Cryptor (AES-256) — Tipps & Tricks

Zurück zur Übersicht: Cryptor (AES-256) · Tool live öffnen: www.jpkc.com/tools/cryptor/

Cryptor ist schnell bedient — aber bei Verschlüsselung steckt der Teufel im Detail. Diese Seite sammelt, worauf es in der Praxis ankommt. Die technischen Grundlagen dazu stehen im Manual.

Das Passwort ist alles — und nicht wiederherstellbar

Cryptor ist eine symmetrische Verschlüsselung: Dasselbe Passwort ver- und entschlüsselt. Daraus folgt die wichtigste Regel überhaupt:

Verlierst du das Passwort, ist der Geheimtext unwiderruflich verloren. Es gibt keinen Reset, keine Hintertür, kein Recovery — das ist kein Mangel, sondern der Sinn einer ernstgemeinten Verschlüsselung. Lege das Passwort an einem sicheren Ort ab (Passwort-Manager, der Knopf Copy password hilft dabei), bevor du den Geheimtext weitergibst.
Ein schwaches Passwort macht die starke Krypto wertlos. AES-256 und 600.000 PBKDF2-Iterationen helfen wenig, wenn das Passwort geheim123 lautet. Nutze den Generator hinter dem Schlüssel-Symbol oder ein langes, einzigartiges Passwort aus deinem Manager.
Mindestlänge 8 Zeichen verlangt das Tool beim Verschlüsseln — das ist eine Untergrenze, kein Richtwert. Für vertrauliche Inhalte deutlich mehr nehmen.

Zeichen-Passwort oder Passphrase?

Der Generator bietet beides, und beides ist sicher — die Wahl hängt davon ab, wie das Passwort weiterwandert:

Password · 32 characters (≈ 202 Bit) ist die richtige Wahl, wenn das Passwort ohnehin per Copy-and-paste aus einem Passwort-Manager kommt. 64 Zeichen bringen praktisch keinen zusätzlichen Schutz, sind aber auch nicht schädlich.
Passphrase · 6 words (≈ 78 Bit, Anzeige „strong") oder 8 words (≈ 103 Bit, „very strong") ist die bessere Wahl, wenn ein Mensch das Passwort am Telefon durchgeben oder abtippen muss. crumb-velvet-unfold-stucco-lagoon-ripple diktiert sich deutlich leichter als 32 Sonderzeichen.

Die Bit-Angabe neben dem Feld ist für generierte Passwörter exakt. Für selbst getippte Passwörter steht „(estimate)" dahinter — eine grobe Schätzung, die bekannte Muster wie Sommer2024! zwar erkennt und abstraft, aber nicht jede Schwäche sieht. Ein „strong" für ein selbst ausgedachtes Passwort ist kein Freibrief.

Passwort und Chiffrat getrennt übertragen

Der Geheimtext ist nur so sicher wie der Kanal, über den das Passwort läuft. Verschicke beides nie zusammen in derselben Nachricht. Bewährt: den Geheimtext per E-Mail oder Chat, das Passwort über einen anderen Weg (Telefon, Signal, persönlich). Wer beides im selben Postfach abfängt, hat sonst alles.

Passwort verborgen oder sichtbar

Das Passwortfeld ist standardmäßig verborgen. Damit dir beim Verschlüsseln kein unsichtbarer Tippfehler den Text für immer versperrt, verlangt Cryptor das Passwort dann ein zweites Mal im Feld Repeat password. Blendest du es mit dem Auge ein, entfällt die Wiederholung — und ein generiertes Passwort zeigt Cryptor ohnehin direkt an.

Ein sichtbares Passwort ist bequem, aber denke an Schultergucker, Screen-Sharing und Screenshots: Blende es vor einer Bildschirmfreigabe wieder aus. Räume nach getaner Arbeit mit Clear auf — das leert Message-Feld, Passwort und Wiederholungsfeld in einem Rutsch.

Undo statt Panik

Ein Klick auf Encrypt, Open oder Clear ersetzt den Feldinhalt. Das ist kein Grund zur Sorge: Undo (oder Strg+Z, solange du im Feld nichts weitergetippt hast) holt bis zu 20 Schritte zurück, inklusive Passwort. Hast du etwa versehentlich einen bereits verschlüsselten Text ein zweites Mal verschlüsselt — Cryptor fragt in dem Fall zwar nach, aber ein schneller Klick passiert —, nimmt Undo das sofort zurück. Der Verlauf überlebt allerdings kein Neuladen der Seite.

GCM erkennt Manipulation — nutze das

Weil Cryptor AES-256-GCM (authentifizierte Verschlüsselung) verwendet, ist ein erfolgreiches Entschlüsseln bei den Formaten v2 und v1 zugleich ein Integritätsbeweis: Wäre auch nur ein Byte des Geheimtexts verändert worden — bei v2 auch die Iterationszahl im Header —, schlüge die Entschlüsselung fehl. Wenn sich ein solcher Text entschlüsseln lässt, kannst du sicher sein, dass er unverändert ist und von jemandem stammt, der das Passwort kennt. Schlägt Decrypt fehl, ist entweder das Passwort falsch oder der Geheimtext beschädigt (z. B. beim Kopieren ein Zeichen verloren).

Für Legacy-Texte (U2FsdGVkX1…) gilt das nicht: Sie nutzen AES-256-CBC ohne Authentifizierungs-Tag. Cryptor prüft dort nur, ob Padding und UTF-8 stimmig sind — ein erfolgreiches Entschlüsseln belegt also weder, dass der Text unverändert ist, noch, woher er stammt. Ein Grund mehr, solche Texte zu migrieren.

Zeilenumbrüche und Leerzeichen, die ein Mailprogramm in den Block schiebt, sind dagegen harmlos — Cryptor entfernt sie vor dem Entschlüsseln.

Jeder Lauf erzeugt ein anderes Chiffrat

Lass dich nicht verunsichern: Wenn du denselben Text mit demselben Passwort zweimal verschlüsselst, bekommst du zwei verschiedene Ergebnisse. Das ist korrekt — Salt und IV sind bei jedem Lauf neu zufällig. Beide entschlüsseln mit dem Passwort zum selben Klartext. Ein identisches Ergebnis wäre im Gegenteil ein Warnzeichen. Gleich bleibt nur der Anfang cryptor:v2:600000:.

Legacy-Nachrichten migrieren

Triffst du auf einen alten Geheimtext — beginnt er mit U2FsdGVkX1… (Legacy) oder ist er reines Base64 ohne cryptor:-Präfix (Format v1) —, liest Cryptor ihn noch, erzeugt das alte Format aber nicht mehr. Behandle solche Funde als Migrations-Aufgabe: Decrypt (das Format wird automatisch erkannt) → den Hinweis „Encrypt it again to upgrade it to the current, stronger format" befolgen → direkt Encrypt, um die Nachricht im Format v2 mit 600.000 Iterationen abzulegen. So wanderst du nach und nach auf den aktuellen Stand.

Das lohnt sich besonders bei Legacy-Texten: Deren Schlüsselableitung besteht aus einem einzigen MD5-Durchlauf pro Schlüsselblock statt aus 600.000 PBKDF2-Runden — ein Angreifer kann Passwörter dort also viel schneller durchprobieren.

Kompatibilität: entschlüsseln auch ohne Cryptor

Das Format v2 ist offen dokumentiert und nutzt ausschließlich Standardverfahren — die Karte Format & decrypting without this tool beschreibt es vollständig und liefert fertige Skripte für Node.js, Python und PHP. Für Legacy-Texte steht im Reiter Older formats ein openssl-Befehl bereit.

Für Archive heißt das: Speichere dir das passende Skript neben die verschlüsselten Dateien. Dann bekommst du deine Daten auch zurück, wenn es diese Website irgendwann nicht mehr gibt. Den umgekehrten Weg — mit openssl enc erzeugte Texte in Cryptor entschlüsseln — unterstützt das Tool nur für das alte Salted__-Format mit AES-256-CBC und MD5-Ableitung (-md md5).

Kein Verlauf — Ergebnisse rechtzeitig sichern

Cryptor speichert aus Sicherheitsgründen nichts zwischen. Lädst du die Seite neu oder schließt den Tab, ist alles weg — auch der Undo-Verlauf. Sichere einen Geheimtext oder einen entschlüsselten Text deshalb rechtzeitig mit Copy (Zwischenablage) oder Save, bevor du die Seite verlässt. Save wählt den Dateinamen selbst: encrypted.txt für Geheimtext, plaintext.txt für Klartext — ein Blick auf den Namen zeigt dir, ob du gerade die richtige Datei sicherst.

Nur Text, keine Binärdateien

Cryptor ist für Text gebaut. Bilder, PDFs oder ZIP-Archive weist es beim Öffnen ab, statt sie beim Einlesen als Text zu zerstören; Dateien sind auf 20 MB begrenzt. Für eine Binärdatei brauchst du ein anderes Werkzeug — oder du kodierst sie vorher als Base64-Text und verschlüsselst diesen. Dann fragt Cryptor allerdings „This already looks encrypted. Encrypt it again?", weil reines Base64 wie das alte Format v1 aussieht: Bestätige mit OK und nimm den Encrypt-Knopf statt Strg+Enter — das Kürzel würde den Text als Geheimtext behandeln und entschlüsseln wollen.

Braucht der Browser HTTPS

Die Web-Crypto-API läuft nur in einem sicheren Kontext, und Cryptor rechnet zusätzlich in einem Web Worker. Wenn die Knöpfe grau bleiben und eine Meldung erscheint, dass dein Browser keine moderne Verschlüsselung unterstützt, prüfe, ob du die Seite wirklich über HTTPS (https://www.jpkc.com/tools/cryptor/) und in einem aktuellen Browser geöffnet hast.

Kombination mit anderen JPKCom-Tools

Passwort- & Schlüssel-Generator — wenn du mehr Kontrolle über Länge und Zeichensatz des Passworts willst, als das eingebaute Menü bietet.
Hash-Generator — eine Prüfsumme über die verschlüsselte Datei legen, um später Beschädigungen zu erkennen, bevor du überhaupt das Passwort eingibst. Brauchst du einen Passwort-Hash zum Speichern von Logins (bcrypt, Argon2, PBKDF2), bist du dort ebenfalls richtig — Cryptor ist dafür das falsche Werkzeug, weil es umkehrbar verschlüsselt.
QR-Code-Generator — einen kurzen Geheimtext als QR-Code weitergeben (das Passwort natürlich getrennt).
PKI / Zertifikate — wenn ein gemeinsames Passwort nicht praktikabel ist und du asymmetrische Kryptografie brauchst.

Die vollständige Funktionsbeschreibung steht im Manual, konkrete Durchläufe in den Beispielen. Ausprobieren kannst du alles im Tool.