Was ist Base64? Funktionsweise, Kodierung & praktische Anwendung

Ob bei der Analyse von JSON Web Tokens (JWT), der Verwendung von Inline-Bildern in CSS oder der Konfiguration einer einfachen HTTP-Authentifizierung – Base64 begegnet Entwicklern an fast jeder Ecke des modernen Webs. Dennoch herrscht oft Unklarheit darüber, wie dieses Verfahren im Detail funktioniert, welches Problem es eigentlich löst und warum es keinesfalls mit einer Verschlüsselung verwechselt werden darf. Dieser Ratgeber erklärt die Base64-Kodierung von Grund auf.

Das Kernproblem: Warum brauchen wir Base64?

Reine Binärdaten – wie Bilder, Audio-Dateien, verschlüsselte Zertifikate oder PDFs – bestehen aus einer beliebigen Abfolge von Bytes. Viele ältere, aber immer noch grundlegende Internet-Protokolle (wie SMTP für E-Mails oder HTTP-Header) wurden jedoch ausschließlich für die Übertragung von lesbarem ASCII-Text entwickelt. Versucht man, rohe Binärdaten durch solche Kanäle zu senden, interpretieren Systeme bestimmte Steuerzeichen (wie Zeilenumbrüche oder Nullbytes) falsch. Die Folge: Die Datei kommt beschädigt an.

Base64 löst dieses Problem auf elegante Weise: Es übersetzt beliebige Binärdaten in eine Zeichenkette, die ausschließlich aus 64 universell sicheren und druckbaren ASCII-Zeichen besteht. Dadurch können Daten fehlerfrei über jedes textbasierte Protokoll transportiert werden.

Wie funktioniert die Base64-Kodierung im Detail?

Der Base64-Zeichensatz besteht aus genau 64 Zeichen: den Großbuchstaben A–Z, den Kleinbuchstaben a–z, den Ziffern 0–9 sowie den beiden Sonderzeichen + und /. Das Gleichheitszeichen (=) dient als Füllzeichen (Padding).

Die mathematische Umwandlung erfolgt in drei einfachen Schritten:

1. Bytes in Dreiergruppen aufteilen: Die Eingangsdaten werden in Blöcke von jeweils 3 Bytes (entspricht 24 Bits) unterteilt.
2. Aufsplittung in 6-Bit-Blöcke: Diese 24 Bits werden in vier Blöcke zu je 6 Bits zerlegt (da 2 hoch 6 genau 64 Werte von 0 bis 63 ergibt).
3. Zeichenzuordnung: Jeder der 6-Bit-Werte wird anhand der Base64-Tabelle dem entsprechenden ASCII-Zeichen zugeordnet (Wert 0 = A, Wert 1 = B, ..., Wert 63 = /).

Eingabe-Text: M      a      n
ASCII-Wert:   77     97     110
Binärwert:    01001101 01100001 01101110

Aufteilung in 6-Bit-Schritte:
010011 010110 000101 101110

Dezimalwert der Blöcke:
19     22     5      46

Base64-Zeichen:
T      W      F      u

Ergebnis: TWFu

Durch diese Logik werden aus je 3 Byte Eingangsdaten immer exakt 4 Zeichen im Base64-Format. Dies führt zu einem systematischen Datenzuwachs (Overhead) von rund 33 %.

Die Bedeutung des Füllzeichens (=)

Da Base64 immer Dreiergruppen von Bytes benötigt, kommt es beim Ende einer Datei oder eines Strings häufig vor, dass nicht genügend Bytes für die letzte Gruppe übrig sind. In diesem Fall greift das sogenannte Padding:

• Bleibt nach der Aufteilung genau 1 Byte übrig, wird mit zwei =-Zeichen aufgefüllt.
• Bleiben 2 Bytes übrig, wird ein einzelnes =-Zeichen angehängt.

Die Gleichheitszeichen am Ende einer Base64-Zeichenkette sind also reine Strukturhelfer für den Dekodierer und enthalten keine inhaltlichen Informationen.

Typische Anwendungsbereiche von Base64

• Inline-Bilder (Data URIs): Kleine Grafiken oder Icons lassen sich direkt in HTML- oder CSS-Dateien einbetten, um zusätzliche HTTP-Requests zu vermeiden: <img src="data:image/png;base64,iVBORw0KGgo...">
• JSON Web Tokens (JWT): Die Payload und der Header eines JWT werden standardmäßig im Base64URL-Format übertragen. Diese Variante ersetzt + durch - und / durch _, damit das Token sicher in Web-URLs verwendet werden kann.
• HTTP Basic Authentication: Logins werden im Header als Authorization: Basic <base64(nutzername:passwort)> übertragen. Der Webserver kann diesen String sofort wieder dekodieren.
• E-Mail-Anhänge (MIME-Standard): Da das klassische SMTP-Protokoll nur Text verarbeitet, werden Bilder oder PDFs im Mail-Anhang vollautomatisch als Base64-Textblock versendet.
• Speicherung von Binärdaten in JSON-APIs: Da das JSON-Format nativ keine Binärdaten unterstützt, werden verschlüsselte Payload-Daten oder Avatare vor dem API-Versand in Base64 konvertiert.

Achtung: Base64 ist KEINE Verschlüsselung!

Ein extrem häufiger Denkfehler in der Softwareentwicklung lautet: "Ich habe die Daten unleserlich gemacht, also sind sie sicher." Das ist falsch. Base64 ist ein reines Kodierungsverfahren. Jede Person und jedes System kann einen Base64-String ohne Schlüssel innerhalb von Millisekunden wieder in den Originalzustand zurückversetzen.

Nutzen Sie Base64 niemals, um Passwörter, persönliche Daten oder vertrauliche API-Schlüssel zu sichern. Verwenden Sie für Sicherheitszwecke immer echte Verschlüsselungsverfahren (wie AES oder RSA) und sichere Transportprotokolle (HTTPS).

Base64-Implementierung in PHP und JavaScript

// String kodieren
$encoded = base64_encode('Hallo Welt!');
// → SGFsbG8gV2VsdCE=

// String dekodieren
$decoded = base64_decode('SGFsbG8gV2VsdCE=');
// → Hallo Welt!

// URL-sicheres Base64URL generieren
$urlSafe = rtrim(strtr(base64_encode($data), '+/', '-_'), '=');

// String in Base64 umwandeln
const encoded = btoa('Hallo Welt!');
// → SGFsbG8gV2VsdCE=

// Base64 zurückübersetzen
const decoded = atob('SGFsbG8gV2VsdCE=');
// → Hallo Welt!

// Hinweis: btoa/atob unterstützen standardmäßig nur Latin-1-Zeichen.
// Für vollen Unicode-Support (z. B. Umlaute) empfiehlt sich folgendes:
const utf8Encoded = btoa(encodeURIComponent('Hällo Wörld'));
const utf8Decoded = decodeURIComponent(atob(utf8Encoded));