Ende-zu-Ende-Verschlüsselung verständlich erklärt

Stand: 14. Oktober 2026

Kurz gesagt

Bei Ende-zu-Ende-Verschlüsselung wird eine Nachricht auf dem Gerät des Absenders verschlüsselt und erst auf dem Gerät des Empfängers wieder entschlüsselt. Server dazwischen leiten nur Chiffrat weiter und können den Inhalt nicht lesen. Metadaten wie Absender, Empfänger und Zeitpunkt schützt sie dagegen nicht automatisch.

Das Prinzip: verschlüsselt an den Enden, nicht unterwegs

Fast jeder Online-Dienst verschlüsselt heute die Verbindung zwischen Gerät und Server, etwa mit TLS. Das nennt man Transportverschlüsselung. Sie schützt vor Mitlesern im Netz, zum Beispiel im offenen WLAN. Auf dem Server liegt die Nachricht aber im Klartext vor, und wer dort Zugriff hat, kann sie lesen: der Betreiber, ein Angreifer nach einem Einbruch oder jemand, der den Betreiber zur Herausgabe zwingt.

Ende-zu-Ende-Verschlüsselung setzt eine Stufe früher an. Die Nachricht wird verschlüsselt, bevor sie das Gerät des Absenders verlässt, und erst auf dem Gerät des Empfängers wieder lesbar. Der Server dazwischen speichert und verteilt nur Chiffrat, also unlesbare Daten. Die Schlüssel, mit denen man es entschlüsseln könnte, liegen ausschließlich auf den Endgeräten.

Ein Vergleich aus dem Alltag: Transportverschlüsselung entspricht einem verschlossenen Lieferwagen, der einen offenen Brief zur Poststelle bringt. Unterwegs kann niemand mitlesen, in der Poststelle aber schon. Ende-zu-Ende-Verschlüsselung entspricht einem Brief in einem Tresor, den nur der Empfänger öffnen kann. Die Poststelle sieht, von wem der Tresor kommt und an wen er geht, aber nicht, was darin liegt. Genau diese Trennung ist der Kern: Der Betreiber transportiert und speichert, aber er besitzt keinen Schlüssel.

Daraus folgt der entscheidende Unterschied: Bei reiner Transportverschlüsselung müssen Sie dem Betreiber vertrauen, dass er nicht mitliest. Bei Ende-zu-Ende-Verschlüsselung kann er es technisch nicht, solange die Schlüssel die Geräte nicht verlassen.

Schlüsselpaare und der sichere Schlüsseltausch

Grundlage ist die asymmetrische Kryptografie. Jedes Gerät erzeugt ein Schlüsselpaar aus einem privaten und einem öffentlichen Schlüssel. Der öffentliche Schlüssel darf jeder kennen, der private verlässt das Gerät nie unverschlüsselt. Mit einem Verfahren zum Schlüsselaustausch, etwa dem Diffie-Hellman-Verfahren auf elliptischen Kurven, können zwei Geräte aus ihren Schlüsselpaaren ein gemeinsames Geheimnis berechnen, ohne dieses Geheimnis jemals über das Netz zu schicken. Aus dem gemeinsamen Geheimnis werden dann die eigentlichen Nachrichtenschlüssel abgeleitet.

Eine Schwachstelle bleibt: Woher weiß Ihr Gerät, dass der öffentliche Schlüssel, den der Server liefert, wirklich zu Ihrem Gesprächspartner gehört? Ein manipulierter Server könnte einen eigenen Schlüssel unterschieben und sich so in die Mitte setzen. Dagegen helfen Sicherheitsnummern. Beide Seiten vergleichen eine aus den Schlüsseln berechnete Zahlenfolge oder einen QR-Code, am besten persönlich. Stimmen sie überein, ist der Schlüssel echt.

Welche Verfahren und Schlüssellängen als sicher gelten, beschreibt das Bundesamt für Sicherheit in der Informationstechnik in der Technischen Richtlinie TR-02102.

Forward Secrecy und der Double Ratchet

Ein einziger Schlüssel für alle Nachrichten wäre riskant: Wer ihn erbeutet, könnte den gesamten mitgeschnittenen Verlauf entschlüsseln. Moderne Messenger leiten deshalb für jede Nachricht einen neuen Schlüssel ab.

Verbreitet ist dafür der Double-Ratchet-Algorithmus, dessen Spezifikation die Signal-Entwickler veröffentlicht haben. Er kombiniert zwei Mechanismen. Eine symmetrische Kette leitet aus dem aktuellen Schlüssel den nächsten ab, sodass sich frühere Schlüssel aus späteren nicht zurückrechnen lassen. Das nennt man Forward Secrecy. Zusätzlich tauschen die Geräte im Gesprächsverlauf immer wieder neue Diffie-Hellman-Werte aus. Gelangt ein Angreifer an den aktuellen Zustand eines Geräts, verliert er nach dem nächsten Austausch wieder den Zugriff auf künftige Nachrichten. Diese Eigenschaft heißt Post-Compromise Security oder Break-in Recovery.

Für den Alltag bedeutet das: Selbst wenn ein Schlüssel einmal in falsche Hände gerät, ist der Schaden zeitlich begrenzt.

Gruppenchats, Dateien und mehrere Geräte

In Gruppen wird es aufwendiger, weil jede Nachricht für mehrere Empfänger lesbar sein muss. Ein gängiger Weg ist ein gemeinsamer Gruppenschlüssel, der jedem Mitglied einzeln verschlüsselt zugestellt wird. Wichtig ist, was beim Austritt passiert: Wird ein Mitglied entfernt, muss ein neuer Schlüssel erzeugt und nur an die verbleibenden Mitglieder verteilt werden. Sonst könnte die ausgeschiedene Person neue Nachrichten weiter mitlesen.

Dateien und Sprachnachrichten werden meist mit einem eigenen, zufälligen Schlüssel verschlüsselt und so hochgeladen. Dieser Dateischlüssel reist dann in der normalen, Ende-zu-Ende-verschlüsselten Nachricht mit. Der Server speichert die Datei, kann sie aber nicht öffnen.

Eine weitere Frage ist das Anmelden auf einem neuen Gerät. Liegt der private Schlüssel nur auf dem alten Telefon, ist der Verlauf mit dem Gerät verloren. Manche Dienste legen den privaten Schlüssel deshalb auf dem Server ab, aber nur mit einem Schlüssel verschlüsselt, der aus dem Passwort des Nutzers abgeleitet wird. Der Server kann ihn dann speichern, aber nicht verwenden.

Was Ende-zu-Ende-Verschlüsselung nicht schützt

Metadaten: Wer wann mit wem kommuniziert, muss der Server für die Zustellung in aller Regel wissen. Diese Angaben sind nicht Ende-zu-Ende-verschlüsselt.
Das Endgerät: Ist ein Telefon entsperrt, mit Schadsoftware befallen oder verloren, liegen die Nachrichten dort im Klartext vor.
Backups: Werden Chats unverschlüsselt in einer Cloud gesichert, endet der Schutz dort.
Bildschirmfotos und Weiterleitungen: Was der Empfänger lesen kann, kann er auch weitergeben.
Schlüsselverlust: Wer Passwort und Wiederherstellungsmöglichkeit verliert, verliert den Zugang zu alten Nachrichten. Das ist kein Fehler, sondern die Kehrseite davon, dass niemand sonst die Schlüssel hat.

Für Betriebe ist Ende-zu-Ende-Verschlüsselung deshalb ein starker Baustein, aber kein vollständiges Sicherheitskonzept. Art. 32 Abs. 1 lit. a DSGVO nennt die Verschlüsselung als eine von mehreren Maßnahmen; Gerätesperre, Updates, Löschfristen und klare Regeln gehören ebenso dazu. Der Text der DSGVO ist in der Broschüre INFO 1 der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit abgedruckt.

So setzt notefox die Verschlüsselung um

notefox verwendet für die Verschlüsselung die Bibliothek libsodium. Jedes Konto erhält auf dem Gerät ein Schlüsselpaar aus X25519 für den Schlüsselaustausch und Ed25519 für Signaturen. Der private Schlüssel wird mit einem aus dem Passwort per Argon2id abgeleiteten Schlüssel und XChaCha20-Poly1305 verschlüsselt, bevor er auf dem Server abgelegt wird; dieser Ableitungsweg ist von der Passwortprüfung beim Login getrennt. Einzelchats laufen über einen Double Ratchet. Gruppen nutzen einen Gruppenschlüssel, der jedem Mitglied versiegelt zugestellt und beim Entfernen eines Mitglieds gewechselt wird. Bilder, Dateien und Sprachnachrichten werden mit einem eigenen Schlüssel verschlüsselt. Kontakte lassen sich über eine Sicherheitsnummer prüfen, ein Wiederherstellungscode aus 24 Wörtern sichert den Zugang zu alten Chats. Metadaten wie Absender, Empfänger und Zeitpunkt sind für den Server sichtbar.

Häufige Fragen

Was ist der Unterschied zwischen Transport- und Ende-zu-Ende-Verschlüsselung?

Transportverschlüsselung schützt nur die Verbindung zwischen Gerät und Server; auf dem Server liegt die Nachricht im Klartext. Bei Ende-zu-Ende-Verschlüsselung ist die Nachricht auch auf dem Server verschlüsselt und nur auf den Geräten von Absender und Empfänger lesbar.

Was bedeutet Forward Secrecy?

Forward Secrecy bedeutet, dass ein heute erbeuteter Schlüssel nicht ausreicht, um früher mitgeschnittene Nachrichten zu entschlüsseln. Dafür wird für jede Nachricht ein neuer Schlüssel abgeleitet, aus dem sich frühere nicht zurückrechnen lassen.

Sind bei Ende-zu-Ende-Verschlüsselung auch Metadaten geschützt?

In der Regel nicht. Der Server muss wissen, an wen er eine Nachricht zustellt. Wer wann mit wem kommuniziert, ist für ihn deshalb meist sichtbar, auch wenn der Inhalt verschlüsselt ist.

Quellen

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.