Verschlüsselung verwandelt lesbare Daten mithilfe eines Schlüssels in einen nicht verständlichen Geheimtext. Beim VPN geschieht das für die IP-Pakete zwischen Ihrem Gerät und dem VPN-Server. Wer diesen Abschnitt beobachtet, soll weder Inhalte lesen noch Pakete unbemerkt verändern können. Am Server werden die Pakete entschlüsselt und weitergeleitet. Die Verbindung zur Zielseite schützt anschließend meist HTTPS.

AES-256 ist dabei nur ein Baustein. Der Begriff bezeichnet den Advanced Encryption Standard mit einem 256 Bit langen Schlüssel. Er sagt noch nicht, in welchem Modus AES arbeitet, wie Schlüssel entstehen, wie der Server authentifiziert wird oder ob Daten am Tunnel vorbeilaufen. Genau deshalb ist die Werbeformel „militärische Verschlüsselung“ für einen VPN-Vergleich wenig hilfreich.

Wie AES-256 arbeitet

AES ist eine symmetrische Blockchiffre. Symmetrisch bedeutet, dass Sender und Empfänger denselben geheimen Schlüssel für Ver- und Entschlüsselung verwenden. Die Blockgröße beträgt immer 128 Bit. Die Varianten AES-128, AES-192 und AES-256 unterscheiden sich in der Schlüssellänge und der Zahl interner Verarbeitungsrunden, nicht in der Blockgröße.

NIST standardisierte AES 2001 in FIPS 197 und veröffentlichte 2023 eine redaktionell überarbeitete Fassung ohne technische Änderung des Algorithmus. Ein 256-Bit-Schlüssel bietet einen so großen Suchraum, dass vollständiges Durchprobieren mit heutiger klassischer Rechentechnik keine realistische Angriffsmethode ist. Praktische Angriffe richten sich daher eher gegen Schlüsselverwaltung, Zufallszahlen, Softwarefehler, Seitenkanäle oder falsch gewählte Betriebsarten.

Die Chiffre verarbeitet nur feste Blöcke. Ein Betriebsmodus legt fest, wie daraus ein fortlaufender, sicherer Datenstrom entsteht. Moderne VPN-Konfigurationen verwenden bevorzugt AEAD-Modi wie AES-GCM. AEAD verbindet Verschlüsselung mit einem Authentifizierungscode. Der Empfänger erkennt dadurch veränderte oder gefälschte Pakete, bevor er deren Inhalt akzeptiert.

Ältere Konfigurationen verwenden AES-CBC zusammen mit einer getrennten Nachrichtenauthentifizierung. Das kann bei korrekter Encrypt-then-MAC-Konstruktion sicher sein, ist aber komplexer und anfälliger für Konfigurationsfehler. Der aktuelle OpenVPN-2.6-Client bevorzugt standardmäßig AES-256-GCM und AES-128-GCM, ergänzt um ChaCha20-Poly1305, wenn die Kryptobibliothek es bereitstellt.

AES-256, AES-128 und ChaCha20

Mehr Bits bedeuten nicht automatisch ein besseres VPN. AES-128 besitzt weiterhin einen sehr großen Sicherheitsspielraum und kann auf bestimmten Geräten etwas weniger Rechenleistung benötigen. AES-256 bietet einen größeren Schlüsselraum, kostet je nach Hardware aber zusätzliche Runden. Beide Varianten sind im aktuellen NIST-Standard definiert und werden in modernen Protokollen eingesetzt.

Viele Prozessoren beschleunigen AES mit speziellen Instruktionen. Auf Geräten ohne solche Hardware kann ChaCha20 effizienter sein. ChaCha20 ist eine Stromchiffre und wird meist mit Poly1305 zur authentifizierten Konstruktion ChaCha20-Poly1305 kombiniert. RFC 8439 dokumentiert dieses AEAD-Verfahren mit 256-Bit-Schlüssel.

WireGuard verwendet fest ChaCha20-Poly1305, nicht AES-256. Das macht WireGuard nicht schwächer. Es ist eine bewusst festgelegte moderne Suite. OpenVPN kann dagegen mehrere Chiffren aushandeln. Flexibilität hilft bei Kompatibilität, verlangt aber sichere Standardwerte und darf keinen stillen Rückfall auf veraltete Verfahren erlauben.

Schlüsselaustausch und Server-Authentifizierung

Bevor symmetrische Verschlüsselung beginnen kann, müssen beide Seiten gemeinsame Sitzungsschlüssel erhalten. Diese Schlüssel einfach ungeschützt über das Netz zu senden, würde den gesamten Tunnel wertlos machen. VPN-Protokolle verwenden daher einen authentifizierten Schlüsselaustausch.

Bei IKEv2 übernimmt IKE diese Aufgabe und verwaltet Security Associations für IPsec. OpenVPN schützt seinen Steuerkanal mit TLS und authentifiziert den Server typischerweise über Zertifikate. WireGuard kennt die öffentlichen Schlüssel seiner Peers vorab und kombiniert langfristige sowie kurzlebige Schlüssel im Handshake.

Die Authentifizierung ist entscheidend. Starke Datenverschlüsselung zu einem gefälschten Server schützt nicht vor dem Betreiber dieses Servers. Ein Client muss deshalb Zertifikate, öffentliche Schlüssel oder andere Identitätsnachweise korrekt prüfen. Warnungen zu einem unbekannten Zertifikat sollten Sie nicht wegklicken.

Was Perfect Forward Secrecy bedeutet

Perfect Forward Secrecy, kurz PFS oder Forward Secrecy, begrenzt den Schaden eines später gestohlenen Langzeitschlüssels. Jede Sitzung erhält frisches Schlüsselmaterial. Wird der dauerhafte Server- oder Client-Schlüssel später kompromittiert, reicht er allein nicht aus, um alte aufgezeichnete Sitzungen nachträglich zu entschlüsseln, sofern die alten Sitzungsschlüssel gelöscht wurden.

Das BSI beschreibt PFS entsprechend als Schutz vergangener Verbindungen trotz später bekannter Langzeitschlüssel und empfiehlt diese Eigenschaft für persönliche oder andere sensible Daten. WireGuard erneuert Sitzungsschlüssel automatisch in kurzen Abständen. Bei OpenVPN und IKEv2 hängt PFS von der verwendeten Schlüsselaushandlung und Konfiguration ab.

Forward Secrecy schützt die Vergangenheit, nicht automatisch die Zukunft nach einem aktiven Einbruch. Hat ein Angreifer dauerhaft Kontrolle über ein Gerät oder einen Server, kann er neue Schlüssel und Klartext direkt beobachten. PFS ersetzt daher weder Updates noch sichere Endgeräte.

Was VPN-Verschlüsselung sehen lässt

Verschlüsselte Pakete verbergen ihren Inhalt, aber nicht jede Metainformation. Ein Beobachter zwischen Gerät und VPN-Server sieht dessen IP-Adresse, Zeitpunkte, Paketgrößen und Datenmengen. Daraus lässt sich erkennen, dass eine Verbindung aktiv ist, selbst wenn Ziele und Inhalte im Tunnel verborgen bleiben.

Der VPN-Server entschlüsselt den Tunnel. Er muss die Pakete sehen, um sie weiterzuleiten. Deshalb bleibt eine geprüfte No-Logs-Richtlinie wichtig. HTTPS verschlüsselt Inhalte zusätzlich bis zur Website, wodurch der VPN-Betreiber bei einer normalen HTTPS-Verbindung nicht einfach Passwörter oder Seiteninhalte lesen kann. DNS und Ziel-IP können je nach Technik dennoch sichtbar sein.

Verschlüsselung verhindert außerdem keinen DNS-Leak, kein IPv6-Routing außerhalb des Tunnels und keinen Rückfall nach einem Verbindungsabbruch. Dafür braucht der Client saubere Routen und einen Kill-Switch.

Wie wir VPN-Verschlüsselung prüfen

Ein Werbetext mit „AES-256“ erhält bei uns keine automatische Wertung. Wir prüfen mehrere Ebenen:

  1. Tatsächlich verwendetes Protokoll: Die App-Einstellung und, soweit verfügbar, Verbindungsprotokolle oder Konfigurationsdateien müssen übereinstimmen.
  2. Datenkanal-Chiffre: Bei OpenVPN achten wir auf das ausgehandelte AEAD-Verfahren und mögliche veraltete Fallbacks. Bei WireGuard ergibt sich die feste Suite aus der Protokollspezifikation.
  3. Schlüsselaustausch und Authentifizierung: Wir prüfen, ob aktuelle Verfahren, gültige Serveridentitäten und Forward Secrecy dokumentiert sind.
  4. Plattformunterschiede: Ein Anbieter kann auf Windows WireGuard und auf einem Router eine alte OpenVPN-Konfiguration verwenden. Aussagen gelten deshalb nicht stillschweigend für jedes Gerät.
  5. Schutzwirkung: Mit Leak-Tests und erzwungenen Abbrüchen kontrollieren wir, ob Verkehr tatsächlich im verschlüsselten Pfad bleibt.
  6. Pflege: Offene Quelltexte, unabhängige Sicherheitsaudits und regelmäßige Updates zeigen, ob Implementierungsfehler gefunden und behoben werden können.

Wir versuchen nicht, aus einer hohen Bitzahl eine höhere Gesamtnote abzuleiten. AES-128-GCM, AES-256-GCM und ChaCha20-Poly1305 sind bei korrekter Einbindung starke Optionen. Ein dichtes, gepflegtes System ist wichtiger als die größte Zahl auf der Produktseite.

Worauf Sie achten sollten

  • Bevorzugen Sie WireGuard, aktuelles OpenVPN oder IKEv2 mit moderner Konfiguration.
  • Suchen Sie bei OpenVPN nach AES-GCM oder ChaCha20-Poly1305 und vermeiden Sie unbekannte, alte Fallbacks.
  • Achten Sie auf Forward Secrecy und eine klare Beschreibung der Server-Authentifizierung.
  • Ignorieren Sie Superlative wie „unknackbar“. Seriöse Anbieter nennen Protokoll, Chiffre, Audit und Updatepraxis.
  • Prüfen Sie nach der Verbindung DNS, IPv6 und sichtbare IP. Sichere Kryptografie hilft nicht gegen falsches Routing.

Häufige Irrtümer und Grenzen

„AES-256 verschlüsselt mit 256-Bit-Blöcken.“ Falsch. AES verwendet immer 128-Bit-Blöcke. 256 bezeichnet die Länge des Schlüssels.

„AES-256 ist immer sicherer als ChaCha20.“ Diese Rangfolge lässt sich für ein VPN nicht sinnvoll ableiten. Beide können als moderne authentifizierte Verschlüsselung sehr sicher sein. Plattform und Implementierung entscheiden mit.

„Verschlüsselt heißt anonym.“ Nein. Konten, Cookies, Fingerprints und Metadaten bleiben möglich. Verschlüsselung schützt Inhalte auf einem definierten Weg.

„Ein VPN entschlüsselt HTTPS.“ Ein normaler VPN-Tunnel beendet seine eigene Verschlüsselung am VPN-Server. Die getrennte HTTPS-Verbindung zur Website bleibt bis zu deren Server geschützt, sofern kein zusätzlich installiertes Abfangzertifikat verwendet wird.

Quellen