← Blog

Caesars Geheimnis: Wie Julius Caesar seine Armee verschlüsselte (und warum das heute noch zählt)

· 12 min read

Caesars Geheimnis: Wie Julius Caesar seine Armee verschlüsselte (und warum das heute noch zählt)

Es ist der Frühling des Jahres 54 v. Chr. Ein Meldereiter galoppiert die Kiesstraße zum römischen Lager bei Alesia hinauf, seine Tasche schlägt gegen die Flanke seines Pferdes. Darin liegt eine einzige Papyrusrolle. Der Wachposten reicht sie weiter, ohne sie zu öffnen; er würde sie ohnehin nicht verstehen. Die Rolle gelangt ins Praetorium – das Zelt des Feldherrn – und wird schließlich der einzigen Person im Lager übergeben, die weiß, wie man sie liest.

Der Feldherr entrollt die Schrift. Die Buchstaben marschieren über die Seite in etwas, das zunächst wie Kauderwelsch aussieht:

FDHVDU YHQLW XLGL YLFL

Er nimmt eine Wachstafel, schiebt jeden Buchstaben drei Positionen zurück und liest auf Latein:

CAESAR VENIT VIDI VICI

Caesar kam, sah, siegte.

Julius Caesar hat die Idee des Geheimschreibens nicht erfunden. Aber er nutzte sie so konsequent und so wirksam, dass die Technik zweitausend Jahre später noch seinen Namen trägt. Die Caesar-Chiffre ist die berühmteste Verschlüsselungsmethode der Geschichte. Nach modernen Maßstäben ist sie zum Lachen schwach. Genau dieser Widerspruch ist der Punkt.

Was die Caesar-Chiffre eigentlich ist

Die Methode ist einfach genug, um sie in einem Satz zu erklären: Nehmen Sie jeden Buchstaben Ihrer Nachricht und ersetzen Sie ihn durch den Buchstaben drei Positionen später im Alphabet. A wird zu D. B wird zu E. C wird zu F. Und so weiter. Am Ende wickeln Sie um – X wird zu A, Y zu B, Z zu C.

Das war's. Das ist die ganze Sache.

Caesar-Verschiebungsrad – zwei konzentrische Scheiben zeigen das Alphabet um drei Positionen versetzt

Um eine Caesar-verschlüsselte Nachricht zu entschlüsseln, machen Sie das Gegenteil: verschieben Sie jeden Buchstaben drei Positionen zurück. Der Verschiebewert – die Zahl 3 in Caesars Fall – ist das, was Kryptografen heute den Schlüssel nennen. Wer den Schlüssel hat, kann die Nachricht lesen. Wer ihn nicht hat, hält eine Seite voller Unsinn in den Händen.

Probieren Sie es selbst. Hier ein kurzer lateinischer Satz:

YHQL YLGL YLFL

Schieben Sie jeden Buchstaben drei Positionen zurück. (Denken Sie daran: A kommt nach Z.) Sie landen bei Caesars berühmtem Spruch nach der Schlacht von Zela im Jahr 47 v. Chr.: veni, vidi, vici – ich kam, ich sah, ich siegte.

Was die Römer tatsächlich schrieben

Wir wissen, dass Caesar diese Chiffre nutzte, wegen eines einzigen Satzes, den der römische Biograf Sueton etwa 150 Jahre nach seinem Tod schrieb. In seinem Leben des vergöttlichten Julius, Abschnitt 56, beschreibt Sueton die persönlichen Gewohnheiten des Feldherrn und erwähnt beiläufig, dass Caesar vertrauliche Briefe an Vertraute in Chiffre schrieb:

...si qua occultius perferenda erant, per notas scripsit, id est sic structo litterarum ordine, ut nullum verbum effici posset: quae si qui investigare et persequi velit, quartam elementorum litteram, id est D pro A et perinde reliquas commutet.

...wenn etwas vertraulich mitzuteilen war, schrieb er es in Chiffre – das heißt, indem er die Reihenfolge der Buchstaben des Alphabets so veränderte, dass kein Wort zu erkennen war. Wer diese entschlüsseln und ihren Sinn erfahren will, muss den vierten Buchstaben des Alphabets, nämlich D, für A setzen und entsprechend die übrigen.

Zwei Details in dieser Passage sind bemerkenswert. Erstens gibt Sueton die Verschiebung an: A wird zu D. (Nach römischer Zählweise, bei der man den Ausgangsbuchstaben mitzählt, ist das eine Verschiebung um „drei“ – deshalb merken wir es uns so.) Zweitens fühlt er sich gezwungen, die Chiffre seinen Lesern zu erklären. Das verrät etwas: Als Sueton Anfang des 2. Jahrhunderts n. Chr. schrieb, war die Caesar-Chiffre schon alt, schon ein wenig historische Kuriosität. Sie war Caesars persönliche Signatur.

Sueton berichtet auch, dass Caesars Großneffe Augustus eine eigene Chiffre nutzte – aber eine faulere. Augustus ersetzte einfach jeden Buchstaben durch den nächsten (A → B, B → C), und am Ende des Alphabets schrieb er zwei X statt zum Anfang zurückzuwickeln. Augustus war offenbar kein Detailmensch.

Gegenüberstellung: Caesars Alphabetverschiebung (um 3) vs. Augustus’ Alphabetverschiebung (um 1)

Warum brauchte Caesar überhaupt eine Chiffre?

Um zu verstehen, warum eine Chiffre – selbst eine einfache – im ersten Jahrhundert v. Chr. nützlich war, müssen Sie sich die militärische Realität der späten Römischen Republik vorstellen.

Caesars Armeen kämpften in Gallien, Britannien, Germanien, Spanien, Nordafrika, Griechenland und Ägypten. Seine Legionen marschierten durch Landschaften, in denen Nachrichten mit der Geschwindigkeit eines müden Pferdes reisten. Ein einzelner Meldereiter konnte tagelang oder wochenlang ohne Kontakt zum Hauptquartier sein. Wurde dieser Reiter gefangen – von Galliern, einer rivalisierenden römischen Fraktion, von Banditen, von einem ehrgeizigen Zenturio –, konnte der Inhalt seiner Tasche einen Krieg kosten.

Römische Boten wurden manchmal gezielt getötet, damit der Feind lesen konnte, was sie trugen. In der Schlacht von Carrhae 53 v. Chr. paradierten die Parther berühmt eine erbeutete römische Adlerstandarte und erbeutete Korrespondenz als Trophäen. Caesar wusste das. Er war, bevor er irgendetwas anderes war, ein höchst praktischer Stratege.

Die Caesar-Chiffre war nicht dafür gedacht, einem ernsthaften Kryptoanalytiker zu widerstehen. Sie sollte einen gefangenen Reiter besiegen – einen feindlichen Soldaten, wahrscheinlich analphabet oder nur in einer anderen Sprache lesbar, der die Rolle öffnete, Unsinn sah und sie wegwarf oder an jemanden weitergab, der sie ebenso wenig lesen konnte. Gegen diesen Gegner reichte eine einfache Verschiebung um drei Buchstaben mehr als aus.

Das ist eine zentrale Idee in der Geschichte der Kryptografie: Eine Chiffre muss nur stark genug sein, um die Angreifer zu besiegen, denen Sie tatsächlich begegnen. Caesars Gegner waren keine professionellen Codeknacker. Professionelles Codeknacken als Disziplin existierte noch nicht.

Wie Caesars Chiffre unter der Haube funktioniert

Wenn man die Romantik abzieht, ist Caesars Chiffre modulare Arithmetik. Nummerieren Sie die Buchstaben des Alphabets von 0 bis 25:

A=0, B=1, C=2, D=3, ..., X=23, Y=24, Z=25

Um einen Buchstaben zu verschlüsseln, addieren Sie den Verschiebewert (nennen wir ihn k) und nehmen den Rest bei Division durch 26:

verschlüsselt = (Klartext + k) mod 26

Zum Entschlüsseln machen Sie das Gegenteil:

Klartext = (Chiffretext - k) mod 26

Für Caesars persönliche Chiffre gilt k = 3. Für Augustus’ k = 1. Für die moderne Internet-Scherz-Chiffre ROT13 gilt k = 13 – und weil 13 genau die Hälfte von 26 ist, bringt ROT13 zweimal angewendet Sie zurück zum Ausgangspunkt. (Deshalb wird ROT13 genutzt, um Spoiler und Pointen in Online-Foren leicht zu verbergen: Jeder kann entschlüsseln, aber man muss es wollen.)

Diagramm: Modulare Arithmetik auf einem Kreis aus 26 Buchstaben, zeigt, wie eine Verschiebung umläuft

Die Caesar-Chiffre ist das einfachste Mitglied einer Familie von Techniken, die Kryptografen monoalphabetische Substitutionschiffren nennen – Chiffren, bei denen jede Instanz eines Buchstabens durch denselben anderen Buchstaben ersetzt wird, durchgängig in der gesamten Nachricht. Caesars ist die eingeschränkteste Form der Familie, weil die Substitution nur eine Alphabetverschiebung ist. Eine allgemeine monoalphabetische Substitution könnte A auf einen der 25 anderen Buchstaben abbilden, B auf einen der verbleibenden 24 und so weiter – das ergibt 26! (das ist „26 Fakultät“) mögliche Schlüssel, oder etwa 4 × 10²⁶. Für ihre Zeit ist das eine sehr große Zahl.

Wie man sie in dreißig Sekunden bricht

Hier ist das peinliche Geheimnis der Caesar-Chiffre: Mit einem modernen Kopf und einem Blatt Papier können Sie jede Caesar-verschlüsselte Nachricht in unter einer Minute knacken, selbst wenn Sie den Schlüssel nicht kennen.

Es gibt nur 25 mögliche nicht-triviale Verschiebungen (die 26., eine Verschiebung um null, liefert einfach die Originalnachricht). Also können Sie alle ausprobieren. Das nennt man einen Brute-Force-Angriff – erschöpfendes Testen jedes möglichen Schlüssels.

Nehmen Sie zum Beispiel den Chiffretext ZHOFRPH. Probieren Sie jede Verschiebung:

Verschiebung 1:  YGNEQOG
Verschiebung 2:  XFMDPNF
Verschiebung 3:  WELCOME  ← lesbares Englisch!
Verschiebung 4:  VDKBNLD
...

Sobald eine Verschiebung lesbare Wörter ergibt, haben Sie sie geknackt. Für einen modernen Computer dauert das Mikrosekunden. Für einen geduldigen Menschen mit Papier ein paar Minuten.

Die Caesar-Chiffre hat eine weitere Schwäche, die fast tausend Jahre lang nicht formal entdeckt wurde. Weil jeder Buchstabe konsistent ersetzt wird – jedes A wird zu D, jedes E zu H –, entspricht die Häufigkeit der Buchstaben im Chiffretext der Häufigkeit im Klartext, nur verschoben. Im Englischen ist der Buchstabe E am häufigsten, etwa 12 % der Zeit. Wenn Sie in einer Caesar-verschlüsselten englischen Nachricht sehen, dass H etwa 12 % der Zeit vorkommt, können Sie die Verschiebung 3 erraten, ohne etwas anderes zu probieren.

Diese Technik – Häufigkeitsanalyse – wurde nicht von einem Europäer erfunden. Sie wurde im 9. Jahrhundert n. Chr. in Bagdad vom Universalgelehrten al-Kindi dokumentiert, der in den Bibliotheken des Hauses der Weisheit arbeitete. In dem Moment, als al-Kindi sie niederschrieb, wurden alle einfachen Substitutionschiffren der Geschichte prinzipiell knackbar. Caesars Chiffre war neunhundert Jahre lang ein Staatsgeheimnis der römischen Elite. Ein einziges arabisches Manuskript pensionierte sie über Nacht.

(Al-Kindis Geschichte erzählen wir ausführlich in einem künftigen Beitrag. Es ist eines der großen unerzählten Kapitel der Wissenschaft.)

Warum sie heute noch zählt

Wenn die Caesar-Chiffre so leicht zu brechen ist – warum lehrt sie dann noch jemand?

Weil jede Idee in der modernen Kryptografie in gewissem Sinne eine Verfeinerung dessen ist, was Caesar tat. Hier einige Fäden, die von seinen Wachstafeln zur Verschlüsselung führen, die Ihre Geräte gerade schützt.

Substitution ist überall. Jede Blockchiffre im modernen Internet – AES, das Arbeitspferd hinter HTTPS und den meisten Dateiverschlüsselungen – enthält einen internen Schritt namens S-Box („Substitution Box“), der mathematisch eine ausgefeilte Version genau dessen ist, was Caesar tat: jeden Eingang durch eine verschlüsselte Ausgabe ersetzen. AES macht das nur in 8-Bit-Blöcken mit einer Tabelle, die gegen Häufigkeitsanalyse resistent ist.

Die Schlüssel/Algorithmus-Unterscheidung wurde hier geboren. Caesars Chiffre trennt die Methode (Alphabet verschieben) vom Schlüssel (um wie viel). Diese Trennung – Algorithmus versus Schlüssel – ist eine der wichtigsten Ideen im Fach. 1883 formulierte der niederländische Kryptograf Auguste Kerckhoffs sie als Kerckhoffs’ Prinzip: Die Sicherheit einer Chiffre soll nur von der Geheimhaltung des Schlüssels abhängen, nicht von der Geheimhaltung des Algorithmus. Moderne Kryptografie lebt und stirbt nach dieser Regel.

Brute-Force-Grenzen sind noch immer die Grundlage. Wenn eine moderne Chiffre wie AES-256 als „unbrechbar“ beschrieben wird, meint man eigentlich, dass der Schlüsselraum – die Anzahl möglicher Schlüssel – so riesig ist (2²⁵⁶, eine Zahl mit 78 Stellen), dass das Ausprobieren aller länger dauern würde als das Alter des Universums, selbst mit jedem Computer der Erde parallel. Die Caesar-Chiffre hatte 25 Schlüssel und fiel in Mikrosekunden. Dieselbe Logik, nur in anderem Maßstab.

Einfache Chiffren haben noch ihren Platz. ROT13 soll keine Angreifer stoppen – es soll Unfälle verhindern. Es hält Sie davon ab, versehentlich einen Spoiler zu lesen. Im selben Geist war Caesars Chiffre nie dafür gedacht, einen professionellen Codeknacker zu stoppen; sie sollte einen analphabetischen Kavallerie-Späher stoppen. Die Sicherheit an Ihr echtes Bedrohungsmodell anzupassen – nicht an einen imaginären Worst Case – ist eine Lektion, die Ingenieure im ersten Semester noch lernen müssen.

Die Nachkommen Caesars

In den Jahrhunderten nach Rom entwickelte sich die Caesar-Chiffre weiter. Mittelalterliche Schreiber experimentierten damit. Renaissance-Polymathen wie Leon Battista Alberti bauten mechanische Chiffrier-scheiben – zwei konzentrische Räder, die man drehen konnte, um jede Caesar-Verschiebung nach Belieben zu erzeugen und mitten in der Nachricht zu wechseln für extra Sicherheit. Albertis Scheibe, erfunden um 1466, war der erste Schritt zu den polyalphabetischen Chiffren, die die europäische Kryptografie vier Jahrhunderte lang dominierten.

Die berühmteste dieser Nachkommen ist die Vigenère-Chiffre, im Wesentlichen eine Caesar-Chiffre, deren Verschiebewert sich bei jedem Buchstaben nach einem Schlüsselwort ändert. Dreihundert Jahre lang galt die Vigenère als unknackbar – le chiffre indéchiffrable, nannten es die Franzosen. Als sie schließlich fiel, geschah das durch eine Methode – die Kasiski-Untersuchung –, die selbst eine Verallgemeinerung der Häufigkeitsanalyse ist, die Caesar versenkte.

Der Stammbaum reicht weiter. Polyalphabetische Chiffren zeugten Rotormaschinen, bei denen die Alphabetverschiebung mechanisch durch elektrische Räder erfolgte, die sich mit jedem Tastendruck bewegten. Die berüchtigtste Rotormaschine war die deutsche Enigma, die Wehrmacht-Kommunikation im Zweiten Weltkrieg verschlüsselte. Und als Alan Turing und die Mathematiker von Bletchley Park Enigma schließlich besiegten, taten sie am Ende, was al-Kindi elfhundert Jahre zuvor in Bagdad getan hatte – nur schneller und mit elektromechanischer Hilfe: nach den statistischen Fingerabdrücken suchen, die Substitutionschiffren nicht vollständig verbergen können.

Alles, was folgte – die Blockchiffren der 1970er, die Public-Key-Revolution der 1980er, die Elliptischen-Kurven-Kryptografie, die heute Ihr Telefon schützt – ist in gewissem entfernten Sinne eine Reaktion auf Schwächen, die ein aufmerksamer Beobachter schon am Rhein sehen konnte, als Julius Caesar verschlüsselte.

Von Wachstafeln zu Ihrem Browser

Wenn Sie sich bei TreeNotes anmelden, wird Ihr Passwort mit einem Algorithmus namens Argon2 gemischt, um einen kryptografischen Schlüssel abzuleiten. Dieser Schlüssel wird über eine Kette moderner Chiffren genutzt, um jede Notiz und jeden Ordner zu verschlüsseln, den Sie erstellen – in Ihrem Browser, bevor etwas unsere Server berührt. Die Mathematik wäre Caesar und seinen Schreibern unvorstellbar gewesen. Aber die Grundhaltung ist dieselbe, die sie 54 v. Chr. einnahmen: Diese Nachricht ist nur für den beabsichtigten Leser; für alle anderen muss sie Rauschen sein.

Der Unterschied liegt in der Stärke des Rauschens. Die Caesar-Chiffre war Rauschen, das nur für einen analphabetischen Kavallerie-Späher wie Rauschen aussah. Moderne Ende-zu-Ende-Verschlüsselung ist Rauschen, das für jeden ohne den Schlüssel wie Rauschen aussieht – einschließlich des Unternehmens, das die Software gebaut hat. Das ist keine kosmetische Verbesserung von Caesars Idee. Es ist ihre Erfüllung.

Zweitausend Jahre später senden wir noch immer versiegelte Nachrichten an vertrauenswürdige Leser. Die Umschläge sind nur viel, viel schwerer zu öffnen.

Wollen Sie Notizen, die selbst wir nicht lesen können? TreeNotes verschlüsselt alles in Ihrem Browser, bevor es unsere Server erreicht. Wir halten nur Chiffretext – das moderne Äquivalent einer römischen Rolle in verschobenen Buchstaben, nur dass die Verschiebung ein 256-Bit-Schlüssel ist, den niemand je erraten wird.

Weiterführende Literatur