Kein Upload, 100% lokal, kein Konto

Tutorial

Wie Sie sensiblen Inhalt vor dem Versenden verschlüsseln

Eine Passwortliste, einen API-Schlüssel oder eine kurze vertrauliche Notiz als reinen Text per E-Mail zu senden bedeutet, dass jeder, der die Nachricht abfängt, oder jeder mit Zugriff auf ein Postfach entlang des Wegs, sie direkt lesen kann. Diese Anleitung erzeugt eine starke Passphrase und verschlüsselt den Inhalt lokal mit AES-256-GCM, sodass das, was tatsächlich durch Ihre E-Mail- oder Chat-App reist, unlesbarer Chiffretext ist statt einer Datei, die auf dem Server eines anderen liegt und darauf wartet, gescannt oder kopiert zu werden.

Verfasst von Bastien Sulyan · Veröffentlicht am

Schritt für Schritt

  1. Öffnen Sie den Passwort-Generator, stellen Sie die Länge auf mindestens 20 Zeichen mit jeder aktivierten Zeichenklasse und erzeugen Sie eine Passphrase. Kopieren Sie sie irgendwohin Temporäres; Sie werden sie Ihrem Empfänger über einen anderen Kanal mitteilen als den, der den verschlüsselten Inhalt trägt, etwa einen Telefonanruf oder eine Messaging-App, die Sie bereits für etwas anderes nutzen.
  2. Öffnen Sie das Tool AES verschlüsseln, fügen Sie den zu schützenden Text ein (den Inhalt einer Passwortliste, einen API-Schlüssel, eine Konfigurationsdatei oder eine kurze Notiz) in das Eingabefeld, fügen Sie die Passphrase aus Schritt 1 ein und klicken Sie auf Verschlüsseln. Das Tool leitet mit PBKDF2 einen Schlüssel aus Ihrer Passphrase ab und verschlüsselt mit AES-256-GCM, beides läuft in Ihrem Browser, und gibt einen Block Chiffretext zurück.
  3. Fügen Sie diesen Chiffretext-Block direkt in den Text Ihrer E-Mail oder Chat-Nachricht ein. Nichts muss angehängt werden: Der sensible Inhalt reist nun als unlesbarer Text. Teilen Sie Ihrem Empfänger die Passphrase separat über den anderen Kanal mit, und bitten Sie ihn, Chiffretext und Passphrase in dasselbe Tool einzufügen und auf Entschlüsseln zu klicken, um den ursprünglichen Inhalt wiederherzustellen.

Wie sich das mit dem Hochladen einer Datei zu einem Online-Verschlüsselungsdienst vergleicht

Viele Dienste, die anbieten, eine Datei zu verschlüsseln, funktionieren, indem sie Ihre Datei auf ihrem Server empfangen, dort verschlüsseln und Sie das Ergebnis herunterladen lassen: Der Klartext-Inhalt durchläuft ein System, das Sie nicht kontrollieren, und sei es nur für die Sekunden, die die Verarbeitung braucht. Die Tools AES verschlüsseln und Passwort-Generator hier laufen vollständig in Ihrem Browser mit der Web-Crypto-API: Die Verschlüsselung nutzt AES-256 im GCM-Modus, und die Passphrase wird mit PBKDF2-SHA-256 bei 310.000 Iterationen zu einem Schlüssel gestreckt, mit jedes Mal einem frischen zufälligen Salt und Initialisierungsvektor. Weder der Klartext, noch die Passphrase, noch der Chiffretext werden während des Vorgangs an irgendeinen Server gesendet.

Die Passphrase teilen, ohne den Schutz aufzuheben

Verschlüsselung schützt eine Nachricht nur, wenn die Passphrase getrennt vom Chiffretext reist. Beides im selben E-Mail-Thread zu senden, oder direkt hintereinander im selben Chat, gibt jedem, der diesen Thread liest, alles, was er braucht. Lesen Sie die Passphrase bei einem Anruf vor, senden Sie sie über eine Messaging-App, die nichts mit der den verschlüsselten Text tragenden zu tun hat, oder übergeben Sie sie persönlich bei allem, was wirklich sensibel ist. Speichern Sie sie danach in einem Passwort-Manager, statt sie in der Konversation zu belassen.

Was diese Methode nicht abdeckt

Das Tool AES verschlüsseln akzeptiert Text, bis etwa 1 MB, statt einer direkt hineingelegten beliebigen Binärdatei. Es eignet sich gut für einen Passwort-Export, eine Konfigurationsdatei oder jeden Inhalt, den Sie als Text öffnen und kopieren können. Für einen echten Binär-Anhang wie ein Foto oder ein kleines Dokument kann das Base64-Tool die Datei zuerst in einen Textblock verwandeln; diesen Text würden Sie dann genauso verschlüsseln, nachdem Sie das vom Encoder davor gesetzte Data-URI-Präfix manuell entfernt haben. Die Größenobergrenze sinkt weiter, sobald Base64 die Daten um etwa ein Drittel aufbläht, sodass sich das nur für kleine Dateien eignet. Um speziell ein PDF zu schützen, ist das Hinzufügen eines echten Passworts zur Datei mit dem Tool PDF-Passwort die bessere Wahl: Es verschlüsselt das Dokument selbst, ohne eine vergleichbare Textgrößenbegrenzung.

Die in dieser Anleitung verwendeten Tools

Häufige Fragen

Werden die Passphrase oder der von mir verschlüsselte Text jemals an einen Server gesendet?

Nein. Der Passwort-Generator und das Tool AES verschlüsseln laufen vollständig in Ihrem Browser mit crypto.getRandomValues und crypto.subtle der Web-Crypto-API. Nichts, was Sie eintippen, wird zu irgendeinem Zeitpunkt irgendwohin übertragen; Sie können das selbst bestätigen, indem Sie die Entwicklertools Ihres Browsers öffnen, das Netzwerk-Panel beobachten und den gesamten Vorgang durchlaufen.

Was passiert, wenn die Passphrase verloren geht?

Der Chiffretext kann ohne sie nicht wiederhergestellt werden. Es gibt keine Wiederherstellungsoption und keine Hintertür: PBKDF2 mit 310.000 Iterationen macht das Brute-Forcen einer echt zufälligen 20-Zeichen-Passphrase unpraktikabel. Bewahren Sie die Passphrase in einem Passwort-Manager auf, nicht nur in der Konversation, in der Sie sie geteilt haben, damit der Verlust dieser einen Nachricht Sie nicht auch den Inhalt kostet.