AES-256-GCM vs Ascon: NIST Lightweight Crypto 2026

Am 13. August 2025 schloss das National Institute of Standards and Technology im Stillen eine 50-jährige Ära ab. Die NIST Special Publication 800-232 machte Ascon, das kein Nachkomme von AES ist, zum ersten Standard für leichtgewichtige Kryptografie, der für die Milliarden kleiner Geräte entwickelt wurde, die sich keine vollständige AES-GCM-Implementierung leisten können. Für Ingenieure, die ihre Karriere in der Annahme verbracht haben, dass AES die einzige ernsthafte Wahl für authentifizierte Verschlüsselung ist, ist das eine größere Sache, als die Schlagzeile vermuten lässt.

Dieser Vergleich stellt AES-256-GCM gegenüber Ascon-AEAD128, der authentifizierten Verschlüsselungsfunktion im Zentrum von SP 800-232, in Bezug auf Sicherheitsmargen, Speicherbedarf, Hardwareabhängigkeit und reale Einsatzpfade gegenüber. Keiner der Chiffren ersetzt die andere vollständig. Die Entscheidung hängt davon ab, worauf der Code läuft: ein Server-Rack mit AES-NI-Silizium oder ein Knopfzellen-Sensor, der ein paar Kilobyte Flash über ein Jahrzehnt Batterielebensdauer strecken muss.

Warum dieser Vergleich jetzt wichtig ist

AES-GCM ist der Standardmodus für authentifizierte Verschlüsselung, seit das NIST ihn 2007 in SP 800-38D standardisiert hat. Es ist schnell auf allem mit AES-NI, über zwei Jahrzehnte im TLS-Verkehr erprobt und wird so schnell nicht verschwinden. Was sich 2025 änderte, ist, dass das NIST endlich eine Alternative herausbrachte, die speziell für Geräte entwickelt wurde, bei denen das zweiteilige Design von AES-GCM – eine AES-Blockchiffre plus GHASH-Authentifizierung – zu viel Code-Größe und RAM kostet.