Perfect Forward Secrecy (PFS): Wie einmalige Sitzungsschlüssel den VPN-Verkehr schützen

Perfect forward secrecy (PFS, auch forward secrecy genannt) bedeutet, dass für jede VPN-Sitzung ein Schlüssel direkt während des Handshakes erzeugt und anschließend verworfen wird. Der langfristige Schlüssel des Servers authentifiziert die Sitzung nur, verschlüsselt aber keinen Datenverkehr – ein heute abgefangener Mitschnitt bleibt daher unlesbar, selbst wenn jemand diesen dauerhaften Schlüssel später kopiert.

Das Prinzip: Schlüssel, die mit der Sitzung sterben

Jede Seite des Handshakes wählt einen zufälligen temporären Wert und teilt nur seine öffentliche Hälfte mit. Die Diffie-Hellman-Mathematik – klassisches DHE oder die elliptische Variante ECDHE – ermöglicht es beiden Enden, denselben Sitzungsschlüssel abzuleiten, ohne ihn über das Netz zu senden. Wenn die Sitzung oder das Rekey-Fenster endet, werden diese temporären privaten Werte gelöscht, wodurch begrenzt bleibt, wie viel Datenverkehr ein geleakter Sitzungsschlüssel überhaupt preisgeben kann.

Ohne diesen Schritt schützt ein einziges langlebiges Geheimnis alles: Wird es einmal gestohlen, lässt sich jede damit erstellte Aufzeichnung entschlüsseln.

Ein abgefangener Tunnel, zwei Ergebnisse

Ein illustratives Beispiel: Ein Angreifer in einem Hotelnetzwerk speichert einen Monat lang Ihre Pakete und dringt dann in den Anbieter ein, um dessen Server-Schlüssel zu erbeuten. Bei einer statischen Konfiguration wird dieser Monat zu Klartext. Mit forward secrecy verbleiben dem Angreifer ein Authentifizierungsschlüssel, der nichts entschlüsselt, sowie Chiffretext, dessen passende Sitzungsschlüssel bereits gelöscht sind.

Wie WireGuard, OpenVPN und IKEv2 PFS umsetzen

WireGuard lässt keine Wahl: Die offizielle Protokollbeschreibung koppelt die Schlüsselrotation an einen Timer, und ephemere private Schlüssel sowie Sitzungsschlüssel werden genullt, sobald innerhalb des festgelegten Zeitraums keine frischen Schlüssel ausgetauscht wurden. OpenVPN im TLS-Modus bietet forward secrecy; das Handbuch zum statischen Schlüsselmodus räumt ein, dass ein gestohlener Schlüssel alles kompromittiert, was je damit verschlüsselt wurde. Bei IPsec warnt RFC 7296, dass die Wiederverwendung öffentlicher Diffie-Hellman-Werte weniger als perfekte Geheimhaltung ergibt, und eine Child SA ohne DH-Gruppe verliert die PFS für diese SA.

Wie VPNRadarLab PFS bewertet

Von 543 Privatkunden-VPNs in der Datenbank:

Schweigen heißt nicht „Nein“: Die Seite bewertet, was die Anbieter veröffentlichen – ein Dienst, der nur WireGuard einsetzt und Schlüssel konstruktionsbedingt rotiert, PFS aber nie erwähnt, erhält keinen Punkt. Im Sicherheits-Teilindex, der 20 % der Gesamtwertung ausmacht, zählt PFS 0,5 von 14 Punkten; ein Kill Switch oder ein Audit bringt 2. Die Gewichtung ergibt Sinn: Moderne Protokolle erhalten forward secrecy praktisch mühelos, während ein fehlender Kill Switch dazu führt, dass Datenverkehr leakt, wenn der Tunnel im Hotel-WLAN abbricht. Die Formulierungen der Anbieter unterscheiden sich: AirVPN nennt DHE mit einem Rekey alle 60 Minuten, Riseup VPN erwähnt eine ECDHE-TLS-Cipher-Suite, OllaVPN kombiniert WireGuard mit einem hybriden ML-KEM-768-Handshake, Namecheap FastVPN gibt PFS über WireGuard an, Proton VPN antwortet mit Ja. Das VPNRadarLab-Ranking listet alle 24 Dienste, die PFS angeben.

Was forward secrecy nicht abdeckt

PFS schützt aufgezeichneten Datenverkehr, und das ist sein gesamter Geltungsbereich. Malware auf einem Laptop liest Daten vor der Verschlüsselung oder nach der Entschlüsselung. Aus dem Speicher kopierte Schlüssel während einer laufenden Sitzung legen genau diese laufende Sitzung offen. Ein Anbieter mit Logs sieht den Datenverkehr, nachdem er die VPN-Server im Klartext verlassen hat. Und klassisches Diffie-Hellman, das heute abgefangen wird, könnte künftig einem Quantencomputer zum Opfer fallen – das Szenario „harvest now, decrypt later“; Post-Quantum-Handshakes wie ML-KEM-768 gehen das separat an.

Fragen von Lesern zur PFS

Forward secrecy vs. perfect forward secrecy: Gibt es einen Unterschied?

In der Praxis nicht. Anbieter verwenden beide Bezeichnungen für dieselbe Eigenschaft; die „perfekte“ Variante ist lediglich der strengere Begriff, auf dem einige Kryptografen bestehen.

Verlangsamt PFS ein VPN?

Der zusätzliche Austausch läuft nur beim Verbinden und bei jedem Rekey, sodass Nutzer ihn nicht bemerken; Entfernung und Serverauslastung wiegen deutlich schwerer.

Wie prüfe ich, ob meine VPN-Verbindung PFS hat?

Bei OpenVPN lesen Sie das Log oder die Konfiguration: ECDHE oder DHE in der Cipher-Suite bedeutet forward secrecy. WireGuard erfordert keine Prüfung. Bei einem Router mit IPsec suchen Sie nach der Einstellung „PFS group“ im Proposal und stellen sicher, dass sie nicht leer ist.

Fazit zur PFS

Wegwerfbare ephemere Schlüssel sorgen dafür, dass alte Aufzeichnungen nach einem Leak eines langfristigen Schlüssels sicher bleiben: WireGuard erzwingt PFS automatisch, OpenVPN im TLS-Modus ebenso, IKEv2 mit einer DH-Gruppe bei Child SAs. VPNRadarLab berücksichtigt sie bei 24 von 543 Diensten, wert 0,5 von 14 Sicherheitspunkten – und sie hilft nicht bei Malware, einem kompromittierten Gerät oder einem Anbieter, der Logs schreibt.