Verschlüsselungsalgorithmen 2026: AES, RSA und Co. verständlich erklärt

Stand: März 2026 — Dieser Artikel wurde zuletzt im März 2026 fachlich geprüft und aktualisiert.

Verschlüsselung ist das Fundament jeder ernstzunehmenden IT-Sicherheitsstrategie. Ohne sie sind Daten auf Festplatten, in Datenbanken und auf dem Transportweg im Klartext lesbar — für jeden, der Zugriff erlangt. Trotzdem herrscht in vielen Unternehmen Unsicherheit darüber, welcher Algorithmus für welchen Zweck geeignet ist und welche Verfahren längst als unsicher gelten.

Dieser Artikel vergleicht die zehn wichtigsten Verschlüsselungsalgorithmen: ihre Stärken, Schwächen und konkreten Einsatzbereiche. Praxisorientiert, ohne unnötige Theorie.

Das Wichtigste in Kürze

Für die meisten Anwendungsfälle ist AES-256 der richtige symmetrische Algorithmus und ECC oder RSA die richtige Wahl für asymmetrische Verschlüsselung. DES und RC4 sind seit Jahren gebrochen und dürfen unter keinen Umständen mehr eingesetzt werden. Wer in Deutschland personenbezogene Daten verarbeitet, muss Verschlüsselung nach Stand der Technik einsetzen — das ergibt sich direkt aus DSGVO Art. 32 und den NIS2-Anforderungen.

Symmetrisch vs. Asymmetrisch: Die Grundlagen

Bevor wir in die einzelnen Algorithmen einsteigen, eine kurze Einordnung der zwei grundlegenden Kategorien.

Symmetrische Verschlüsselung verwendet denselben Schlüssel zum Ver- und Entschlüsseln. Das ist schnell und effizient, hat aber ein Problem: Beide Parteien müssen den Schlüssel kennen, und der Austausch dieses Schlüssels ist ein Sicherheitsrisiko.

Asymmetrische Verschlüsselung arbeitet mit einem Schlüsselpaar: einem öffentlichen Schlüssel zum Verschlüsseln und einem privaten Schlüssel zum Entschlüsseln. Der öffentliche Schlüssel kann frei verteilt werden. Das löst das Schlüsseltausch-Problem, ist aber deutlich langsamer.

In der Praxis werden beide Verfahren kombiniert: Asymmetrische Verschlüsselung für den sicheren Schlüsselaustausch, symmetrische Verschlüsselung für die eigentliche Datenübertragung. TLS (HTTPS) funktioniert genau nach diesem Prinzip.

AES: Der Goldstandard der Verschlüsselung

Der Advanced Encryption Standard (AES) wurde im Jahr 2001 vom NIST als Nachfolger von DES standardisiert. Seitdem hat sich AES als der weltweit am häufigsten eingesetzte symmetrische Verschlüsselungsalgorithmus etabliert — und das aus guten Gründen.

AES ist eine Blockchiffre mit einer festen Blockgröße von 128 Bit und unterstützt Schlüssellängen von 128, 192 und 256 Bit. Für die meisten Unternehmensanwendungen empfiehlt sich AES-256: Die zusätzliche Schlüssellänge kostet in der Praxis kaum Performance, bietet aber maximale Sicherheit — auch im Hinblick auf zukünftige Quantencomputer.

Warum AES so verbreitet ist:

• Moderne Prozessoren (Intel, AMD, ARM) haben dedizierte AES-Instruktionen (AES-NI), die Verschlüsselung nahezu in Echtzeit ermöglichen
• AES ist in TLS, IPsec, WPA3, BitLocker, FileVault, VeraCrypt und praktisch jeder modernen Sicherheitslösung implementiert
• Es gibt keine bekannten praktischen Angriffe gegen korrekt implementiertes AES
• Das BSI empfiehlt AES-128 und AES-256 ausdrücklich in seinen technischen Richtlinien

Typische Einsatzbereiche: Festplattenverschlüsselung, Datenbankverschlüsselung, VPN-Tunnel, HTTPS/TLS, Dateiverschlüsselung, Cloud-Speicher.

Wichtig ist die Wahl des richtigen Betriebsmodus. Verwenden Sie AES-GCM (Galois/Counter Mode) für authentifizierte Verschlüsselung — das schützt gleichzeitig vor Manipulation. Vermeiden Sie AES-ECB (Electronic Codebook), der identische Klartextblöcke auf identische Chiffretextblöcke abbildet und damit Muster im Klartext offenlegt.

RSA: Public-Key-Verschlüsselung

RSA (Rivest-Shamir-Adleman) ist seit 1977 der bekannteste asymmetrische Verschlüsselungsalgorithmus. Seine Sicherheit beruht auf der Schwierigkeit, große Zahlen in ihre Primfaktoren zu zerlegen — ein Problem, das mit klassischen Computern ab einer bestimmten Schlüssellänge praktisch unlösbar ist.

Aktuelle Empfehlungen zur Schlüssellänge:

• 2048 Bit: Minimale Schlüssellänge, die heute noch als sicher gilt. Für neue Systeme nicht mehr empfohlen.
• 3072 Bit: Vom BSI als Mindeststandard empfohlen für Einsatz bis 2030 und darüber hinaus.
• 4096 Bit: Maximale gängige Schlüssellänge, empfohlen für langfristig schützenswerte Daten.

RSA wird in der Praxis kaum noch zur direkten Datenverschlüsselung verwendet — dafür ist es zu langsam. Sein Haupteinsatzgebiet sind digitale Signaturen und der Schlüsselaustausch in Protokollen wie TLS. Bei einer HTTPS-Verbindung nutzt Ihr Browser RSA (oder ECC), um einen symmetrischen Sitzungsschlüssel auszuhandeln, mit dem dann die eigentliche Kommunikation per AES verschlüsselt wird.

Post-Quanten-Hinweis: RSA ist durch Quantencomputer grundsätzlich gefährdet. Shors Algorithmus könnte RSA-Schlüssel in polynomialer Zeit faktorisieren. Die Bedrohung ist derzeit noch theoretisch — leistungsfähige Quantencomputer existieren noch nicht in der notwendigen Größenordnung. Trotzdem sollten Unternehmen, die Daten mit langer Lebensdauer schützen, bereits jetzt eine Post-Quanten-Strategie entwickeln. Das NIST hat 2024 die ersten Post-Quanten-Standards (ML-KEM und ML-DSA) veröffentlicht.

ECC: Kleine Schlüssel, große Sicherheit

Elliptic Curve Cryptography (ECC) ist die modernere Alternative zu RSA für asymmetrische Verschlüsselung. ECC basiert auf der mathematischen Struktur elliptischer Kurven und erreicht bei deutlich kürzeren Schlüssellängen ein vergleichbares Sicherheitsniveau.

Ein Vergleich macht das deutlich: Ein ECC-Schlüssel mit 256 Bit bietet eine ähnliche Sicherheit wie ein RSA-Schlüssel mit 3072 Bit. Das bedeutet weniger Rechenaufwand, schnellere Operationen und geringerer Speicherbedarf.

Vorteile gegenüber RSA:

• Deutlich kürzere Schlüssel bei gleichem Sicherheitsniveau
• Schnellere Schlüsselgenerierung und Signaturen
• Geringerer Energie- und Speicherverbrauch — ideal für mobile Geräte und IoT
• Geringere Bandbreite für den Schlüsselaustausch

ECC wird heute standardmäßig in TLS 1.3 für den Schlüsselaustausch (ECDHE) und für digitale Signaturen (ECDSA) eingesetzt. Apple, Google und Microsoft nutzen ECC als primären asymmetrischen Algorithmus in ihren Plattformen.

Gängige Kurven: Die am häufigsten verwendeten Kurven sind P-256 (secp256r1), P-384 und Curve25519. Curve25519, entworfen von Daniel J. Bernstein, gilt als besonders robust gegen Implementierungsfehler und wird in modernen Protokollen wie WireGuard und Signal bevorzugt.

Für neue Projekte empfehlen wir ECC als Standard für asymmetrische Operationen — sofern Kompatibilität mit älteren Systemen gewährleistet ist.

ChaCha20: Der schnelle Herausforderer

ChaCha20 ist ein symmetrischer Stromchiffre-Algorithmus, der von Daniel J. Bernstein als Weiterentwicklung von Salsa20 entworfen wurde. In Kombination mit dem Authentifikator Poly1305 bildet er ChaCha20-Poly1305 — eine authentifizierte Verschlüsselung, die zunehmend als Alternative zu AES-GCM eingesetzt wird.

Warum ChaCha20 relevant ist:

Der entscheidende Vorteil von ChaCha20 zeigt sich auf Geräten ohne Hardware-AES-Beschleunigung. Auf älteren oder günstigeren ARM-Prozessoren — wie sie in vielen Smartphones, IoT-Geräten und eingebetteten Systemen verbaut sind — ist ChaCha20 deutlich schneller als AES. Google hat ChaCha20-Poly1305 deshalb als Standard-Cipher für Android-Geräte eingeführt, die keine AES-NI-Instruktionen unterstützen.

Aber auch auf modernen Systemen wird ChaCha20 genutzt: TLS 1.3 unterstützt ChaCha20-Poly1305 als Cipher Suite, und das VPN-Protokoll WireGuard setzt ausschließlich auf ChaCha20-Poly1305 für seine Datenverschlüsselung.

Sicherheitsbewertung: ChaCha20 gilt als kryptographisch sicher. Es gibt keine bekannten praktischen Angriffe. Der Algorithmus ist so konzipiert, dass er weniger anfällig für Timing-Seitenkanalangriffe ist als AES in Software-Implementierungen ohne Hardware-Unterstützung. Das macht ihn zu einer hervorragenden Wahl, wenn AES-NI nicht verfügbar ist.

Blowfish und Twofish: Die Klassiker

Blowfish wurde 1993 von Bruce Schneier als freie Alternative zu DES und IDEA entworfen. Er unterstützt variable Schlüssellängen von 32 bis 448 Bit und war jahrelang eine beliebte Wahl für Software-Verschlüsselung.

Heute ist Blowfish für die direkte Datenverschlüsselung nicht mehr zeitgemäß. Seine Blockgröße von nur 64 Bit macht ihn anfällig für Birthday-Angriffe bei der Verarbeitung großer Datenmengen (ab ca. 32 GB mit einem Schlüssel). Sein wichtigstes Erbe lebt in bcrypt weiter — einem Passwort-Hashing-Verfahren, das die absichtlich langsame Schlüsselinitialisierung von Blowfish nutzt und nach wie vor als sicher gilt.

Twofish ist Schneiers Nachfolger von Blowfish und war einer der fünf Finalisten im AES-Auswahlverfahren. Er arbeitet mit einer Blockgröße von 128 Bit und Schlüssellängen bis 256 Bit. Twofish verlor die AES-Wahl gegen Rijndael, ist aber kryptographisch solide und wird noch in einigen Verschlüsselungstools eingesetzt — etwa in VeraCrypt als alternative Chiffre.

Für neue Projekte gibt es keinen praktischen Grund, Blowfish oder Twofish gegenüber AES zu bevorzugen. Wer sie in bestehenden Systemen im Einsatz hat, muss nicht in Panik verfallen: Twofish ist nach wie vor sicher. Blowfish sollte allerdings bei nächster Gelegenheit durch AES ersetzt werden.

Veraltete Algorithmen: DES und RC4

DES (Data Encryption Standard)

DES wurde 1977 vom NIST als Standard verabschiedet und war über zwei Jahrzehnte der wichtigste symmetrische Verschlüsselungsalgorithmus. Seine Schlüssellänge von nur 56 Bit ist für heutige Verhältnisse völlig unzureichend. Bereits 1998 demonstrierte die Electronic Frontier Foundation mit der "DES Cracker"-Maschine, dass ein DES-Schlüssel in weniger als drei Tagen geknackt werden kann. Heute schafft das jede Cloud-Instanz in Stunden.

Triple-DES (3DES) wendet DES dreimal hintereinander an und erreicht eine effektive Schlüssellänge von 112 Bit. 3DES wurde vom NIST 2023 offiziell als veraltet eingestuft (deprecated) und soll bis 2024 vollständig aus allen Systemen entfernt werden. Auch 3DES ist keine akzeptable Option mehr.

RC4 (Rivest Cipher 4)

RC4 war jahrzehntelang der am häufigsten eingesetzte Stromchiffre-Algorithmus — vor allem in WEP (WLAN-Verschlüsselung) und frühen Versionen von TLS/SSL. Seit 2013 sind praktische Angriffe bekannt, die RC4 in TLS brechen können. Die IETF hat RC4 in RFC 7465 (2015) offiziell verboten. Alle modernen Browser und TLS-Implementierungen unterstützen RC4 nicht mehr.

Was Sie tun sollten: Scannen Sie Ihre Systeme aktiv nach DES- und RC4-Nutzung. Prüfen Sie insbesondere:

• TLS-Konfigurationen auf Webservern und Load Balancern
• VPN-Konfigurationen (ältere IPsec-Setups verwenden teilweise noch 3DES)
• Datenbankverbindungen und Legacy-Anwendungen
• Embedded Systems und IoT-Geräte mit veralteter Firmware

Die Migration auf AES ist in den meisten Fällen ein konfiguratives Update — technisch unkompliziert, aber organisatorisch oft vergessen.

Serpent und Camellia: Die Alternativen

Serpent

Serpent war neben Rijndael (AES) und Twofish einer der Finalisten im AES-Auswahlverfahren. Er gilt unter Kryptographen als der konservativste und potenziell sicherste der drei Finalisten — Rijndael wurde vor allem wegen seiner höheren Geschwindigkeit und einfacheren Implementierung bevorzugt.

Serpent verwendet 32 Verschlüsselungsrunden (gegenüber 14 bei AES-256) und bietet damit eine größere Sicherheitsmarge. In der Praxis bedeutet das: Selbst wenn ein Angriff gegen die volle Rundenzahl von AES gefunden würde, wäre Serpent mit hoher Wahrscheinlichkeit noch sicher.

Der Nachteil ist die Geschwindigkeit. Serpent ist deutlich langsamer als AES, insbesondere auf Hardware ohne spezielle Beschleunigung. Er findet deshalb hauptsächlich Einsatz in Hochsicherheitsumgebungen, in denen Geschwindigkeit sekundär ist, und als zweite Schicht in kaskadierter Verschlüsselung (z.B. AES-Twofish-Serpent in VeraCrypt).

Camellia

Camellia wurde gemeinsam von Mitsubishi Electric und NTT entwickelt und ist in Japan ein offizieller Standard (CRYPTREC). Der Algorithmus ist auch von der EU (NESSIE-Projekt) und der IETF für den Einsatz in TLS zugelassen.

In Leistung und Sicherheit ist Camellia mit AES vergleichbar. Er unterstützt dieselben Schlüssellängen (128, 192, 256 Bit) und eine identische Blockgröße von 128 Bit. Camellia hat eine solide kryptanalytische Bilanz und keine bekannten praktischen Schwächen.

In der westlichen IT-Landschaft ist Camellia allerdings eine Randerscheinung. AES dominiert den Markt, und die breite Hardware-Unterstützung (AES-NI) macht es schwer, Camellia in der Praxis zu rechtfertigen. Relevant ist Camellia vor allem für Unternehmen, die mit japanischen Partnern arbeiten oder regulatorische Anforderungen erfüllen müssen, die eine AES-Alternative verlangen.

Welcher Algorithmus für welchen Zweck?

Verschlüsselung und DSGVO/NIS2: Rechtliche Anforderungen

Verschlüsselung ist in Deutschland nicht nur eine technische Best Practice — sie ist eine regulatorische Pflicht. Zwei zentrale Rechtsrahmen machen konkrete Vorgaben.

DSGVO Art. 32: Verschlüsselung als technische Maßnahme

Art. 32 Abs. 1 lit. a DSGVO nennt Verschlüsselung ausdrücklich als geeignete technische Maßnahme zum Schutz personenbezogener Daten. Das bedeutet: Wenn Sie personenbezogene Daten verarbeiten — und das tut jedes Unternehmen —, müssen Sie prüfen, ob und wo Verschlüsselung nach dem "Stand der Technik" eingesetzt werden muss.

Konkret heißt das:

• Daten im Transit (Netzwerkübertragung) müssen mit TLS 1.2 oder höher verschlüsselt werden
• Daten at Rest (gespeicherte Daten) sollten auf Datenträgern verschlüsselt werden, insbesondere auf mobilen Geräten und in Cloud-Umgebungen
• E-Mail-Kommunikation mit personenbezogenen Daten erfordert Transportverschlüsselung, bei sensiblen Daten Ende-zu-Ende-Verschlüsselung

Ein Datenschutzverstoß wiegt deutlich leichter, wenn die betroffenen Daten wirksam verschlüsselt waren. Art. 34 Abs. 3 lit. a DSGVO erlaubt es sogar, auf die Benachrichtigung der Betroffenen zu verzichten, wenn die Daten durch Verschlüsselung unlesbar sind.

Unsere Datenschutzberatung hilft Ihnen dabei, Ihre Verschlüsselungsstrategie DSGVO-konform aufzusetzen.

NIS2: Verschlüsselung als Pflichtmaßnahme

Das NIS2-Umsetzungsgesetz verlangt von betroffenen Unternehmen explizit den Einsatz von Kryptographie und Verschlüsselung als Teil des Risikomanagements. Verschlüsselung ist keine optionale Maßnahme, sondern eine der im Gesetz aufgelisteten Mindestanforderungen.

Für NIS2-betroffene Unternehmen bedeutet das:

• Dokumentation der eingesetzten Verschlüsselungsverfahren
• Nachweis, dass der Stand der Technik eingehalten wird (keine veralteten Algorithmen)
• Regelmäßige Überprüfung und Aktualisierung der Kryptographie-Strategie
• Schlüsselmanagement als Teil des Sicherheitskonzepts

Die NIS2-Beratung von frag.hugo unterstützt Sie bei der Umsetzung dieser Anforderungen — von der Gap-Analyse bis zur Dokumentation.

BSI-Empfehlungen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht in der technischen Richtlinie TR-02102 konkrete Empfehlungen zu kryptographischen Algorithmen und Schlüssellängen. Für 2026 gelten unter anderem:

• AES-128 und AES-256: empfohlen
• RSA ab 3072 Bit: empfohlen (2048 Bit nur noch für Bestandssysteme)
• ECC ab 256 Bit: empfohlen
• DES, 3DES, RC4: nicht empfohlen

Diese Empfehlungen sind der Maßstab für den "Stand der Technik" im Sinne der DSGVO und NIS2.

Häufig gestellte Fragen (FAQ)

Ist AES-128 oder AES-256 die bessere Wahl?

Beide Varianten gelten als sicher. AES-128 ist minimal schneller, AES-256 bietet eine größere Sicherheitsmarge — insbesondere gegen zukünftige Quantenangriffe (Grovers Algorithmus halbiert die effektive Schlüssellänge, AES-256 bleibt mit 128 Bit effektiver Sicherheit ausreichend). Für neue Systeme empfehlen wir AES-256, da der Performance-Unterschied auf moderner Hardware vernachlässigbar ist.

Macht Verschlüsselung meine Systeme langsamer?

Bei korrekter Implementierung ist der Overhead minimal. Moderne CPUs mit AES-NI verschlüsseln und entschlüsseln Daten mit mehreren Gigabyte pro Sekunde. Die Zeiten, in denen Verschlüsselung ein spürbarer Performance-Faktor war, sind für die allermeisten Anwendungen vorbei. Der häufigste Performance-Engpass liegt im Schlüsselmanagement und der Zertifikatsvalidierung, nicht in der Verschlüsselung selbst.

Welche Algorithmen sind quantencomputer-sicher?

Keiner der hier vorgestellten asymmetrischen Algorithmen (RSA, ECC) ist gegen Quantencomputer sicher. Symmetrische Algorithmen wie AES-256 bieten ausreichende Sicherheit, wenn die Schlüssellänge verdoppelt wird (Grovers Algorithmus). Das NIST hat 2024 die ersten Post-Quanten-Standards veröffentlicht: ML-KEM (ehemals CRYSTALS-Kyber) für Schlüsselaustausch und ML-DSA (ehemals CRYSTALS-Dilithium) für digitale Signaturen. Unternehmen sollten diese Standards bei neuen Projekten evaluieren.

Reicht Transportverschlüsselung (TLS) aus?

TLS schützt Daten auf dem Transportweg — also zwischen Browser und Server oder zwischen zwei Servern. Es schützt nicht die gespeicherten Daten (Data at Rest) und nicht vor Zugriffen durch den Serverbetreiber. Für einen vollständigen Schutz benötigen Sie zusätzlich Verschlüsselung der gespeicherten Daten und idealerweise Ende-zu-Ende-Verschlüsselung, bei der nur Sender und Empfänger den Klartext sehen können.

Was ist der Unterschied zwischen Verschlüsselung und Hashing?

Verschlüsselung ist umkehrbar — mit dem richtigen Schlüssel können Sie den Klartext wiederherstellen. Hashing ist eine Einwegfunktion — aus dem Hash kann der Klartext nicht rekonstruiert werden. Passwörter sollten gehasht (nicht verschlüsselt) gespeichert werden, damit sie selbst bei einem Datenbank-Leak nicht lesbar sind. Daten, auf die Sie wieder zugreifen müssen, werden verschlüsselt.

Verschlüsselung richtig implementieren — wir helfen Ihnen dabei

Die Wahl des richtigen Algorithmus ist der erste Schritt. Entscheidend ist die korrekte Implementierung: Betriebsmodi, Schlüssellängen, Schlüsselmanagement, Zertifikate und die Integration in Ihre bestehende Infrastruktur. Fehler in der Umsetzung machen auch den besten Algorithmus wirkungslos.

Unsere IT-Sicherheitsberatung unterstützt Sie praxisnah — von der Analyse Ihrer aktuellen Verschlüsselungslandschaft über die Konzeption einer zukunftssicheren Kryptographie-Strategie bis zur Umsetzung. Wir kennen die Anforderungen aus DSGVO, NIS2 und BSI-Grundschutz und setzen sie technisch fundiert um.

Buchen Sie ein kostenloses Erstgespräch — wir zeigen Ihnen, wo Ihr Unternehmen steht und welche konkreten Schritte als Nächstes sinnvoll sind. Ohne Verkaufsdruck, mit konkretem Mehrwert für Ihre IT-Sicherheit.