Sicherheit & Privatsphäre · VPN-Wissen
Was ist Perfect Forward Secrecy?
Auch: PFS · Forward Secrecy · Folgenlosigkeit
Kurzantwort
Perfect Forward Secrecy (PFS) sorgt dafür, dass ein erbeuteter Schlüssel keine früheren Verbindungen entschlüsselbar macht. Der Trick: Für jede Sitzung werden kurzlebige Einmal-Schlüssel ausgehandelt und danach verworfen. Moderne Standards erzwingen das – TLS 1.3 grundsätzlich, WireGuard wechselt die Schlüssel sogar im Minutentakt.
Warum das gegen „erst speichern, später knacken“ hilft
Ohne PFS hängt alles an einem Langzeitgeheimnis: Wer verschlüsselten Verkehr jahrelang aufzeichnet und irgendwann den privaten Schlüssel des Servers erbeutet – per Einbruch, Beschlagnahme oder künftiger Rechenpower –, kann das komplette Archiv rückwirkend öffnen. PFS zerschneidet diese Kette, indem der eigentliche Sitzungsschlüssel per flüchtigem Diffie-Hellman-Verfahren entsteht und nie gespeichert wird; der Langzeitschlüssel dient nur noch dem Identitätsnachweis. Genau deshalb hat TLS 1.3 alle Verfahren ohne Forward Secrecy gestrichen, und WireGuard erneuert seine Sitzungsschlüssel automatisch etwa alle zwei Minuten – jede Aufzeichnung veraltet schneller, als sie entsteht.
Kurz-Fakten
- Mechanik: ephemerer (flüchtiger) Diffie-Hellman-Austausch, heute meist über Kurve 25519.
- TLS 1.3 erlaubt ausschließlich Verfahren mit Forward Secrecy.
- WireGuard rotiert Sitzungsschlüssel automatisch im Minutentakt (~alle 2 Minuten).
- Schutzszenario: „Harvest now, decrypt later“ – Massenspeicherung für spätere Entschlüsselung.
- Grenze: PFS schützt Aufgezeichnetes – eine live kompromittierte Gegenstelle bleibt ein Problem.
Für die Praxis
PFS ist Sicherheit mit eingebautem Verfallsdatum für Angreifer: Selbst der Super-GAU eines gestohlenen Serverschlüssels öffnet nur die Zukunft, nie das Archiv. Bei modernen Protokollen ist das keine Option mehr, sondern Serienausstattung – ein weiterer Grund, warum die Protokollfrage (WireGuard, TLS 1.3) wichtiger ist als jedes Verschlüsselungs-Marketing.
Verwandte Fragen
Stand: Juli 2026 · Geprüft von SEO NW