Homomorphe Verschlüsselung

Der ehemalige Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Ulrich Kelber, hat in
seinem „Abschiedsbrief“¹ vom Juli 2024 darauf hingewiesen, dass die „Privacy Enhancing Technologies“ (PET) und hier explizit die „homomorphe Verschlüsselung“ Themen sind, bei denen es in den vergangenen Jahren vielversprechende Fortschritte gab, deren weitere Entwicklung man im Auge behalten müsse. Die Nachfolgerin von Kelber – Prof. Dr. Louisa Specht-Riemenschneider – sieht das übrigens genauso. Das bestätigte die Pressestelle der BfDI auf Nachfrage dem AK-Krypto.

In diesem Artikel erläutert der AK-Krypto das Konzept der homomorphen Verschlüsselung anhand von einfachen Beispielen und praktischen Anwendungsfällen.

Worum es geht: Der Anwendungsfall

Bei der Verschlüsselung werden Daten so verändert (verschlüsselt), dass Unbefugte sie nicht interpretieren können. Nur wer den passenden Schlüssel kennt, kann die Daten wieder entschlüsseln. Auf diese Weise können zum Beispiel Festplatten oder andere Datenträger verschlüsselt werden. Für diese sogenannte „symmetrische“² Verschlüsselung gibt es mit dem AES³ einen Standard, der nach dem Stand der Technik als sicher gilt. Bei der Übermittlung von verschlüsselten Daten besteht das zusätzliche Problem des Schlüsselaustausches. Dies wird weitgehend durch die ‚Public Key Kryptographie‘ gelöst, bei der mit öffentlichen und privaten Schlüsseln gearbeitet wird (insbesondere das RSA-Verfahren). Dabei wird mit dem öffentlichen Schlüssel des Empfängers verschlüsselt und mit dem privaten Schlüssel des Empfängers (den nur dieser kennt) entschlüsselt. Dieses Verfahren nennt man auch ‚asymmetrische Verschlüsselung‘.

Das Verfahren gilt zwar als sicher. Probleme entstehen jedoch in Kombination mit Cloud-Diensten. Die bekanntesten Cloud-Anbieter kommen aktuell aus den USA. Ein seriöser Anbieter garantiert seinen Kunden, dass er die Daten nur gemäß den vertraglich vereinbarten Festlegungen verarbeitet, typischerweise in From eines AV-Vertrags gemäß Art. 28 DSGVO.

Zudem sollten die Bedingungen gemäß Kapitel 5 DSGVO erfüllt sein. Was aber bedeuten die vertraglichen Zusagen, wenn der US- Anbieter dem Foreign Intelligence Surveillance Act und dem CLOUD Act unterliegen?⁶ Unter diesen Rahmenbedingungen kann eine Cloud nur zuverlässig genutzt werden, wenn die Daten ausschließlich verschlüsselt in der Cloud liegen. Damit ist nicht nur die Übermittlung der Daten sondern auch deren dauerhafte Speicherung in der Cloud gemeint. Die Verschlüsselung muss dabei vom Verantwortlichen selbst mit einem eigenen Schlüssel durchgeführt werden – nicht mit Schlüsseln oder Software des Cloud-Anbieters⁷. Nur dann kann man sich sicher sein, dass die Daten vom Cloud-Anbieter nicht entschlüsselt herausgegeben werden. Das bedeutet aber (bei den bisher gängigen Verschlüsselungsverfahren), dass man die Cloud nur für die Speicherung und den späteren Abruf der (verschlüsselten) Daten nutzen kann. Eine weitere „Verarbeitung“ der Daten, wie sie im typischen Anwendungsfall üblich ist, wäre damit nicht möglich.

Eine Lösung stellt die „homomorphe⁸ Verschlüsselung“, die Homomorphic Encryption (HE) dar. Sie ermöglicht es, dem Cloud-Anbieter, die in die Cloud geladenen verschlüsselten Daten verarbeiten zu können, ohne, dass er die Daten entschlüsseln kann oder muss.

Das geht mit dem bisher üblichen Verschlüsselungsverfahren Im Normalfall nicht. Eine Ausnahme stellt das RSA-Verfahren dar, bei dem Rivest schon Ende der 1970er Jahre erkannt hatte, dass die Mulitplikation zweier mit dem RSA-Verfahren verschlüsselten Daten ein Ergebnis liefert, das bei der anschließenden Entschlüsselung tatsächlich dem Produkt der beiden ursprünglichen, unverschlüsselten Zahlen entspricht.

Diese Eigenschaft des RSA-Verfahrens brachte ihn auf die Idee einer homomorphen Verschlüsselung, bei der nicht nur die Multiplikation, sondern alle algebraischen Operationen durchgeführt werden können und die anschließende Entschlüsselung des Ergebnisses auch den Wert liefert, der ohne Verschlüsselung herausgekommen wäre. Eine mathematische Lösung dazu fand er zwar nicht, aber die Idee war geboren und wurde 1978, nur zwei Jahre nach Veröffentlichung des RSA-Algorithmus, in einem Papier „On Data Banks and Privacy Homomorphisms“⁹ als neues Ziel formuliert.

1. Einfache Rechenbeispiele

1.1 Berechnung eines Durchschnitts

Stellen wir uns eine Schulklasse vor, in der eine Deutscharbeit geschrieben wurde. Jeder Schüler kennt nur seine eigene Zensur. Die Deutschlehrerin kennt alle Zensuren, spricht aber nicht darüber. Nun will der Mathematiklehrer mit der Klasse den Zensur-Durchschnitt der Deutscharbeit ermitteln. Der Mathematiklehrer ist gleichzeitig Datenschutzbeauftragter der Schule und hatte erst kürzlich eine DSgzSVeranstaltung ¹⁰ des BvD an der Schule organisiert.

Daher ist es ihm wichtig, den Zensur-Durchschnitt derart zu ermitteln, dass dabei keiner der Schüler seine Zensur preisgeben muss.

Der Mathematiklehrer geht dabei folgendermaßen vor:

Er lässt die Schüler in einem Kreis aufstellen und bittet einen beliebigen Schüler, sich eine beliebige ganze Zahl¹¹ auszudenken und für sich zu behalten. Danach bittet er diesen Schüler, seine eigene Zensur zu dieser Zahl zu addieren und das Ergebnis seinem rechten Nachbarn ins Ohr zu flüstern. Danach soll der zweite Schüler seine Zensur zu dem ihm mitgeteilten Wert addieren und so weiter.

Nachdem der letzte Schüler im Kreis seine Zensur addiert und dann das Ergebnis dem ersten Schüler mitgeteilt hat, subtrahiert dieser (der erste, mit dem es angefangen hatte) seine gedachte – nur ihm selbst bekannte – Zahl und gibt das Ergebnis laut bekannt.

Beispiel: Es handelt sich um eine kleine Klasse mit 10 Schülern und folgenden Noten: 1, 1, 5, 4, 1, 1, 2, 1, 3, 1.

Der erste Schüler denkt sich die 15. Dann kommt man zu folgenden Werten, die berechnet und an den jeweils nächsten Schüler im Kreis weitergegeben werden:

1. Schüler berechnet 15+1 = 16
2. Schüler berechnet 16+1 = 17
3. Schüler berechnet 17+5 = 22
4. Schüler berechnet 22+4 = 26
5. Schüler berechnet 26+1 = 27
6. Schüler berechnet 27+1 = 28
7. Schüler berechnet 28+2 = 30
8. Schüler berechnet 30+1 = 31
9. Schüler berechnet 31+3 = 34
10. Schüler berechnet 34+1 = 35

Von dieser Endsumme zieht der erste Schüler wieder seine gedachte Zahl ab 35-15=20 und erhält somit die Summe aller Zensuren, die dann nur noch durch die Anzahl der Schüler geteilt werden muss ▶ 20:10=2. Das Ergebnis ist also ein Durchschnitt von einer glatten 2. Keiner der Schüler hat anhand der gehörten Zwischenwerte irgendetwas über die Zensuren der Klassenkameraden erfahren.

Dies ist ein einfaches Beispiel für das Rechnen mit verschlüsselten ¹² Werten. Man muss sich jedoch darauf verlassen, dass jeder korrekt rechnet (ohne dies prüfen zu können) und man muss sich auch darauf verlassen, dass sich die Schüler anschließend nicht (heimlich) die genannten Zwischenwerte mitteilen.

Genau genommen ist dies nicht nur ein Beispiel für homomorphe Verschlüsselung, sondern auch ein Beispiel für „Mehrparteienrechnung“ bzw. „multiparty computing“ (MPC), was Kelber in seinem eingangs genannten „Abschiedsbrief“ auch als spannende Technologie bezeichnete.

1.2 Eine etwas homomorphe Verschlüsselung

Eine Verschlüsselung, bei der ausschließlich eine Rechenart¹³ mit den verschlüsselten Daten funktioniert, wie es Rivest bei dem RSA-Verfahren bezüglich der Multiplikation entdeckt hatte, reicht für praktische Anwendungen im Normalfall nicht aus. Von einer „etwas homomorphen Verschlüsselung“ (a „somewhat homomorphic encryption“ – SWHE) ist die Rede, wenn man neben der Multiplikation noch die Addition von verschlüsselten Daten durchführen kann, so dass das entschlüsselte Ergebnis, dem der Addition bzw. Multiplikation der unverschlüsselten Werte entspricht.

Ähnlich wie bei dem obigen Beispiel mit dem Durchschnitt der Klassenarbeit besteht die Verschlüsselung z. B. darin, dass man den Schlüssel (P)¹⁴ zu den Werten (mi)¹⁵ addiert. Die derart verschlüsselten Werte werden entsprechend als „ci“¹⁶ bezeichnet. Der Schlüssel P sollte eine große, zufällig gewählte Zahl sein, die deutlich größer sein muss als alle Klartextwerte – einschließlich der Rechenergebnisse. In diesem Fall ist die Entschlüsselung sehr einfach: Man teilt die Verschlüsselten Werte durch P und erhält einen Rest. Dieser Rest entspricht dem Klartext¹⁷. Es gibt dabei nur ein Problem: Auch wenn man eine große Zahl für P wählt, ist diese leicht aus den verschlüsselten ci bestimmbar, weil alle verschlüsselten Werte ci um P herum liegen. Um dieses Problem zu lösen, wird P noch mit individuellen (großen, ganzzahligen) Werten ni multipliziert.

Die Berechnung der ci wäre dann: ci=niP+mi.

Die einzelnen Werte von ni muss man sich nicht merken. Der Ver- und Entschlüsselungsschlüssel ist ausschließlich „P“. Die Entschlüsselung funktioniert trotzdem noch so wie oben beschrieben. Der Unterschied ist jetzt aber, dass man aus den derart verschlüsselten ci nicht mehr auf den Schlüssel P schließen kann. Eine verschlüsselte „1“ wäre nicht mehr in der Nähe einer verschlüsselten „2“.

Die folgenden Formeln sollen zeigen, dass die derart verschlüsselten Werte von ci tatsächlich homomorph bezüglich Addition und Multiplikation sind.

Addition
cr=c1+c2 = n1P+m1 + n2P+m2, „cr“ ist das verschlüsselte Ergebnis (result)

cr=P(n1+n2) + m1+m2
Wenn man dieses verschlüsselte Ergebnis cr durch P teilt, dann kommt n1+n2 heraus und es bleibt ein Rest von m1+m2.
Wie oben beschrieben interessiert hier nur der Rest – also m1+m2

Die Entschlüsselung, bei der eine ganze Zahl durch eine natürliche Zahl dividiert wird und nur der ganzzahlige Rest als Ergebnis übrigbleibt, wird auch als „Modulo-Funktion“ bezeichnet und mit „mod“ abgekürzt. Die Entschlüsselung entspricht somit: cr mod P = m1+m2.

Multiplikation
cr=c1c2 = (n1P + m1)(n2P + m2)
cr=P2n1n2 + Pm2n1 + Pm1n2 + m1m2
cr=P(Pn1n2 + m2n1 + m1n2) + m1m2

Wenn man cr entschlüsselt – also durch P dividiert und nur den Rest behält, kommt m1m2 heraus.

Wie bereits erwähnt, funktioniert dies nur mit großen P-Werten, die größer sind als alle Werte (einschließlich der Rechenergebnisse) im Klartext. Außerdem wird deutlich, dass ci mit jeder Rechnung größer wird. Insbesondere nach einer Multiplikation werden die Zahlen, mit denen man rechnen muss, doppelt so lang. Dieser Overhead, der in diesem Zusammenhang auch als „Rauschen“ bezeichnet wird, macht ein Weiterrechnen nach mehreren Operationen unmöglich. Bei der „etwas homomorphen Verschlüsselung“ beschränkt man sich daher beispielsweise auf fünf Additionen und eine Multiplikation.¹⁸ Anschließend muss jeder cr-Wert „aufgefrischt“, d.h. er muss erneut entschlüsselt und neu verschlüsselt werden. Wenn man das den Cloud-Anbieter erledigen lassen würde, bräuchte er den Schlüssel. Das aber will man nicht. Wenn man das als Cloud-Nutzer (Verantwortlicher) selbst durchführen müsste, dann wäre dieses permanente Auffrischen aufwändiger, als gleich alles selbst zu rechnen – was ebenfalls nicht gewünscht ist.

Die Lösung der beiden Probleme der SWHE – die Erweiterung der homomorphen Eigenschaften auf beliebige Operationen und die häufig erforderliche Auffrischung der Zwischenergebnisse ohne Zusatzaufwand für den Verantwortlichen und ohne, dass der Cloud-Anbieter den Schlüssel (im Klartext) kennen muss – kam im Jahr 2009 in Form einer Doktorarbeit von Craig Gentry.¹⁹

2. Voll homomorphe Verschlüsselung – fully homomorphic encryption (FHE)

2.1 Die Erweiterung der SWHE zu beliebigen Berechnungen

Wenn man laut Gentry die Addition zweier Bit betrachtet, entspricht die letzte Stelle des Ergebnisses einer XOR-Funktion und die nächste Stelle (der Übertrag) einer UND-Funktion: 0+0=0, 0+1=1, 1+0=1, 1+1=10 (im Dualsystem).²⁰ Die Multiplikation ist noch einfacher. Sie kann mit einer einzigen UND-Funktion realisiert werden: 00=0, 01=0, 10=0, 11=1. Das ist bereits das gesamte Einmaleins im Dualsystem. Weil es so einfach ist, rechnen Computer im Dualsystem.

Man kann aber auch sagen: Wenn man die Addition und die Multiplikation beherrscht (und das ist mit SWHE bereits der Fall), dann kann man damit auch die XOR- und die UND-Funktionen realisieren und damit dann auch die ODER und die Nicht-Funktion. Alles, was ein Computer berechnet, wird letztlich durch viele aufeinanderfolgende dieser „logischen“ Grundoperationen und deren Kombinationen durchgeführt.²¹ Mit den homomorph verschlüsselten Bits lassen sich also alle logischen Schaltungen eines Computers berechnen, was letztlich bedeutet, dass alle Operationen eines Computers homomorph durchgeführt werden können. Dass dies einen enormen Mehraufwand gegenüber den ursprünglichen UND-, ODER und NICHT-Funktionen bedeutet, steht außer Frage. Aber zunächst steht fest: Es geht.

2.2 Auffrischung der Zwischenergebnisse

Das zweite zu lösende Problem des SWHE war die regelmäßige „Auffrischung“ der verschlüsselten Zwischenergebnisse, um deren „Rauschen“ zu reduzieren.

Der Lösungsansatz besteht darin, dass der Schlüssel selbst noch einmal homomorph verschlüsselt wird. Der Auftragnehmer sieht den Schlüssel also nicht im Klartext, kann damit aber die Auffrischung durchführen. Bei dieser Auffrischung bleiben die eigentlichen Werte zu jedem Zeitpunkt für den Diensteanbieter verschlüsselt.

Gentry führt dazu ein Beispiel aus: Alice hat ein Juweliergeschäft und einen Angestellten, der für sie Schmuckstücke aus einem Stück Gold anfertigen soll. Dieser Angestellte ist handwerklich sehr gut, so dass sich Alice sicher sein kann, dass er einen schönen Ring anfertigen kann. Alice hat aber kein so unbegrenztes Vertrauen in den Angestellten, dass sie ihm das Gold direkt geben will. Sie will, dass der Angestellte das Gold verarbeiten kann, ohne direkten Zugriff darauf zu haben.

Ihre Lösung: Sie legt das Gold in eine abschließbare Kiste, deren Schlüssel nur sie selbst hat. Die Kiste enthält zwei Löcher mit Handschuhen, so dass der Angestellte das Gold mit den Händen in den Handschuhen bearbeiten kann. Entnehmen kann er aber weder das Gold noch Teile davon und auch nicht den von ihm selbst hergestellten Ring. Allerdings werden durch die Bearbeitung die Handschuhe mit der Zeit steif, sodass der Angestellte nur eine begrenzte Anzahl von Arbeitsschritten durchführen kann. Diese reichen jedoch nicht aus, um den Ring herzustellen.

Alice hat deshalb eine weitere Handschuhkiste gefertigt, nur wesentlich größer und mit einer Klappe versehen, durch die die erste Kiste in die zweite gesteckt, aber nicht wieder herausgeholt werden kann. In die zweite Kiste hat Alice den Schlüssel für die erste Kiste gelegt und übergibt sie ihrem Angestellten. Der Angestellte öffnet nun mit dem Schlüssel die kleinere Kiste, holt das restliche Gold sowie den Ring heraus und arbeitet in der großen Kiste weiter. Dieser Vorgang kann beliebig oft fortgesetzt werden, bis der Ring fertig ist. Zum Schluss übergibt der Angestellte Alice die letzte Kiste. Sie öffnet diese mit dem nur ihr zur Verfügung stehenden Schlüssel und entnimmt den fertigen Ring.

Das Problem der FHE ist damit seit 2009 „grundsätzlich“ gelöst. Es ist aber nur eine theoretisch nutzbare Lösung, denn praktisch ist das beschriebene Verfahren so aufwändig, dass sich unter diesen Umständen ein Cloud-Einsatz nicht lohnen würde. Die Cloud-Lösungen sind ja deshalb so beliebt, weil sie billiger sind als der Betrieb eigener Rechenzentren.

Weiterentwicklungen – Ausblick

Die Tatsache, dass die von Gentry ursprünglich vorgeschlagene Lösung keine praktische Relevanz hat, bedeutet nicht, dass die Überlegungen zur homomorphen Verschlüsselung in eine Sackgasse führten. Nachdem man erst einmal wusste, dass es prinzipiell funktioniert, ging es „nur“ noch darum das vorgestellte Verfahren zu optimieren. Die Literatur zur homomorphen Verschlüsselung, die nach 2009 veröffentlicht wurde, bezieht sich grundsätzlich auf Gentry, weil dies der Durchbruch zur Umsetzung der Idee von Rivest zu einer FHE war.

In den anschließenden Jahren gab es viele neue Arbeiten mit Optimierungen des von Gentry vorgestellten Ansatzes. Hier ist eine knappe Aufzählung:

• FHEW – Fastest Homomorphic Encryption in the West
• FFHE – Faster Homomorphic Encryption
• TFHE – Fully Homomorphic Encryption over the Torus

Diese und viele weitere Optimierungen haben seit 2009 zu einer beträchtlichen Reduzierung des Aufwands geführt. Dem Autor sind keine belastbaren Werte bekannt, aber offensichtlich wird ein Bereich erreicht, ab dem sich der praktische Einsatz zu lohnen beginnt. In einem Buch über moderne Kryptographie²² aus dem Jahr 2024 steht in der Zusammenfassung von Kapitel 11 „Homomorphic Encryption“ Folgendes:

„Homomorphic encryption has gained considerable momentum over the past 10 years. The need to secure data from third-party vendors, CSPs²³, and auditors while allowing them to process it simultaneously is rapidly increasing. Homomorphic encryption is one of the main solutions in sight right now. The increased use of cloud computing will fuel the need for homomorphic encryption and its development.“

Übersetzung:

„Die homomorphe Verschlüsselung hat in den vergangenen zehn erheblich an Bedeutung gewonnen. Der Bedarf, Daten von Drittanbietern, CSPs und Prüfern zu schützen und ihnen gleichzeitig die Verarbeitung dieser Daten zu ermöglichen, nimmt rapide zu. Die homomorphe Verschlüsselung ist derzeit eine der wichtigsten Lösungen. Die zunehmende Nutzung von Cloud Computing wird den Bedarf an homomorpher Verschlüsselung und deren Entwicklung weiter ankurbeln.“

Abgesehen von der anspruchsvollen Verwirklichung einer FHE gibt es auch vielversprechende Ansätze für konkrete Einsatzgebiete von HE. Diese sind dann nicht universell, sondern nur für spezielle Probleme einsetzbar. Die Lösungen sind dann von deutlich geringerem Aufwand. Die Grundgedanken der HE bleiben dabei aber erhalten. In diesem Zusammenhang sollen nur kurz zwei bereits von Microsoft und Apple umgesetzte Anwendungsfälle genannt werden:

• Microsoft Edge – Abgleich von homomorph verschlüsselten Anmeldedaten mit öffentlichen Leak-Datenbanken. Microsoft kann dabei die Anmeldedaten nicht im Klartext lesen.
• Apple Bild-Attributierung – dabei werden nicht die Bilder selbst, sondern nur homomorph verschlüsselte Attribute vom iPhone an Apple gesendet. Näheres dazu gibt es in einem Podcast²⁴ von Heise, sowie in einem dort genannten weiteren Artikel²⁵, der auch auf einen Beitrag von Apple²⁶ selbst referenziert.

Dieser Artikel des Arbeitskreises Krypto des BvD soll Interessierten einen Einstieg in die homomorphe Verschlüsselung bieten. Für einen tieferen Einblick in die Thematik werden die angegebenen Referenzen empfohlen. Wer konkret mit homomorpher Verschlüsselung arbeiten möchte, der kann sich in den zahlreichen Open-Source Bibliotheken²⁷ umsehen, in denen FHE bereits implementiert ist – oder sich im AK Krypto einbringen.

¹ „Digital, frei und gleich – Um was es geht“, https://www.bfdi.bund.de/DE/BfDI/Inhalte/Parlamentsbrief/Abschied-Kelber.html (zueltzt abgerufen am 07.02.2026).
² Ursprünglich waren alle Verschlüsselungsverfahren „symmetrisch“, so dass dies in der Vergangenheit nicht explizit dazu gesagt werden musste. Gemeint sind alle Verfahren, bei denen für die Ver- und die Entschlüsselung der gleiche Schlüssel genutzt wird.
³ https://de.wikipedia.org/wiki/Advanced_Encryption_Standard (zuletzt abgerufen am 09.03.2026)
⁴ ISBN 9-783423-330718
⁵ Das Verfahren ist nach seinen „Entdeckern“ benannt: Ronald L. Rivest, Adi Shamir und Leonard Adleman
⁶ FISA: https://de.wikipedia.org/wiki/Foreign_Intelligence_Surveillance_Act CLOUD Act: https://de.wikipedia.org/wiki/CLOUD_Act
⁷ Falls es doch Software des Cloud-Anbieters ist, sollte wenigstens der Teil der Verschlüsselung Open Source und somit für jedermann überprüfbar sein.
⁸ Von altgriechisch ὁμός homós „gleich“ und μορφή morphé „Form, Gestalt“ – wird in der Mathematik auch im Sinne von „strukturerhaltend“ verwendet: https://de.wikipedia.org/wiki/Homomorphismus bzw. „Man sagt auch, dass ein Homomorphismus eine verknüpfungstreue Abbildung ist.“ – Quelle: „Basiswissen Zahlentheorie: Eine Einführung in Zahlen und Zahlbereiche“, Kap. 6.3, S. 148
⁹ https://luca-giuzzi.unibs.it/corsi/Support/papers-cryptography/RAD78.pdf
¹⁰ „Datenschutz geht zur Schule“ (DSgzS) ist eine Initiative des BvD, über die Datenschützer ehrenamtlich Datenschutzvorträge in Schulen halten, um die Schüler bezüglich möglicher Gefahren bei unbedachter Verbreitung der eigenen Daten z. B. in sozialen Medien frühzeitig zu informieren/sensibilisieren. https://www.datenschutz-geht-zur-schule.de/ (Links zuletzt abgerufen am 05.03.2026)
¹¹ In der Praxis würde man sich wohl auf eine natürliche Zahl beschränken aber theoretisch funktioniert es auch mit negativen ganzen Zahlen.
¹² Der Schlüssel wäre in diesem Fall die gedachte 15 des ersten Schülers. Er hat aber letztlich genauso wenig Information über die Zensuren der Klassenkameraden wie diese.
¹³ Das wird in der Literatur als „Partial Homomorphic Encryption“ (PHE) bezeichnet.
¹⁴ Man benutzt hier teilweise Primzahlen, aber bei Gentry wird nur eine ungerade natürliche Zahl verlangt, worauf hier aber nicht näher eingegangen werden soll.
¹⁵ Die unverschlüsselten Werte (Message) werden als „m“ bezeichnet. Da es viele zu verschlüsselnde Werte gibt, werden diese mit „mi“ bezeichnet.
¹⁶ Das „c“ steht für „cipher“. Für jeden Klartextwert mi gibt es einen verschlüsselten Ciphertext ci.
¹⁷ Bei diesem einfachen Beispiel könnte man P auch direkt vom verschlüsselten Wert wieder abziehen und würde als Differenz den Wert im Klartext erhalten. Wir bleiben aber bei der ganzzahligen Division, bei der uns nur der Rest interessiert, weil das auch bei den Beispielen in den folgenden Abschnitten noch funktioniert.
¹⁸ Es gibt unterschiedliche Varianten.
¹⁹ „A FULLY HOMOMORPHIC ENCRYPTION SCHEME“ https://crypto.stanford.edu/craig/
²⁰ XOR steht dabei für das „exklusive oder“: 0 XOR 0=0, 0 XOR 1=1, 1 XOR 0=1, 1 XOR 1=0. Das „exklusive oder“ hat somit die Bedeutung für „das eine
oder das andere, aber nicht beides. Die UND-Funktion steht für „das eine und das andere“: 0 AND 0 = 0, 0 AND 1 = 0, 1 AND 0 = 0, 1 AND 1 =1. Die
(einfache) ODER-Funktion steht für „das eine oder das andere“: 0 OR 0 = 0, 0 OR 1 = 1, 1 OR 0 = 1, 1 OR 1 = 1. Gentry hat hier zusätzlich noch mod 2
gerechnet, so dass es keinen Übertrag gibt. Die Addition zweier Bits entspricht dann tatsächlich einem XOR!
²¹ Kombinationen sind z. B. NAND (NOT in Verbindung mit AND) oder NOR (NOT in Verbindung mit OR). Die NOT-Funktion steht für das Gegenteil: NOT
0 = 1, NOT 1 = 0 – damit erschließt sich auch der Titel eines Films über die Anfänge des CCC: „Alles ist Eins. Ausser der 0.“ NAND steht für AND mit
anschließendem NOT: 0 NAND 0 = 1, 0 NAND 1 = 1, 1 NAND 0 = 1, 1 NAND 1 = 0 NOR steht für OR mit anschließendem NOT: 0 NOR 0 = 1, 0 NOR 1
= 0, 1 NOR 0 = 0, 1 NOR 1 = 0. Genau genommen braucht man sogar nur eine einzige dieser „logischen“ Funktionen (NAND oder NOR), um damit auch
alle anderen zu generieren.
²² Modern Cryptography – The Practical Guide, ISBN 978-1-4932-2565-1
²³ Cloud Service Provider
²⁴ https://www.heise.de/news/Passwort-Folge-26-Homomorphe-Verschluesselung-10282388.html
²⁵ Dieser Beitrag liegt hinter der Heise-Bezahlschranke – er enthält das, was auch im Podcast beschrieben wird: https://www.heise.de/hintergrund/Wie-
Apple-mit-homomorpher-Verschluesselung-Daten-schuetzen-will-10193623.html
²⁶ https://machinelearning.apple.com/research/homomorphic-encryption
²⁷ FHE Libraries: https://github.com/jonaschn/awesome-he (Links zuletzt abgerufen am 05.03.2026)

Über den Autor

Riko Pieper

ist Mitglied im AK-Krypto des BvD, dessen Sprecher er auch war. Der Informatiker war über viele Jahre stellvertretender Konzern-Datenschutzbeauftragter bei der Deutschen Flugsicherung. Davor verantwortete er den Aufbau eines Rechenzentrums am Fischereiforschungsinstitut in Argentinien. Seit Juli 2025 ist Riko Pieper im Ruhestand.