AES – Advanced Encryption Standard
Abkürzung: AES
AES wurde von Joan Daemen und Vincent Rijmen entworfen und ging 2000 als Sieger aus einem offenen Wettbewerb des amerikanischen National Institute of Standards and Technology hervor, der einen Nachfolger für den in die Jahre gekommenen Data Encryption Standard finden sollte. Nach den Namen der Entwickler wird das Verfahren auch Rijndael genannt.
Symmetrisch heißt: Beide Seiten verwenden denselben Schlüssel. Wie dieser Schlüssel zu beiden Seiten kommt, ist nicht Aufgabe von AES — das leisten die asymmetrischen Verfahren, siehe Public Key.
Blöcke, Schlüssel, Runden
AES ist eine Blockchiffre mit einer festen Blockgröße von 128 Bit. Die Schlüssellänge ist wählbar und bestimmt, wie viele Runden das Verfahren durchläuft:
| Variante | Schlüssellänge | Runden |
|---|---|---|
| AES-128 | 128 Bit | 10 |
| AES-192 | 192 Bit | 12 |
| AES-256 | 256 Bit | 14 |
Jede Runde wendet dieselben vier Schritte an — Byteersetzung über eine Tabelle, zeilenweise Verschiebung, spaltenweise Mischung und Verknüpfung mit einem Rundenschlüssel. Dass die Struktur so gleichmäßig ist, erklärt die gute Umsetzbarkeit in Hardware.
AES-256 ist dabei nicht „doppelt so sicher" wie AES-128. Beide gelten als ungebrochen; der Unterschied ist Vorsorge, nicht Behebung eines bekannten Mangels. Teil 1 der Technischen Richtlinie BSI TR-02102 nennt alle drei Varianten als geeignet.
Die Betriebsart entscheidet
Hier liegt der Punkt, an dem in der Praxis die Fehler passieren. AES verschlüsselt einen Block von 16 Byte. Was mit längeren Daten geschieht, legt nicht AES fest, sondern die Betriebsart — und deren Wahl ist sicherheitsentscheidend:
| Betriebsart | Eigenschaft | Beurteilung |
|---|---|---|
| ECB | jeder Block unabhängig | unbrauchbar |
| CBC | Blöcke verkettet, braucht Initialisierungsvektor | nur mit separater Integritätsprüfung |
| CTR | macht aus der Blockchiffre einen Schlüsselstrom | Baustein, allein ohne Integrität |
| GCM | CTR plus Authentifizierung in einem Schritt | empfohlen |
ECB ist der klassische Anfängerfehler: Gleiche Klartextblöcke ergeben gleiche Geheimtextblöcke. Verschlüsselt man damit ein Bild, bleibt dessen Umriss im Geheimtext sichtbar. Für strukturierte Daten gilt dasselbe weniger anschaulich, aber genauso.
GCM ist die heute übliche Wahl, weil es zur Verschlüsselung gleich den Nachweis der Unverändertheit liefert. Verfahren dieser Bauart heißen AEAD — Authenticated Encryption with Associated Data — und sind in TLS 1.3 vorgeschrieben. Der Grund dafür steht unter Cipher Suite: Die Trennung von Verschlüsselung und nachgelagerter Prüfung war über Jahre eine verlässliche Fehlerquelle.
Eine Regel gilt für alle Betriebsarten außer ECB: Derselbe Initialisierungsvektor oder Zähler darf unter demselben Schlüssel nie zweimal verwendet werden. Bei GCM ist die Folge einer Wiederholung besonders unangenehm — sie erlaubt es, den Authentifizierungsschlüssel zu bestimmen und damit beliebige Daten als echt auszugeben.
Warum AES so schnell ist
Gängige Prozessoren bringen eigene Befehle für AES mit, bekannt als AES-NI, die eine Runde in Hardware ausführen. Das bringt den Faktor einer Größenordnung und hat einen Nebeneffekt, der mindestens so wichtig ist: Die Hardwareumsetzung läuft in konstanter Zeit und ist damit gegen Angriffe geschützt, die aus Laufzeitunterschieden auf den Schlüssel schließen. Reine Softwareumsetzungen mit Tabellenzugriffen sind dafür anfällig.
Fehlen diese Befehle — bei älteren Mobilgeräten und auf eingebetteter Hardware — ist ChaCha20 in Verbindung mit Poly1305 die schnellere und sicherere Wahl. Deshalb führt TLS 1.3 beide Verfahren nebeneinander.
Wo AES eingesetzt wird
Praktisch überall, wo Daten symmetrisch verschlüsselt werden: in TLS als Nutzdatenverschlüsselung, im WLAN als CCMP beziehungsweise GCMP unter WPA 2 und 3, in IPsec, in SSH, bei der Festplattenverschlüsselung und in Archivformaten.
Der Vorgänger DES ist mit 56 Bit Schlüssellänge seit den neunziger Jahren durch Ausprobieren brechbar. Die Zwischenlösung Triple DES, die DES dreifach anwendet, gilt inzwischen ebenfalls als abgekündigt und sollte nirgends mehr neu eingerichtet werden.
AES und der Quantenrechner
Anders als die asymmetrischen Verfahren bleibt AES bestehen. Der Grover-Algorithmus beschleunigt das Durchsuchen des Schlüsselraums, halbiert aber nur die wirksame Schlüssellänge — AES-256 bietet damit weiterhin 128 Bit Sicherheit, und das reicht auf absehbare Zeit.
Die symmetrische Verschlüsselung ist deshalb nicht die Baustelle des Übergangs. Die liegt bei der Schlüsseleinigung, siehe Post-Quantum-Kryptografie.