Verschlüsselung bei Cloud-Backups: Zero-Knowledge einfach erklärt

Zero-Knowledge bedeutet wörtlich „null Wissen" — und genau das ist das Versprechen: Ihre Dateien werden auf Ihrem eigenen Gerät verschlüsselt, bevor sie die Cloud erreichen. Der Anbieter speichert dann nur noch unlesbaren Datensalat und besitzt den Schlüssel nicht. Selbst wenn er wollte, könnte er Ihre Inhalte nicht lesen — und auch Behörden, Hacker oder neugierige Mitarbeiter beim Anbieter schauen in die Röhre. Der Haken: Vergessen Sie Ihr Passwort, ist auch niemand da, der Ihnen helfen kann.

Was bedeutet Zero-Knowledge konkret?

Stellen Sie sich einen Tresor vor, den Sie zu Hause packen, abschließen und dann in ein Lagerhaus stellen. Der Lagerverwalter kann den Tresor sehen, anfassen und umstellen — aber nicht öffnen, weil nur Sie den Schlüssel haben. Genau so funktioniert Zero-Knowledge-Verschlüsselung in der Cloud.

Technisch läuft das so: Bevor eine Datei Ihr Gerät verlässt, wird sie mit einem starken Verfahren — üblich sind AES mit 256 Bit Schlüssellänge — in unlesbare Zeichenfolgen verwandelt. Der Schlüssel dazu wird aus Ihrem Passwort abgeleitet und verlässt Ihr Gerät niemals. Auf den Servern des Anbieters landet nur der „versiegelte Tresor". Selbst ein vollständiger Einbruch in das Rechenzentrum würde den Angreifern nur verschlüsselte Datenblöcke liefern — ohne Ihren Schlüssel wertlos.

Der Begriff „Zero-Knowledge" (null Wissen) beschreibt also nicht, was Sie wissen, sondern was der Anbieter weiß: nämlich nichts über Ihre Inhalte. Er weiß, dass Sie Kunde sind, wie viel Speicher Sie belegen und wann Sie zugreifen — aber nicht, was in Ihren Dateien steht.

So funktioniert die Verschlüsselung Schritt für Schritt

Der Ablauf ist bei allen seriösen Anbietern ähnlich und passiert im Hintergrund, ohne dass Sie Kryptografie studieren müssen:

1. Schlüsselableitung: Aus Ihrem Passwort erzeugt die App auf Ihrem Gerät einen kryptografischen Schlüssel. Gute Anbieter nutzen dafür bewährte Verfahren, die absichtlich rechenaufwendig sind, damit Angreifer nicht einfach Passwörter durchprobieren können.
2. Verschlüsselung: Jede Datei wird vor dem Upload mit AES-256 verschlüsselt. Moderne Apps verschlüsseln zusätzlich Dateinamen und Ordnerstrukturen, damit auch daraus keine Rückschlüsse möglich sind.
3. Upload: Nur die verschlüsselten Datenblöcke wandern über eine zusätzlich gesicherte TLS-Verbindung zum Server.
4. Speicherung: Der Anbieter speichert die Blöcke redundant — lesen kann er sie nicht.
5. Abruf: Beim Wiederherstellen laden Sie die Blöcke herunter, und erst auf Ihrem Gerät entschlüsselt die App sie wieder mit Ihrem Schlüssel.

Wichtig zu verstehen: Der gesamte Sicherheitsgewinn steht und fällt mit Ihrem Passwort. Ein schwaches Passwort wie „Sommer2026!" macht auch die beste Verschlüsselung angreifbar. Nutzen Sie einen Passwort-Manager und aktivieren Sie überall die Zwei-Faktor-Authentifizierung — das ist wichtiger als die Wahl zwischen zwei Verschlüsselungsverfahren.

Zero-Knowledge vs. normale Verschlüsselung

Hier liegt die häufigste Verwirrung, und manche Anbieter-Marketingtexte nutzen sie schamlos aus. Fast jeder Cloud-Dienst wirbt heute mit „Verschlüsselung" — aber es gibt einen entscheidenden Unterschied:

Serverseitige Verschlüsselung (Standard): Ihre Dateien werden verschlüsselt auf den Servern gespeichert — aber der Anbieter besitzt den Schlüssel. Das schützt vor Diebstahl einzelner Festplatten aus dem Rechenzentrum und vor manchen Angriffen von außen. Es schützt nicht davor, dass der Anbieter selbst, seine Mitarbeiter oder Behörden mit entsprechendem Beschluss auf Ihre Daten zugreifen. Google Drive, OneDrive und Dropbox arbeiten standardmäßig so.

Ende-zu-Ende- bzw. Zero-Knowledge-Verschlüsselung: Der Schlüssel bleibt bei Ihnen. Der Anbieter kann technisch nicht auf Ihre Inhalte zugreifen — auch nicht auf richterliche Anordnung hin, auch nicht, wenn er es wollte. Das ist der eigentliche Unterschied, und er ist fundamental.

Die ehrliche Einordnung: Für die meisten Alltagsdaten — Urlaubsfotos, Musik, unwichtige Dokumente — reicht serverseitige Verschlüsselung bei einem vertrauenswürdigen Anbieter völlig aus. Zero-Knowledge wird dann wichtig, wenn es um wirklich sensible Inhalte geht: Steuerunterlagen, Verträge, Gesundheitsdaten, Geschäftsgeheimnisse. Oder wenn Ihnen das Prinzip wichtig ist, dass niemand außer Ihnen Zugriff haben kann — nicht nur verspricht, keinen zu nehmen.

Was schützt Zero-Knowledge — und was nicht?

Seien wir präzise, denn falsche Sicherheitsgefühle sind gefährlicher als ehrliche Lücken:

Was es schützt:

• Neugierige oder bösartige Mitarbeiter beim Cloud-Anbieter
• Datenlecks durch gehackte Anbieter-Server (die Beute ist unlesbar)
• Behördliche Zugriffe auf Serverebene ohne Ihre Mitwirkung
• Massen-Auswertung Ihrer Dateien zu Werbe- oder Analysezwecken

Was es nicht schützt:

• Trojaner auf Ihrem Rechner: Ist Ihr Gerät kompromittiert, sieht der Angreifer die entschlüsselten Dateien — die Verschlüsselung greift erst beim Upload.
• Schwache Passwörter und Phishing: Wer Ihr Passwort erbeutet, hat den Schlüssel. Zwei-Faktor-Authentifizierung ist Pflicht.
• Metadaten: Der Anbieter sieht weiterhin, wann und wie viel Sie hochladen — nur nicht was.
• Fehlbedienung: Aus Versehen gelöschte oder überschriebene Dateien schützt keine Verschlüsselung der Welt — dafür brauchen Sie Versionierung und ein echtes Backup-Konzept.

Zero-Knowledge ist also kein Allheilmittel, sondern eine Schicht in einem größeren Sicherheitskonzept — eine wichtige, aber eben nur eine.

Welche Anbieter bieten echtes Zero-Knowledge?

Die Landschaft ist überschaubar, und Ehrlichkeit verlangt eine klare Benennung:

• pCloud: Bietet mit „pCloud Encryption" ein Zero-Knowledge-Add-on — allerdings kostenpflichtig im regulären Tarifmodell (Stand: geprüft September 2026). In aktuellen Aktionen wie dem Lifetime-Angebot zum Tag der Deutschen Einheit 2026 ist es zeitweise kostenlos enthalten. Wichtig: Ohne das Add-on sind pCloud-Dateien nur serverseitig verschlüsselt — prüfen Sie also, was Sie tatsächlich gebucht haben.
• MEGA, Tresorit, Sync.com: Setzen standardmäßig auf Ende-zu-Ende-Verschlüsselung für alle Dateien — hier ist Zero-Knowledge kein Aufpreis, sondern das Grundprinzip.
• Backblaze, Google Drive, OneDrive, Dropbox: Verschlüsseln serverseitig; der Anbieter hält den Schlüssel. Für echtes Zero-Knowledge müssen Sie hier selbst vorsorgen — etwa indem Sie Dateien vor dem Upload mit Tools wie Cryptomator oder VeraCrypt verschlüsseln.
• Hetzner Storage Box: Stellt verschlüsselten Speicherplatz in deutschen Rechenzentren bereit; die eigentliche Ende-zu-Ende-Verschlüsselung übernehmen hier typischerweise die Backup-Programme (z. B. restic oder BorgBackup), die ihre Archive clientseitig verschlüsseln. Details in unserem Hetzner-Überblick.

Der Praxistipp: Wenn Ihnen Zero-Knowledge wichtig ist, aber Ihr Wunschanbieter es nicht bietet, ist Cryptomator (Open Source, kostenlos für die Desktop-Nutzung) eine solide Lösung — Sie verschlüsseln lokal einen Tresor-Ordner, der dann als Sync-Ordner in jede Cloud wandert. So bekommen Sie Zero-Knowledge auch bei Anbietern, die es von sich aus nicht anbieten.

Der größte Haken: das vergessene Passwort

Hier müssen wir Tacheles reden, denn das ist der Punkt, an dem Zero-Knowledge für echte Menschen scheitert: Bei echtem Zero-Knowledge gibt es kein „Passwort zurücksetzen". Der Anbieter kann Ihnen nicht helfen, weil er Ihren Schlüssel nie besaß. Vergessen Sie das Passwort — und haben Sie keinen Wiederherstellungsschlüssel notiert —, sind Ihre Daten für immer verloren. Nicht „schwierig wiederherzustellen", sondern mathematisch unzugänglich.

Das ist kein theoretisches Risiko. Support-Foren sind voll von verzweifelten Nutzern, die genau das erlebt haben. Deshalb gehört zu jedem Zero-Knowledge-Setup ein Notfallplan:

1. Notieren Sie den Wiederherstellungsschlüssel (falls der Anbieter einen ausgibt) auf Papier und lagern Sie ihn getrennt von Ihren Geräten — etwa im Bankschließfach oder bei einer Vertrauensperson.
2. Hinterlegen Sie Ihr Master-Passwort in einem Passwort-Manager, dessen eigenen Notfallzugang Sie ebenfalls geregelt haben.
3. Testen Sie die Wiederherstellung mindestens einmal pro Jahr — ein Backup, das Sie nie zurückgespielt haben, ist nur eine Hoffnung.

Klingt aufwendig? Ist es — ein bisschen. Aber es ist der Preis für echte Privatsphäre. Wer diesen Aufwand scheut, fährt mit serverseitiger Verschlüsselung bei einem vertrauenswürdigen EU-Anbieter oft ehrlicher und sicherer.

Zero-Knowledge und die DSGVO

Ein häufiger Irrtum: Zero-Knowledge ersetzt nicht die DSGVO-Pflichten. Auch wenn der Anbieter Ihre Inhalte nicht lesen kann, verarbeitet er personenbezogene Daten — mindestens Ihre Kontodaten, meist auch Metadaten. Sie brauchen also weiterhin einen AV-Vertrag nach Art. 28 DSGVO, müssen den Serverstandort prüfen und Ihre Betroffenenrechte wahren.

Was Zero-Knowledge aber leistet: Es ist eine starke technische und organisatorische Maßnahme im Sinne der DSGVO. Bei der Risikobewertung — etwa ob ein Datentransfer in ein Drittland vertretbar ist — kann echte Ende-zu-Ende-Verschlüsselung den Ausschlag geben, weil der Zugriff durch ausländische Behörden praktisch ins Leere läuft. Die Orientierungshilfe Cloud Computing der Datenschutzkonferenz empfiehlt Verschlüsselung ausdrücklich als Schutzmaßnahme — ersetzt aber keine Rechtsberatung im Einzelfall.

Hinweis in eigener Sache: Dieser Artikel gibt allgemeine Informationen zum besseren Verständnis und ist keine Rechtsberatung. Bei konkreten datenschutzrechtlichen Fragen wenden Sie sich an eine qualifizierte Rechtsberatung oder Ihre zuständige Aufsichtsbehörde.

Häufige Fragen

Ist Zero-Knowledge dasselbe wie Ende-zu-Ende-Verschlüsselung?

Im Cloud-Backup-Kontext werden die Begriffe meist synonym verwendet: Die Verschlüsselung erfolgt auf Ihrem Gerät, nur Sie besitzen den Schlüssel. „Zero-Knowledge" betont dabei die Anbieter-Perspektive — er weiß nichts über Ihre Inhalte.

Verlangsamt die Verschlüsselung mein Backup?

Auf modernen Geräten kaum spürbar — AES-Verschlüsselung wird von aktuellen Prozessoren per Hardware beschleunigt. Der Flaschenhals beim Cloud-Backup ist fast immer die Upload-Geschwindigkeit Ihrer Internetleitung, nicht die Verschlüsselung.

Kann ich Zero-Knowledge nachträglich aktivieren?

Das hängt vom Anbieter ab. Bei pCloud lässt sich das Encryption-Add-on nachträglich buchen, bereits hochgeladene Dateien müssen Sie dann aber in den verschlüsselten Ordner verschieben. Bei Anbietern mit Standard-Ende-zu-Ende-Verschlüsselung gilt sie automatisch für alles Neue.

Schützt Zero-Knowledge vor Ransomware?

Nur indirekt: Verschlüsselte Dateien in der Cloud sind für den Anbieter unlesbar, aber ein Trojaner auf Ihrem Rechner verschlüsselt Ihre lokalen Dateien — und das Backup-Programm lädt dann brav die verschlüsselten Versionen hoch. Entscheidend gegen Ransomware sind Versionierung und unveränderliche Kopien, nicht die Verschlüsselung allein.

Was passiert, wenn der Anbieter pleitegeht?

Ihre verschlüsselten Datenblöcke nützen ohne funktionierende Apps und Ihren Schlüssel wenig. Laden Sie bei einer drohenden Schließung rechtzeitig alles herunter und entschlüsseln Sie lokal. Das Anbieterrisiko bei Lifetime-Modellen haben wir separat durchgerechnet.

Brauche ich Zero-Knowledge wirklich?

Für Steuerunterlagen, Verträge und sensible Geschäftsdaten: ja, oder mindestens einen EU-Anbieter mit AV-Vertrag. Für die Urlaubsfotosammlung reicht meist die Standard-Verschlüsselung eines vertrauenswürdigen Anbieters. Entscheiden Sie nach der Sensibilität Ihrer Daten — nicht nach dem Marketing.

Quellen

• Konferenz der Datenschutzaufsichtsbehörden (DSK) — Orientierungshilfe Cloud Computing, Version 2.0 (2014), via BfDI (allgemeine Informationen, keine Rechtsberatung): https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DSK/Orientierungshilfen/OHCloudComputing.pdf?__blob=publicationFile&v=5
• windowspower.de — „pCloud Rabatt Tag der Deutschen Einheit 2026: Bis 60% Lifetime" (aktualisiert September 2026; Angaben zu pCloud Encryption als Aktions-Zugabe und Break-even-Rechnung): https://www.windowspower.de/pcloud-rabatt-tag-der-deutschen-einheit/
• Hetzner Online GmbH — Storage Box Dokumentation (Stand: geprüft September 2026): https://docs.hetzner.com/de/robot/storage-box/general

Alle Preise und Produktangaben Stand: geprüft September 2026.