VPN-Verschlüsselung erklärt: AES-256 gegen ChaCha20 in 2026

Öffne die Einstellungen einer beliebigen VPN-App, und irgendwo bei den Protokolloptionen taucht meist “AES-256” oder “ChaCha20” auf. Beide sind Verschlüsselungsverfahren, beide gelten 2026 als sicher, und zwischen ihnen zu wählen ist so gut wie nie nötig. Hier steht, was die beiden Verfahren eigentlich tun, wo der Unterschied liegt, und warum das “bessere” Verfahren vor allem von deinem Gerät abhängt statt von der Mathematik dahinter.

Was ist AES-256?

AES (Advanced Encryption Standard) ist ein Blockchiffre: Er zerlegt Daten in Blöcke fester Größe und verschlüsselt jeden davon mit einem 256-Bit-Schlüssel. Das US-Institut NIST wählte AES 2001 nach einem öffentlichen Auswahlverfahren aus, seitdem ist es der Verschlüsselungsstandard für Regierungen, Banken und die meisten Programme, die Daten schützen müssen, ob gespeichert oder unterwegs.

Dass AES-256 zwei Jahrzehnte später noch mithält, liegt nicht nur an der Schlüssellänge. Seit Mitte der 2010er verbauen die meisten Prozessoren in Laptops, Desktops und Servern (Intel, AMD, auch viele ARM-Chips) einen eigenen Befehlssatz namens AES-NI, der AES-Berechnungen direkt in Hardware erledigt statt in Software. Auf einem aktuellen Rechner mit AES-NI kostet das Ver- und Entschlüsseln des Datenverkehrs praktisch nichts an Leistung. Genau deshalb ist AES-256 auf Desktop und Laptop meist die schnellere Variante.

Was ist ChaCha20?

ChaCha20 funktioniert anders. Es ist ein Stromchiffre: Es erzeugt einen fortlaufenden Strom pseudozufälliger Daten und verknüpft ihn Bit für Bit mit dem Datenverkehr, statt in festen Blöcken zu arbeiten. Entwickelt hat es der Kryptograf Daniel J. Bernstein, fast immer kombiniert mit einem Authentifikator namens Poly1305, der prüft, ob die Daten unterwegs manipuliert wurden. Die Kombination sieht man deshalb meist als ChaCha20-Poly1305.

Der Vorteil von ChaCha20 zeigt sich auf Hardware ohne AES-NI-Beschleunigung, also älteren Smartphones, günstigen Android-Geräten, manchen Routern und schwachbrüstiger IoT-Hardware. Dort muss AES in Software laufen und wird spürbar langsamer. ChaCha20 wurde von Anfang an so gebaut, dass es in Software effizient läuft, ohne spezielle Hardware zu brauchen. Genau dafür wurde es entwickelt: Bernstein wollte eine schnelle Alternative mit konstanter Laufzeit, die auch ohne Hardware-Abkürzungen gut abschneidet.

Es ist außerdem das Standardverfahren von WireGuard, dem modernen VPN-Protokoll, das unter anderem NordVPN (als Teil von NordLynx), ProtonVPN, Surfshark und Mullvad einsetzen. Wie WireGuard im Vergleich zu älteren Protokollen abschneidet, steht ausführlich in unserem Leitfaden zu VPN-Protokollen.

AES-256 gegen ChaCha20: kurzer Vergleich

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Ist eins der beiden Verfahren wirklich sicherer?

Nein, und genau da liegt der Denkfehler. Beide Verfahren nutzen 256-Bit-Schlüssel (in der üblichen VPN-Konfiguration), und für keins von beiden gibt es einen praktisch durchführbaren Angriff, der den Datenverkehr in vertretbarer Zeit entschlüsseln würde, selbst mit erheblicher Rechenleistung. Kryptografen haben beide seit Jahren unter die Lupe genommen, ChaCha20 seit der Veröffentlichung 2008, AES seit der Standardisierung 2001, und beide haben sich bewährt.

Die Gegenüberstellung “AES-256 gegen ChaCha20” in vielen VPN-Werbetexten suggeriert ein Sicherheitsduell. Das gibt es nicht. Der eigentliche Unterschied liegt beim Leistungsprofil, nicht bei der Stärke. Zu fragen, welches Verfahren “stärker” ist, ist ungefähr so sinnvoll wie zu fragen, ob ein Inbusschlüssel oder ein Schraubendreher das bessere Werkzeug ist: Kommt ganz drauf an, wofür man ihn braucht.

Warum bestimmt mein VPN-Protokoll die Verschlüsselung?

Weil das Protokoll vorgibt, wie die Verschlüsselung umgesetzt wird. Die WireGuard-Spezifikation schreibt ChaCha20-Poly1305 fest vor, das lässt sich innerhalb von WireGuard nicht ändern, was mit ein Grund ist, warum das Protokoll so schlank und schnell bleibt. OpenVPN und IKEv2/IPsec dagegen konfigurieren die meisten Anbieter typischerweise mit AES-256-GCM, auch wenn OpenVPN technisch ChaCha20 unterstützt, sofern ein Anbieter es aktiviert. In der Praxis ist die Verschlüsselung also weniger eine Einstellung, die man selbst wählt, sondern eher eine Folge des gewählten Protokolls (oder des Automatikmodus der App).

Und was ist mit dem Schlüsselaustausch (Handshake)?

Den Datenverkehr zu verschlüsseln ist nur die halbe Miete. Bevor überhaupt etwas verschlüsselt wird, müssen sich Gerät und VPN-Server auf einen gemeinsamen geheimen Schlüssel einigen, ohne dass ihn jemand unterwegs abfangen kann. Das ist der Handshake, und dafür kommen meist andere Werkzeuge zum Einsatz als AES oder ChaCha20.

Die meisten VPN-Verbindungen setzen für diesen Schlüsselaustausch auf elliptische Kurven nach dem Diffie-Hellman-Verfahren (ECDH), oft abgesichert durch RSA-Zertifikate (meist RSA-2048 oder RSA-4096), die bestätigen, dass der Server wirklich der ist, für den er sich ausgibt. WireGuard nutzt dafür Curve25519, ein modernes, schnelles Verfahren auf elliptischen Kurven mit solider Erfolgsbilanz. Die Namen muss man sich nicht merken. Wichtig ist nur: Handshake und Datenverschlüsselung sind zwei getrennte Aufgaben, die von unterschiedlichen Werkzeugen erledigt werden, und beide müssen solide sein, damit die ganze Verbindung vertrauenswürdig ist.

Spielt die Wahl der Verschlüsselung für dich überhaupt eine Rolle?

Meistens nicht. So gut wie jede seriöse VPN-App wählt die passende Kombination aus Protokoll und Verschlüsselung automatisch für dein Gerät, und an den Verschlüsselungseinstellungen herumzuschrauben ändert im Alltag kaum etwas an deiner Sicherheit. Was sich stattdessen zu prüfen lohnt:

• Nennt der Anbieter klar, welche Verschlüsselung er nutzt? Seriöse Anbieter listen das in der App oder Dokumentation auf. Findest du dazu nichts, ist das ein Transparenzproblem.
• Ist es AES-256 oder ChaCha20 (mit Poly1305)? Beides sind solide, aktuelle Verfahren. Eine Entscheidung zwischen beiden musst du nicht treffen.
• Wurde die Verschlüsselungsimplementierung des Anbieters unabhängig geprüft? Ein Verfahren ist nur so vertrauenswürdig wie der Code, der es umsetzt. Welche Anbieter ihre Behauptungen tatsächlich belegen können, steht in unserem Überblick zu geprüften No-Logs-VPNs.

Findest du als einzige Option etwas spürbar Veraltetes, etwa Blowfish oder einen AES-Schlüssel mit nur 128 Bit ohne Upgrademöglichkeit, lohnt sich ein genauerer Blick auf die restlichen Sicherheitspraktiken des Anbieters, bevor du dich entscheidest. Für die große Mehrheit der VPNs auf dem Markt 2026, einschließlich aller Anbieter in unserem Test, ist das aber schlicht kein reales Problem.

NordVPN deckt beide Fälle gut ab: ChaCha20 über das WireGuard-basierte NordLynx-Protokoll und AES-256 über OpenVPN, abgesichert durch ein unabhängiges PwC-Audit. Wer eine vollständig geprüfte No-Logs-Politik wichtiger findet als Protokollvielfalt, ist bei ProtonVPN gut aufgehoben, einem der wenigen Anbieter mit einem KPMG-geprüften No-Logs-Audit und durchgängig solidem AES-256.