AES-Verschlüsselungstool — GCM, CBC & CTR

Was ist AES-Verschlüsselung?

// AES-256-GCM with a passphrase (PBKDF2-HMAC-SHA256, 600,000 iterations).
// Identical code runs in the browser and in Node.js 20+ via Web Crypto.
async function aesGcmEncrypt(plaintext, passphrase) {
  const enc = new TextEncoder();
  const salt = crypto.getRandomValues(new Uint8Array(16));
  const iv = crypto.getRandomValues(new Uint8Array(12));
  const baseKey = await crypto.subtle.importKey(
    'raw', enc.encode(passphrase), 'PBKDF2', false, ['deriveKey']);
  const key = await crypto.subtle.deriveKey(
    { name: 'PBKDF2', salt, iterations: 600000, hash: 'SHA-256' },
    baseKey, { name: 'AES-GCM', length: 256 }, false, ['encrypt']);
  const ct = new Uint8Array(await crypto.subtle.encrypt(
    { name: 'AES-GCM', iv }, key, enc.encode(plaintext)));
  const packed = new Uint8Array([...salt, ...iv, ...ct]); // salt(16) | iv(12) | ct+tag
  return btoa(String.fromCharCode(...packed));            // self-contained Base64
}

Hauptfunktionen

Beispiele für AES-Verschlüsselung

The quick brown fox jumps over the lazy dog.

Salt (16 B) + IV (12 B) + Chiffretext + Tag (16 B), Base64-kodiert — bei jedem Durchlauf ein neuer Wert

Attack at dawn!

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=

So verschlüsseln Sie Text mit AES

1. 1

   Modus und Schlüsselgröße wählen

   Belassen Sie den Modus bei GCM (empfohlen) und die Schlüsselgröße bei 256 für die stärkste sinnvolle Standardeinstellung. Wechseln Sie nur dann zu CBC oder CTR, wenn ein Zielsystem dies erfordert.

2. 2

   Passphrase oder Rohschlüssel wählen

   Belassen Sie den Schlüsseltyp bei Passphrase und geben Sie eine starke Passphrase ein, oder wechseln Sie zu Rohschlüssel und fügen Sie einen exakten 128/192/256-Bit-Schlüssel als Hex oder Base64 ein. Das Byte-Anzahl-Badge bestätigt, ob Ihr Rohschlüssel eine gültige Länge hat.

3. 3

   Zu verschlüsselnden Text eingeben

   Geben Sie Ihren Klartext ein oder fügen Sie ihn ein. Die Verschlüsselung läuft automatisch beim Tippen, vollständig in Ihrem Browser — kein Button-Roundtrip und kein Upload.

4. 4

   In sich geschlossenen Chiffretext kopieren

   Das Base64-Ergebnis rechts enthält bereits Salt, IV und Authentifizierungs-Tag. Nutzen Sie die Segmentleiste, um den Byte-Aufbau zu sehen, und klicken Sie dann auf Kopieren. Wechseln Sie die Ausgabekodierung zu Hex, wenn Ihr Zielsystem das erwartet.

5. 5

   Bei Bedarf wieder entschlüsseln

   Geben Sie den Chiffretext, die Passphrase sowie denselben Modus und dieselbe Schlüsselgröße an die Empfängerin oder den Empfänger weiter, oder öffnen Sie die AES-Entschlüsselungsseite, um es selbst rückgängig zu machen.

Häufige Fehler bei der AES-Verschlüsselung

Key type: Raw key
Key (hex): correct horse battery staple   (not hex, not 32 bytes)

Key type: Passphrase
Passphrase: correct horse battery staple   (stretched with PBKDF2)

// same key, same IV for two messages
encrypt(key, iv, a); encrypt(key, iv, b);

// fresh random IV each time (the default)
encrypt(key, randomIV(), a);

stored = ciphertext              // salt + IV + tag thrown away

stored = salt + iv + ciphertext + tag   // the full Base64 string

assert(encrypt(msg) === encrypt(msg))   // fails — and should

assert(decrypt(encrypt(msg)) === msg)   // this is what must hold

Was Sie mit AES-Verschlüsselung tun können

Lernen, wie sich AES-Modi verhalten

Wechseln Sie mit derselben Eingabe zwischen GCM, CBC und CTR, um zu sehen, wie sich Authentifizierung, IV-Länge und Chiffretextgröße ändern. Ein praktischer Weg, um zu verstehen, was NIST SP 800-38D tatsächlich vorgibt.

Chiffretext erzeugen, den ein anderes System lesen kann

Erzeugen Sie die Ausgabe im OpenSSL-Format Salted__ (oder als Rohschlüssel plus IV), sodass ein Backend, ein Skript oder eine Kollegin bzw. ein Kollege mit openssl oder einer Kryptobibliothek es reibungslos entschlüsseln kann.

Eine kurze Notiz oder ein Snippet verschlüsseln

Schützen Sie ein einmaliges Stück persönlichen Text — eine Wiederherstellungsphrase, die Sie zwischen Geräten verschieben, ein Snippet in einem Support-Ticket — mit einer Passphrase, die nur Sie kennen. Nicht für regulierte oder Produktionsgeheimnisse.

Ein Verschlüsselungsformat prototypisch entwickeln

Legen Sie hier Ihr Salt/IV/Tag-Layout und Ihre KDF-Einstellungen fest, bevor Sie den Code schreiben, und nutzen Sie die Segment-Aufschlüsselung, um Byte-Reihenfolge und -Längen zu bestätigen.

Testvektoren erzeugen

Erstellen Sie bekannten Chiffretext mit einer festen Passphrase und einem festen Modus, um Ihre eigenen Entschlüsselungstests zu speisen, und überprüfen Sie den Roundtrip dann auf der AES-Entschlüsselungsseite.

AES-Modi & Schlüsselableitung

GCM (Galois/Counter Mode) — authentifiziert, empfohlen

Vertraulichkeit plus ein 128-Bit-Authentifizierungs-Tag (NIST SP 800-38D). Es verwendet einen 96-Bit-(12-Byte-)IV, der bei jeder Verschlüsselung zufällig erzeugt wird, und sowohl Ver- als auch Entschlüsselung parallelisieren gut. Die eine Regel, die Sie niemals brechen dürfen: Verwenden Sie niemals einen IV mit demselben Schlüssel wieder. SP 800-38D begrenzt einen einzelnen Schlüssel auf etwa 2^32 zufällig erzeugte IVs, und eine Wiederholung gibt das XOR zweier Klartexte preis und kann sogar den Authentifizierungsschlüssel offenlegen, der den Tag schützt. Am besten für fast alles geeignet.

CBC (Cipher Block Chaining) — nur Vertraulichkeit

Jeder Block wird mit dem vorherigen Chiffretextblock XOR-verknüpft, unter Verwendung eines zufälligen 16-Byte-IV. Es gibt keine eingebaute Authentifizierung, daher muss es mit einem separaten MAC gepaart werden — Encrypt-then-MAC, zum Beispiel mit unserem HMAC-Generator — und es ist historisch anfällig für Padding-Oracle-Angriffe (Vaudenay, EUROCRYPT 2002). Hier zur Interoperabilität mit OpenSSL und älteren Systemen angeboten.

CTR (Counter) — nur Vertraulichkeit, stromartig

Verwandelt AES in eine Stromchiffre, indem ein Zähler verschlüsselt wird, sodass jede Bytelänge ohne Padding funktioniert und Blöcke frei parallelisieren. Wie CBC bietet es für sich genommen keine Integrität, und die Wiederverwendung von Zähler/IV unter einem Schlüssel ist katastrophal. Nützlich, wenn Sie wahlfreien Zugriff oder Streaming-Semantik benötigen.

ECB — nicht angeboten (bewusst)

Electronic Codebook verschlüsselt jeden Block unabhängig, sodass identische Klartextblöcke identischen Chiffretext ergeben und Muster durchsickern — der berüchtigte „ECB-Pinguin“. Die Web Crypto API implementiert es bewusst nicht, und wir ebenfalls nicht. Wenn ein Alt-System ECB erfordert, betrachten Sie das als Fehler, den es zu beheben gilt, nicht als Format, das reproduziert werden soll.

Schlüsselableitung: 600.000 vs. 10.000 vs. 1 Iteration

Im standardmäßigen Passphrase-Modus verwendet dieses Tool PBKDF2-HMAC-SHA256 bei 600.000 Iterationen (derselbe SHA-256-Hash, hunderttausende Male angewendet) mit einem 16-Byte-Salt, gemäß OWASP. Im OpenSSL-kompatiblen Modus verwendet PBKDF2 standardmäßig nur 10.000 Iterationen (die Standardeinstellung von openssl enc), und die veraltete KDF EVP_BytesToKey, die CryptoJS und altes OpenSSL verwenden, führt einen einzigen MD5-Durchlauf aus — um Größenordnungen schwächer. Mehr Iterationen bedeuten einen langsameren Brute-Force pro Versuch, weshalb der moderne Standard so viel höher ist. Argon2 und scrypt sind noch stärker, gehören aber nicht zu Web Crypto und liegen daher hier außerhalb des Umfangs; für die Passwortspeicherung folgen Sie OWASP und bevorzugen Argon2id.

Best Practices für AES-Verschlüsselung

GCM bevorzugen, sofern kein Gegenüber etwas anderes verlangt

Authentifizierte Verschlüsselung erkennt Manipulationen, die CBC und CTR stillschweigend durchlassen. Wechseln Sie nur für Interoperabilität zu CBC oder CTR, und fügen Sie in dem Fall einen MAC hinzu.

Für jede Nachricht einen frischen zufälligen IV verwenden

Das Tool erledigt dies automatisch. Wenn Sie den IV manuell überschreiben, verwenden Sie niemals einen mit demselben Schlüssel wieder — bei GCM ist eine Wiederholung katastrophal, und bei CBC bricht sie die semantische Sicherheit.

Starke Passphrasen und echte Zufallsschlüssel wählen

PBKDF2 verlangsamt Brute-Force, kann aber eine schwache Passphrase nicht retten. Erzeugen Sie eine lange Passphrase mit dem Passwort-Generator, oder einen echten Zufallsschlüssel mit dem Generator für geheime Schlüssel.

Salt, IV und Tag beim Chiffretext behalten

Sie sind nicht geheim, aber die Entschlüsselung schlägt ohne sie fehl. Das in sich geschlossene Format dieses Tools bündelt alle drei; wenn Sie den Modus mit Rohschlüssel und reinem Chiffretext verwenden, kopieren Sie den IV separat und speichern Sie ihn zusammen mit dem Chiffretext.

Keine Produktions- oder regulierten Geheimnisse in einem Online-Tool verschlüsseln

Selbst vollständig clientseitig ist ein Browser-Tool zum Lernen, Debuggen und für persönliche Einmalfälle gedacht. Echte Geheimnisse gehören in ein geprüftes Schlüsselverwaltungssystem mit auditierter Schlüsselverwaltung und -rotation. AES-256 selbst ist stark — zugelassen unter der CNSA-2.0-Suite der NSA für Informationen bis TOP SECRET — und reale Sicherheitsbrüche entstehen durch Implementierungsfehler, nicht durch die Chiffre.

AES-Verschlüsselung – FAQ