So funktioniert die Verschlüsselung

Ihre Passphrase ist nicht der Verschlüsselungsschlüssel. Sie durchläuft zuerst PBKDF2, die in RFC 8018 spezifizierte Funktion zur Ableitung von Schlüsseln aus Kennwörtern, für die NIST SP 800-132 den Einsatz beschreibt. Die Funktion verknüpft die Passphrase 100.000 Mal mit einem zufälligen Salz und wendet dabei die Hashfunktion an; das Ergebnis dient als AES-Schlüssel. Das Salz entsteht bei jedem Vorgang neu und wird neben dem Geheimtext gespeichert. Es ist nicht geheim und muss es auch nicht sein. In der Web Crypto API steckt dahinter ein einziger Aufruf: crypto.subtle.deriveKey mit Hash, Salz und Iterationszahl als Parameter.

Nur zwei Größen bestimmen den Aufwand eines Angriffs: wie viele Versuche sich ein Angreifer leisten kann und wie teuer ein einzelner Versuch ist. Eine hohe Iterationszahl verteuert jeden Versuch. Eine lange, unvorhersehbare Passphrase verkleinert die Zahl der sinnvollen Versuche. Beides zusammen schiebt einen vollständigen Suchlauf weit über das hinaus, was ein realistischer Angreifer finanzieren kann, während eine kurze Alltagsphrase mit derselben Iterationszahl billig zu prüfen bleibt. Eine höhere Iterationszahl bremst jeden einzelnen Versuch, doch eine schwache Passphrase bleibt schwach.

AES-256-GCM ist in NIST SP 800-38D festgelegt und erledigt zwei Aufgaben zugleich. Es verschlüsselt mit einem 256-Bit-Schlüssel und hängt einen 128-Bit-Authentifizierungs-Tag an, der über den Geheimtext und über die zugehörigen, unverschlüsselt bleibenden Daten berechnet wird. Beim Entschlüsseln wird dieser Wert neu berechnet und verglichen. Wurde irgendwo im Geheimtext ein einziges Bit verändert — durch einen Speicherfehler, einen beschädigten Download oder eine gezielte Manipulation —, schlägt der Vergleich fehl, und die Entschlüsselung liefert einen Fehler statt plausibel aussehender Datenreste.

GCM kennt außerdem eine harte Regel: Ein Nonce darf sich unter demselben Schlüssel niemals wiederholen. Sonst werden Beziehungen zwischen zwei Nachrichten sichtbar, und im schlimmsten Fall gerät der Authentifizierungsschlüssel selbst in Gefahr. Deshalb wird für jeden Vorgang ein neuer Zufallswert erzeugt und nicht ein Zähler fortgeschrieben, den man zurücksetzen könnte. Authentifizierung ist dennoch keine Signatur. Sie belegt, dass der Geheimtext mit Ihrem Schlüssel entstanden ist. Wer ihn Ihnen geschickt hat, verrät sie nicht.

Verschlüsselung wandelt Daten um; sie vervielfacht sie nicht. Existiert die einzige Kopie des Geheimtextes nicht mehr, weil sie gelöscht, überschrieben oder mit einem Datenträger verloren ging, holt keine Passphrase sie zurück. Fehlt der Schlüssel, sind die verschlüsselten Bytes mathematisch wertlos. Es gibt keinen Wiederherstellungspfad, keinen Link zum Zurücksetzen und keine Ausnahme durch den Anbieter, denn auf dem Server liegen ausschließlich verschlüsselte Daten. Behandeln Sie Geheimtext und Schlüssel als zwei getrennte Dinge, die jeweils eine eigene Kopie brauchen.

Der Schutz endet außerdem am Endgerät. Schadsoftware, eine manipulierte Browser-Erweiterung oder ein mitlesender Blick auf den Bildschirm hebeln ihn aus, denn der Klartext liegt vor und nach dem Rechenschritt auf dem Gerät. Auch Metadaten setzen eine Grenze: Dateinamen, Größen, Zeitstempel und Speicherdauer bleiben in der Regel lesbar, selbst wenn der Inhalt es nicht ist. Rechnen Sie mit diesen Lücken, bevor Sie sich allein auf Verschlüsselung verlassen.