Base64-Kodierung erklärt: Wann und wie

Was Base64 ist

Base64 ist eine Binär-zu-Text-Kodierung, die Binärdaten mit 64 druckbaren ASCII-Zeichen darstellt: A-Z, a-z, 0-9, + und /.

Sie existiert, weil viele Kanäle – E-Mail, URLs, JSON, HTTP-Header – für Text ausgelegt sind und Binärbytes unterwegs verstümmelt, geteilt oder fehlinterpretiert werden können.

Kodierung ist keine Verschlüsselung. Jede Person kann Base64 sofort dekodieren; es ändert die Darstellung, nicht die Vertraulichkeit. Behandeln Sie Base64 als Verpackung und nutzen Sie echte Verschlüsselung, wann immer Geheimhaltung zählt.

Wie die Kodierung funktioniert

Base64 verarbeitet Eingaben in Gruppen von 3 Bytes (24 Bit). Jede Gruppe wird zu 4 Zeichen à 6 Bit, abgebildet über das Base64-Alphabet.

Ist die Eingabelänge kein Vielfaches von 3, wird die letzte Gruppe mit einem oder zwei „=“-Zeichen aufgefüllt, damit die Ausgabelänge ein Vielfaches von 4 bleibt.

Alle 3 Bytes werden zu 4 Zeichen – deshalb ist die Ausgabe etwa 4/3 der Eingabe, ein Overhead von 33 % vor Zeilenumbrüchen oder Trennzeichen.

# 3 Bytes: 0x4d 0x61 0x6e -> 'Man'
# 24 Bits in 6-Bit-Gruppen:
# 010011 010110 000101 101110 -> T W F u
# JavaScript
globalThis.btoa('Man'); // 'TWFu'
globalThis.atob('TWFu'); // 'Man'

Standard-Base64 vs. Base64URL

Das Standardalphabet nutzt + und /, die in URLs problematisch sind: + wird in Query-Strings als Leerzeichen interpretiert, / teilt Pfadsegmente.

Base64URL (RFC 4648 §5) ersetzt + durch - und / durch _ und lässt Padding in vielen Implementierungen weg. Es ist die Variante, die JWT-Segmente verwenden.

Die Vermischung beider ist ein klassischer Integrationsfehler: Standard-Base64 bricht in URLs, und Base64URL kann in Werkzeugen scheitern, die das Standardalphabet erwarten. Wissen Sie, welche Variante Ihr Kanal verlangt.

Wann Base64 das richtige Werkzeug ist

• Kleine Bilder oder Icons als Data-URIs in HTML/CSS einbetten
• Binäre Anhänge durch textbasierte Protokolle übertragen (E-Mail, JSON-Felder)
• Kryptografisches Material – Schlüssel, Signaturen, Hashes – in Konfiguration und Headern darstellen
• JWT-Header- und Payload-Segmente (Base64URL)
• Binärdaten in textbasierten Formaten wie JSON oder CSV speichern
• Debugging – eine Payload aus einer Logzeile dekodieren und prüfen

Wann Base64 NICHT verwendet werden sollte

Base64 kostet 33 % Größe und zusätzliche CPU-Arbeit. Für große Binärdateien bevorzugen Sie Binärkanäle: Multipart-Uploads, Typed Arrays oder rohe HTTP-Bodies.

Für Bilder ist eine Data-URI nur bei sehr kleinen Assets effizient. Jenseits weniger Kilobyte überwiegen Größen-Overhead und Base64-Aufblähung meist den gesparten Request.

Und entscheidend: Base64 ist keine Sicherheitsmaßnahme. Kodierte Secrets sind trivial lesbar – brauchen Sie Vertraulichkeit, verschlüsseln Sie zuerst und kodieren Sie dann den Chiffretext, wenn der Kanal Text verlangt.

Hex, Base32 und Co.

Kodierung in der Praxis

// Binär -> Base64 im Browser
const bytes = new Uint8Array([77, 97, 110]); // 'Man'
let binary = '';
bytes.forEach(b => (binary += String.fromCharCode(b)));
const encoded = btoa(binary); // 'TWFu'
// Base64 -> Uint8Array
const decoded = atob(encoded);
const result = Uint8Array.from(decoded, c => c.charCodeAt(0));
// Node.js
Buffer.from('Man').toString('base64');     // 'TWFu'
Buffer.from('TWFu', 'base64').toString();  // 'Man'

FAQ

Referenzen

• RFC 4648 – The Base16, Base32, and Base64 Data Encodings: https://www.rfc-editor.org/rfc/rfc4648
• RFC 7515 – JSON Web Signature (JWS), Base64URL-Nutzung: https://www.rfc-editor.org/rfc/rfc7515
• MDN – btoa() und atob(): https://developer.mozilla.org/en-US/docs/Glossary/Base64
• MDN – Data-URIs: https://developer.mozilla.org/en-US/docs/Web/URI/Reference/Schemes/data