⁴⁵Der IV kann durchaus statisch sein, da ein Codebook-Angriff auf den ersten Block (wie bei der CBC-Verschlüsselung möglich) hier nicht anwendbar ist [MvV92, 9.5.1].