Kryptanalyse der Enigma

Durch Kryptanalyse der Enigma gelang es den Alliierten bereits vor und auch während des Zweiten Weltkriegs die mithilfe dieser Rotor-Chiffriermaschine verschlüsselten deutschen Funksprüche erfolgreich zu entziffern.

Kryptographische Schwächen

Eine der vielen krypto­graphischen Schwächen war die viel zu geringe Anzahl von auswechsel­baren Rotoren. Bei der Enigma I gab es nur zwei „Extra“-Walzen, hier mit IV und V markiert, also in Summe ledig­lich fünf.

Basis für die erfolgreiche Kryptanalyse der Enigma und die anschließende nahezu kontinuierliche Entzifferung des mit dieser Schlüsselmaschine verschlüsselten deutschen Nachrichtenverkehrs waren kryptographische Schwächen, die offenbar von deutscher verantwortlicher Seite nicht erkannt wurden. Zu den wesentlichen Schwachpunkten der Enigma I gehören:

• Fixpunktfreie Permutation – Kein Buchstabe wird als er selbst verschlüsselt.
• Selbstinverse Permutation – Die Chiffrierung ist involutorisch.
• Reguläre Rotation – Die Fortschaltung der Walzen ist odometrisch.
• Kleiner Walzensatz – Nur drei nebeneinanderliegende Rotoren.
• Wenige Austausch-Walzen – Außer den drei ursprünglichen (I, II, III) nur zwei weitere (IV und V).
• Starre Umkehrwalze – Diese ist fest eingebaut, fest verdrahtet und rotiert nicht.
• Involutorisches Steckerbrett – Das außerhalb des Walzensatzes angeordnete Steckerbrett vertauscht Buchstabenpaare reziprok.

Ein Teil dieser Schwächen wurde bei späteren Modellen gelindert. So bestand das Walzensortiment bei der ab 1940 von der Kriegsmarine eingesetzten Enigma‑M3 aus acht (statt nur fünf Walzen). Und ab 1941 wurde dort die „Form M4“ eingeführt, bei der vier (statt nur drei) Rotoren sich nebeneinander im Walzensatz befanden. Im Jahr 1944 wurde bei der Luftwaffe eine „stöpselbare“ Umkehrwalze D sporadisch verwendet. Gegen Kriegsende kam die innovative „Lückenfüller­walze“ nicht mehr zum Einsatz.

Wären alle diese Verbesserungen bereits Anfang der 1930er-Jahre implementiert worden, statt erst in den 1940ern, dann wäre die Kryptanalyse wesentlich erschwert worden und das Brechen der Enigma womöglich nicht geglückt – aber das sind Spekulationen. Tatsache ist, dass die Maschine die genannten kryptographischen Schwächen aufwies. Darüber hinaus unterliefen den deutschen Betreibern diverse Verfahrens­fehler, wie beispielsweise die Spruch­schlüssel­verdopplung, wodurch der Einbruch in die Enigma-Verschlüsselung weiter erleichtert wurde.

Die Umkehrwalze hat nur Kontakte auf einer Seite und sorgt so dafür, dass der Strom die rotierenden Walzen ein zweites Mal durchläuft. Sie verursacht eine der kryptographischen Schwächen der Enigma.

Ein elementares Beispiel für eine systembedingte Schwäche ist die am linken Rand des Walzensatzses angeordnete Umkehrwalze (UKW), also der Reflektor, der den zunächst von rechts nach links durch den Walzensatz hindurchfließenden Strom umlenkte und von links nach rechts zurückschickte. Scherbius’ Mitarbeiter Willi Korn erreichte durch diese Umkehrwalze, dass das Schlüsselverfahren involutorisch wird, das heißt, wenn bei einer bestimmten Stellung der Walzen ein U in ein X verschlüsselt wird, dann wird bei dieser Stellung auch ein X in ein U verschlüsselt. So vereinfachte er Bedienung und Konstruktion der Maschine, denn man muss nicht mehr zwischen Verschlüsselung und Entschlüsselung unterscheiden. Darüber hinaus erhoffte er sich auch eine Steigerung der Sicherheit, denn der Strom durchfließt die Walzen ja nun zweimal:

„Durch diesen Rückgang des Stromes durch den Chiffrierwalzensatz findet eine weitere Verwürfelung statt. Infolge dieser Anordnung ist es möglich, mit verhältnismäßig wenig Chiffrierwalzen auszukommen und trotzdem eine große Chiffriersicherheit aufrechtzuerhalten.“

Mit diesen Worten erläutert Korn die Vorteile seiner Umkehrwalze in der Patentschrift (DRP Nr. 452 194). Dies war jedoch ein Trugschluss mit weitreichenden Konsequenzen.

Zum einen bewirkt die Umkehrwalze, dass nun kein Buchstabe mehr in sich selbst verschlüsselt werden kann, denn der Strom kann ja in keinem Fall genau den Weg durch den Walzensatz wieder zurücknehmen, den er gekommen ist. Er wird stets auf einem anderen Weg zurückgeleitet, als er zur Umkehrwalze hingeflossen ist. Mathematisch spricht man hier von fixpunktfreien Permutationen. Diese Einschränkung mag als unwesentliche Kleinigkeit erscheinen, denn es bleiben ja noch 25 weitere Buchstaben des Alphabets zur Verschlüsselung, tatsächlich bedeutet dies jedoch eine drastische Reduzierung der zur Verschlüsselung verfügbaren Alphabete und darüber hinaus eine neue Angreifbarkeit des Geheimtextes. Zum anderen verursacht die Umkehrwalze dadurch, dass die Permutation und damit die Verschlüsselung involutorisch wird, eine weitere Verringerung der Alphabetanzahl.

Die durch die Umkehrwalze eingefügten kryptographischen Schwächen, insbesondere die Reduzierung der Anzahl der zur Verfügung stehenden Alphabete, lassen sich leicht klarmachen, wenn man statt von 26 Buchstaben vereinfacht von beispielsweise nur vier Buchstaben ausgeht. Mit vier Buchstaben lassen sich 4! = 24 unterschiedliche Alphabete (damit meint der Kryptograph unterschiedliche Anordnungen der Buchstaben) erzeugen, nämlich

 ABCD  ABDC  ACBD  ACDB  ADBC  ADCB
 BACD  BADC  BCAD  BCDA  BDAC  BDCA
 CABD  CADB  CBAD  CBDA  CDAB  CDBA
 DABC  DACB  DBAC  DBCA  DCAB  DCBA

Beschränkt man sich hier, statt auf alle 24 möglichen, nur auf die fixpunktfreien Permutationen, so fallen alle Alphabete weg, bei denen ein Buchstabe in sich selbst verschlüsselt wird, also auf seinem gewohnten alphabetischen Platz steht. Aus der obigen Liste sind damit die folgenden fünfzehn Alphabete zu streichen, da sie einen oder mehrere Fixpunkte aufweisen (unten rot und unterstrichen).

ABCD ABDC ACBD ACDB ADBC ADCB BACD BCAD BDCA CABD CBAD CBDA DACB DBAC DBCA

Übrig bleiben nur die folgenden neun fixpunktfreien Permutationen:

 ----  ----  ----  ----  ----  ----
 ----  BADC  ----  BCDA  BDAC  ----
 ----  CADB  ----  ----  CDAB  CDBA
 DABC  ----  ----  ----  DCAB  DCBA

Berücksichtigt man jetzt noch, dass die Umkehrwalze nicht nur alle Permutationen mit Fixpunkten eliminiert, sondern auch alle nichtinvolutorischen Permutationen, so müssen aus der obigen Tabelle noch weitere sechs Fälle gestrichen werden, nämlich die, bei denen die zweifache Anwendung der Permutation nicht wieder zum ursprünglichen Buchstaben führt. Übrig bleiben von allen möglichen 24 Permutationen eines Alphabets aus vier Buchstaben lediglich die drei fixpunktfreien und involutorischen Fälle. Sie werden als „echt involutorische Permutationen“ bezeichnet.

 ----  ----  ----  ----  ----  ----
 ----  BADC  ----  ----  ----  ----
 ----  ----  ----  ----  CDAB  ----
 ----  ----  ----  ----  ----  DCBA

Bei diesem Exponat wurde Enigma irrtümlich mit „Geheimnis“ übersetzt (siehe Tafel), richtig ist „Rätsel“.

Bei der Enigma mit ihren 26 Buchstaben bewirkt diese Beschränkung, dass statt der 26! (Fakultät), also ungefähr 4·10²⁶ insgesamt möglichen permutierten Alphabete lediglich die 25·23·21·19···7·5·3·1 = 25!! (Doppelfakultät), also etwa 8·10¹² echt involutorisch permutierten Alphabete genutzt werden können. Durch die Umkehrwalze verschenkt man so den Faktor von etwa 5·10¹³ an Möglichkeiten – eine gigantische Schwächung der kombinatorischen Komplexität der Maschine. Übrig bleibt weniger als die Quadratwurzel der ursprünglich möglichen Permutationen.

Kryptographisch noch katastrophaler als diese drastische Reduktion der Alphabetanzahl ist jedoch, dass durch die Vermeidung von Fixpunkten Aussagen über den Text möglich sind wie „Nichts ist jemals es selbst“, die bei der Entzifferung eine ganz wesentliche Hilfe waren. Weiß der Angreifer, dass niemals ein Buchstabe die Verschlüsselung seiner selbst ist, dann eröffnet ihm diese Kenntnis Abkürzungen, und er muss nicht mehr mühsam jeden einzelnen Fall abarbeiten, wie an folgendem Beispiel illustriert wird.

Ein seit Jahrhunderten bekanntes und bewährtes Entzifferungsverfahren ist die „Methode des wahrscheinlichen Wortes“. Hierbei errät, vermutet oder weiß der Angreifer, dass im Text eine bestimmte Phrase (englisch Crib, französisch Mot probable) auftritt, beispielsweise „OBERKOMMANDODERWEHRMACHT“. Liegt dem Angreifer zum Beispiel ein mit der Enigma verschlüsseltes Geheimtextfragment wie das folgende vor, so kann er ganz leicht ermitteln, an welcher Stelle im Text das vermutete wahrscheinliche Wort sich nicht befinden kann, indem er für jede mögliche Lage prüft, ob ein Zeichen in sich selbst verschlüsselt würde, was, wie er von der Enigma weiß, unmöglich ist. Dazu schreibt er das wahrscheinliche Wort in den verschiedenen Lagen unter den Geheimtext und prüft auf Kollisionen (englisch Crash), die im unteren Beispiel rot und unterstrichen hervorgehoben sind:

BHNCXSEQKOBIIODWFBTZGCYEHQQJEWOYNBDXHQBALHTSSDPWGW 1 OBERKOMMANDODERWEHRMACHT 2 OBERKOMMANDODERWEHRMACHT 3 OBERKOMMANDODERWEHRMACHT 4 OBERKOMMANDODERWEHRMACHT 5 OBERKOMMANDODERWEHRMACHT 6 OBERKOMMANDODERWEHRMACHT 7 OBERKOMMANDODERWEHRMACHT 8 OBERKOMMANDODERWEHRMACHT 9 OBERKOMMANDODERWEHRMACHT 10 OBERKOMMANDODERWEHRMACHT 11 OBERKOMMANDODERWEHRMACHT 12 OBERKOMMANDODERWEHRMACHT 13 OBERKOMMANDODERWEHRMACHT 14 OBERKOMMANDODERWEHRMACHT 15 OBERKOMMANDODERWEHRMACHT 16 OBERKOMMANDODERWEHRMACHT 17 OBERKOMMANDODERWEHRMACHT 18 OBERKOMMANDODERWEHRMACHT 19 OBERKOMMANDODERWEHRMACHT 20 OBERKOMMANDODERWEHRMACHT 21 OBERKOMMANDODERWEHRMACHT 22 OBERKOMMANDODERWEHRMACHT 23 OBERKOMMANDODERWEHRMACHT 24 OBERKOMMANDODERWEHRMACHT 25 OBERKOMMANDODERWEHRMACHT 26 OBERKOMMANDODERWEHRMACHT 27 OBERKOMMANDODERWEHRMACHT BHNCXSEQKOBIIODWFBTZGCYEHQQJEWOYNBDXHQBALHTSSDPWGW

Die Anzahl der durch Kollisionen auszuschließenden Lagen lässt sich nach folgender Überlegung abschätzen: Bei einem wahrscheinlichen Wort der Länge 1 (also nur ein einzelner wahrscheinlicher Buchstabe) ist die Wahrscheinlichkeit für eine Kollision 1/26. Folglich ist die Wahrscheinlichkeit für keine Kollision 1−1/26. Bei einem wahrscheinlichen Wort wie oben mit der Länge 24 ist dann die Wahrscheinlichkeit für keine Kollision (1−1/26)²⁴, das sind etwa 39 %. Das heißt, bei 27 untersuchten Lagen erwartet man im Mittel für 27·(1−1/26)²⁴ der Fälle keine Kollisionen. Der Ausdruck ergibt etwa den Wert 10,5 und stimmt recht gut mit den im Beispiel beobachteten (und grün gekennzeichneten) acht kollisionsfreien Crib-Lagen überein.

Mithilfe dieser äußerst simplen kryptanalytischen Angriffsmethode lassen sich so von den 27 möglichen Lagen des wahrscheinlichen Worts hier 19, also mehr als zwei Drittel, als unmöglich eliminieren – eine erhebliche Arbeitsvereinfachung für den Angreifer.

Polnische Erfolge

Der polnische Codeknacker Marian Rejewski (1932)

Beim polnischen Enigma-Nachbau, von dem Mitte der 1930er Jahre mindestens 15 Stück gefertigt wurden, waren Tasten (1), Lampen (2) und Steckbuchsen (7), wie bei der deutschen Enigma‑C, einfach alphabetisch angeordnet.

Die Betreiber der Schlüsselmaschine Enigma waren der Meinung, dass die durch sie maschinell verschlüsselten Texte im Gegensatz zu fast allem, was bis 1918 gebräuchlich war, mit manuellen Methoden nicht zu knacken sind. Übersehen wurde, dass einer maschinellen Verschlüsselung durch maschinelle Entzifferung begegnet werden kann.

Die Geschichte der Entzifferung der Enigma beginnt im Jahr 1932, als der für Frankreich unter dem Decknamen HE (Asché) spionierende Deutsche Hans-Thilo Schmidt geheime Schlüsseltafeln für die Monate September und Oktober 1932 sowie die Gebrauchsanleitung (H.Dv.g.13) und die Schlüsselanleitung (H.Dv.g.14) an den französischen Geheimdienstmitarbeiter Capitaine (deutsch: Hauptmann) und späteren Général Gustave Bertrand gegen Geld verriet. Zu dieser Zeit waren erst drei Walzen (I bis III) im Einsatz und die Walzenlage wurde nur vierteljährlich und noch nicht, wie dann ab Oktober 1936, täglich gewechselt. Das Deuxième Bureau des französischen Geheimdienstes leitete die Unterlagen an britische und polnische Stellen weiter.

Während es Franzosen und Briten nicht gelang, in die Verschlüsselung einzubrechen und sie die Enigma als „unknackbar“ einstuften, glückte dem 27‑jährigen polnischen Mathematiker Marian Rejewski bei seiner Arbeit in dem für Deutschland zuständigen Referat BS4 des Biuro Szyfrów (deutsch: „Chiffrenbüro“) bereits im Jahr 1932 der erste Einbruch in die Enigma. Dabei nutzte er eine legal gekaufte kommerzielle Maschine (vermutlich Modell C), bei der – anders als bei der ihm noch unbekannten militärischen Enigma I – die Tastatur mit der Eintrittswalze in der üblichen QWERTZ-Reihenfolge (Buchstaben­reihen­folge einer deutschen Tastatur, beginnend oben links) verbunden war. Rejewski erriet die von den Deutschen für die militärische Variante gewählte Verdrahtungsreihenfolge, die den britischen Codebreaker Dillwyn „Dilly“ Knox selbst noch 1939 fast zur Verzweiflung brachte. Anschließend schaffte es Marian Rejewski mithilfe seiner exzellenten Kenntnisse der Permutationstheorie (siehe auch: Enigma-Gleichung), die Verdrahtung der drei Walzen (I bis III) sowie der Umkehrwalze (A) (siehe auch: Enigma-Walzen) zu erschließen – eine kryptanalytische Meisterleistung, die ihn mit den Worten des amerikanischen Historikers David Kahn „in das Pantheon der größten Kryptoanalytiker aller Zeiten erhebt“ (im Original: „[…] elevates him to the pantheon of the greatest cryptanalysts of all time“). Der englische Codeknacker Irving J. Good bezeichnete Rejewskis Leistung als „The theorem that won World War II“ (deutsch: „Das Theorem, das den Zweiten Weltkrieg gewann“).

Die nächste Aufgabe, die gelöst werden musste, war, jeweils die richtige Walzenlage und Walzenstellung zu erschließen. Dazu nutzte Rejewski zusammen mit seinen 1932 hinzugekommenen Kollegen Jerzy Różycki und Henryk Zygalski einen schwerwiegenden verfahrenstechnischen Fehler aus, der den Deutschen unterlief: Um eine sichere Übertragung zu gewährleisten, wurde zu dieser Zeit der Spruchschlüssel noch zweimal hintereinandergestellt und verschlüsselt an den Anfang einer Nachricht geschrieben („Spruchschlüsselverdopplung“). Somit war der erste und vierte, der zweite und fünfte sowie der dritte und sechste Geheimtextbuchstabe jeweils demselben Klartextbuchstaben zuzuordnen. Mithilfe zweier, durch ihren Kollegen Antoni Palluth von der Firma AVA speziell zu diesem Zweck gebauter Maschinen, genannt Zyklometer und Bomba, die zwei beziehungsweise dreimal zwei hintereinandergeschaltete und um jeweils drei Drehpositionen versetzte Enigma-Maschinen verkörperten, konnten die polnischen Kryptoanalytiker für jede der sechs möglichen Walzenlagen feststellen, bei welchen Walzenstellungen die beobachtete Zuordnung der Buchstabenpaare möglich war und so den Suchraum erheblich einengen. Nach Analyse mehrerer Funksprüche war der korrekte Spruchschlüssel gefunden.

Das Treffen von Pyry

→ Hauptartikel: Treffen von Pyry

Nachdem die Deutschen, die von alledem nichts wussten, am 15. September 1938 ihre Verfahrenstechnik änderten und drei Monate später mit Einführung der Walzen IV und V die Anzahl der möglichen Walzenlagen von sechs (= 3·2·1) auf sechzig (= 5·4·3) erhöhten, konnten die Polen nicht mehr mithalten und die Enigma war wieder sicher. Angesichts der drohenden Gefahr übergaben sie kurz vor dem deutschen Überfall auf Polen ihr gesamtes Wissen an ihre Verbündeten. Am 26. und 27. Juli 1939 kam es zum legendären Geheimtreffen französischer, britischer und polnischer Codeknacker im Kabaty-Wald von Pyry, knapp 20 km südlich von Warschau, bei dem sie den verblüfften Briten und Franzosen ihre Enigma-Nachbauten und ihre kryptanalytischen Maschinen präsentierten und ihre Methodiken offenbarten. Die erste Frage, die Dilly Knox bei diesem Treffen (laut Mavis Batey auf Französisch) gestellt hat, war: „Quel est le QWERTZU?“ (deutsch: „Was ist der QWERTZU?“; also sinngemäß: „Wie lautet die Verdrahtungsreihenfolge der Eintrittswalze?“). Dies hatte ihn schon lange gequält. Rejewskis Antwort war genial einfach: „ABCDEFG…“. Ein Gedanke, der Knox so abstrus erschien, dass er es nicht fassen konnte. Marian Rejewski hingegen kannte die „Tugend der Deutschen: den Ordnungssinn“, und dies hatte ihn bereits sieben Jahre zuvor die von den deutschen Kryptographen gewählte, denkbar simpelste aller Permutationen erkennen lassen – den Trivialfall der Identität. Daraus resultierte die für ihn leicht zu erratende gewöhnliche alphabetische Reihenfolge der Verdrahtung der Eintrittswalze.

Britische Erfolge

→ Hauptartikel: Turing-Bombe

Das Herrenhaus (englisch the mansion) von Bletchley Park war die Zentrale der britischen Codebreaker und ist heute ein Museum.

Der britische Codebreaker Alan Turing (ca. 1938)

Die Turing-Bombe besteht aus der Hintereinanderschaltung von dreimal zwölf Walzensätzen der Enigma. Die Farben der „Trommeln“ (englisch drums) signalisieren die Nummer der entsprechenden Walze (Walze I = rot, Walze II = kastanienbraun, Walze III = grün, Walze IV = gelb, Walze V = hellbraun, Walze VI = blau, Walze VII = schwarz, Walze VIII = silber).

Mit diesem Anschub, vor allem mit den nun endlich bekannten Walzenverdrahtungen, konnten die britischen Kryptoanalytiker mit Ausbruch des Krieges im etwa 70 km nordwestlich von London gelegenen Bletchley Park (B.P.) einen erneuten Angriff auf die Enigma starten. Das wichtigste Hilfsmittel dabei war – neben ihrer intellektuellen Leistungsfähigkeit und dem hohen Personaleinsatz von später zehntausend bis vierzehntausend Frauen und Männern – vor allem eine spezielle elektromechanische Maschine, genannt die Turing-Bombe, die als Nachfolgerin auf der polnischen Bomba aufbaute und vom englischen Mathematiker Alan Turing ersonnen wurde. Turings Idee zur Schlüsselsuche bestand darin, durch ringförmige Verkettung von mehreren, meist zwölf, Enigma-Walzensätzen die Wirkung des Steckerbretts komplett abzustreifen. Dadurch gelang es ihm, die praktisch unüberschaubare Anzahl von mehr als 200 Trilliarden Verschlüsselungsmöglichkeiten, auf die die deutschen Kryptographen ihre Hoffnungen setzten, drastisch zu reduzieren.

Das Grundprinzip geht von der Enigma I aus, bei der drei Walzen aus einem Sortiment von fünf Walzen eingesetzt werden und nur die Umkehrwalze B zur Verfügung steht. Eine andere Umkehrwalze (UKW C), von den Briten lautmalerisch Uncle Walter genannt, tauchte kurzzeitig auf und verschwand schnell wieder. Für jede der 60 verschiedenen Walzenlagen gibt es 26³, also 17.576 Walzenstellungen. Wenn man bei der Schlüsselsuche von den Ringstellungen und vom Steckerbrett absehen kann, was mithilfe der durch die Bombe realisierten kryptanalytischen Angriffsmethode ermöglicht wurde, dann bleiben „nur“ noch 60·17.576, also 1.054.560 Möglichkeiten übrig. Diese etwa eine Million unterschiedlichen Fälle sind von Hand in vernünftiger Zeit praktisch nicht durchzuprobieren. Mithilfe der Turing-Bombe jedoch, die motorbetrieben mit 64 Umdrehungen pro Minute während jeder Umdrehung 26 Fälle abarbeiten konnte, brauchte man nur noch 1.054.560/(26·64) Minuten, also etwas mehr als zehn Stunden, um sämtliche Möglichkeiten durchzutesten. Hinzu kommt noch die Zeit zum Einstellen und Umrüsten der Maschine auf die sechzig verschiedenen Walzenlagen, wodurch die Zeit auf rund zwanzig Stunden verdoppelt wird. Leistet man sich den Aufwand, sechzig Bombes einzusetzen, jeweils eine für jede Walzenlage, dann schrumpft die Zeit für einen Durchlauf von etwas mehr als zehn Stunden auf gut zehn Minuten – eine durchaus erträgliche Zeit. Tatsächlich waren Anfang 1944 mehr als 330 Bombes im Vereinigten Königreich und den Vereinigten Staaten in Betrieb, nachdem sich die Briten noch Ende 1941 mit nur zwölf Bombes begnügen mussten.

Entscheidend wichtig für die Funktion der Bombe sind wahrscheinliche Wörter (Cribs), deren Auftreten man im Text erwarten kann. Fehlen diese, dann scheitert die Entzifferung. Beispielsweise gelang den Briten der Einbruch in zwei Schlüsselkreise der Deutschen Reichsbahn nicht, die in Bletchley Park nach der frühen Dampflokomotive Rocket als Rocket II und Rocket III bezeichnet wurden. Grund war, wie sie nach dem Krieg zu ihrer Überraschung feststellten, nicht eine besonders sichere Enigma-Variante, sondern die ungewohnte Eisenbahnersprache und die Art der Transportmeldungen, die ihnen das Erraten von wahrscheinlichen Wörtern nicht erlaubten. Militärische Meldungen hingegen waren häufig stereotyp abgefasst und enthielten viele leicht zu erratende Cribs wie OBERKOMMANDODERWEHRMACHT, die die britischen Codeknacker zur Entzifferung nutzen konnten.

Darüber hinaus profitierten sie von der deutschen Gründlichkeit bei der Abfassung von Routinemeldungen, wie Wetterberichte, die jeden Morgen pünktlich zur selben Zeit und vom selben Ort gesendet wurden. Zwar verbot die deutsche Dienstvorschrift „Allgemeine Schlüsselregeln für die Wehrmacht“ (H.Dv.g.7) ausdrücklich „Regelmäßigkeiten im Aufbau, gleichlautende Redewendungen und Wiederholungen im Text“ und warnte eindringlich „Es muß auf jeden Fall vermieden werden, daß durch flüchtig ausgebildetes Personal Schlüsselfehler gemacht werden, die […] der feindlichen Nachrichtenaufklärung die Entzifferung ermöglichen“, dennoch passierten genau diese Fehler, die die Codeknacker wahrnehmen und ausnutzen konnten. Aus britischer Sicht war eine täglich frisch verschlüsselte Enigma-Meldung, die stets mit den Worten „WETTERVORHERSAGEBEREICHSIEBEN“ begann, ähnlich wertvoll wie es eine direkte öffentliche Bekanntgabe des jeweils gültigen Tagesschlüssels gewesen wäre. So wurde beispielsweise der Enigma-Schlüssel vom D‑Day, also dem Tag der Landung der Alliierten in der Normandie (Operation Overlord), durch den Crib „WETTERVORHERSAGEBISKAYA“, den die britischen Kryptoanalytiker leicht erraten konnten und korrekt vermuteten, in weniger als zwei Stunden nach Mitternacht gebrochen.

Nicht selten provozierten die Briten sogar bewusst Vorfälle, nur um die darauf prompt zu erwartenden deutschen Funksprüche mit bekanntem Inhalt (und mit aktuellem Tagesschlüssel verschlüsselt) zu erhalten, und nannten diese Technik gardening (deutsch: „Gärtnern“). Der britische Codebreaker Rolf Noskwith aus Baracke 8 beschrieb sie folgendermaßen: „Die RAF warf an bestimmten Stellen in der Nordsee Minen ab, so daß die Minenwarnung der Deutschen uns als Crib diente. Die Stellen waren sorgfältig ausgewählt, um bestimmte Ziffern, wie insbesondere 0 und 5, [als Koordinaten] zu vermeiden, für die die Deutschen unterschiedliche Buchstaben benutzten.“ Die Briten konnten sich so, unter Vermeidung der Fallunterscheidungen für „NULL“ und „NUL“ sowie „FUENF“ und „FUNF“, die Arbeit etwas erleichtern. Außer im Fall „ZWEI“ und „ZWO“ gab es für die übrigen Ziffern nur eine Schreibweise. Auch entzifferte Botschaften von kleineren Marineeinheiten, wie Hafenschiffen, die nicht über die Enigma verfügten und stattdessen Handschlüsselverfahren (Werftschlüssel oder Reservehandverfahren) benutzten, dienten den Briten als Cribs beim Bruch der Enigma. Die Deutschen versendeten nämlich viele Funksprüche, wie Minenwarnungen, wortgleich sowohl als Enigma-Geheimtexte als auch mit den Handverfahren verschlüsselt. Die Briten waren dankbar für diese „Geheimtext-Geheimtext-Kompromisse“ und nannten sie Kisses.

U 110 und Bulldog (9. Mai 1941)

Die amerikanische Hochgeschwindigkeits-Version der Turing-Bombe, hier bedient von einer Wave, wurde auch als Desch-Bombe bezeichnet. Sie erreichte mit bis zu 2000 Umdrehungen pro Minute mehr als die fünfzehnfache Geschwindigkeit ihres britischen Vorbilds und war speziell gegen die Vierwalzen-Enigma gerichtet.

Die Desch-Bombe im National Cryptologic Museum ist die einzige bekannte originale Bombe aus dem Zweiten Weltkrieg.

So gelang es unter dem Decknamen „Ultra“, beginnend mit Januar 1940 zunächst die von der Luftwaffe und später auch die vom Heer mit der Enigma I verschlüsselten Nachrichten nahezu während des gesamten Zweiten Weltkriegs kontinuierlich zu brechen. Im Jahr 1943 beispielsweise wurden mehr als 80.000 Funksprüche pro Monat abgefangen und entziffert, also durchschnittlich mehr als 2500 jeden Tag, während des Krieges insgesamt waren es über zweieinhalb Millionen.

Hartnäckiger zeigten sich die Verschlüsselungsverfahren der deutschen Kriegsmarine, die eine Variante (Enigma‑M3) mit drei aus acht Walzen (I bis VIII) sowie eine ausgeklügelte Spruchschlüsselvereinbarung nutzte. Hier gelang den Briten der Einbruch erst im Mai 1941 nach Kaperung des deutschen U‑Boots U 110 und Erbeutung einer intakten M3-Maschine und sämtlicher Geheimdokumente (Codebücher inklusive der entscheidend wichtigen „Doppelbuchstabentauschtafeln“) durch den britischen Zerstörer HMS Bulldog am 9. Mai 1941. Eine für die Briten schmerzliche Unterbrechung (Black-out) gab es dann, als am 1. Februar 1942 die M3 (mit drei Walzen) bei den U‑Booten durch die M4 (mit vier Walzen) abgelöst wurde. Dieses von den Deutschen „Schlüsselnetz Triton“ und von den Briten Shark (deutsch: „Hai“) genannte Verfahren konnte zehn Monate lang nicht gebrochen werden, eine Zeit, von den U‑Boot-Fahrern die „zweite glückliche Zeit“ genannt, in der die deutsche U‑Bootwaffe erneut große Erfolge verbuchen konnte. Der Einbruch in Shark gelang erst am 12. Dezember 1942, nachdem der britische Zerstörer HMS Petard am 30. Oktober 1942 im Mittelmeer das deutsche U‑Boot U 559 aufbrachte. Ein Prisenkommando, bestehend aus Lieutenant Tony Fasson (1913–1942), Able Seaman Colin Grazier (1920–1942) und dem jungen Tommy Brown (1926–1945), enterte das Boot und erbeutete wichtige streng geheime Schlüsselunterlagen, wie Kurzsignalheft und Wetterkurzschlüssel, mit deren Hilfe es die Kryptoanalytiker in Bletchley Park schafften, auch die Enigma‑M4 zu überwinden.

Amerikanische Mitarbeiterinnen in Arlington Hall bei der Entzifferungs- und Aufklärungsarbeit (ca. 1943)

Amerikanische Hilfe

Nun kamen auch die Amerikaner zu Hilfe. Unter Federführung von Joseph Desch produzierten sie ab April 1943 im United States Naval Computing Machine Laboratory (NCML), das seinen Sitz in der National Cash Register Company (NCR) in Dayton (Ohio) hatte, mehr als 120 Stück Hoch­geschwindig­keits­varianten der Turing-Bombe. Diese sogenannten Desch-Bombes waren speziell gegen die M4 gerichtet. In schneller Folge kamen weitere amerikanische Behörden unterstützend hinzu, wie etwa die Signal Security Agency (SSA), die Communications Supplementary Activity (CSAW), und die United States Coast Guard Unit 387 (USCG Unit 387). Die Personalstärke wuchs schnell von wenigen Hundert auf mehr als zehntausend Mitarbeiterinnen und Mitarbeiter an, die täglich Tausende von Funksprüchen entzifferten.

Danach waren die deutschen U‑Boote nie mehr sicher (siehe auch: U‑Boot-Krieg). Unmittelbare Folge der amerikanischen Entzifferungen war, beginnend mit U 463 am 16. Mai 1943, einem U‑Tanker vom Typ XIV („Milchkuh“), bis U 220 am 28. Oktober 1943, einem zur Versorgung eingesetzten Minenleger vom Typ XB, die Versenkung von elf der achtzehn deutschen Versorgungs-U‑Boote innerhalb weniger Monate im Jahr 1943. Dies führte zu einer Schwächung aller Atlantik-U‑Boote, die nun nicht mehr auf See versorgt werden konnten, sondern dazu die lange und gefährliche Heimreise durch die Biskaya zu den U‑Boot-Stützpunkten an der französischen Westküste antreten mussten.

Geschichtliche Konsequenzen

Der Oberbefehlshaber der alliierten Streitkräfte General Dwight D. Eisenhower bezeichnete Ultra als „entscheidend“ für den Sieg.

Es gilt als unbestritten, dass die Kompromittierung der Enigma von enormer strategischer Bedeutung für den Verlauf des Zweiten Weltkriegs war. Einige Geschichtswissenschaftler gehen davon aus, dass, falls die Enigma nicht hätte gebrochen werden können, sich am Ausgang des Krieges zwar nichts geändert hätte, er aber wesentlich länger gedauert hätte und noch weitaus blutiger verlaufen wäre. So äußerte sich der englische Historiker Sir Harry Hinsley, der in Bletchley Park mitgearbeitet hatte, zur Bedeutung von Ultra mit den Worten „shortened the war by not less than two years and probably by four years“ (deutsch „[Ultra] verkürzte den Krieg um nicht weniger als zwei Jahre und vermutlich um vier Jahre“). Die Vermutung erscheint gerechtfertigt, dass es den polnischen, britischen und amerikanischen Kryptoanalytikern und ihrer Leistung bei der Entzifferung der deutschen Maschine zu verdanken ist, dass der Zweite Weltkrieg erheblich verkürzt werden konnte und damit unzähligen Menschen auf allen Seiten das Leben gerettet wurde.

Es gibt aber auch Historiker, Politiker und Militärs, die die nachrichtendienstlichen Erkenntnisse als „entscheidend“ für den Sieg der Alliierten ansehen. So äußerte sich beispielsweise der amerikanische Historiker Harold Deutsch, der im Zweiten Weltkrieg Leiter der Analyse beim Amt für strategische Dienste im Kriegsministerium der Vereinigten Staaten, dem OSS war:

“I feel that intelligence was a vital factor in the Allied victory – I think that without it we might not have won, after all.”

„Ich glaube, dass die nachrichtendienstlichen Erkenntnisse ein lebenswichtiger Faktor für den Sieg der Alliierten waren – Ich meine, dass wir ohne sie schließlich doch nicht gewonnen hätten.“

Experten, die Deutschs Ansicht teilen, berücksichtigen die Tatsache, dass die Entzifferungen nicht nur auf militärisch-taktischer Ebene (Heer, Luftwaffe und Marine) eine große Hilfe waren, sondern aufgrund der nahezu vollständigen Durchdringung des deutschen Nachrichtenverkehrs auf allen Ebenen (Polizei, Geheimdienste, diplomatische Dienste, SD, SS, Reichspost, Reichsbahn und Wehrmacht) auch einen äußerst genauen Einblick in die strategischen und wirtschaftlichen Planungen der deutschen Führung erlaubten. Speziell schätzten die Alliierten die Authentizität der aus Enigma-Funksprüchen gewonnenen Informationen, die aus anderen Quellen, wie Aufklärung, Spionage oder Verrat, nicht immer gegeben war. So konnten die Briten ihre zu Beginn des Krieges noch sehr begrenzten Ressourcen deutlich besser koordinieren und viel gezielter gegen die erkannten deutschen Schwächen einsetzen, als es ohne die Entzifferung der Enigma möglich gewesen wäre. Im späteren Verlauf des Krieges nutzten sie dann zusammen mit ihren amerikanischen Verbündeten die Ultra-Informationen, um die gemeinsame Überlegenheit noch besser auszuspielen.

Einer der führenden ehemaligen Codebreaker aus Bletchley Park, der britische Schachmeister Stuart Milner-Barry, schrieb: „Mit Ausnahme vielleicht der Antike wurde meines Wissens nie ein Krieg geführt, bei dem die eine Seite ständig die wichtigen Geheimmeldungen von Heer und Flotte des Gegners gelesen hat.“ Ein ähnliches Fazit zieht ein nach dem Krieg verfasster amerikanischer Untersuchungsbericht: „Ultra schuf in der Militärführung und an der politischen Spitze ein Bewusstsein, das die Art und Weise der Entscheidungsfindung veränderte. Das Gefühl, den Feind zu kennen, ist höchst beruhigend. Es verstärkt sich unmerklich im Laufe der Zeit, wenn man regelmäßig und aufs genaueste seine Gedanken und Gewohnheiten und Handlungsweisen beobachten kann. Wissen dieser Art befreit das eigene Planen von allzu großer Vorsicht und Angst, man wird sicherer, kühner und energischer.“

„In Europa ließ die Fähigkeit der Alliierten, die deutschen Verschlüsselungssysteme zu knacken und alle Botschaften mitzulesen (Codename ULTRA), die Alliierten von Sieg zu Sieg eilen. In der „Schlacht im Atlantik“, der fundamentalsten Auseinandersetzung des ganzen Zweiten Weltkriegs, konnten die Alliierten ihre Konvois an den deutschen U‑Booten vorbeisteuern, weil sie wussten, wo diese wie Wolfsrudel lauerten. So ließen sich lähmende Verluste weitgehend vermeiden und Menschen wie Güter konnten sicher nach Großbritannien gebracht werden. Später, bei ihrer großen Invasion in Europa, die zum Sieg über Hitlers Reich führte, half die Decodierung deutscher Botschaften den Alliierten dabei, Gegenangriffe vorherzusehen und abzuwehren. Auf diese Weise konnten sie deutsche Schwachstellen besser erkennen und ins Ruhrgebiet und nach Berlin vorstoßen. Auch sowjetische Codebrecher konnten die geheimen Informationen der Deutschen entziffern, was zu ihrem Sieg an der Ostfront beitrug.“

– David Kahn

Der ehemalige Sicherheitsberater von US-Präsident Jimmy Carter, der polnisch-amerikanische Politikwissenschaftler Zbigniew Brzeziński zitierte den Oberbefehlshaber der alliierten Streitkräfte General Dwight D. Eisenhower, der Ultra als decisive (deutsch „entscheidend“) für den Sieg bezeichnete. Die polnischen Historiker Władysław Kozaczuk und Jerzy Straszak schrieben „it is widely believed that Ultra saved the world at least two years of war and possibly prevented Hitler from winning“. (deutsch „es wird weithin angenommen, dass Ultra der Welt mindestens zwei Jahre Krieg erspart hat und möglicherweise verhinderte, dass Hitler ihn gewann“).

Der britische Premierminister Winston Churchill sagte: „Es war Ultra zu verdanken, dass wir den Krieg gewonnen haben.“

Der renommierte britische Historiker und Kryptologe Ralph Erskine sagte einfach und klar: Der Einbruch in die Marine-Enigma „rettete Großbritannien vor der Niederlage im U‑Boot-Krieg“. Auch Stuart Milner-Barry vertrat die Ansicht, dass „had we not at the most crucial times and for long periods read the U‑boat ciphers, we should have lost the war“ (deutsch „hätten wir nicht zur entscheidenden Zeit und für lange Zeiträume die U‑Boot-Chiffren lesen können, dann hätten wir den Krieg verloren“). In einer Ausstellung über den Secret War (deutsch „Geheimer Krieg“), die im Jahr 2003 in einem der bedeutendsten Kriegsmuseen weltweit, dem Imperial War Museum (deutsch „Kriegsmuseum des britischen Weltreichs“) in London stattfand, wurde der ehemalige britische Premierminister Winston Churchill zitiert, der seinem König George VI. gesagt hatte: „It was thanks to Ultra that we won the war.“ (deutsch „Es war Ultra zu verdanken, dass wir den Krieg gewonnen haben“).

In seinem Buch The Hut Six Story beschreibt Gordon Welchman, der neben Alan Turing einer der führenden Köpfe der britischen Codebreaker in Bletchley Park war, die Gratwanderung, die die alliierten Kryptoanalytiker zu vollbringen hatten, um nicht den Anschluss an die von den Deutschen immer wieder neu eingeführten kryptographischen Komplikationen zu verlieren. Mehrfach stand die Entzifferungsfähigkeit auf des Messers Schneide, und immer wieder senkte sich die Waagschale zugunsten der Codeknacker, oft auch mit viel Glück, wie Welchman in seinem Buch einräumt: „We were lucky“ (deutsch „Wir hatten Glück“).

„Der Erfolg der Codeknacker beruhte letztlich auf einigen genialen Ideen […] Hätten Marian Rejewski 1931 in Polen und Alan Turing und Gordon Welchman 1939 in England nicht diese Ideen gehabt, wäre die »Enigma« möglicherweise nicht geknackt worden. Somit ist die Vorstellung, es hätte den Alliierten misslingen können, diese Chiffriermaschine zu knacken, keine Spekulation im luftleeren Raum, sondern es sprach tatsächlich einiges für diese Annahme.“

– David Kahn

In seinem 2018 erschienenen Buch X, Y & Z – The Real Story of how Enigma was Broken (deutsch „X, Y & Z – Die wahre Geschichte, wie die Enigma gebrochen wurde“) fordert der Autor Sir Dermot Turing, Neffe von Alan Turing, den Leser auf:

“Imagine a counterfactual history in which the British had not been able to decipher Enigma messages during the Battle of Britain, the naval war in the Mediterranean, the early years of the Battle of the Atlantic, or in the campaign in the Western Desert. Such a scenario is frightening, as it would be a history that depicts not just a longer, drawn-out war but potentially one with a quite different outcome.”

„Stellen Sie sich eine kontrafaktische Geschichte vor, in der die Briten die Enigma-Sprüche während der [Luft-]Schlacht um England, des Seekriegs im Mittelmeer, der frühen Jahre der Atlantik-Schlacht oder im [Afrika-]Feldzug in der [Libyschen] Westlichen Wüste nicht hätten entziffern können. Ein solches Szenario ist beängstigend, denn es wäre eine Geschichte, die nicht nur einen längeren, langwierigen Krieg darstellt, sondern möglicherweise einen Krieg mit einem ganz anderen Ergebnis.“

– Sir Dermot Turing

Die Betrachtung alternativer Geschichtsverläufe ist zwangsläufig höchst spekulativ. Entscheidend ist natürlich auch der Zeitpunkt, zu dem die Enigma möglicherweise einbruchssicher gemacht worden wäre. Falls dies erst im Jahr 1945 geschehen wäre, hätte es vermutlich nur geringe Konsequenzen auf den Kriegsverlauf gehabt. Im Jahr 1944 dagegen wären die alliierten Invasionspläne der Operation Overlord („D‑Day“) behindert worden. Wie man heute weiß, war aus entzifferten Enigma-Funksprüchen nicht nur die gesamte deutsche Gefechtsaufstellung in der Normandie detailliert bekannt, sondern die alliierten Befehlshaber wurden dank Ultra auch jeden Tag äußerst präzise über die deutschen Pläne und Gegenmaßnahmen auf dem Laufenden gehalten. In den Jahren ab 1941 wären die deutschen U‑Boote nicht mehr so leicht zu finden gewesen, deren Positionen und Pläne die Alliierten aus entzifferten Funksprüchen genau verfolgen konnten.

Kontrafaktische Geschichte

Was aber wäre gewesen, wenn die Enigma von Anfang an unknackbar geblieben wäre? Im Jahr 1940 beispielsweise setzte die Royal Air Force ihre letzten Reserven ein, um schließlich die Luftschlacht um England (Battle of Britain) zu gewinnen. Auch hierbei waren entzifferte Funksprüche, insbesondere über die Angriffspläne der deutschen Luftwaffe, eine große Hilfe. Ohne diese Hilfe wäre die Luftschlacht eventuell verloren worden und das Unternehmen Seelöwe, also die deutsche Invasion Englands, hätte stattfinden können. Wie es ausgegangen wäre, darüber lässt sich nur spekulieren: Denkbar wäre, dass nach einer deutschen Besetzung der britischen Inseln noch im Jahr 1940 der Krieg beendet gewesen wäre, denn zu diesem Zeitpunkt befanden sich weder die Sowjetunion noch die Vereinigten Staaten im Krieg. (Der deutsche Überfall auf die Sowjetunion begann am 22. Juni 1941. Der japanische Angriff auf Pearl Harbor fand am 7. Dezember 1941 statt und die Kriegserklärung Deutschlands an die USA erfolgte am 11. Dezember 1941.) Wie sich die Weltgeschichte in einem solchen Fall weiterentwickelt hätte, kann niemand sagen, denn die Geschichte verrät uns ihre Alternativen nicht. In einem Essay, das David Kahn als kontrafaktische Geschichte unter der Annahme verfasste, den Alliierten sei es nicht gelungen, die Enigma zu knacken, führt es zu einem weiteren Siegeszug der Wehrmacht, der schließlich durch eine Atombombe abrupt beendet wird. Das alles sind Spekulationen – deutlich wird allerdings die enorme Bedeutung der Kryptographie und der Kryptanalyse der Schlüsselmaschine Enigma für den Verlauf der Geschichte.

Das Enigma-Geheimnis

Besonders bemerkenswert ist die Tatsache der perfekt funktionierenden Geheimhaltung der in Bletchley Park durchgeführten Enigma-Entzifferungen und der daraus gewonnenen Ultra-Informationen. Churchill selbst würdigte seine verschwiegenen Codebreakers mit den Worten „My geese that laid the golden eggs and never cackled“ (deutsch „Meine Gänse, die die goldenen Eier legten und niemals gackerten“). Dieses „Enigma-Geheimnis“ wurde während des gesamten Krieges und selbst danach bis in die 1970er-Jahre gehütet (Britain’s best kept secret, deutsch „Britanniens bestgehütetes Geheimnis“). Die Deutschen hatten keinerlei Ahnung von Ultra. In Bletchley Park gab es keinen Maulwurf – mit einer Ausnahme, John Cairncross, aber der spionierte für die Sowjetunion.

Aufgrund verschiedener verdächtiger Ereignisse wurden auf deutscher Seite zwar mehrfach Untersuchungen angestellt, ob die Enigma wirklich sicher sei, hier wurden jedoch die falschen Schlussfolgerungen gezogen und die Fachleute mit der richtigen Einschätzung setzten sich nicht durch. Auch die Zersplitterung der deutschen Dienste – im Gegensatz zu der in B.P. konzentrierten Kompetenz – ist sicherlich ein Grund für das Nichterkennen der Sicherheitslücken der Maschine. Nebeneinander existierten in Deutschland die teilweise rivalisierenden kryptologischen Dienststellen, wie die Chiffrierabteilung des Oberkommandos der Wehrmacht (OKW/Chi), der General der Nachrichtenaufklärung (OKH/GdNA) im Oberkommando des Heeres, der B‑Dienst (Beobachtungsdienst) der Kriegsmarine, das Forschungsamt (FA) der Luftwaffe sowie das Amt IV E im Reichssicherheitshauptamt (RSHA).

Ein kurz nach dem Krieg verfasster Bericht der amerikanischen Army Security Agency erwähnt, dass der deutsche Befehlshaber der U‑Boote (BdU) Admiral Karl Dönitz den wahren Grund für den noch vor Juli 1942 zum Greifen nahen Sieg und der nur wenige Monate darauf verlorenen Schlacht im Atlantik niemals verstanden hat:

“It was never realized that cryptanalysis, rather than radar and direction finding, disclosed the positions and intentions of the German submarines.”

„Es wurde zu keinem Zeitpunkt erkannt, dass die Kryptanalyse und nicht die Radartechnik oder die Funkortung die Positionen und Absichten der deutschen U‑Boote aufdeckte.“

Eine zerstörte Enigma

Dabei wäre es für die Deutschen durchaus nicht schwierig gewesen, die Sicherheit ihrer Maschine zu überprüfen. So schlägt der britische Historiker Hugh Sebag-Montefiore als Test vor, eine mit der Enigma wie üblich verschlüsselte Nachricht zu versenden, in der als Täuschungsmanöver beispielsweise ein Treffen deutscher U‑Boot-Tanker an einem entlegenen Ort auf See vereinbart wird, der normalerweise nicht von alliierten Schiffen aufgesucht wird. Falls nun zu dem im Funkspruch angegebenen Zeitpunkt plötzlich alliierte Kriegsschiffe am vereinbarten Treffpunkt erscheinen sollten, hätte es den Deutschen ziemlich schnell klar werden können, dass ihre Maschine tatsächlich kompromittiert war.

Nach dem Krieg

Gegen Kriegsende wurden Tausende von Enigma-Maschinen zerstört, vergraben oder versenkt, um zu verhindern, dass sie „in Feindeshand“ gerieten. Gemäß dem „Regenbogen-Befehl“ der Kriegsmarine waren beispielsweise sogar U‑Boote selbstzuversenken, um sie nicht dem Feind übergeben zu müssen. Von Zeit zu Zeit werden solche Relikte gefunden. Beispielsweise wurde Ende 2020 berichtet, dass ein Enigma-Exemplar vom Meeresgrund der Geltinger Bucht geborgen werden konnte, und im Januar 2021 wurden in der Nähe von Schleimünde gleich sechs beschädigte Exemplare ebenfalls aus der Ostsee gehoben.

Nach dem Krieg wurden die in Stückzahlen von mehreren Hunderten, möglicherweise Tausenden, erbeutete und auch nachgebaute Enigma-Maschinen vor allem von den Westmächten an Verbündete oder befreundete Nationen verkauft oder verschenkt. So boten die Briten dem im Jahr 1948 neu gegründeten Staat Israel 30 Stück der zu dieser Zeit allgemein noch als „hochsicher“ und „unknackbar“ geltenden deutschen Verschlüsselungsmaschine an. Die Israelis waren hocherfreut über dieses wertvolle Geschenk und begannen, die deutschen Maschinen für ihre Zwecke zu modifizieren. Sie verbesserten die kryptographische Sicherheit und kombinatorische Komplexität der Enigma und ersetzten bei Tastatur, Lampenfeld, Steckerbrett und Walzensatz das lateinische Alphabet durch hebräische Buchstaben. Sie verzichteten jedoch schließlich auf den Einsatz dieser nun israelischen Enigma-Maschinen, nachdem sie durch den britisch-jüdischen Mathematiker Joseph Gillis (1911–1993), der in Bletchley Park mitgearbeitet hatte, einen subtilen Hinweis erhalten hatten. In Korea, in ehemaligen britischen Kolonien und Protektoraten sowie einigen afrikanischen Staaten wurden Enigmas teilweise noch bis 1975 genutzt, wodurch es den Westmächten gelang, deren Nachrichtenverkehr mitzulesen. Die wenigen heute noch existierenden intakten Exemplare – man schätzt, dass es noch rund 400 Exponate in Museen oder bei privaten Sammlern gibt – werden zu Liebhaberpreisen im fünf- und sogar sechsstelligen Bereich gehandelt. Im Jahr 2017 wurde bei Christie’s, einem der weltweit führenden Auktionshäuser für Kunst und Antiquitäten, eine aus dem Kriegsjahr 1944 stammende Enigma‑M4 für die rekordverdächtige Summe von 547.500 $ (rund 500.000 €) versteigert.

Verbesserungspotenzial

Die Schweizer änderten alle drei Monate die Walzenverdrahtung ihrer Enigma‑K

Diese Enigma I mit der Seriennummer B207 ist eine der wenigen erhaltenen mit „Sonderschaltungen“, also speziell verdrahteten Walzen, hier äußerlich an den roten (statt schwarzen) Zahlen in den Walzenfenstern zu erkennen.

Schon 1883 formulierte der niederländische Kryptologe Auguste Kerckhoffs unter der später (1946) explizit von Shannon angegebenen Annahme „the enemy knows the system being used“ (deutsch „Der Feind kennt das benutzte System“) seine für seriöse Kryptographie bindende Maxime.

Kerckhoffs’ Prinzip: Die Sicherheit eines Kryptosystems darf nicht von der Geheimhaltung des Algorithmus abhängen. Die Sicherheit gründet sich nur auf die Geheimhaltung des Schlüssels.

Die kryptographische Sicherheit der Enigma hing – im Widerspruch zu Kerckhoffs’ Maxime – wesentlich von der Geheimhaltung ihrer Walzenverdrahtung ab. Diese war vom Benutzer nicht veränderbar, somit ein Teil des Algorithmus und nicht des Schlüssels. Bemerkenswert ist, dass die Walzenverdrahtung seit den Anfängen in den 1920er-Jahren bis 1945 bis auf ganz wenige Ausnahmen, genannt „Sonderschaltungen“, nicht verändert wurde. Unter den üblichen Einsatzbedingungen einer so weit verbreiteten Schlüsselmaschine wie der Enigma darf man nicht annehmen, dass deren algorithmische Bestandteile auf Dauer geheim gehalten werden können, auch wenn die Deutschen es versucht haben.

Eine erste Möglichkeit zur Verbesserung der Enigma wäre somit das beispielsweise jährliche vollständige Auswechseln des Walzensortiments, mit jeweils radikal geänderter Verdrahtung, gewesen, ähnlich wie es die Schweizer mit ihrem Modell K machten. Noch wesentlich wirkungsvoller wären Walzen, deren innere Verdrahtung schlüsselabhängig variabel gestaltet werden könnte. Interessanterweise gab es hierzu einen Ansatz, nämlich die Umkehrwalze D (britischer Spitzname: Uncle Dick), die genau diese Eigenschaft aufwies, jedoch erst spät (Jan. 1944) und nur vereinzelt zum Einsatz kam. Diese „stöpselbare Umkehrwalze Dora“, wie sie von deutscher Seite mithilfe des damals gebräuchlichen Buchstabieralphabets bezeichnet wurde, ermöglichte eine frei wählbare Verdrahtung zwischen den Kontaktstiften und somit eine variable Verbindung zwischen Buchstabenpaaren.

Frühe Enigma-Variante (Modell H) mit acht Walzen (1929)

Wesentliche kryptographische Stärkungen der Enigma wären im Konstruktionsstadium leicht möglich gewesen. In erster Linie hätte man die Beschränkung auf fixpunktfreie Permutationen vermeiden müssen. Auch die Involutorik (Verschlüsseln = Entschlüsseln), zwar bequem für die Bedienung, schwächte die Maschine enorm. Beides wäre vermieden worden, hätte man auf die Umkehrwalze verzichtet.

Bereits eine frühe Vorläuferin der Enigma I, gemeint ist die aus dem Jahr 1929 stammende Enigma‑H, die von der Reichswehr und später auch von der Wehrmacht als Enigma II bezeichnet wurde, verfügte über acht nebeneinander fest angeordnete (nicht austauschbare) Walzen und einen allein durch die Walzenstellung einstellbaren Schlüsselraum von mehr als 200 Milliarden. Verglichen mit den nur 17.576 Walzenstellungen der Enigma I bietet sie eine erheblich größere kombinatorische Komplexität. Zudem verfügte dieses frühe Enigma-Modell über keine Umkehrwalze, hatte also auch nicht deren Schwächen. Hätte man diese Grundkonstruktion mit acht (statt nur drei) Walzen auf die Enigma I übertragen und zusätzlich wie dort die Lage der Walzen austauschbar gestaltet, hätte dies bei acht Walzen 8! = 40.320 (statt nur 60) Walzenlagen und in Kombination mit den Walzenstellungen einen kryptographisch wirksamen Schlüsselraum von 8.419.907.243.704.320 (mehr als acht Billiarden oder knapp 53 bit) ergeben. Im Vergleich zu den nur gut eine Million (etwa 20 bit) kryptographisch wirksamen Möglichkeiten der tatsächlich realisierten Enigma wäre so eine deutlich stärkere Maschine entstanden, die trotz der vielen Fehler auf deutscher Seite und des gigantischen Aufwands auf britischer Seite vermutlich nicht hätte gebrochen werden können. Allerdings wäre eine solche Maschine mit acht Walzen weniger handlich gewesen als die Enigma mit nur drei Walzen.

Scherbius hatte in seinem grundlegenden Patent vom 23. Februar 1918 sogar schon zehn Walzen und die (bereits ohne Austauschen) daraus resultierenden rund 100 Billionen Schlüssel angegeben, außerdem keine Umkehrwalze, sondern einen Umschalter zur Einstellung von Ver- und Entschlüsselung, sowie eine über Getriebe einstellbare unregelmäßige Weiterbewegung der Walzen vorgeschlagen – sämtlich gute Ideen und kryptographisch starke Konstruktionsmerkmale, die jedoch im Laufe der Zeit in Vergessenheit gerieten. Der Gründungspräsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), der promovierte Mathematiker und Kryptologe Otto Leiberich meinte im Jahr 2001, mit vier Walzen „und mit einem ungleichförmigen Antrieb wäre die Enigma nie entziffert worden.“

Die amerikanische Schlüsselmaschine Sigaba mit insgesamt fünfzehn Walzen blieb unknackbar

Ein Beispiel für die Stärke dieser Ideen ist die Schlüsselmaschine Sigaba. Dabei handelt es sich um eine amerikanische Rotor-Maschine ähnlich wie die Enigma und ebenso aus dem Zweiten Weltkrieg, die jedoch über keine Umkehrwalze, sondern fünf Chiffrierwalzen (cipher rotor bank, deutsch „Chiffrierwalzensatz“) verfügt und zusätzlich zweimal fünf weitere Walzen (control rotor bank und index rotor bank, deutsch „Steuerwalzensatz“ und „Indexwalzensatz“) aufweist, die allein zur Erzeugung einer unregelmäßigen Fortschaltung der Chiffrierwalzen dienen. Die Sigaba erzeugt sowohl Fixpunkte als auch nichtinvolutorische Permutationen und konnte zu keinem Zeitpunkt, weder von deutschen noch von japanischen Kryptoanalytikern, noch von den Amerikanern selbst, die dies probeweise versuchten, gebrochen werden.

Eine sehr einfache Möglichkeit, die Enigma sicherer zu gestalten, ist die Verwendung von mehr als einer Übertragskerbe. Diese Kerben sind Bestandteil jeder Walze und bewirken den Übertrag auf die nächste, im Walzensatz weiter links liegende Walze und sorgen so für die Fortschaltung der Rotoren. Den Codeknackern kam es sehr gelegen, dass sie 26 Buchstaben lang davon ausgehen konnten, dass allein die rechte Walze rotierte und erst dann eine Fortschaltung auf den mittleren Rotor passierte. Für relativ lange Textpassagen besteht die Enigma somit aus Sicht des Kryptoanalytikers nur aus einer einzigen sich drehenden (rechten) Walze und einer, aus mittlerer und linker Walze sowie der Umkehrwalze bestehenden, sozusagen besonders dicken (feststehenden) Umkehrwalze. Erst der Übertrag auf die mittlere Walze stört dies. Hätten die Walzen der Enigma über mehr als nur eine einzige Übertragskerbe verfügt, beispielsweise neun, wie bei der britischen Schlüsselmaschine Typex, so hätte sich für den Anwender praktisch nichts geändert, die Kryptanalyse jedoch wäre durch das dann häufigere Weiterschalten der mittleren und der linken Walze stark gestört worden.

Die britische Schlüsselmaschine Typex besaß Walzen mit fünf, sieben oder neun Übertragskerben

Peter Twinn, einer der Mitarbeiter Turings in Bletchley Park, kommentierte es mit den Worten „they certainly missed a trick in not combining multiple-turnover wheels with Steckerverbindungen“ (deutsch „sie [die Deutschen] verpassten sicherlich einen Kniff dadurch, dass sie nicht Walzen mit mehreren Übertragskerben und die Steckerverbindungen kombinierten“). Gordon Welchman unterstrich die Folgen dieses deutschen Fehlers: „We would have been in grave trouble if each wheel had had two or three turnover positions instead of one“ (deutsch „Wir hätten gravierende Probleme bekommen, wenn jede Walze zwei oder drei Übertragskerben gehabt hätte statt [nur] eine“). Die Typex erwies sich nicht zuletzt auch durch ihre im Vergleich zur Enigma größeren Anzahl an Übertragskerben für OKW/Chi, die Chiffrierabteilung des OKW, als unknackbar.

Vielleicht fürchteten die Entwickler der Enigma eine Reduzierung der Periode, das ist die Anzahl der Zeichen, nach der sich das zur Verschlüsselung verwendete Alphabet wiederholt. Die Periode beträgt bei der Enigma I 26·25·26 = 16.900, wobei der Faktor 25 bei der mittleren Walze durch die bereits erwähnte (unwichtige) Anomalie des Fortschaltmechanismus verursacht wird. Bei Verwendung einer geraden Anzahl oder von dreizehn Übertragskerben statt nur einer würde die Periode tatsächlich drastisch absinken, da diese Zahlen gemeinsame Teiler mit 26 aufweisen. Bei zum Beispiel drei, fünf, sieben, neun oder elf Kerben hingegen besteht diese Gefahr nicht, da diese Zahlen zu 26 teilerfremd sind. Interessanterweise wurden bei der Marine, in Ergänzung zu den von der Enigma I bekannten fünf Walzen, drei weitere Walzen eingesetzt (VI, VII und VIII), die mehr als eine, nämlich zwei Übertragskerben aufweisen. Die exklusiv von der Marine verwendeten drei Walzen vermieden außerdem einen weiteren Fehler der fünf Walzen der Enigma I, denn sie hatten ihre Übertragskerben alle bei identischen Buchstaben. Nicht so die Walzen I bis V, die sich durch den bei unterschiedlichen Buchstaben erfolgenden Übertrag verrieten. Die Codeknacker hatten sich dafür den (sprachlich unsinnigen) Merkspruch „Royal Flags Wave Kings Above“ gebildet, der für die Walzen I bis V in dieser Reihenfolge den jeweiligen Buchstaben nennt, der stets im Sichtfenster erscheint, nachdem ein Übertrag auf die nächste Walze erfolgt ist.

Eine bedeutende Innovation, die die kryptographische Sicherheit der Enigma erheblich verbessert hätte, die aber zu spät kam, um während des Krieges noch eingesetzt werden zu können, waren die sogenannten „Lückenfüllerwalzen“ (Foto unter Weblinks). Diese neuartigen Rotoren erlaubten es „an jeder Walze Schaltlücken beliebig nach Art und Zahl einzustellen“. Die Einstellungen hätten schlüsselabhängig verändert werden können und so wesentlich zur kryptographischen Stärkung der Maschine beigetragen. Im Juli 1944 erhielt das Ertel-Werk in München einen Fertigungsauftrag über 8000 Stück Lückenfüllerwalzen, der kurz darauf auf 12.000 Stück erhöht wurde. Kriegsbedingt konnten jedoch nur wenige hergestellt und keine mehr ausgeliefert werden. Das amerikanische Target Intelligence Committee (TICOM) konfiszierte gegen Ende des Krieges sämtliche Informationen über die Lückenfüllerwalze und hielt sie für viele Jahre sorgsam unter Verschluss. Falls sie in ausreichender Stückzahl hätte gefertigt und eingesetzt werden können, so wären die britischen Codeknacker vermutlich aus dem Rennen gewesen, insbesondere, wenn es, wie geplant, gelungen wäre, die Lückenfüllerwalze in Kombination mit der Umkehrwalze D einzusetzen.

Die Enigma-G der Abwehr hatte kein Steckerbrett, aber eine rotierende Umkehrwalze

Die deutsche Abwehr (Geheimdienst) verwendete ein Enigma-Modell (G), das über einen exklusiven Walzensatz verfügte, bei dem die (drei) Walzen tatsächlich mehrere Übertragskerben aufwiesen, nämlich 11, 15 beziehungsweise 17 Kerben. Selbst die Umkehrwalze war – im Unterschied zu den anderen Enigma-Modellen – drehbar und rotierte mit. Dies stärkte die Verschlüsselung und sorgte sicher auch dafür, dass andere deutsche Stellen nicht mitlesen konnten. Allerdings verzichtete die Abwehr bei dieser besonders kompakten (äußere Abmessungen 270 mm × 250 mm × 165 mm) und handwerklich hervorragend gebauten Enigma auf ein Steckerbrett. Die Folge war, dass es den Codebreakers von Bletchley Park, an der Spitze „Dilly“ Knox und seine Mitarbeiterinnen Margaret Rock und Mavis Lever, in B.P. als „Dilly’s girls“ hochgeachtet, am 8. Dezember 1941 gelang, auch diese Verschlüsselung zu überwinden und so dazu beizutragen, dass deutsche Agenten bereits bei ihrer Einreise „in Empfang genommen“ werden konnten. Diese wurden anschließend nicht einfach nur eliminiert, sondern es gelang dem britischen Inlandsgeheimdienst MI5, viele von ihnen „umzudrehen“ und im Rahmen des Double-Cross-Systems (deutsch „Doppelkreuz“, aber auch: „Doppelspiel“) als Doppelagenten einzusetzen. Zusammen mit den aus Enigma‑G-Sprüchen entzifferten Informationen erhielt der MI5 ein so detailliertes und zutreffendes Bild über die Pläne und den Wissensstand der Abwehr, dass jeder einzelne noch in Großbritannien operierende deutsche Agent genau bekannt war und gezielt kontrolliert und manipuliert werden konnte. Dies wurde auch zur Desinformation der deutschen Führung genutzt (siehe auch: Operation Fortitude).

Zusammenfassend können folgende Punkte zur kryptographischen Stärkung der Enigma festgehalten werden, deren Umsetzung noch vor oder während des Krieges möglich gewesen wäre und die leicht dazu hätten führen können, dass die Enigma sich plötzlich „außerhalb der Reichweite der bereits stark gedehnten anglo-amerikanischen kryptanalytischen Finger befunden hätte, was möglicherweise den Verlauf des Krieges verändert hätte“ (englisch „Improvement in anyone of the foregoing particulars could easily have pushed the plug-board Enigma beyond the reach of already-straining Anglo-American cryptanalytic fingers, and possibly altered the course of the war“):

Durch die Bedienklappe hindurch erkennt man die sechs Schlüsselräder des SG‑41

• identische Verschlüsselung zulassen
• Involutorik vermeiden
• mehrere (z. B. neun) Übertragskerben anbringen
• Übertragskerben für alle Walzen identisch anordnen
• einstellbare Übertragskerben verwenden (Lückenfüllerwalzen)
• mehr als drei Walzen einbauen (z. B. sechs wie beim SG‑41)
• Walzensortiment erweitern (z. B. zehn statt nur fünf)
• frei verdrahtbare stöpselbare Umkehrwalze (UKW Dora)
• Walzenverdrahtung gelegentlich radikal ändern
• nicht involutorische Stecker verwenden

Die legendäre Hut 6 in Bletchley Park, in der die Enigma entziffert wurde (Foto aus dem Jahr 2004)

Eine verblüffend einfache und dabei durchschlagend wirksame Maßnahme, die laut Gordon Welchman zu jedem beliebigen Zeitpunkt ganz leicht hätte eingeführt werden können und die er während des Krieges am meisten befürchtet hatte, ist die Verwendung von einpoligen Steckerverbindungen anstelle der doppelpoligen involutorischen Kabel. Dann könnte man beispielsweise X mit U steckern und U nun aber nicht notwendigerweise mit X, sondern mit irgendeinem anderen beliebigen Buchstaben. So hätte schlagartig die Involutorik des Steckerbretts – wenn auch nicht der ganzen Maschine – beseitigt werden können. Dies hätte nach Welchman katastrophale Auswirkungen für die Codeknacker in Bletchley Park gehabt. Ein Großteil der dort erarbeiteten Methodik inklusive des von Welchman selbst erfundenen diagonal board (deutsch Diagonalbrett) wäre nutzlos geworden. Er schreibt „the output of Hut 6 Ultra would have been reduced to at best a delayed dribble, as opposed to our up-to-date flood.“ (deutsch „der Ertrag der Ultra-Informationen aus Baracke sechs hätte sich im besten Fall auf ein verspätetes Tröpfeln reduziert, im Gegensatz zu unserer tagesaktuellen Flut.“)

Weblinks

• Milestones – First Breaking of Enigma Code by the Team of Polish Cipher Bureau, 1932-1939. IEEE-Meilenstein zur Würdigung des ersten Bruchs der Enigma durch das polnische Biuro Szyfrów (englisch).
• Foto einer Lückenfüllerwalze.