Wie sicher sind passwortgeschützte ZIP-Dateien?

Die Sicherheit hängt von der Methode ab, nicht vom Passwortfeld

Ein ZIP, das nach einem Passwort fragt, kann sich gleich sicher anfühlen, egal welches Werkzeug es erstellt hat, aber dieses Gefühl ist irreführend. Das Passwortfeld sieht so oder so gleich aus. Was Ihre Dateien tatsächlich schützt, ist das darunterliegende Verschlüsselungsschema des Archivs, und das ZIP-Format unterstützt zwei sehr unterschiedliche. Zu wissen, welches Sie haben, macht den Unterschied zwischen einer Datei, die eine entschlossene Person öffnen kann, und einer Datei, die verschlossen bleibt.

Die zwei Schemata, denen Sie begegnen werden

Das traditionelle ZipCrypto ist schwach

Die ursprüngliche PKWARE-Verschlüsselung, üblicherweise genannt ZipCrypto, ist eine einfache Stromchiffre mit einem internen 96-Bit-Zustand und ohne Schlüsselstreckung, sodass ein Computer Kandidatenpasswörter sehr schnell testen kann. Schlimmer noch, sie hat einen gut dokumentierten strukturellen Fehler. 1994 veröffentlichten Eli Biham und Paul Kocher einen Known-Plaintext-Angriff auf die PKZIP-Chiffre: Mit mindestens 12 bekannten Bytes eines Eintrags, so wie er im Archiv gespeichert ist (nach der Kompression, davon 8 zusammenhängend), kann ein Angreifer die internen Schlüssel wiederherstellen und das gesamte Archiv entschlüsseln, ohne jemals das Passwort zu raten. Da der Angriff auf den Chiffrezustand statt auf das Passwort wirkt, verteidigt ein längeres Passwort nicht dagegen. ZipCrypto ist in Ordnung, um ehrliche Leute aus trivialen Dateien herauszuhalten, aber es sollte nicht mit etwas betraut werden, dessen Lektüre durch einen fähigen Fremden Sie stören würde.

WinZip AES ist stark

Das moderne Schema, WinZip AES, ersetzt diese Chiffre durch den Advanced Encryption Standard mit 128, 192 oder 256 Bit. Es leitet den Schlüssel aus Ihrem Passwort mit PBKDF2-HMAC-SHA1 über 1000 Iterationen und einem zufälligen Salt ab und authentifiziert dann jeden Eintrag mit einem gekürzten HMAC-SHA1 in einem Encrypt-then-MAC-Design. AES hat keine praktische Abkürzung, und die bewussten Kosten von PBKDF2 machen jeden Versuch teuer. Die Kombination bedeutet, dass das Archiv mit einer guten Passphrase auf keiner Hardware, der Sie wahrscheinlich begegnen, durch Raten knackbar ist. Dieser Schutz steckt im Schema selbst; schnellere Maschinen verbilligen jeden Versuch, doch den Schlüsselraum einer guten Passphrase zu erschöpfen bleibt weit außer Reichweite.

Die beiden im Vergleich

Die Kluft zwischen den beiden ist nicht subtil. Gegen ZipCrypto kann ein Angreifer, der mindestens 12 Bytes eines Eintrags so kennt, wie er gespeichert ist (nach der Kompression), das Archiv ohne das Passwort entschlüsseln, und wo diese Abkürzung nicht greift, lässt das Fehlen der Schlüsselstreckung eine Maschine dennoch enorme Mengen an Versuchen pro Sekunde ausprobieren. Gegen WinZip AES steht keiner dieser Wege offen. Deshalb zählt die Methode weit mehr als die Frage, wie lang oder raffiniert das Passwort aussieht.

Was die Verschlüsselung nicht verbirgt

Selbst starke Verschlüsselung schützt weniger, als die Leute erwarten. Weder ZipCrypto noch das Standard-WinZip-AES verschlüsselt das zentrale Verzeichnis des Archivs, sodass die Liste der Dateinamen, ihre Größen und ihre Änderungszeiten im Klartext bleiben. Jemand, der kein einziges Byte Ihrer Daten lesen kann, kann dennoch sehen, dass das Archiv gehalt-2026.xlsx und reisepass-scan.pdf enthält, und ungefähr wie groß jede Datei ist. Der Inhalt ist geschützt; die Bezeichnungen des Inhalts sind es nicht.

Praktische Hinweise

Verwenden Sie AES statt ZipCrypto, wann immer die Daten wichtig sind, und bevorzugen Sie AES-256, wenn das Werkzeug die Wahl bietet. Eine starke Chiffre hilft nur, wenn die Passphrase ebenfalls stark ist, verwenden Sie also eine lange, eindeutige Passphrase statt eines kurzen Worts, das Sie wiederverwenden. Bewahren Sie diese Passphrase dann in einem Passwortmanager auf, denn AES ist darauf ausgelegt, unnachgiebig zu sein: Wenn Sie sie vergessen, gibt es kein Zurücksetzen, das Sie wieder hineinlässt. Unsere Anleitung zum Passwortschutz einer ZIP-Datei zeigt die genauen zu verwendenden Einstellungen, und die Übersicht über verschlüsselte ZIP-Dateien erklärt, wie die Teile zusammenpassen.

Sehen Sie auch die Schlüssellänge im rechten Licht. AES-128 liegt bereits weit jenseits von Brute Force, sodass der Wechsel zu AES-256 eher ein sinnvoller Standard als eine Rettung vor einer echten Schwäche ist. In der Praxis entscheidet die Stärke Ihrer Passphrase, nicht die Anzahl der Bits in der Chiffre, ob das Archiv hält.

Was es für die Wiederherstellung Ihres eigenen Passworts bedeutet

ZipCrypto ist sehr schnell zu testen, sodass eine Suche nach einem vergessenen ZipCrypto-Passwort weit mehr Kandidaten pro Sekunde durchläuft als eine AES-Suche. Ob sie das Passwort findet, hängt weiter vom Hinweis ab, den Sie ihr geben können, und wir haben keine Daten dazu, wie oft ihr das gelingt. Besitzen Sie zusätzlich eine unverschlüsselte Kopie einer Datei aus dem Archiv und können mindestens 12 ihrer Bytes so reproduzieren, wie sie gespeichert sind (nach der Kompression, davon 8 zusammenhängend), können Spezialwerkzeuge die Known-Plaintext-Schwäche nutzen, um das Archiv ohne das Passwort zu entschlüsseln (ZipRecover verwendet diesen Angriff nicht; es testet Passwortkandidaten).

AES ist vom Design her langsam. Jeder Versuch durchläuft die vollständige PBKDF2-Ableitung, sodass die Wiederherstellung davon abhängt, die Suche mit einer guten Wortliste oder einem Muster, an das Sie sich erinnern, einzugrenzen. Ein sofortiges Entsperren eines starken, zufälligen AES-Passworts gibt es nicht, und jedes Produkt, das etwas anderes behauptet, verspricht zu viel. Ein schneller Hinweis beim Prüfen eines Archivs: AES-Einträge tragen ein Salt, einen Prüfwert und einen Authentifizierungscode, sodass sehr kleine Dateien etwas größer wirken als unter ZipCrypto. Wenn Sie bereit sind, läuft die Wiederherstellung auf dem Gerät in Ihrem Browser.