Base64 ist Kodierung, keine Verschlüsselung: was du wissen solltest

Du entdeckst eine lange Kette aus Buchstaben und Ziffern, vielleicht mit ein oder zwei Gleichheitszeichen am Ende, und sie sieht aus wie ein Geheimnis. Ist sie nicht. Das ist Base64, und trotz des verschlüsselt wirkenden Aussehens verbirgt es überhaupt nichts. Jeder kann es in einem einzigen Schritt zurück ins Original verwandeln. Das ist deshalb wichtig, weil Leute Base64 immer wieder mit Sicherheit verwechseln, und dieser Fehler lässt echte Geheimnisse durchsickern.

Kurz gesagt: Base64 wandelt Binärdaten in reinen Text um, damit sie durch Systeme reisen können, die für Text gebaut sind, etwa E-Mail und URLs. Es nutzt ein festes, öffentliches Alphabet ohne Schlüssel, das Dekodieren ist also trivial und sofort. Es ist ein Transportformat, keine Verschlüsselung. Nutze es nie, um ein Passwort, einen Token oder irgendein Geheimnis zu schützen.

Wofür Base64 da ist

Computer speichern Bilder, Dateien und Schlüssel als rohe Bytes, aber viele Systeme wurden gebaut, um Text und nur Text zu transportieren. E-Mail-Bodys, URLs, JSON-Felder, HTML und CSS erwarten alle druckbare Zeichen und können an rohem Binärcode hängenbleiben oder ihn verstümmeln. Base64 löst das, indem es beliebige Bytes mit einem sicheren Satz aus 64 druckbaren Zeichen neu ausdrückt: die Buchstaben A bis Z und a bis z, die Ziffern 0 bis 9 und zwei Extras. Daher der Name.

Das Ergebnis ist Text, den jedes textbasierte System unversehrt transportiert. Deshalb lässt sich ein kleines Bild direkt als Data-URL in ein Stylesheet einbetten, deshalb reisen E-Mail-Anhänge innerhalb einer Text-E-Mail mit, und deshalb werden Tokens so kodiert. Base64 ist die Versandkiste, mit der binäre Fracht auf Straßen reisen kann, die für Text gepflastert sind. Die Kiste bewahrt den Inhalt davor, beim Transport zu zerbrechen. Sie ist kein Tresor, und sie war nie als einer gedacht.

Warum es keine Verschlüsselung ist

Verschlüsselung und Base64 können ähnlich aussehen, weil beide eine Ausgabe erzeugen, die du auf einen Blick nicht lesen kannst, aber sie funktionieren auf entgegengesetzte Weise. Verschlüsselung nutzt einen geheimen Schlüssel, um Daten so zu verwandeln, dass nur jemand mit dem passenden Schlüssel sie umkehren kann. Ohne den Schlüssel ist die Ausgabe bedeutungslos. Die ganze Sicherheit beruht darauf, dass der Schlüssel geheim ist.

Base64 hat keinen Schlüssel. Es nutzt ein festes, veröffentlichtes Alphabet, das für jeden auf der Erde identisch ist, und die Zuordnung ist von jedem voll umkehrbar, der den Standard kennt, und der ist öffentlich. Es gibt kein Geheimnis, also gibt es nichts, was einen Angreifer draußen hält. Base64 einen Code zu nennen ist wie das Alphabet einen Code zu nennen: Es ist nur eine andere Art, dieselbe Information aufzuschreiben, lesbar für jeden, der lesen kann. Das Dekodieren ist ein Klick in jedem Tool, etwa einem Base64-Encoder und -Decoder auf dev.hivly.net, und das Original kommt direkt wieder heraus.

Der Fehler, der Geheimnisse durchsickern lässt

Die gefährliche Variante dieser Verwechslung ist, ein Geheimnis in Base64 zu speichern oder zu versenden und zu glauben, es sei geschützt. Ein Passwort, ein API-Schlüssel, ein Session-Token: Wirf irgendeines davon in Base64, und die verschlüsselt wirkende Ausgabe fühlt sich sicher an, also landet sie in einer Konfigurationsdatei, einem Log, einer URL oder einer Datenbankspalte, die jemand für versteckt hält. Sie ist nicht versteckt. Jeder, der diese Zeichenkette liest, dekodiert sie in Sekunden zurück zum ursprünglichen Geheimnis.

Das taucht ständig bei Tokens auf. Ein JWT etwa besteht aus Base64-kodierten Teilen, und seine Payload liegt für jeden offen da, was genau der Grund ist, warum du nie ein Geheimnis in eine JWT-Payload packen darfst. Die Kodierung ist kein Schutz; sie ist das Gegenteil von Schutz, weil sie sich trivial umkehren lässt. Behandelst du Base64-Ausgabe, als wäre sie Chiffretext, hast du dein Geheimnis veröffentlicht, während es sich anfühlt, als hättest du es weggeschlossen.

Das richtige Denkmodell

Halte eine Regel fest, und du machst das nicht falsch: Base64 ändert das Format, Verschlüsselung ändert den Zugang. Greif zu Base64, wenn Binärdaten einen reinen Textkanal überstehen müssen, etwa beim Einbetten eines Bildes, Anhängen einer Datei, Transportieren der Struktur eines Tokens. Greif zu echter Verschlüsselung, einem ordentlichen Algorithmus mit einem Schlüssel, den du geheim hältst, immer dann, wenn das Ziel ist, jemanden am Lesen des Inhalts zu hindern.

Die beiden arbeiten sogar zusammen, in dieser Reihenfolge. Du verschlüsselst das Geheimnis zuerst, was es ohne den Schlüssel unlesbar macht, und dann, wenn du diesen verschlüsselten Klumpen durch einen Textkanal bewegen musst, kodierst du ihn für den sicheren Transport in Base64. Das ist der richtige Stapel: erst verschlüsseln für die Geheimhaltung, dann kodieren für den Transport. Kodierung allein, ohne etwas darunter, schützt nichts, egal wie kryptisch die Ausgabe aussieht.