Was Verschlüsselung von Internet-Traffic einfach erklärt bedeutet

Was mit Ihren Daten passiert, wenn Sie eine Website öffnen

Wenn Sie ein Passwort in ein Anmeldeformular eingeben oder eine Nachricht senden, fliegen diese Daten nicht auf direktem Weg zum Empfänger. Das Paket durchläuft einen WLAN-Router, die Ausrüstung des Internetanbieters, zwischengeschaltete Knoten und erreicht erst dann den Server der Website oder des Dienstes. An jedem dieser Punkte könnte theoretisch jemand den Traffic mitlesen — vom Betreiber eines offenen Café-Hotspots bis zu Ausrüstung entlang der Verbindungsstrecke. Verschlüsselung ist eine Methode, den Inhalt von Paketen für jeden außer Absender und Empfänger in eine bedeutungslose Zeichenfolge zu verwandeln.

Wie Verschlüsselung funktioniert: ein Schlüssel, kein Zauberspruch

Der Kern jeder Verschlüsselung ist eine mathematische Operation: Ein Algorithmus nimmt die Ausgangsdaten (Klartext) und einen geheimen Schlüssel und erzeugt daraus eine unlesbare Byte-Folge (Chiffretext). Ohne den richtigen Schlüssel ist eine Entschlüsselung in vertretbarer Zeit unmöglich — nicht weil die Daten „versteckt" sind, sondern weil das Durchprobieren aller möglichen Schlüssel mit heutigen Computern länger dauern würde, als das Universum existiert. Es gibt zwei grundlegende Ansätze, wie dieser Schlüssel eingesetzt wird.

Symmetrische Verschlüsselung

Derselbe Schlüssel wird sowohl zum Verschlüsseln als auch zum Entschlüsseln verwendet. Das ist schnell und rechnerisch günstig — genau symmetrische Algorithmen (etwa AES oder ChaCha20) verschlüsseln den Hauptdatenstrom in HTTPS-Verbindungen und VPN-Tunneln. Symmetrische Verschlüsselung hat eine Schwierigkeit: Beide Seiten müssen sich irgendwie sicher auf denselben Schlüssel einigen, ohne ihn im Klartext zu übertragen.

Asymmetrische Verschlüsselung

Hier kommt ein Schlüsselpaar zum Einsatz — ein öffentlicher und ein privater Schlüssel. Mit dem öffentlichen Schlüssel verschlüsselte Daten kann nur der Inhaber des privaten Schlüssels entschlüsseln. Asymmetrische Verschlüsselung ist langsamer, deshalb wird sie in der Praxis nicht für den gesamten Traffic verwendet, sondern für den sicheren Austausch des symmetrischen Schlüssels zu Beginn der Verbindung — danach wechseln beide Seiten zur schnellen symmetrischen Verschlüsselung.

HTTPS und TLS: die Verschlüsselung, die Sie täglich nutzen

Das Schloss-Symbol neben der Website-Adresse im Browser bedeutet, dass die Verbindung durch TLS (Transport Layer Security) geschützt ist — genau dieses Protokoll macht aus HTTP ein HTTPS. Beim Verbindungsaufbau führen Browser und Server einen „Handshake" durch: Der Server legt ein digitales Zertifikat vor, beide Seiten einigen sich über asymmetrische Kryptografie auf einen gemeinsamen symmetrischen Schlüssel, und ab dann werden alle Daten — vom Seitentext bis zum eingegebenen Passwort — mit diesem Schlüssel verschlüsselt. Laut der Spezifikation von TLS 1.3 (RFC 8446) hat die aktuelle Protokollversion den Handshake auf eine einzige Nachrichtenrunde statt zwei verkürzt und einen Teil der Zertifikatsaushandlung verschlüsselt, wodurch die Menge der für einen Beobachter auf dem Paketweg sichtbaren Informationen sinkt. Wichtige Einschränkung: TLS verschlüsselt den Inhalt einer Anfrage, verbirgt aber nicht immer vollständig die Tatsache, dass Sie eine bestimmte Domain kontaktieren — die Adresse der Website kann auf Ebene der DNS-Anfrage oder des SNI an zwischengeschalteten Knoten sichtbar sein, wenn sie nicht gesondert geschützt ist.

Verschlüsselung im VPN-Tunnel: eine weitere Schutzebene

Ein VPN fügt eine eigene Schicht hinzu: Statt dass jede App einzeln mit jedem Server die Verschlüsselung aushandelt, baut das gesamte Gerät einen einzigen verschlüsselten Tunnel zum VPN-Server auf, und der Traffic läuft von dort weiter. Moderne Protokolle wie WireGuard (auf dessen Basis AmneziaWG aufbaut, das bei HamikVPN zum Einsatz kommt) verwenden einen festen Satz moderner Kryptografie: die ChaCha20-Verschlüsselung zusammen mit dem Authentifizierungscode Poly1305, Schlüsselaustausch auf Basis von Curve25519 und Hashing mit BLAKE2s. Laut der offiziellen Protokolldokumentation ist ein eng begrenzter, nicht verhandelbarer Satz von Algorithmen eine bewusste Entscheidung der Entwickler: Sie senkt das Risiko von Konfigurationsfehlern und verringert die Codemenge — und damit die Angriffsfläche — im Vergleich zu Protokollen, die Dutzende Chiffren-Kombinationen unterstützen.

Ein verschlüsselter VPN-Tunnel ist besonders dort nützlich, wo Sie das Netz selbst nicht kontrollieren — etwa in öffentlichem WLAN im Café oder am Flughafen. Mehr zu den Risiken solcher Netze und wie man sie senkt, im Artikel zum Schutz von Daten in öffentlichem WLAN.

Was Verschlüsselung nicht leistet

Wichtig ist, die Grenzen zu verstehen: Verschlüsselung schützt den Inhalt des Traffics vor Abfangen und Manipulation auf dem Weg, macht Sie aber nicht zu einem anonymen Nutzer. Ein Dienst, mit dem Sie sich direkt verbinden, sieht trotzdem, dass Sie ihn kontaktiert haben, und kennt alles, was Sie in Ihrem Konto getan haben, sobald Sie eingeloggt sind. Verschlüsselung schützt nicht vor Phishing, bösartigen Apps auf dem Gerät selbst oder davor, dass Sie Ihre Daten selbst auf einer gefälschten Seite eingeben. Sie ist eine Schutzschicht von mehreren — daneben zählen Systemupdates, sinnvolle App-Berechtigungen und grundlegende digitale Hygiene.

Wie man prüft, ob der eigene Traffic wirklich geschützt ist

• Prüfen Sie das Schloss-Symbol in der Adressleiste. Öffnet sich eine Website über HTTP ohne „s" und warnt der Browser ausdrücklich vor einer ungesicherten Verbindung, geben Sie dort keine Passwörter oder Kartendaten ein.
• Sehen Sie nach, ob der VPN-Tunnel aktiv ist. In der mobilen App gibt es meist eine klare Verbindungsanzeige; bricht die Verbindung ab, läuft der Traffic ohne zusätzliche Verschlüsselung, bis Sie sich neu verbinden.
• Deaktivieren Sie die automatische Verbindung zu offenen WLAN-Netzen in den Telefoneinstellungen — das dauert wenige Minuten im WLAN-Bereich und bewahrt vor einer versehentlichen Verbindung zu einem gefälschten Access Point.
• Halten Sie Apps und System aktuell. Schwachstellen in der Verschlüsselungsimplementierung werden durch Updates geschlossen, nicht durch einen Algorithmuswechsel.
• Verwenden Sie ein separates, langes Passwort für wichtige Konten. Kanalverschlüsselung hilft nicht, wenn der Schlüssel zum Konto selbst leicht zu erraten ist.

Wenn Sie einen Dienst zur Verschlüsselung Ihres Traffics auf Telefon oder Laptop wählen, sollten Sie nicht nur auf die Geschwindigkeit achten, sondern auch darauf, welches Protokoll verwendet wird und wie mit Verbindungsprotokollen umgegangen wird — die Kriterien behandelt der Artikel wie man einen Privacy-Dienst auswählt. HamikVPN etwa verschlüsselt die Verbindung auf Basis des Protokolls AmneziaWG und bietet fertige Apps für die wichtigsten Plattformen — installieren lassen sie sich über die Download-Seite.