance-Beratung. Wenn Sie wissen möchten, wie Verschlüsselungsanforderungen auf Ihre Organisation anzuwenden sind, wenden Sie sich an Ihr Sicherheits-, Rechts- oder Compliance-Team.

Wichtigste Erkenntnisse

1. AES-256 ist eine symmetrische Chiffre mit 256-Bit-Schlüssel

Derselbe geheime Schlüssel ver- und entschlüsselt, daher ist der Schutz dieses Schlüssels ebenso wichtig wie der Algorithmus. Die Chiffre nutzt 14 Runden und 128-Bit-Blöcke und ist der symmetrische Algorithmus, den die CNSA-2.0-Suite der NSA für Systeme der nationalen Sicherheit vorgibt.

2. Brute Force ist nicht die realistische Bedrohung

Ein 256-Bit-Schlüsselraum umfasst etwa 1,16 × 10⁷⁷ mögliche Schlüssel, sodass eine vollständige Suche außer Reichweite liegt. Reale Vorfälle gehen auf gestohlene oder schlecht verwaltete Schlüssel, Implementierungsfehler, Seitenkanal-Lecks und den falschen Einsatz von Betriebsmodi zurück.

3. Der Betriebsmodus verändert das Sicherheitsergebnis

Verwenden Sie für die meisten Daten bei der Übertragung und bei der Dateiverschlüsselung einen authentifizierten Modus wie AES-GCM. ECB legt Muster offen, CBC und CTR bieten Vertraulichkeit ohne Integrität, und XTS ist für Speichergeräte konzipiert, nicht für Nachrichten oder Dateien bei der Übertragung.

4. AES-256 gilt als widerstandsfähig gegen Quantenangriffe auf symmetrische Schlüssel

Der Grover-Algorithmus halbiert die effektive Stärke eines symmetrischen Schlüssels ungefähr und lässt AES-256 bei nahezu 128 Bit Sicherheit. Deshalb behalten die Vorgaben für die nationale Sicherheit AES-256 als symmetrischen Standard bei, während Public-Key-Algorithmen auf Post-Quanten-Alternativen umgestellt werden.

5. Compliance erfordert mehr als den Algorithmus

Regelwerke verlangen validierte kryptografische Module, dokumentierte Schlüsselverwaltung und Zugriffskontrollen rund um die Schlüssel. Die Aussage „Wir verwenden AES-256“ erfüllt eine Anforderung nach FIPS 140-3 nicht ohne ein validiertes Modul.

Was ist die AES-256-Verschlüsselung?

AES-256 ist der Advanced Encryption Standard mit einem 256-Bit-Schlüssel. Es ist eine in FIPS 197 definierte symmetrische Blockchiffre: Derselbe Schlüssel ver- und entschlüsselt, und die Daten werden in 128-Bit-Blöcken verarbeitet. AES unterstützt auch 128-Bit- und 192-Bit-Schlüssel, aber AES-256 bietet die größte Schlüssellänge und die höchste Sicherheitsreserve. Regierungen, Finanzinstitute, Gesundheitsorganisationen und Technologieanbieter setzen es ein, um sensible Daten im Ruhezustand und bei der Übertragung zu schützen.

Woher stammt AES?

Die US-Regierung führte 1977 den Data Encryption Standard (DES) ein, doch sein 56-Bit-Schlüssel wurde mit wachsender Rechenleistung für Brute-Force-Suchen anfällig. 1997 eröffnete das National Institute of Standards and Technology (NIST) einen öffentlichen Wettbewerb, um einen Nachfolger auszuwählen. Im Oktober 2000 wählte das NIST die Chiffre Rijndael aus, die von den belgischen Kryptografen Joan Daemen und Vincent Rijmen entworfen wurde, und veröffentlichte sie im November 2001 als FIPS 197. Nach Jahren öffentlicher Kryptoanalyse ist AES weiterhin die weltweit am häufigsten eingesetzte symmetrische Chiffre.

Wie funktioniert AES-256?

AES-256 ordnet jeden 128-Bit-Block in einem 4-mal-4-Raster aus Bytes an, das als State bezeichnet wird. Ein Schritt zur Schlüsselexpansion leitet aus dem 256-Bit-Schlüssel 15 Rundenschlüssel mit jeweils 128 Bit ab. Die Chiffre wendet dann eine anfängliche Schlüsseladdition an, gefolgt von 14 Runden mit diesen Operationen:

1. SubBytes: Jedes Byte wird anhand einer festen Substitutionstabelle ersetzt, was Nichtlinearität erzeugt.
2. ShiftRows: Die Zeilen des Rasters werden um unterschiedliche Versätze verschoben, sodass sich die Bytes über die Spalten verteilen.
3. MixColumns: Jede Spalte wird durch eine lineare Transformation durchmischt, sodass jedes Ausgabebyte von mehreren Eingabebytes abhängt. Die letzte Runde lässt diesen Schritt aus.
4. AddRoundKey: Der State wird per XOR mit dem Rundenschlüssel verknüpft.

Die Entschlüsselung wendet die inversen Operationen in umgekehrter Reihenfolge mit demselben Schlüssel an. Die Zahl der Runden hängt von der Schlüssellänge ab: 10 bei AES-128, 12 bei AES-192 und 14 bei AES-256. Die zusätzlichen Runden sind der Hauptgrund, warum AES-256 etwas langsamer ist als AES-128.

Ist die AES-Verschlüsselung symmetrisch oder asymmetrisch?

AES ist symmetrisch. Beide Seiten brauchen denselben geheimen Schlüssel, was ein Problem bei der Schlüsselverteilung schafft: Wie teilt man diesen Schlüssel sicher? In der Praxis lösen Systeme dies mit asymmetrischer Kryptografie. Ein Protokoll wie TLS nutzt Public-Key-Verfahren, um sich auf einen neuen symmetrischen Schlüssel zu einigen, und anschließend verschlüsselt AES die Massendaten effizient. Unser Leitfaden zu öffentlichen und privaten Schlüsseln erklärt die asymmetrische Seite dieses Zusammenspiels.

Wie sicher ist die AES-256-Verschlüsselung?

Ein 256-Bit-Schlüssel hat etwa 1,16 × 10⁷⁷ mögliche Werte, sodass eine vollständige Suche mit keiner bekannten oder absehbaren klassischen Rechentechnik machbar ist. Jahre öffentlicher Analyse haben keinen praktischen Angriff auf das vollständige AES-256 hervorgebracht. Die veröffentlichten Ergebnisse sind theoretisch:

• Biclique-Kryptoanalyse (2011) senkt den Aufwand auf etwa 2^254,4 Operationen, eine vernachlässigbare Verbesserung gegenüber Brute Force.
• Related-Key-Angriffe (2009) zeigen Schwächen im Schlüsselplan von AES-256, setzen aber voraus, dass ein Angreifer Verschlüsselungen unter Schlüsseln mit einer gewählten mathematischen Beziehung erhält. Gut konzipierte Protokolle geben Angreifern diese Möglichkeit nicht.

Praktische Ausfälle haben andere Ursachen:

• Seitenkanalangriffe, die auf schlecht implementierten Systemen Schlüssel aus Laufzeit, Stromverbrauch oder Cache-Verhalten ableiten.
• Schwache Schlüsselerzeugung aus vorhersagbaren Zufallsquellen.
• Offenlegung von Schlüsseln durch falsch konfigurierten Speicher, gestohlene Zugangsdaten oder Schadsoftware auf dem Host. Ein System, das den Schlüssel im Arbeitsspeicher hält, kann ihn preisgeben. Kontrollen wie Zero-Trust-Sicherheit, Multi-Faktor-Authentifizierung und Data Loss Prevention verringern diese Gefahr.
• Falscher Einsatz von Modi, etwa die Wiederverwendung einer Nonce bei AES-GCM, was Vertraulichkeit und Integrität gefährden kann.

Die Schlussfolgerung für Sicherheitsteams: Betrachten Sie den Algorithmus als stark und konzentrieren Sie sich auf Schlüssel, Implementierung und betriebliche Kontrollen. Unser Beitrag zum Schutz über AES-256 hinaus behandelt die Schichten, die die Chiffre umgeben.

Können Quantencomputer AES-256 brechen?

Der Shor-Algorithmus bedroht Public-Key-Verfahren wie RSA und die Kryptografie auf elliptischen Kurven, lässt sich aber nicht auf AES anwenden. Die relevante Quantenbedrohung für symmetrische Chiffren ist der Grover-Algorithmus, der eine quadratische Beschleunigung der Schlüsselsuche bietet. Praktisch senkt er die effektive Stärke von AES-256 auf etwa 128 Bit, was weiterhin als sicher gilt. Deshalb behält die Commercial National Security Algorithm Suite 2.0 der NSA AES-256 als symmetrische Chiffre bei und stellt Schlüsselaustausch und Signaturen auf Post-Quanten-Algorithmen um. Zur Public-Key-Seite dieses Übergangs lesen Sie unsere Analyse zur Bedrohung der Verschlüsselung durch Quantencomputer.

AES-128, AES-192 oder AES-256: Was sollten Sie verwenden?

Variante	Schlüssellänge	Runden	Typischer Einsatz
AES-128	128 Bit	10	Allgemeiner kommerzieller Einsatz, bei dem Geschwindigkeit Priorität hat
AES-192	192 Bit	12	In der Praxis selten
AES-256	256 Bit	14	Regulierte Daten, lange Aufbewahrungsfristen und Systeme der nationalen Sicherheit

AES-256 durchläuft 14 statt 10 Runden, das sind etwa 40 % mehr Runden. Auf Prozessoren mit Hardwarebeschleunigung für AES (AES-NI) bedeutet dieser Unterschied in der Praxis meist nur geringe Mehrkosten. Wählen Sie AES-256, wenn Daten über viele Jahre geschützt bleiben müssen, wenn ein Regelwerk es vorgibt oder wenn Sie die größte Sicherheitsreserve wünschen. AES-128 bleibt für viele kommerzielle Einsatzzwecke sicher.

Welchen AES-Betriebsmodus sollten Sie verwenden?

AES verschlüsselt jeweils einen 128-Bit-Block, daher legt ein Betriebsmodus fest, wie längere Daten behandelt werden. Die Wahl ist ebenso wichtig wie die Schlüssellänge:

• ECB (Electronic Codebook): verschlüsselt jeden Block unabhängig, sodass identische Klartextblöcke identische Chiffretextblöcke erzeugen. Der Modus legt Muster offen und sollte vermieden werden.
• CBC (Cipher Block Chaining): verkettet Blöcke mithilfe eines unvorhersehbaren Initialisierungsvektors. Er bietet Vertraulichkeit, aber keine Integrität und braucht daher einen separaten Authentifizierungsschritt.
• CTR (Counter): macht AES mit einem eindeutigen Zähler zu einer Stromchiffre. Er ist schnell und parallelisierbar, bietet aber allein ebenfalls keine Integrität.
• GCM (Galois/Counter Mode): kombiniert die CTR-Verschlüsselung mit Authentifizierung und erkennt dadurch Manipulationen. Er ist eine verbreitete Wahl für TLS, Dateiverschlüsselung und Netzwerkprotokolle und erfordert für jede Verschlüsselung unter demselben Schlüssel eine eindeutige Nonce.
• XTS (XEX-based Tweaked Codebook with Ciphertext Stealing): ist für die Verschlüsselung gespeicherter Daten auf Datenträgern konzipiert. Er bietet Vertraulichkeit, aber keine Authentifizierung und erkennt daher keine Änderungen an gespeicherten Daten.

Das NIST beschreibt diese Modi in der Reihe SP 800-38. Wenn Sie die Wahl haben, verwenden Sie einen authentifizierten Modus.

Wo wird AES-256 in der Praxis eingesetzt?

AES-256 schützt Daten an den meisten Stellen, an denen Organisationen sie speichern und übertragen:

• Daten bei der Übertragung: TLS-Cipher-Suites mit AES-256-GCM schützen Webverkehr, APIs und SFTP-Sitzungen.
• Daten im Ruhezustand: Festplattenverschlüsselung, Datenbankverschlüsselung und verschlüsselte Backups.
• Dateien und E-Mail: verschlüsselte Dateifreigabe, Managed File Transfer und E-Mail-Schutz.
• Regierung und Verteidigung: Schutz von Verschlusssachen und kontrollierten nicht klassifizierten Informationen.

Hinweise zur Umsetzung finden Sie in unseren Best Practices zur Datenverschlüsselung.

Wo entscheidet die Schlüsselverwaltung über die Sicherheit?

Da AES symmetrisch ist, kann jeder, der den Schlüssel erlangt, die Daten lesen. Die Schlüsselverwaltung trägt deshalb den Großteil der praktischen Sicherheitslast:

• Erzeugung: Schlüssel mit einem kryptografisch sicheren Zufallszahlengenerator erzeugen.
• Speicherung: Schlüssel getrennt von den Daten aufbewahren, die sie schützen, idealerweise in einem Hardware-Sicherheitsmodul (HSM) oder einem Schlüsselverwaltungsdienst. Lesen Sie dazu unseren Leitfaden zum Schutz von Schlüsseln mit HSM.
• Rotation: Schlüssel nach einem festgelegten Zeitplan und nach jedem vermuteten Bekanntwerden wechseln. Lesen Sie über Strategien zur Rotation von Verschlüsselungsschlüsseln.
• Zugriffskontrolle: begrenzen, wer und was Schlüssel verwenden oder exportieren darf, und jede Verwendung protokollieren.
• Eigentum: entscheiden, wer die Schlüssel kontrolliert. Lesen Sie, warum kundeneigene Verschlüsselungsschlüssel für die Datenschutz-Compliance wichtig sind.

Was erwarten Compliance-Regelwerke von AES-256?

Die meisten Regelwerke belassen es nicht dabei, einen Algorithmus zu nennen. Sie erwarten validierte Implementierungen und dokumentierte Schlüsselverwaltung:

• FIPS 140-3: Das NIST validiert kryptografische Module, nicht nur Algorithmen. Ein Produkt kann AES-256 verwenden und trotzdem kein validiertes Modul haben. Erfahren Sie mehr über FIPS 140-3 und FIPS-Compliance auf der Kiteworks-Plattform.
• CMMC und NIST SP 800-171: verlangen FIPS-validierte Kryptografie, um die Vertraulichkeit kontrollierter nicht klassifizierter Informationen zu schützen (Anforderung 3.13.11 in Revision 2). Lesen Sie, wie AES-256 die CMMC-Compliance unterstützt.
• HIPAA: behandelt Verschlüsselung als adressierbare Schutzmaßnahme, und ordnungsgemäß verschlüsselte Daten können für die Safe-Harbor-Regelung bei der Meldung von Datenschutzverletzungen infrage kommen. Lesen Sie unseren Leitfaden zum HIPAA-Safe-Harbor für Verschlüsselung.
• DSGVO: Art. 32 DSGVO nennt Verschlüsselung als Beispiel für eine geeignete technische Maßnahme.
• PCI DSS: verlangt starke Kryptografie zum Schutz gespeicherter Kontodaten.

Wie Kiteworks AES-256 über den gesamten Lebenszyklus des Datenaustauschs anwendet

Kiteworks bietet die Control Plane für den sicheren Datenaustausch, die Verschlüsselung durchgängig über E-Mail, Dateifreigabe, Managed File Transfer und APIs anwendet. Die Plattform unterstützt AES-256 auf folgende Weise:

• Doppelte Verschlüsselung. Jede Datei wird auf Dateiebene mit einem eindeutigen Schlüssel verschlüsselt, und das Speichervolumen wird auf Festplattenebene mit einem anderen Schlüssel verschlüsselt. Erfahren Sie mehr über die doppelte Verschlüsselung.
• Kundeneigene Schlüssel. Kunden besitzen ihre Verschlüsselungsschlüssel, sodass Mitarbeitende von Kiteworks die Daten eines Kunden nicht entschlüsseln können.
• HSM-Integration. Organisationen können Schlüssel außerhalb der Plattform mit unterstützten Hardware-Sicherheitsmodulen speichern und verwalten, darunter Thales Luna Network HSMs und AWS Key Management Service.
• FIPS-140-3-validierte Kryptografie. Das kryptografische Modul von Kiteworks ist unter dem NIST-CMVP-Zertifikat #4980 validiert.
• Automatische E-Mail-Verschlüsselung. Das Kiteworks Email Protection Gateway kann ausgehende Nachrichten, die sensible Daten enthalten, mit AES-256 verschlüsseln.

Entdecken Sie die Kiteworks Data Control Plane oder lesen Sie, wie Verschlüsselung in den sicheren Dateiaustausch und in Managed File Transfer eingebunden ist.

Zurück zum Glossar für Risiko & Compliance