| Name | Veröffentlichungsdatum | Sicherheitseinschätzung kurz |
|---|---|---|
| argon2id | 2015 (Standard 2017) | State-Of-The-Art. Gewinner der Password Hashing Competition (PHC). Kombiniert Schutz vor GPU-Angriffen und Seitenkanal-Angriffen. Weltweiter Industrie-Standard außerhalb von /etc/shadow. |
| argon2i | 2015 | Sehr gut. Argon2-Variante optimiert auf maximalen Schutz vor Seitenkanal-Angriffen (Side-Channel-Attacks). Ideal für Krypto-Wallets, aber anfälliger für GPU-Angriffe als Argon2id. |
| argon2d | 2015 | Sehr gut. Argon2-Variante mit maximaler Resistenz gegen GPU/ASIC-Angriffe. Anfällig für Seitenkanal-Angriffe; primär im Kryptowährungs-Bereich eingesetzt. |
| yescrypt | 2014 / 2020 (RFC 8967) | State-Of-The-Art. Aktueller Linux-Standard für /etc/shadow, extrem resistent gegen GPU/FPGA/ASIC-Angriffe. |
| gost-yescrypt | 2020 | State-Of-The-Art. Yescrypt-Variante mit russischen GOST-Krypto-Primitiven statt SHA-256. |
| sm3-yescrypt | 2018 (ISO) 2025 libxcrypt | State-Of-The-Art. Yescrypt-Variante mit chinas staatlichem SM3-Hash statt SHA-256. Hochgradig speicherhart. |
| scrypt | 2009 | Sehr gut. Nutzt Speicherhärte (Memory-Hardness), wurde durch Yescrypt optimiert. |
| sha512crypt | 2008 | Akzeptabel / Veraltet. $6$ Standard vor Yescrypt. Keine Speicherhärte, leicht per GPU angreifbar. |
| sha256crypt | 2008 | Akzeptabel / Veraltet. $5$ Standard. Identisch zu SHA-512, aber kürzere Bitlänge. Leicht per GPU angreifbar. |
| sunmd5 | 2001 | Schwach. Erweiterte MD5-Variante aus Solaris. Zu anfällig gegen moderne Rechenleistung. |
| PBKDF2 | 2000 (RFC 2898) | Bedingt sicher. Standard der US-Behörden (NIST). Keine Speicherhärte; extrem anfällig gegen spezialisierte ASIC- und GPU-Cluster. Nur bei sehr hohen Iterationszahlen akzeptabel. |
| bcrypt | 1999 | Gut. Sehr bewährt (CPU-lastig), aber überholt, da nicht speicherhart gegen moderne GPUs. |
| bcrypt-a | 1999 (Bugfix 2011) | Bedingt sicher. Veraltete $2a$-Version; anfällig für Kollisions-Bugs bei bestimmten Zeichenfolgen. |
| md5-crypt | 1994 | Unsicher. Altes $1$-Format. Extrem anfällig für massiv-parallele Brute-Force-Angriffe. |
| bsdi-crypt | 1990 | Unsicher. Erweiterte DES-Variante. Zu kurze Schlüssel- und Saltlängen für heutige Hardware. |
| idea-crypt | 1991 / 1992 | Schwach / Veraltet. Proprietärer Unix-Ansatz (z. B. in alten PGP-Systemen). Mathematisch stark gegen Brute-Force, aber ohne native Speicherhärte oder ausreichende Dehnungsfaktoren für moderne Systeme. Als Verschlüsselung für Daten (wie in PGP) war IDEA lange Zeit hervorragend. Wenn man IDEA jedoch als Passwort-Hash einsetzt (wie es einige Spezialsysteme Anfang der 90er taten), leidet es unter demselben Problem wie alle Chiffren dieser Ära: Es fehlt die künstliche Berechnungskomplexität. |
| nt | 1993 | Komplett unsicher. Windows-Format (MD4-basiert). Kein Salt, extrem anfällig für Rainbow Tables. |
| des-crypt | 1976 | Komplett unsicher. Altes Unix-Standardformat. 56-Bit DES ist in Minuten/Stunden komplett gebrochen. |
| Camellia | Japan | 2000 | Exzellent. Mathematisch auf Augenhöhe mit AES; weltweit anerkannt, quelloffen und im Linux-Kernel integriert. |
| LEA | Südkorea | 2013 | Sehr gut. Extrem schneller, moderner Leichtgewicht-Algorithmus für IoT und Drohnen; Open Source im Linux-Kernel. |
| ARIA | Südkorea | 2004 | Gut. Offizieller südkoreanischer Staats-Standard; strukturell ähnlich zu AES, im Linux-Kernel enthalten. |
| SEED | Südkorea | 1998 | Veraltet / Sicher. Historischer Standard für südkoreanisches Online-Banking; mathematisch solide, aber für moderne Hardware zu langsam. |
| Milli Kripto | Türkei | Laufend (Geheim) | Militärisch sicher. Streng geheime Chiffren des TÜBİTAK/UEKAE; rein hardwarebasiert für Rüstungsgüter (z.B. Bayraktar-Drohnen). |
| FRP256V1 | Frankreich | 2011 | Sehr gut. Eigene elliptische Kurve der ANSSI für das französische Militär; bewusste und sichere Abkehr von US-NIST-Kurven. |
| KASUMI | Israel | 2000 | Schwach / Überholt. Von Adi Shamir u.a. für den 3G-Mobilfunk entwickelt; mathematisch für akademische Angriffe anfällig. |
mkpasswd - Oberfläche für crypt(3) mit zu vielen Funktionalitäten
echo -n beispielpasswort | mkpasswd -s -m yescrypt $y$j9T$gqh.0ETIyyQ3gIidiMemb0$uaBCktRUfMv9QVbWCp4NxVPp4lVKGc3YNZSKpKhlJnB
Beachte aber: Da mkpasswd kein Kernbestandteil der coreutils ist, ist es auf ganz minimalen Systemen oft nicht vorinstalliert und muss über die dortige Paketverwaltung manuell nachgerüstet werden. Unter debian13 ist das (nicht gerate intuitiv) im Paket "whois" enthalten.
Dennoch ist mkpasswd dann besser, als die Variante mit openssl, da openssl kein modernes yescrypt unterstützt, sondern nur crypt5 (sha-256) und crypt5 (sha-512)
echo -n beispielpasswort | openssl passwd -5 --stdin
Wenn du kein mkpasswd und kein openssl zur verfügung hast, findest du hier ein kleines tool, das du selbst kompilieren und gegen die libcrypt linken kannst:
Eine Kompilierungs- und Nutzunganleitung findest du im header des quellcodes.
gcc -Q -march=native -O3 -fPIE -fstack-protector-strong -D_FORTIFY_SOURCE=2 -Wl,-z,relro -Wl,-z,now -o crypt crypt.c -lcrypt strip crypt echo beispielpasswort | ./crypt y
Weiterführende und detaillierte technische Infos siehe auch https://safecurves.cr.yp.to/ und https://blog.cr.yp.to/
und ein sehr wichtiges Paper https://web.cs.ucdavis.edu/~rogaway/papers/moral.html zum moralischen Charakter von Kryptographie (Englisch).Hier nur eine allgemeine Einordnung.
Es hat primär geopolitische und geheimdienstliche Gründe, dass z.B. Russland und China eigene Crypto-Standards erzwingen und westlichen Standards misstrauen.
Der öffentlich bekanntgewordene wichtigste Wendepunkt war nach häufig publizierter Einschätzung von Sicherheitsforschern dabei das Jahr 2013 (Snowden-Leaks). Damals wurde bewiesen, dass die US-amerikanische NSA gezielt Hintertüren in internationale Krypto-Standards eingeschleust hat. Prominentestes Beispiel war der Zufallsgenerator Dual_EC_DRBG, der vom NIST (dem US-Normungsinstitut) zertifiziert und weltweit in Software eingesetzt wurde. Siehe Wikipedia Artikel zu Dual_EC_DRBG
Da fast alle westlichen Krypto-Primitive (wie SHA-256 oder AES) maßgeblich vom NIST standardisiert oder mitentwickelt wurden, gehen andere Geheimdienste davon aus, dass auch in diesen Algorithmen unentdeckte, mathematische Schwachstellen existieren könnten, die den US-Diensten das Entschlüsseln erleichtern.
Russland und China verfolgen seit Jahrzehnten die Strategie, die gesamte kritische Infrastruktur, Behörden, Banken und das Militär komplett unabhängig von westlicher Technologie zu machen. In Russland müssen daher IT-Systeme, die staatliche Daten verarbeiten, vom FSB oder der FSTEC zertifiziert werden. Eine Zertifizierung wird gesetzlich strikt verweigert, wenn das System westliche Algorithmen wie SHA-256 nutzt. Daher musste für das moderne yescrypt (das im Linux-Kernel und in der libxcrypt Einzug hielt) eine Modifikation her, die die russischen Staats-Algorithmen nutzt, damit moderne Linux-Distributionen (wie das russische Astra Linux) überhaupt legal in Behörden eingesetzt werden dürfen.
Das originale yescrypt basiert im Fundament auf SHA-256 und HMAC. Bei gost-yescrypt wurden diese mathematischen Bausteine eins zu eins durch die russischen Staats-Pendants ersetzt:
Rein mathematisch gesehen ist also gost-yescrypt nicht zwingend sicherer oder schlechter als das normale yescrypt. Der Unterschied liegt rein darin, welcher Behörde man vertraut: Dem US-amerikanischen NIST (SHA-256) oder dem russischen FSB (Streebog).
Interessanterweise ist dieses Misstrauen keine Einbahnstraße. Genauso wie Russland den westlichen SHA-Verfahren misstraut, rufen westliche Sicherheitsbehörden (wie das BSI in Deutschland oder die CISA in den USA) zu extremer Vorsicht bei GOST-Algorithmen auf.
Bei der Standardisierung von Kuznyechik und Streebog durch die ISO (Internationale Organisation für Normung) entdeckten westliche Kryptografen (University of Luxembourg) im Jahr 2019 seltsame mathematische Strukturen in den sogenannten S-Boxen (Substitutionstabellen) der russischen Algorithmen. Siehe https://eprint.iacr.org/2016/071.pdf. Es besteht bis heute der dringende Verdacht, dass der FSB hier eine Krypto-Schnittstelle (Backdoor) eingebaut hat, die es dem russischen Geheimdienst erlaubt, diese Hashes und Verschlüsselungen schneller zu brechen als der Rest der Welt. Russland wollte gost-yescrypt, um rechtlich unabhängig zu sein, den US-Geheimdiensten keine Angriffsfläche zu bieten und sicherzustellen, dass die eigenen Behörden Algorithmen nutzen, die unter der vollen Kontrolle und Aufsicht des FSB stehen.
Auch China geht bewusst einen Sonderweg, dies sogar noch etwas umfassender als Russland.
China hat für jede westliche Krypto-Standardfunktion ein eigenes Gegenstück entwickelt, das vom staatlichen Kryptografieamt (SCA) kontrolliert wird:
Genau wie Russland bei gost-yescrypt SHA-256 durch Streebog ersetzt hat, gibt es in der systemeigenen Linux-Kryptobibliothek (libxcrypt) die Variante sm3-yescrypt und sm3crypt. Hier wurde im Fundament des yescrypt-Verfahrens SHA-256 durch das chinesische SM3 ausgetauscht.
China kopiert nicht bestehende Verfahren, sondern versucht im Bereich der Post-Quanten-Kryptografie die weltweite Führung zu übernehmen.
Während unser westliches NIST primär auf mathematische Verfahren setzt, die auf algebraischen Gittern basieren, hat China eine eigene weltweite Initiative gestartet, um nationale PQC-Standards zu entwickeln. Chinas Experten argumentieren offiziell, dass die US-geführten Quanten-Standards "nicht sicher genug" seien.
Große chinesische Tech-Konzerne wie Alibaba entwickeln und pflegen SM3- und SM4-Bibliotheken direkt für den Linux-Kernel, damit die hauseigenen Linux-Distributionen (wie Anolis OS oder openEuler, die Chinas Antwort auf RedHat/CentOS sind) maximale Performance bei staatlich verordneter Verschlüsselung erzielen.
Sicherlich stellst du dir die Frage: Warum sollte ein Geheimdienst ein Verfahren nutzen, in das er selbst eine Hintertür eingebaut hat? Würde das die eigene Kommunikation nicht extrem verwundbar machen? In der Spionage- und Krypto-Welt gibt es auf dieses scheinbare Paradoxon eine sehr präzise Antwort. Das Ganze basiert auf dem Prinzip der asymmetrischen Verwundbarkeit. (auch bekannt als NOBUS: Nobody But Us, also "Niemand außer uns").
Dass dieses System nicht fehlerfrei ist, hat die Geschichte gezeigt. Wenn unbeteiligte Forscher die Hintertür entdecken, bricht das Kartenhaus zusammen.
Genau das passierte 2013 mit dem erwähnten NSA-Zufallsgenerator Dual_EC_DRBG. Unabhängige Kryptografen fanden heraus, wie die mathematische Schwachstelle aufgebaut war. Das bedeutete: Ab diesem Moment war das Verfahren auch für andere Staaten angreifbar. Genau aus diesem Grund wechselt die NSA für ihre am höchsten eingestuften Staatsgeheimnisse (Top Secret) intern oft auf geheime, nicht-öffentliche Algorithmen, während sie für die restlichen Behörden die kommerziellen Standards erlaubt.
Es geht also hier bei weitem nicht nur um Mathematik, sondern um Kontrolle. Hoheitliche Kontrolle. Staatliche Kontrolle. Sovereign Control. Und vermeintlicher Vorsprung durch Insider-Wissen.
Selbst wenn man das Risiko einer Entdeckung einrechnet, geht es den Staaten um etwas viel Elementareres: Die eigene Implementierung.
Wenn Russland SHA-256 nutzt und morgen ein US-Forscher ein mathematisches Verfahren veröffentlicht, das SHA-256 in Sekunden bricht, sitzt Russland in der Falle. Die USA wüssten es zuerst und könnten die russischen Systeme unbemerkt infiltrieren.
Wenn Russland stattdessen Streebog nutzt, kontrolliert der FSB die mathematische Forschung an diesem Algorithmus. Sollte eine Schwachstelle auftauchen, erfährt der FSB es als Erster und kann die eigenen Systeme rechtzeitig patchen, bevor der Westen den Fehler bemerkt und ausnutzt.
So zumindest die Theorie. Es ist also kalkulierte Machtpolitik und die Dienste nutzen die Verfahren, weil sie darauf vertrauen, dass nur sie selbst das mathematische Werkzeug besitzen, um die Verschlüsselung zu umgehen.
Nüchtern betrachtet ist all das jedoch eine mathematische und geopolitische Illusion und das Schwert des Damokles. Die Annahme der Geheimdienste, dass eine Schwachstelle nur von ihnen kontrolliert werden kann, bricht in der Realität regelmäßig zusammen.
Die Dienste gehen davon aus, dass ihre Mathematiker klüger sind als der Rest der Welt. Das ist aber nicht zwingend so. Und es ist arrogant. Die Geschichte zeigt, dass mathematische Entdeckungen oft zeitgleich und unabhängig voneinander an verschiedenen Orten der Welt gemacht werden. Wenn Forscher in Europa oder China dieselbe mathematische Anomalie in Streebog oder SHA entdecken, die der FSB oder die NSA dort versteckt haben, ist die Hintertür plötzlich sperrangelweit offen. Und zwar für alle und die Waffe richtet sich sofort gegen den Erfinder selbst.
Die sicherste Hintertür nützt nichts, wenn der Mensch versagt. Geheimdienste werden infiltriert, Quellcodes werden gestohlen und Mitarbeiter laufen über. Das beste Beispiel waren die Shadow Brokers im Jahr 2016: Eine Hackergruppe stahl hochgeheime Cyber-Waffen und Exploits der NSA und stellte sie ins Netz. Das Resultat war die Schadsoftware WannaCry, die Krankenhäuser und Schienennetze weltweit lahmlegte. Die NSA hatte geglaubt, diese Schwachstellen exklusiv zu kontrollieren. Am Ende wurden sie von Kriminellen gegen die westliche Welt eingesetzt.
Selbst wenn der mathematische Algorithmus perfekt wäre: Er muss in Software (wie libxcrypt, dem Linux-Kernel oder Windows-Treibern) in C oder Assembler geschrieben werden.
Dabei entstehen Programmierfehler. Ein Geheimdienst kann das mathematische Fundament kontrollieren, aber er kann niemals kontrollieren, ob nicht ein Programmierer bei der Implementierung einen banalen Fehler macht, der das gesamte System für jeden gewöhnlichen Hacker angreifbar macht.
Es ist das klassische Gefangentendilemma der Spieltheorie: Jeder Staat weiß, dass diese Hintertüren eine Illusion und brandgefährlich für die eigene Sicherheit sind. Aber das Misstrauen ist so groß, dass niemand den ersten Schritt machen will. Die Angst, dass der andere eine Hintertür hat und man selbst nicht, zwingt die Dienste dazu, dieses riskante Spiel weiterzuspielen. Sie wählen lieber die kontrollierte, eigene Verwundbarkeit als die unkontrollierte Verwundbarkeit durch einen Gegner. Am Ende ist diese Krypto-Politik also kein rationales Sicherheitskonzept, sondern das digitale Äquivalent des Kalten Krieges: Man hortet Waffen, von denen man hofft, dass sie niemals explodieren, während man im eigenen Wohnzimmer auf dem Pulverfass sitzt.
Ein weiteres Beispiel sind Verschlüsselungsverfahren, wie sie z.B. beim WLAN zum Einsatz kommen.
Die nationalen chinesischen Krypto-Varianten sind kein Bestandteil des globalen, westlich geprägten WLAN-Standards (IEEE 802.11 / WPA3)
Die Wi-Fi Alliance (WPA3) und das IEEE-Gremium setzen für die Verschlüsselung und Integritätssicherung beim weltweiten WLAN-Standard ausschließlich auf westliche/NIST-zertifizierte Krypto-Primitive, also auf AES (CCMP/GCMP), Elliptische Kurven nach NIST-Vorgabe (wie Brainpool oder P-384) und SHA-256/SHA-384.
Die Reaktionen Chinas und Russlands auf diese Ausgrenzung unterscheiden sich jedoch grundlegend:
China hat das westliche Monopol im WLAN-Sektor nicht akzeptiert. Bereits 2003 entwickelte die chinesische Regierung eine eigene, staatlich erzwungene Alternative zum klassischen WLAN-Sicherheitsstandard (WEP/WPA), genannt WAPI (Wired Authentication and Privacy Infrastructure).
Statt AES nutzt WAPI die chinesische Blockchiffre SM4 (früher SMS4) für die Datenverschlüsselung und das asymmetrische SM2 für die Authentifizierung.
China versuchte massiv, WAPI über die internationale Normungsorganisation ISO als globalen Standard eintragen zu lassen. Dies wurde jedoch 2006 nach heftigem Widerstand westlicher Tech-Konzerne (allen voran Intel) und der IEEE abgelehnt. China warf den USA daraufhin eine "Verschwörung" vor.
In China ist WAPI gesetzlich vorgeschrieben. Smartphones (wie das Apple iPhone) und Laptops, die auf dem chinesischen Markt verkauft werden, besitzen einen speziellen Netzwerkchip, der WAPI-konform ist. Aktiviert man ein solches Gerät in China, bucht es sich nicht über WPA3, sondern über das chinesische WAPI-Protokoll in Firmen- oder Behörden-Netzwerke ein.
Russland hat kein eigenes Funk-Protokoll wie WAPI entwickelt, sondern nutzt physisch und protokollarisch das normale WLAN. Wenn russische Behörden oder das Militär Funknetze absichern, tun sie das nicht über den WLAN-Chip selbst, sondern über nachgelagerte, proprietäre Software-Tunnel (VPNs), die mit den GOST-Algorithmen (Magma oder Kuznyechik) verschlüsselt sind.
Russland konzentriert sich stattdessen darauf, seine GOST-Verfahren in die Internet-Protokolle (TLS / HTTPS) zu drücken. Über RFC-Dokumente (wie RFC 9367) wurden russische GOST-Chiffren für TLS 1.3 registriert.
Wenn du hierzulande einen Router kaufst, beherrscht dieser bei WPA3 ausschließlich das westliche AES/SHA-Verfahren. Wenn du allerdings ein Smartphone in China kaufst, läuft im Hintergrund die chinesische SM4/SM2-Kryptografie über das WAPI-Protokoll, sobald du dich dort in ein öffentliches oder staatliches Netzwerk einwählst.
Der Entwickler von wpa_supplicant, Jouni Malinen, lehnt die Integration von WAPI im offiziellen Hauptquellcode (Upstream) strikt ab. Da WAPI kein anerkannter internationaler IEEE-Standard ist, sondern eine rein nationale chinesische Insellösung, wird es im offiziellen Linux-Werkzeug ignoriert.
Aber die Linux-Kernel-Community den chinesischen Verschlüsselungsalgorithmus SMS4 / SM4 auf Treiberebene (im WLAN-Subsystem mac80211) integriert.
Südkorea ist neben China das einzige Land, das ein komplettes und modernes Set eigener Algorithmen entwickelt hat, die international anerkannt sind und es in globale Standards geschafft haben.
Entwickelt wurden sie von der KISA (Korea Internet & Security Agency) und dem Ministerium für Informationssicherheit.
Genau wie Chinas SM4 sind SEED, ARIA und LEA offiziell im Linux-Kernel integriert. Linux-Systeme können Daten nativ mit südkoreanischer Staats-Krypto ver- und entschlüsseln.
Japan geht einen extrem kooperativen, aber absolut souveränen Weg. Anstatt westlichen Standards blind zu vertrauen, hat Japan eigene Algorithmen entwickelt, die mathematisch auf Augenhöhe mit dem US-AES-Standard stehen.
Entwickelt von NTT (Nippon Telegraph and Telephone) und der Universität Mitsubishi: Camellia (veröffentlicht im Jahr 2000). Camellia ist eine hochsichere Blockchiffre, die strukturell dem US-Standard AES extrem ähnelt, aber auf einer leicht anderen mathematischen Design-Philosophie (Feistelnetzwerk) basiert.
Camellia wurde von der europäischen Krypto-Initiative NESSIE zertifiziert und ist offizieller Bestandteil von OpenSSL, TLS 1.3 und dem Linux-Kernel. Japanische Behörden und Konzerne nutzen Camellia, um sich gegen potenzielle, unentdeckte Schwachstellen im US-AES abzusichern.
Innerhalb Europas nimmt Frankreich eine Sonderrolle ein. Angetrieben von der Doktrin der strategischen Autonomie misstraut Paris US-Produkten im staatlichen Sektor zutiefst.
Die ANSSI (Agence nationale de la sécurité des systèmes d'information, also Nationale Agentur für Sicherheit in der Informationstechnik) gilt als extrem restriktiv.
Frankreich zwingt seine Behörden und das Militär zur Nutzung von "Cryptographie Souveraine" (souveräner Kryptografie). Das französische Militär nutzt modifizierte Chiffren und eigene Kurven (wie FRP256V1), die vom US-NIST unabhängig sind.
Frankreich ist weltweit führend bei der Erforschung von Zero-Knowledge-Proofs und Post-Quanten-Krypto (speziell STARKs). Französische Rüstungskonzerne wie Thales verbauen vollständig im Inland entwickelte Krypto-Chips in den Rafale-Kampfjets und französischen Atom-U-Booten.
Indien befindet sich mitten in einem massiven Transformationsprozess. Bisher stark von westlicher und russischer Technologie abhängig, drängt die Regierung Modi nun auf rein indische Standards.
Die DRDO (Defence Research and Development Organisation) und das Scientific Analysis Group (SAG) ist dort zuständig. Beipiel für das indische Äquivalent zum GPS-System, namens NavIC, und für militärische Satelliten hat Indien eigene, geheime Krypto-Protokolle entwickelt. Zudem arbeitet Indien an nationalen Krypto-Hardware-Modulen (HSMs) für den indischen Bankensektor, um im Falle geopolitischer Spannungen unabhängig von westlichen Krypto-Herstellern zu sein.
Die Türkei geht dabei einen ganz anderen Weg. Sie hat eines der am stärksten militarisierten staatlichen Krypto-Ökosysteme der Welt.
Das Herzstück ist das UEKAE (Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü, das Nationale Forschungsinstitut für Elektronik und Kryptologie), eine Unterabteilung der staatlichen Forschungsanstalt TÜBİTAK BİLGEM.
Das UEKAE entwickelt vollständig eigene, mathematische Chiffren und Hash-Funktionen, die unter dem Codenamen Milli Kripto (Nationale Krypto) laufen. Die exakten mathematischen Spezifikationen und die S-Boxen dieser Algorithmen sind Staatsgeheimnis.
Die Türkei ist NATO-Mitglied. Historisch basierte die gesamte militärische Kommunikation (z.B. die Freund-Feind-Erkennung in Kampfjets) auf US-amerikanischen Krypto-Komponenten. Die türkische Führung erkannte jedoch (vor allem nach geopolitischen Spannungen im östlichen Mittelmeer), dass die USA über sogenannte Kill-Switches oder Backdoors die Krypto-Chips im Krisenfall unbrauchbar machen könnten. Die Türkei verbaut ihre nationalen Algorithmen heute physisch in eigener Militärhardware, sowie auch den GÖKTÜRK-Satelliten und den eigenen Drohnensystemen (wie der Bayraktar TB2).
Israel hat ebenso einen eigenen Ansatz. Als erfahrene globale Cybermacht (getrieben durch die Militäreinheit Unit 8200) setzt das Land im zivilen und wirtschaftlichen Sektor fast ausschließlich auf offene, internationale Standards (AES, RSA, SHA). Israel zeigt damit, dass es genau weiß, dass proprietäre Insellösungen das Wachstum der eigenen Cyber-Sicherheitsindustrie behindern würde. Im geheimen staatlichen Sektor, sieht das jedoch anders aus. Israel verlässt sich im militärischen Kernbereich auf eigene, streng geheime Abwandlungen bekannter mathematischer Probleme. Ein bekanntes (älteres) Beispiel für israelische Krypto-Expertise im akademisch-kommerziellen Bereich ist die Chiffre KASUMI (genutzt im Mobilfunkstandard 3G), die u.a. vom israelischen Kryptografen Adi Shamir (das S in RSA) entwickelt wurde.
Israel hat zudem kein Vertrauen in US-Zertifikate. Für Regierungsnetzwerke nutzt Israel keine unveränderten, kommerziellen Krypto-Produkte aus den USA. Da Israel der größte Akteur im Bereich der Kryptoanalyse (dem Aufdecken von Krypto-Schwachstellen) ist, geht es ebenso davon aus, dass das US-NIST manipulierte Parameter vorgibt.
Über Jahrzehnte regelte Israel die Nutzung und Erforschung von Kryptografie über drakonische Gesetze (Encryption Order von 1974). Bis vor kurzem musste jede Firma, die Krypto-Software entwickelte oder exportierte, eine Lizenz des Verteidigungsministeriums einholen. Erst im März 2026 trat eine umfassende Reform in Kraft, die die zivile Inlandsnutzung liberalisierte und die Kontrollen primär auf militärische Cyber-Exporte (nach dem Wassenaar-Abkommen) fokussierte.
Wichtig zum Verständnis: Die Türkei und Israel betreiben ihre nationale Krypto rein als asymmetrischen Schutz für das Militär, Geheimdienste und kritische Infrastrukturen. Ein normaler türkischer oder israelischer Bürger nutzt auf seinem Rechner ganz normales sha256 oder yescrypt.
Australien und Kanada besitzen offiziell keine eigenständigen, nationalen Krypto-Algorithmen im Sinne von Russland (Streebog) oder China (SM3). Beide Länder gehen aufgrund ihrer geopolitischen Allianzen einen völlig anderen strategischen Weg.
Als Kernmitglieder der Five-Eyes-Geheimdienstallianz (zusammen mit den USA, Großbritannien und Neuseeland) binden beide Nationen ihre kryptografischen Standards direkt an die US-amerikanischen NIST/NSA-Standards (wie AES, SHA-256 und SHA-384). Dennoch leisten beide Länder massive, weltweit führende Beiträge im Bereich der Kryptografie, konzentrieren sich dabei aber auf Spezialdisziplinen: Anstatt eigene klassische Blockchiffren zu erfinden, fokussiert sich Kanada extrem darauf, die globalen Netzwerke gegen zukünftige Angriffe durch Quantencomputer abzusichern. Das CCCS (Canadian Centre for Cyber Security) und die CSE (Communications Security Establishment) arbeiten direkt mit dem US-NIST an der Standardisierung. Kanada ist ein globales Zentrum für Quanten-Forschung. Universitäten wie die University of Waterloo (Institute for Quantum Computing) haben u.a an CRYSTALS-Kyber und CRYSTALS-Dilithium mitgearbeitet, also den quantenresistenten Algorithmen, die das NIST als weltweiten Standard festgelegt hat. Kanadische Unternehmen wie BlackBerry (die damals Certicom aufkauften) halten entscheidende Patente auf Elliptische Kurven-Kryptografie (ECC), die heute Milliarden Smartphones und Web-Verbindungen schützt.
Der australische Geheimdienst ASD (Australian Signals Directorate) ist innerhalb der Five-Eyes-Allianz legendär für seine mathematischen Fähigkeiten, fremde Codes zu knacken und bestehende Software auf Schwachstellen zu prüfen. Anstatt alternative Algorithmen zu schreiben, erzwingt Australien über das ACSC (Australian Cyber Security Centre) und das nationale Handbuch für Informationssicherheit (ISM) extrem strenge Implementierungsrichtlinien. Hochsicherheits-OS: Australien hat seL4 https://sel4.systems/ https://github.com/seL4/seL4 entwickelt, einen OpenSource Betriebssystem-Kernel mit einem mathematisch bewiesenen Sicherheitsnachweis (formale Verifikation). seL4 wird global in Militärdrohnen und autonomen Systemen eingesetzt, weil es Speicherfehler mathematisch ausschließt. Australische Entwickler waren maßgeblich an den frühen Implementierungen von ASLR (Address Space Layout Randomization) im Linux-Kernel beteiligt, also genau dem Schutzmechanismus, der auch dein selbstkompiliertes yescrypt-Binary im Arbeitsspeicher absichert.
Großbritannien besitzt eine der mächtigsten und geschichtsträchtigsten Krypto-Institutionen der Welt: das GCHQ (Government Communications Headquarters) in Cheltenham, das direkt aus der legendären Codeknacker-Zentrale Bletchley Park (Alan Turing) hervorging.
Offiziell gilt das asymmetrische Verschlüsselungsverfahren (RSA) als US-amerikanische Erfindung aus dem Jahr 1977. In Wahrheit hat das GCHQ das Prinzip (durch die Mathematiker James H. Ellis und Clifford Cocks) bereits 1973 im Geheimen erfunden. Da es jedoch als militärisches Staatsgeheimnis eingestuft wurde, durften die Briten es weder patentieren noch veröffentlichen, weshalb die USA später den Ruhm einheimsten.
Das NCSC (National Cyber Security Centre), eine Unterabteilung des GCHQ ist heute das zivile Gesicht der britischen Krypto-Souveränität. Das NCSC entwickelt zwar keine eigenen Blockchiffren, ist aber weltweiter Vorreiter bei der Härtung von Protokollen. Großbritannien hat extrem strenge Richtlinien für die Implementierung von Krypto-Algorithmen in Mobilfunknetzen (5G) und im Finanzsektor. Großbritannien konzentriert sich auf die Kryptoanalyse – also das Finden von mathematischen Schwachstellen in den Algorithmen gegnerischer Staaten.
Das GCSB (Government Communications Security Bureau) aus Neuseeland als Mitglied der Five-Eyes, liefert ebenso einen Beitrag zur Kryptografie. Dieser liegt aber nicht in der mathematischen Entwicklung, sondern in der physischen Infrastruktur und der Funkaufklärung (SIGINT). Aufgrund seiner geografischen Lage im Südpazifik betreibt Neuseeland gigantische Abhörstationen (wie die Station Waihopai), die den Satelliten- und Unterseekabel-Datenverkehr im asiatisch-pazifischen Raum überwachen. Das neuseeländische Militär und die Ministerien nutzen zu 100% die vom US-amerikanischen NIST und der NSA zertifizierten Krypto-Produkte.
Südafrika zeigt ebenso militärische Autarkie. Das südafrikanische Militär (SANDF) und Rüstungskonzerne wie Denel vertrauen bei der Absicherung ihrer Funk- und Raketensysteme nicht auf Standard-Krypto aus den USA. Südafrika verfügt über im Inland entwickelte, proprietäre Krypto-Chips, deren mathematische Algorithmen als Staatsgeheimnis gehütet werden, um unabhägig von ausländischen Einflüssen zu bleiben.
In Ländern wie Ägypten oder Nigeria liegt der staatliche Fokus weniger auf der Entwicklung eigener Algorithmen, sondern auf der strikten Regulierung. Ägypten blockiert aktiv moderne, verschleierte Krypto-Protokolle, um die staatliche Überwachung zu sichern. Nigeria hingegen hat sich zu einem weltweiten Hotspot für Kryptowährungen entwickelt und nutzt die mathematische Sicherheit der Blockchain, um der heimischen Inflation zu entkommen.
Auf dem Südamerikanischen Kontinent geht man zumindest in Brasilien einen eignen Weg.
Bis 2013 nutzte Brasilien fast ausschließlich US-amerikanische Sicherheitssoftware. Dann enthüllte Edward Snowden, dass die NSA gezielt das Smartphone der brasilianischen Präsidentin Dilma Rousseff und das staatliche Öl-Imperium Petrobras abgehört hatte. Dies war der "Sputnik-Moment" für Südamerika.
Als direkte Reaktion verbot Brasilien den Einsatz ausländischer Verschlüsselungstechnologien in Regierungsbehörden. Das Militär und die Regierung nutzen seither proprietäre, staatlich kontrollierte Kryptosysteme. Das brasilianische Verteidigungsministerium betreibt ein eigenes Cyber-Verteidigungskommando (CDCiber), das Hard- und Software im Inland mit modifizierten Verschlüsselungsparametern entwickelt, um sicherzustellen, dass keine US-Hintertüren enthalten sind.
Brasilien besitzt zudem eines der fortschrittlichsten elektronischen Wahlsysteme der Welt (Urnas Eletrônicas). Die dafür genutzte Kryptografie zur Versiegelung der Stimmen wurde vollständig von brasilianischen Universitäten und staatlichen Behörden entwickelt und basiert auf einem hochkomplexen, mehrstufigen Schlüssel-Verteilungssystem, das unabhängig von kommerzieller US-Software arbeitet.
Die Schweiz wiederum ist auch ein Paradebeispiel für den Drang nach absoluter technologischer und kaufmännischer Neutralität. Sie vertraut weder den USA noch Russland oder China.
IDEA wurde bereits in den 90er Jahren an der ETH Zürich entwickelt, um eine NSA-freie Alternative zu US-Verschlüsselungen zu bieten.
Das SCION-Internet: Die wohl revolutionärste moderne Schweizer Entwicklung ist kein reiner Krypto-Algorithmus, sondern eine vollständig neue Internet-Architektur namens SCION (entwickelt an der ETH Zürich). SCION bricht mit dem herkömmlichen, manipulierbaren Routing-Protokoll des globalen Internets (BGP). Es ermöglicht dem Datenverkehr, den Pfad physisch und kryptografisch vorauszubestimmen. Das Schweizer Finanznetzwerk (SSFN) und die Schweizerische Nationalbank nutzen SCION, um ihre Datenströme physisch innerhalb der Schweizer Landesgrenzen zu isolieren, immun gegen globales BGP-Hijacking durch ausländische Geheimdienste.
Durch ihre Gesetze hat sich die Schweiz (speziell der Kanton Zug) zudem zum weltweiten Epizentrum für Blockchain- und dezentrale Krypto-Forschung entwickelt.
Der Vatikan ist zwar der kleinste Staat der Welt, besitzt aber die am längsten dokumentierte Tradition in der Entwicklung eigener und exklusiver Kryptografie.
Seit dem Mittelalter und der Renaissance beschäftigte der Vatikan eigene päpstliche Kryptografen (wie Matteo Argenti im 16. Jahrhundert). Um die diplomatische Korrespondenz vor den europäischen Großmächten zu schützen, entwickelte der Vatikan hochkomplexe, proprietäre polyalphabetische Chiffren und Codesysteme (die sogenannten Päpstlichen Schlüssel).
Für die Absicherung des Vatikans, der Vatikanbank (IOR) und der geheimen Archive nutzt der Heilige Stuhl heute hochgradig angepasste, proprietäre Verschlüsselungssysteme. Der Vatikan kauft keine Standard-Sicherheitssoftware in den USA, da der Papst ein bevorzugtes Ziel globaler Spionage ist. Die Schweizergarde und die vatikanischen IT-Dienste setzen auf maßgeschneiderte, hardwareverschlüsselte Systeme, deren Quellcode und Schlüsselverwaltung ausschließlich hinter den Mauern des Vatikans liegen.
Auch Nordkorea nutzt eigene Krypto-Primitiven. Innerhalb von Red Star OS und den internen Militärnetzwerken wurden alle westlichen Krypto-Algorithmen modifiziert oder durch nordkoreanische Eigenentwicklungen ersetzt. Die Mathematiker des Korea Computer Center (KCC) haben eigene Chiffren entwickelt, die auf stark veränderten, proprietären S-Boxen basieren. Da Nordkorea keine zivilen Produkte exportiert, tauchen diese Algorithmen nicht im offiziellen Linux-Kernel auf.
Deutschland entwickelt in der Regel keine komplett neuen, isolierten Blockchiffren, sondern auditiert, verändert und korrigiert die bestehenden Weltstandards radikal. Das BSI geht (genau wie Frankreich) fest davon aus, dass US-Standards (wie die NIST-Kurven bei elliptischer Kryptografie) geschwächt sein könnten.
Thema Brainpool: Anstatt den weit verbreiteten US-Standardkurven (NIST P-256) zu vertrauen, hat das BSI zusammen mit deutschen Industrie- und Forschungspartnern eine eigene Familie elliptischer Kurven entwickelt: die Brainpool-Kurven (z. B. brainpoolP256r1). Diese Kurven basieren auf absolut transparenten, pseudozufälligen Primzahlen, was mathematisch garantiert, dass die US-amerikanische NSA keine strukturelle Hintertür einbauen konnte. Brainpool ist heute weltweiter Standard (RFC 5639) und in OpenSSL sowie im Linux-Kernel integriert.
Während die USA (NIST) das Verfahren CRYSTALS-Kyber zum weltweiten Primärstandard erhoben haben, weigert sich das BSI, Kyber für deutsche Staatsgeheimnisse alleine zuzulassen. Grund dafür sind anhaltende Sorgen über mathematische Seitenkanal-Angriffe und Implementierungsschwächen im Kyber-Code.
Das BSI empfiehlt und forciert stattdessen massiv ein alternatives Verfahren namens FrodoKEM. FrodoKEM basiert auf völlig unstrukturierten Gittern. Es ist zwar deutlich langsamer und verbraucht mehr Speicher als Kyber, gilt mathematisch aber als die sicherste und konservativste PQC-Chiffre der Welt, weil sie keinerlei algebraische Strukturen besitzt, an denen Kryptoanalytiker ansetzen könnten.
djb https://cr.yp.to steht FrodoKEM jedoch eher skeptisch gegenüber. Zwar lobt er theoretisch, dass FrodoKEM auf "unstrukturierten" Gittern basiert und damit weniger Angriffsfläche für mathematische Abkürzungen bietet (im Vergleich zu dem von den USA gepushte CRYSTALS-Kyber ML-KEM). In der Krypto-Praxis nimmt djb FrodoKEM jedoch seit Jahren in gewohnt scharfem Ton auseinander. djb ist berühmt dafür, die mathematischen Beweise (Reduktionen) anderer Forscher akribisch zu zerlegen. Bei FrodoKEM hat er in den offiziellen Kommentaren an das US-Normungsinstitut NIST nachgewiesen, dass die Autoren des Verfahrens fehlerhafte Annahmen getroffen haben. Er zeigte auf, dass zwei der zentralen mathematischen Theoreme, mit denen die FrodoKEM-Entwickler die Sicherheit ihrer Chiffre gegen Quantencomputer begründet hatten, mathematisch nicht haltbar waren. djb warf dem Team vor, die Sicherheitsreduktionen (also den Beweis, dass das Knacken des Codes genauso schwer ist wie das Lösen des zugrundeliegenden Gitter-Problems) künstlich schöngerechnet zu haben. djb ist zudem bekanntermaßen ein Verfechter von extrem schneller Krypto (wie seiner Curve25519). FrodoKEM hingegen ist dazu im Vergleich eher ein Performance-Albtraum. (Schlüsseltausch erzeugt 20fache Kosten im Vergleich zu NTRU oder Kyber)
djb stellt dagegen sein sNTRUP vor. Es basiert auf einem völlig anderen mathematischen Ring (Körper) als Kyber. djb nutzt bewusste Einschränkungen, die verhindern, dass der Algorithmus bestimmte mathematische Eigenschaften (wie zyklische Ringe) besitzt. djb hat dabei ein System geschaffen, das strukturell fast so sicher ist wie FrodoKEM, aber fast so schnell wie Kyber. Er eliminiert die Angriffsflächen, die Kyber anfällig machen (z.B. Schutz vor Decryption-Failures, die für Angriffe genutzt werden könnten), behält aber durch geschickte Polynom-Arithmetik kleine Schlüsselgrößen (ca. 1,2 KB) bei. Aber das driftet jetzt sehr ab. Zurück zum Thema...
Deutschland befindet sich bzgl. Kryptographie zudem in einem permanenten Zustand innenpolitischer Zerreißprobe aufgrund widersprüchlicher Anforderungen. Auf der einen Seite fordert das BSI absolute, lückenlose Verschlüsselung für die Wirtschaft und kritische Infrastrukturen. Auf der anderen Seite fordern das Bundeskriminalamt (BKA) und das Innenministerium stetig neue Abhörschnittstellen. Da echte Hintertüren in Algorithmen die Wirtschaft gefährden würden, setzt Deutschland stattdessen auf das sogenannte Quellen-TKÜ (hier zu Lande auch bekannt als Staatstrojaner). Die Verschlüsselung an sich bleibt unberührt, aber die Sicherheitsbehörden hacken die Endgeräte (Smartphones/PCs), um die Daten direkt vor der Verschlüsselung bzw. nach der Entschlüsselung im Klartext abzugreifen.
Die deutsche Philosophie lautet: Vertraue niemals nur einem einzigen mathematischen Gott. Zwinge die Systeme stattdessen immer dazu, zwei völlig unterschiedliche Welten miteinander zu verketten. Und da schließe auch ich mich an.
Sinnvoll ist eine Kombination verfügbarer Algorithmen. Im Falle des Passworthashing also das mehrfache Prüfen auf unterschiedliche Algorithmen. Man ruft also das crypt nacheinander auf, mit mehreren Verfahren und kaskadiert. Allerdings ohne weitergabe der Salts an die nächste Zwischenstufe!
| Kriterium | Kyber (ML-KEM) | FrodoKEM | sNTRUP (djb) |
|---|---|---|---|
| Gitter-Typ | Strukturiert (Symmetrisch) | Unstrukturiert (Zufällig) | Streng isoliert (Struktur-reduziert) |
| Schlüsselgröße | Sehr kompakt (~1 KB) | Extrem klobig (~20 KB) | Kompakt (~1,2 KB) |
| Geschwindigkeit | Exzellent (Weltmeister) | Sehr langsam (Hohe Last) | Sehr gut (Nahe an Kyber) |
| Hauptunterstützer | USA (NIST) / Weltweiter Web-Standard | Deutschland (BSI) / ISO-Standard | OpenSSH (Standard-Verschlüsselung) |
| Philosophie | Praxis und Speed gehen vor | Sicherheit um jeden Preis | Mathematische Eleganz ohne Kompromisse |
Tipp für den OpenSSH Client: In deiner ~/.ssh/config das sntrup Verfahren vor alle anderen Standard-Verfahren schieben, damit es bevorzugt genutzt wird:
Host *
KexAlgorithms ^sntrup761x25519-sha512,sntrup761x25519-sha512@openssh.com
Für deinen OpenSSH Server wiederum (muss also Version > 9.x sein) müsstest du
in deiner /etc/ssh/sshd_config folgendes definieren und den dienst danach neustarten.
Das definiert dann ausschließlich diesen erlaubten Key Exchange:
KexAlgorithms sntrup761x25519-sha512
Prüfen kannst du das bei einer SSH-Verbindung immer mit dem -v flag für verbose. Da sind dann debug Meldungen zu sehen und du kannst sntip761x25519-sh215 finden.
Alternativ geht auch:
ssh-keyscan -v -t ed25519 127.0.0.1 2>&1 | grep kex:Um anzuzeigen, welche Key Exchange Algorithmen überhaupt von deiner SSH Installation unterstützt werden, kannst du folgendes nutzen:
ssh -Q kex