Harsha - stock.adobe.com
Quantencomputing: Agilität als strategischer Vorteil
Unternehmen sollten die Sicherheit ihre Daten auf den Prüfstand stellen, um zu gewährleisten, dass rechtzeitig quantensichere Lösungen implementiert und Lücken geschlossen werden.
Sie werden immer realer, und dieses Mal könnte der Hype um Quantencomputer tatsächlich gerechtfertigt sein. Von der Optimierung von Lieferketten bis hin zur Beschleunigung der Arzneimittelentwicklung ist das Innovationspotenzial enorm. Aber wie bei jeder bahnbrechenden Technologie beobachten auch Hacker diese Entwicklung, denn Quantencomputer drohen die Verschlüsselung zu durchbrechen, die das heutige Internet stützt.
Die meisten modernen Verschlüsselungen basieren auf asymmetrischen Algorithmen für den Austausch von Sitzungsschlüsseln und stützen sich dabei auf die Unmöglichkeit, das Produkt zweier sehr großer Primzahlen mit klassischen Computern in angemessener Zeit zu faktorisieren. Die größten Quantencomputer bestehen heute aus 1.000 Qubits und sind nur für ein bis zwei Millisekunden stabil. Diese stellen kein Risiko für RSA und ECC dar, die gängigsten Algorithmen für den Schlüsselaustausch.
Ein Quantencomputer mit etwa 20.000.000 stabilen, aber verrauschten physikalischen Qubits könnte diese Schlüsselaustauschalgorithmen jedoch in etwa acht Stunden knacken - dank der Eigenschaften der Quantenphysik, die es einem Qubit ermöglichen, gleichzeitig eine 0, eine 1 oder beides zu sein. Ein alternativer Ansatz mit besserer Fehlerkorrektur erfordert nur 1.700.000 stabile physikalische Qubits, muss aber 230 Tage lang laufen.
Angreifer warten jedoch nicht auf diesen Sprung, sondern bereiten sich bereits darauf vor.
Jetzt sammeln, später entschlüsseln
Die Vorgehensweise der Angreifer ist als harvest now, decrypt later (HNDL) bekannt – und genau das ist auch damit gemeint. Wir können davon ausgehen, dass alles, was wir im Internet veröffentlichen, abgehört wird. Angreifer fangen diese Daten ab und speichern sie, selbst wenn sie verschlüsselt sind, in der Hoffnung, dass sie in einigen Jahren mühelos entschlüsselt werden können.
Viele in der Branche glauben, dass wir vielleicht noch sechs bis acht Jahre von einem ausreichend großen und stabilen Quantencomputer entfernt sind. Sobald dieser Realität ist, wird alles, was diese Angreifer gespeichert haben, zum Freiwild – und die Folgen könnten verheerend sein. In diesem Kontext sollten wir der Post-Quanten-Kryptografie (PQC) Priorität einräumen und uns auf die Quanten-Zukunft vorbereiten.
Kryptografische Agilität aufbauen
Wir sehen derzeit die nächste Generation von Verschlüsselungstools, die auf drei (bald vier, später fünf) vom NIST zugelassenen quantensicheren Algorithmen basieren, die Angriffen durch Quantencomputer widerstehen sollen. PQC basiert auf verschiedenen Herausforderungen, mit denen selbst Quantencomputer zu kämpfen haben.
Die Implementierung quantensicherer Algorithmen ist jedoch weder eine einmalige Sicherheitsaktualisierung noch eine Umstellung von heute auf morgen. Deshalb sollten Unternehmen zunächst Ihre kryptografische Agilität aufbauen. Kryptografische Agilität bedeutet, dass sie ihre Verschlüsselungsmethoden schnell und sicher an neue Bedrohungen anpassen können, ohne ihre Systeme oder ihr Budget zu beeinträchtigen. Es ist eine Umstellung vom „Einmal sperren und vergessen“-Ansatz.
Größtes Risiko: Externe Datenflüsse
Wenn bestehende und künftige PQC-Algorithmen in Produkten zum Einsatz kommen, werden sich die Standardeinstellungen weiterentwickeln und die Bedrohungen verschieben. Wenn Unternehmen bis dahin noch nicht damit begonnen haben, ihre Agilität aufzubauen, könnten sie unvorbereitet sein. Jeder CTO, CIO und CISO muss jetzt damit beginnen, seine digitale Infrastruktur zu kartieren und sich fragen: Wo genau verwenden wir Verschlüsselung, die gefährdet sein könnte? Denn diese ist nicht immer dort, wo man sie vermutet.
Als Faustregel gilt: IT-Verantwortliche sollten sich zunächst auf Daten konzentrieren, die außerhalb des Unternehmens übertragen werden. Angreifer, die jetzt sammeln und später entschlüsseln wollen, haben es auf Daten abgesehen, die übertragen werden – über das offene Internet, zwischen Diensten und in die Cloud. Daten, die innerhalb eines gut geschützten Netzwerks bleiben, sind (zumindest derzeit) in der Regel einem geringeren Risiko ausgesetzt.
Wichtige Aspekte bei externen Datenflüssen klären
Da externe Datenflüsse das größte Risiko darstellen, sollten Unternehmen anfangen, kritische Fragen zu stellen – sowohl intern als auch gegenüber Lieferanten.
Hier sind fünf wichtige Verschlüsselungsebenen, die IT-Verantwortliche evaluieren sollten:
- Service-zu-Service-Verschlüsselung: Microservices kommunizieren häufig über Kanäle, die heute mit herkömmlichen Methoden verschlüsselt sind. Diese Verbindungen benötigen quantensicheren Schutz.
- TLS für die Überprüfung des Web- und App-Datenverkehrs: TLS-Handshakes benötigen PQC, um die Sicherheit der Überprüfung verschlüsselter Daten zu gewährleisten.
- Client-to-Cloud-Authentifizierung: Login-Handshakes und Schlüsselaustausch müssen für Post-Quanten-Resilienz überarbeitet werden.
- Interner Metadatenschutz: Unverschlüsselte Metadaten können Einblicke preisgeben – selbst wenn die Daten an sich sicher sind.
- Kundenkonfigurationen und Richtliniendaten: Gespeicherte Konfigurationen und Richtlinien sind attraktive Ziele. Ohne PQC sind sie ungeschützt.
Die Verbesserung der kryptografischen Agilität in Unternehmen geht weit über Dateien und Ordner hinaus. Es geht darum, die Integrität jedes Handshakes, jedes Headers und jeder versteckten Abhängigkeit in ihrem Stack zu bewahren. Wenn Daten damit in Berührung kommen, durch sie hindurchfließen oder in ihnen gespeichert sind, müssen sie durch eine Quantenlinse überprüft werden.
Agilität als strategischer Vorteil
Für Unternehmen, die stark auf KI und Daten setzen, wird Quantenresilienz von entscheidender Bedeutung sein. Daten können nur dann Wachstum fördern, wenn sie langfristig sicher, konform und vertrauenswürdig bleiben. Bei der Post-Quantum Cryptography (PQC) geht es um mehr als nur um technische Verteidigungsmaßnahmen. Sie signalisiert die strategische Bereitschaft einer Organisation, die zukünftigen Herausforderungen der IT-Sicherheit zu verstehen und sich darauf vorzubereiten, unter den neuen kryptografischen Bedingungen erfolgreich zu agieren. Die frühzeitige Beschäftigung mit PQC ist ein klares Zeichen dafür, dass das Management die langfristigen Risiken der Datenintegrität antizipiert. Ein entscheidender Wettbewerbsnachteil kann entstehen, wenn Mitbewerber bereits in der Lage sind, die langfristige Integrität und Vertraulichkeit ihrer Daten zu garantieren, während das eigene Unternehmen diese Gewährleistung noch nicht bieten kann.
„IT-Verantwortliche sollten überprüfen, wo in ihrem Unternehmen tatsächlich Verschlüsselung eingesetzt wird. Schwachstellen liegen oft in den Lücken. Sie sollten damit beginnen, quantensichere Algorithmen als Leitprinzip in ihr zentrales Sicherheitskonzept zu integrieren.“
Steve Riley, Netskope
Mit quantensicheren Standards Schritt halten
Unternehmen müssen jedoch nicht bei Null anfangen. Vor einem Jahr hat das NIST seine ersten PQC-Standards fertiggestellt. ML-KEM (ehemals CRYSTALS-Kyber), der Standard für den Schlüsselaustausch, wird RSA und ECC für die zukunftssichere TLS-Verschlüsselung ablösen. Bei der Vorbereitung geht es jedoch nicht nur darum, was Unternehmen intern aufbauen, sondern auch darum, worauf sie sich extern verlassen. Es ist von entscheidender Bedeutung, mit Anbietern und Cloud-Partnern zusammenzuarbeiten, die mit den quantensicheren Standards Schritt halten.
Ein guter Anbieter zeichnet sich also durch folgende Merkmale aus:
- Er hält sich an die NIST-Standards und führt keine eigenen Algorithmen ein.
- Er ist hinsichtlich des unternehmensspezifischen Zeitplans für die Umsetzung der Post-Quantum-Bereitschaft transparent.
- Er bietet Sandbox-Umgebungen zum Testen der PQC-Leistung und -Kompatibilität an, ohne den Produktionsstack zu beeinträchtigen.
- Er vereinfacht den Wechsel – ohne vollständige Neuprogrammierung und ohne mühsame Migrationen. Er schaltet einfach zum richtigen Zeitpunkt um.
Intern ist es jetzt an der Zeit, die Kryptografie-Landschaft genau unter die Lupe zu nehmen. IT-Verantwortliche sollten überprüfen, wo in ihrem Unternehmen tatsächlich Verschlüsselung eingesetzt wird. Schwachstellen liegen oft in den Lücken. Sie sollten damit beginnen, quantensichere Algorithmen als Leitprinzip in ihr zentrales Sicherheitskonzept zu integrieren.
Extern ist es jetzt an der Zeit, Anbieter in die Verantwortung zu nehmen. Die Frage ist hier nicht nur, ob sie Post-Quanten-Standards unterstützen, sondern auch, wie und wann sie diese umsetzen wollen. Sobald Quantencomputer die Grenze vom Potenzial zur Gegenwart überschreiten, haben Unternehmen keine zweite Chance mehr, die bereits offengelegten Daten zu schützen.
Über den Autor:
Steve Riley ist Vice President und Field CTO bei Netskope. Seine Arbeit umfasst die Gestaltung der langfristigen Technologiestrategie und die Beratung von Führungskräften und Kunden. Zuvor war Steve Riley fünf Jahre lang führender Analyst bei Gartner, wo er die wichtigsten Studien im Bereich Cloud-Sicherheit verantwortete. Seine umfangreiche Karriere umfasst außerdem leitende Positionen bei Riverbed Technology (stellvertretender CTO), Amazon Web Services (AWS) und Microsoft, wo er verschiedene Rollen in der Sicherheitsstrategie und im technischen Programmmanagement innehatte.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
