Wir haben versucht, es zu brechen.

Ein großer Schlüsselraum beweist noch keine Sicherheit.

Entscheidend ist, ob ein Angreifer eine Abkürzung findet: eine Struktur, eine Wiederholung oder einen Betriebsfehler, der den scheinbar riesigen Suchraum praktisch zusammenschrumpfen läßt.

Genau deshalb haben wir Alberich Modern V3 nicht nur weiterentwickelt, sondern systematisch angegriffen – mit abgefangenen Nachrichten, bekanntem Klartext, sehr langen Texten, vielen Nachrichten unter demselben Tagesschlüssel, wiederverwendeten Spruchschlüsseln, Teilwissen über Schlüsselkomponenten sowie Zustands- und Periodenanalysen.

Das wichtigste Ergebnis vorweg: Ohne vorab bekannte Teile des Tagesschlüssels gelang in der abgeschlossenen internen Kryptoanalyse keine praktische vollständige Rückgewinnung des Modern-V3-Tagesschlüssels.

Das ist ein gutes Ergebnis. Es ist kein Sicherheitsbeweis.

Denn wir haben zugleich konkrete Schwächen gefunden. Genau darum geht es im Alberich-Labor: nicht darum, die eigene Chiffre für „unknackbar“ zu erklären, sondern Schwächen sichtbar zu machen und daraus überprüfbare Verbesserungen abzuleiten.

Zuerst erschienen als Artikel auf X.

Das Wichtigste in 60 Sekunden

Nach Abschluß der internen Modern-V3-Kampagne wissen wir:

1. Kein vollständiger No-Gift-Schlüsselbruch: In den implementierten Angriffen wurde der Tagesschlüssel ohne geschenkte geheime Schlüsselkomponenten nicht vollständig zurückgewonnen.
2. Langer bekannter Klartext ist ein starker Filter: Er sortiert falsche Hypothesen wirksam aus. Er erzeugt die richtige Hypothese aber nicht.
3. Die öffentliche Kopfgruppe verrät zu viel: Unter demselben Tagesschlüssel zeigen gleiche Zeichen an derselben Position innerhalb der vierstelligen Kopfgruppe die Gleichheit der zugehörigen Spruchschlüsselbuchstaben. Das ist kein Vollbruch, aber ein exaktes Protokollleck.
4. Wiederverwendete Spruchschlüssel sind gefährlich: Zusammen mit einem vollständigen Katalog möglicher Klartexte konnte die richtige Klartextkombination im Labor eindeutig bestimmt werden.
5. Eine eingeschränkte Schwachschlüsselklasse existiert: Der Angriff war reproduzierbar, benötigte aber 16 384 bekannte Zeichen. Die im synthetischen Generator beobachtete Häufigkeit von rund sieben Prozent ist keine Aussage über die Häufigkeit im praktischen Betrieb.
6. Teilwissen kann den Rest stark verbilligen: Unter erheblichen Schlüsselgaben gelangen Rekonstruktionen bis hin zur vollständigen Konfiguration.

Die seriöse Zusammenfassung lautet deshalb nicht: „Alberich V3 ist sicher.“

Modern V3 hat sich im erweiterten intern getesteten No-Gift-Vollschlüsselumfang gegen eine praktische vollständige Tagesschlüsselrückgewinnung empirisch als widerstandsfähig erwiesen.

Nicht mehr. Aber auch nicht weniger.

Vier Begriffe – und die Grenze dieses Artikels

• Tagesschlüssel: die vollständige Tageskonfiguration aus der Schlüsseltafel. Sie ist das eigentliche Geheimnis.
• Spruchschlüssel: die zufällige Startlage für genau eine Nachricht. Modern V3 erzeugt sie automatisch.
• No-Gift: Der Angreifer erhält keine geheimen Schlüsselkomponenten. Welche öffentlichen Informationen er benutzen darf – nur Geheimtext oder zusätzlich bekannten Klartext –, bestimmt das jeweilige Angreifermodell.
• Kopfgruppe: vier öffentliche Zeichen, die den verschlüsselten Spruchschlüssel tragen. Sie stehen zwischen der Kennung ALBV und der Nachrichten-ID; der verschlüsselte Nachrichtenkörper folgt danach.

Dieser Artikel bewertet vor allem die Vertraulichkeit der Rotorchiffre. Integrität durch die Prüfgruppe, Wiederholungsschutz, Metadaten, Endgerätesicherheit und Seitenkanäle sind eigene Sicherheitsflächen.

Der traditionelle Modus bleibt eine historische Enigma-Simulation. Modern V3 ist ein experimentelles Rotorverfahren – kein Ersatz für breit geprüfte moderne Standardkryptographie.

Warum betreiben wir überhaupt ein eigenes Kryptoanalyse-Labor?

Die Geschichte der Kryptographie zeigt immer wieder: Eine beeindruckende Zahl möglicher Schlüssel sagt wenig darüber aus, wie viele davon ein Angreifer tatsächlich untersuchen muß.

Auch bei der Enigma waren nicht nur die theoretisch möglichen Einstellungen entscheidend. Kryptanalytiker nutzten vermutete oder bekannte Textteile, wiederkehrende Abläufe, Betriebsfehler und Beziehungen zwischen Nachrichten.

Die entscheidende Frage lautet deshalb nicht nur:

„Wie viele Schlüssel gibt es?“

Sondern:

„Welche Struktur muß ein Angreifer tatsächlich durchsuchen – und kann er große Teile davon mathematisch ausschließen?“

Alberich folgt dabei einem einfachen Grundsatz:

Der Algorithmus darf bekannt sein. Das Geheimnis ist der Schlüssel.

Modern V3 ist offen spezifiziert. Quellcode, Funktionsprinzip und Forschungsartefakte sollen überprüfbar sein. Transparenz ist keine Schwäche des Verfahrens, sondern die Voraussetzung dafür, daß aus einer Behauptung irgendwann belastbares Vertrauen werden kann.

Im August haben wir öffentlich zum Angriff auf Alberich eingeladen. Nun ist die interne V3-Kampagne abgeschlossen und ihr öffentlicher Evidenz-Snapshot verfügbar.

Was sieht ein Angreifer, der nur mitlesen kann?

Ein passiver Angreifer kennt Alberich und den Algorithmus. Er sieht Nachrichten, kennt aber weder Klartext noch Tagesschlüssel.

Untersucht wurden unter anderem statistische Eigenschaften des Geheimtextes, Häufigkeiten und Wiederholungen, Zustands- und Periodenmerkmale, Beziehungen zwischen mehreren Nachrichten, die Struktur der öffentlichen Kopfgruppe sowie Such- und Bewertungsverfahren.

Ergebnis: Mit den untersuchten Angriffsfamilien wurde kein praktischer allgemeiner Nur-Geheimtext-Weg zum vollständigen Tagesschlüssel gefunden.

Das bedeutet ausdrücklich nicht, daß ein solcher Angriff unmöglich ist.

Was verraten viele Nachrichten und ihre Kopfgruppen?

Ein realistischer Gegner fängt vielleicht nicht eine Nachricht ab, sondern hundert oder tausend unter derselben längerlebigen Konfiguration.

Dabei fanden wir ein exaktes Protokollleck:

Unter demselben Tagesschlüssel bedeuten gleiche Zeichen an derselben Position innerhalb der vierstelligen Kopfgruppe, daß dort dieselben Spruchschlüsselbuchstaben zugrunde liegen.

Diese Information erhält ein Beobachter praktisch kostenlos.

Kann er sie mit Bedingungen aus dem Nachrichtenkörper verbinden und dadurch wesentlich schneller zum Tagesschlüssel gelangen? Genau das untersuchte EXP-079 in einem beschränkten, vorab festgelegten No-Gift-Modell mit bekanntem Klartext.

Die gemeinsame Kopfgruppen-/Körperanalyse reduzierte Kandidaten gegenüber der Kopfgruppe allein. Gegenüber dem bereits vorhandenen Körperangriff entstand jedoch kein materiell neuer Weg zur Erzeugung äußerer Schlüsselkandidaten. Keine der neun Instanzen erreichte das vorab festgelegte Erfolgstor; der geplante lange Rechenlauf wurde deshalb nicht geöffnet.

Das Ergebnis darf nicht überdehnt werden: EXP-079 widerlegt nicht jeden künftig denkbaren gemeinsamen Angriff. Es zeigt, daß die naheliegendste implementierte Kopplung den zentralen Engpaß nicht aufbrach.

Die Kopfgruppe verrät mehr, als sie sollte. In der getesteten Kopplung öffnete sie den Tagesschlüssel trotzdem nicht.

Für V4 soll dieses Leck verschwinden. Eine Information muß nicht bereits zum Vollbruch führen, damit es sinnvoll ist, sie zu entfernen.

Was bringt sehr langer bekannter Klartext?

Bei einem Angriff mit bekanntem Klartext besitzt der Angreifer einen Teil des ursprünglichen Textes und den zugehörigen Geheimtext. Damit kann er vermutete Schlüsselkonfigurationen unmittelbar testen.

Das Labor zeigte:

Lange bekannte Nachrichten sind ausgesprochen gut darin, falsche Schlüsselhypothesen zu vernichten.

Im abschließenden EXP-077-Lauf führte der Auswerter die wahre kanonische Hypothese nach dem eingefrorenen Angriff durch denselben Filter. Sie blieb in 25 von 25 Wahrheitskontrollen erhalten. Zugleich verschwanden falsche Kandidaten mit wachsender Textlänge stark; wie stark, hing deutlich vom Textprofil ab.

Wichtig ist, was diese Kontrolle nicht zeigt: Der Angreifer hatte die wahre Hypothese nicht selbst aus dem vollständigen Schlüsselraum erzeugt. Der Auswerter setzte sie gezielt ein, um zu prüfen, ob der Filter sie fälschlich verwirft.

Filtern ist nicht Erzeugen

Stellen wir uns vor, ein Angreifer hätte 1 000 plausible Schlüssel. Mit genügend bekanntem Klartext könnte er vielleicht schnell erkennen: 999 sind falsch, einer paßt.

Aber was, wenn der richtige Schlüssel gar nicht unter diesen 1 000 Kandidaten liegt, sondern erst aus einem riesigen äußeren Raum aus Walzenkonfigurationen, Kerben, Ringstellungen, Fortschaltungsverhalten und Spruchschlüsselbelegungen erzeugt werden muß?

Genau dort blieb Modern V3 in den Untersuchungen bislang widerstandsfähig. Falsche Kandidaten ließen sich immer besser erkennen. Ein praktischer allgemeiner Weg, den richtigen vollständigen Tagesschlüsselkandidaten ohne geheimes Schlüsselwissen billig zu erzeugen, wurde nicht gefunden.

Wer falsche Kandidaten aussortieren kann, hat den richtigen Schlüssel noch nicht gefunden.

Das ist der wichtigste positive Befund der gesamten V3-Kampagne.

Warum Spruchschlüssel niemals wiederverwendet werden dürfen

Ein Spruchschlüssel gehört zu genau einer Nachricht.

Wird derselbe Spruchschlüssel unter derselben Konfiguration erneut benutzt, entstehen zusätzliche Beziehungen zwischen den Nachrichten. Im Labor konnte unter der klar benannten Voraussetzung eines vollständigen Katalogs möglicher Klartexte die richtige Klartextkombination eindeutig bestimmt werden.

Das ist kein allgemeiner Klartextbruch aus zwei beliebigen Nachrichten. Es ist eine praktisch ausnutzbare Schwäche unter definierten Voraussetzungen – und ein vermeidbarer Betriebsfehler.

Spruchschlüssel niemals wiederverwenden.

Der normale Alberich-Ablauf unterstützt das bereits: Wird die alte Nachricht gelöscht und eine neue begonnen, erzeugt Modern V3 automatisch einen neuen zufälligen Spruchschlüssel. Eine technische Wiederverwendungssperre wäre trotzdem robuster als eine reine Bedienungsregel.

Was geschieht, wenn Teile des Schlüssels bereits bekannt sind?

Das Labor prüfte absichtlich auch Angreifer, die erhebliche Teile des Geheimnisses bereits kennen: etwa Teile der Walzenparameter, Ringe, Kerben oder einen stark eingeschränkten Rotorstapel.

Unter solchen Schlüsselgaben wurde die gemeinsame Endwalze zu einem nachrichtenübergreifenden Hebel. In entsprechenden Versuchen gelangen Rekonstruktionen einzelner Komponenten und unter starken Voraussetzungen sogar vollständiger Konfigurationen.

Das widerspricht dem No-Gift-Ergebnis nicht. Es beantwortet eine andere Frage:

Wie schnell fällt der Rest, wenn ein erheblicher Teil des Geheimnisses bereits kompromittiert ist?

Die Antwort lautet: teilweise sehr schnell.

Deshalb ist der Tagesschlüssel als ein zusammengehöriges Geheimnis zu behandeln – nicht als Sammlung vermeintlich unabhängiger Einzelparameter.

Eine echte, aber eingeschränkte Schwachschlüsselklasse

Das Labor suchte gezielt nach ungewöhnlich kurzen internen Zustandsperioden. Dabei wurde eine klar definierte Fünfstart-Kurzperiodenklasse gefunden.

Im verwendeten synthetischen Generator trat sie in ungefähr sieben Prozent der untersuchten Fälle auf. Diese Zahl darf nicht als betriebliche Häufigkeit verstanden werden: Wie oft die Klasse bei real erzeugten Schlüsseln auftritt, ist offen.

Der Angriff wurde anschließend in EXP-081 mit acht Schlüsseln der Klasse und acht Kontrollschlüsseln geprüft:

• 256 bekannte Zeichen: 0 von 8 Angriffen erfolgreich
• 1 024 bekannte Zeichen: 0 von 8
• 4 096 bekannte Zeichen: 0 von 8
• 16 384 bekannte Zeichen: 8 von 8; Kontrollgruppe 0 von 8

16 384 bekannte Zeichen entsprechen mehreren eng beschriebenen Textseiten. Der Angriff braucht also bislang extrem viel bekannten, weitgehend ausgerichteten Klartext.

Die Schwäche ist real. Sie ist aber kein allgemeiner V3-Bruch, sondern eine eingeschränkte Schwachschlüsselklasse unter klaren Voraussetzungen.

Eine automatische Ablehnung dieser Klasse gehört noch nicht zum eingefrorenen V3-Fingerprint. Sie ist eine empfohlene Härtung der Schlüsselerzeugung.

Wenn sich eine bekannte schlechte Schlüsselklasse billig erkennen läßt, sollte sie gar nicht erst erzeugt werden.

Vier Zahlen aus der Abschlußkampagne

0 – praktische vollständige No-Gift-Tagesschlüsselbrüche in der abgeschlossenen internen Angriffslandschaft.

25/25 – Wahrheitskontrollen im Langnachrichtenversuch EXP-077.

0/9 – Instanzen im beschränkten gemeinsamen Kopfgruppen-/Körperangriff EXP-079, die das vorab festgelegte Tor für einen materiell neuen äußeren Kandidatengenerator erreichten.

0/8 → 8/8 – Angriffe auf die bestätigte Kurzperiodenklasse EXP-081: kein Erfolg bis 4 096 bekannte Zeichen, acht von acht bei 16 384; Kontrollgruppe jeweils null.

Das sind keine „Sicherheitsbits“.

Es sind Ergebnisse konkreter Experimente unter konkreten Voraussetzungen, Modellen und Rechenbudgets. Aus ihnen läßt sich keine seriöse Behauptung wie „248 Bit praktisch sicher“ ableiten.

Was bedeutet das für normale Alberich-Nutzer?

Aus den Laborversuchen folgen fünf einfache Regeln:

1. Die Schlüsseltafel ist das Geheimnis. Wer den vollständigen Tagesschlüssel besitzt, besitzt den Schlüssel. Schlüsseltafel und verschlüsselte Kommunikation deshalb möglichst nicht über denselben Kanal verteilen.

2. Spruchschlüssel nicht wiederverwenden. Den automatisch erzeugten Spruchschlüssel benutzen und einen bereits verwendeten Wert nicht manuell übernehmen.

3. Weniger Material unter derselben Konfiguration ist besser. Je mehr Nachrichten ein Angreifer unter derselben Konfiguration sammeln kann, desto mehr Beziehungen kann er untersuchen. Kürzere Epochen und Nachrichtenlimits sind deshalb sinnvoll.

4. Besonders sensible Inhalte können einen frischen Schlüssel erhalten. Eine unabhängige Konfiguration für eine Sitzung, ein Dokument oder eine einzelne Nachricht reduziert nachrichtenübergreifende Beziehungen.

5. Der Kurier löst ein anderes Problem. Die Kryptoanalyse bewertet die mathematische Chiffre. Der Alberich-Kurier verändert dagegen, auf welchem Gerät Klartext und Schlüssel überhaupt existieren. Das macht die Chiffre nicht mathematisch stärker, kann aber die Angriffsfläche des Kommunikationsgerätes verkleinern.

V3 härten, ohne V3 heimlich auszutauschen

Nicht jede Verbesserung braucht einen neuen Chiffrieralgorithmus.

Für einen gehärteten V3-Betrieb sind vor allem sinnvoll:

• ausschließlich kryptographisch zufällige Schlüsselerzeugung,
• automatische Ablehnung der bekannten Kurzperiodenklasse,
• technisch erzwungene Eindeutigkeit der Spruchschlüssel,
• kürzere Schlüssel-Epochen und begrenzte Nachrichtenmengen,
• getrennte Schlüssel nach Kommunikationsrichtung sowie Sitzungs- oder Einmalschlüssel,
• geschützte Speicherung und eindeutige Rotation nach Verlust oder vermuteter Kompromittierung.

Ein gehärtetes V3 muß den untersuchten V3-Algorithmus nicht heimlich verändern.

Die Chiffrierfunktion kann kompatibel bleiben; verbessert werden vor allem Schlüsselerzeugung, Schlüsselgebrauch und Betriebsverfahren. Wichtig: Diese Liste beschreibt empfohlene bzw. geplante Härtungen – nicht durchweg bereits ausgelieferte Eigenschaften der derzeitigen V3-Linie.

V4: nicht mehr Walzen, sondern weniger unnötige Struktur

Eine der überraschendsten Erkenntnisse war, was nicht automatisch hilft: mehr Walzen, zusätzliche Ringparameter, kompliziertere Fortschaltung, nachrichtenabhängige Kerben oder ein ständig wechselndes Steckerbrett.

All das vergrößert die Implementierung. Einen überzeugenden zusätzlichen Sicherheitsgewinn zeigte die bisherige Angriffslandschaft dafür nicht.

V4 soll deshalb nicht „mehr von allem“ werden, sondern die tatsächlich beobachteten Schwächen adressieren:

• nachrichtenspezifische Abbildung der Kopfgruppe,
• nachrichtenspezifische Endwalze,
• eindeutige Nachrichten-IDs und Wiederholungsschutz,
• kryptographische Domänentrennung,
• eindeutige, typisierte Datenrepräsentation,
• robuste Schlüssel- und Zustandsverwaltung,
• automatische Vermeidung bekannter Schwachschlüssel.

Das Ziel lautet nicht: „V4 hat mehr Parameter.“ Das Ziel lautet: „V4 entfernt die Schwächen, die wir in V3 tatsächlich gefunden haben.“

Also: Ist Alberich Modern V3 sicher?

Hier wäre es sehr einfach, zu viel zu behaupten. Die nüchterne Antwort lautet:

Modern V3 wurde intern umfangreich angegriffen. In den abgeschlossenen Untersuchungen wurde kein praktischer vollständiger Tagesschlüsselbruch ohne zusätzliche geheime Schlüsselkenntnisse demonstriert. Gleichzeitig sind konkrete Protokoll-, Wiederverwendungs- und Schwachschlüsselprobleme bekannt.

Wir behaupten ausdrücklich nicht:

• „unknackbar“,
• „bewiesen sicher“,
• „248 Bit sicher“ oder
• „post-quantum sicher“.

Die Untersuchung erfaßt außerdem keine unabhängige externe Kryptoanalyse und keine Seitenkanäle. Ein riesiger theoretischer Schlüsselraum ist nicht dasselbe wie praktisch nachgewiesene Sicherheitsstärke.

Widerstandsfähig in getesteten Angreifermodellen ist nicht dasselbe wie bewiesen sicher.

Der nächste notwendige Qualitätsschritt ist deshalb eine unabhängige externe Prüfung.

Die faire Bilanz

Was den untersuchten Angriffen gelang

• Gleichheitsinformationen aus der öffentlichen Kopfgruppe abzuleiten,
• lange bekannte Klartexte als starke Filter zu verwenden,
• Spruchschlüssel-Wiederverwendung unter definierten Voraussetzungen auszunutzen,
• mit erheblichem Vorwissen weitere Komponenten bis hin zur vollständigen Konfiguration zurückzugewinnen,
• eine eingeschränkte Kurzperiodenklasse bei extrem langem bekannten Klartext reproduzierbar auszunutzen.

Was in der internen Analyse nicht gelang

• den vollständigen Modern-V3-Tagesschlüssel aus normalen öffentlichen Nachrichten praktisch zurückzugewinnen,
• das Kopfgruppenleck in einen allgemeinen praktischen No-Gift-Vollschlüsselangriff zu verwandeln,
• lange bekannte Nachrichten allein zum vollständigen Schlüsselbruch zu machen,
• einen praktischen allgemeinen Weg zur Erzeugung des richtigen Kandidaten aus dem vollständigen äußeren Schlüsselraum zu finden.

Das ist keine endgültige Antwort auf alle denkbaren Angriffe. Es ist die faire Bilanz dessen, was tatsächlich untersucht wurde.

Transparenz statt Vertrauensversprechen

Alberich ist ein experimentelles, offen spezifiziertes Rotorverfahren. Es besitzt keinen mathematischen Sicherheitsbeweis und ersetzt keine breit geprüfte moderne Standardkryptographie.

Gerade deshalb veröffentlichen wir nicht nur erfreuliche Resultate, sondern auch erfolgreiche und erfolglose Angriffe, gefundene Schwächen, verworfene Ideen, Grenzen der Experimente und die daraus abgeleiteten Änderungen.

Sicherheit entsteht nicht dadurch, daß niemand hinsieht. Sie wird besser, wenn möglichst genau hingesehen wird.

Der Alberich-Quellcode ist öffentlich. Für die Forschung gibt es einen gesonderten Kryptoanalyse-, Evidenz- und Prüfsnapshot mit dem V3-Fingerprint 909cc1f35c98789c und dem Status V3_INTERNAL_CRYPTOANALYSIS_CLOSED_PENDING_EXTERNAL_REVIEW.

Er enthält unter anderem:

• die abschließende interne Sicherheitsbewertung,
• öffentliche Artefakte zu EXP-077, EXP-079 und EXP-081,
• Hash-Bindungen und Prüfwerkzeuge,
• dokumentierte Grenzen und eine Kennzeichnung widersprüchlicher Evidenz.

Die öffentlichen Werkzeuge prüfen die Unverändertheit der Dateien und die veröffentlichten Ergebnisklassen. Sie wiederholen nicht die ursprünglichen Angriffe: Private Vergleichsdaten, sogenannte Wahrheitssätze, Tagesschlüssel und Teile des vollständigen internen Labors sind bewußt nicht enthalten.

Der Snapshot ist deshalb kein Sicherheitszertifikat und kein vollständig reproduzierbares Labor. Er ist eine überprüfbare Evidenzoberfläche.

Selbst nachprüfen und weiterforschen

• Alberich im Browser
• Alberich-Handbuch
• Vorläufer: „Wir haben die Enigma verändert – jetzt versucht, sie zu brechen“
• Kurier-Modus
• Quellcode
• Kryptoanalyse-Evidenz
• Sicherheitsgrenzen und Meldestelle

Nach vielen Angriffen und Experimenten bleibt ein erstaunlich einfacher Satz:

Komplexität allein ist keine Sicherheit.

Die wertvollsten Verbesserungen sind nicht zwangsläufig mehr Walzen. Es sind weniger wiederverwendete Struktur, bessere Nachrichtenindividualisierung, kürzere Schlüssellebensdauer, saubere Schlüsselverwaltung, eindeutige Protokollzustände und transparente Tests.

Wer sich mit Kryptographie oder Kryptoanalyse beschäftigt, ist ausdrücklich eingeladen, Modern V3 nicht einfach zu vertrauen:

Versucht, es zu brechen.

Dokumentiert das Angreifermodell. Legt offen, welches Wissen vorausgesetzt wird. Trennt einen Vollbruch sauber von einem Angriff mit erheblichen Schlüsselgaben.

Und wenn Ihr eine sicherheitsrelevante Schwäche findet, meldet sie bitte zunächst vertraulich an alberich@posteo.de statt über ein öffentliches GitHub-Ticket.

Denn ein sauber dokumentierter Gegenbeweis ist für Alberich wertvoller als jedes Vertrauensversprechen.

Stand: 2. September 2026.