Was ist Harvest Now, Decrypt Later (HNDL)?

Harvest Now, Decrypt Later (HNDL) ist eine Angriffsstrategie, bei der ein Angreifer heute verschlüsselte Daten sammelt und speichert, um sie in der Zukunft zu entschlüsseln, sobald ein kryptografisch relevanter Quantencomputer die Verschlüsselung, die sie schützt, knacken kann.

„Jetzt sammeln, später entschlüsseln“ (auch „Jetzt speichern, später entschlüsseln“ genannt) stellt bereits heute eine Bedrohung dar, obwohl die dafür benötigten Quantencomputer noch nicht existieren. Ein Angreifer zeichnet verschlüsselten Datenverkehr auf oder stiehlt verschlüsselte Archive und wartet dann ab. Sobald ein Quantencomputer verfügbar ist, der RSA- und Elliptische-Kurven-Verschlüsselung knacken kann, werden die gesammelten Daten lesbar. Jedes Geheimnis, das jahrelang vertraulich bleiben muss, ist somit bereits gefährdet.

Wichtige Erkenntnisse

• HNDL bezeichnet die Praxis, verschlüsselte Daten jetzt zu erfassen und sie später zu entschlüsseln, sobald ein kryptografisch geeigneter Quantencomputer (CRQC) existiert. Mehrere nationale Cybersicherheitsbehörden haben bestätigt, dass dies bereits praktiziert wird.
• Die Bedrohung ist gegenwärtig, nicht zukünftig: Sobald ein Angreifer Ihren Chiffretext abfängt, ist jedes Geheimnis, das Ihren Migrationszeitraum überdauern muss, aufgedeckt.
• Shors Algorithmus auf einem zukünftigen Quantencomputer knackt die für den Schlüsselaustausch und digitale Signaturen verwendete Public-Key-Kryptographie (RSA, ECC, Diffie-Hellman). Symmetrische Verschlüsselungsverfahren wie AES-256 bleiben sicher.
• Die Mosca-Ungleichung (X + Y > Z) ist die Standardmethode, um die Dringlichkeit zu beurteilen: Wenn die erforderliche Vertraulichkeitsfrist Ihrer Daten zuzüglich Ihrer Migrationszeit die Zeit bis zu einer CRQC überschreitet, sind Sie bereits gefährdet.
• Die Verteidigungsmaßnahme besteht darin, die Schlüsselerzeugung auf Post-Quanten- oder Hybridkryptographie umzustellen, bevor das Zeitfenster für die Datenerfassung abläuft, beginnend mit Ihren am längsten gespeicherten sensiblen Daten.

So funktioniert Ernten jetzt, Entschlüsseln später

HNDL trennt den Zeitpunkt des Datendiebstahls vom Zeitpunkt der Datenoffenlegung. Diese Trennung unterscheidet es von einem herkömmlichen Datenleck.

• Ernte: Heutzutage fängt ein Angreifer verschlüsselte Daten ab und archiviert sie: TLS-geschützten Netzwerkverkehr, VPN-Sitzungen, verschlüsselte Backups oder exfiltrierte verschlüsselte Dateien. Da er sie noch nicht lesen kann, speichert er sie einfach.
• Warten: Die Daten befinden sich im Speicher des Gegners. Da Speicherplatz günstig ist und geduldige Gegner wie Nationalstaaten jahrelang warten können, verursacht dieser Schritt nur sehr geringe Kosten.
• Entschlüsseln: Sobald ein kryptografisch relevanter Quantencomputer verfügbar ist, nutzt der Angreifer ihn, um den öffentlichen Schlüssel zu knacken. Geheimschrift das die gesammelten Daten schützt und alles von dauerhaftem Wert liest.

Das Beunruhigende daran ist, dass der Datenverlust im Moment seines Auftretens unsichtbar bleibt. Daten, die im Jahr 2026 erfasst wurden, werden möglicherweise erst Jahre später entschlüsselt, und das Opfer erfährt unter Umständen nie von der Entschlüsselung, bis die Klartextdaten auftauchen.

Warum dies ein Problem der Gegenwart und nicht der Zukunft ist

Es ist verlockend, das Quantenrisiko als etwas zu betrachten, das erst mit der Verfügbarkeit von Quantencomputern bewältigt werden kann. HNDL schließt diese Möglichkeit aus. Das Risiko beginnt in dem Moment, in dem der Chiffretext erfasst wird. Das bedeutet, dass Daten, die Sie heute übertragen oder speichern, bereits gefährdet sind, wenn sie auch nach der Verfügbarkeit eines leistungsfähigen Quantencomputers vertraulich bleiben sollen.

Dieses Risiko beruht auf einem Ergebnis aus den 1990er Jahren. Peter Shor zeigte, dass ein ausreichend leistungsstarker Quantencomputer große ganze Zahlen effizient faktorisieren und das Problem des diskreten Logarithmus lösen kann, welches RSA, die elliptische Kurvenkryptographie und den Diffie-Hellman-Schlüsselaustausch bricht. Diese Algorithmen schützen heute nahezu die gesamte sichere Kommunikation. Symmetrische Kryptographie ist deutlich widerstandsfähiger: Grovers Algorithmus bietet lediglich eine quadratische Beschleunigung, sodass AES-256 auch in einer post-quantenmechanischen Welt sicher bleibt. Die Schwachstelle konzentriert sich auf die Schlüsselerzeugung mit öffentlichen Schlüsseln, also genau das, was Daten während der Übertragung schützt.

Moscas Ungleichheitsmodell: Messen Sie Ihr Expositionsrisiko

Die klarste Methode, die Dringlichkeit von HNDL zu begründen, ist ein Rahmenwerk, das von dem Kryptographen Michele Mosca von der Universität Waterloo eingeführt und 2018 in IEEE Security & Privacy veröffentlicht wurde. Es wird als einfache Ungleichung ausgedrückt:

Moscas Ungleichheit
Wenn X + Y > Z, sind Ihre Daten gefährdet.

X = Wie lange Ihre Daten vertraulich bleiben müssen
Y = Wie lange wird Ihre Migration zur Post-Quanten-Kryptographie dauern?
Z = wie lange es dauern wird, bis ein kryptografisch relevanter Quantencomputer existiert

Die Erkenntnis ist, dass man nicht genau wissen muss, wann ein Quantencomputer verfügbar sein wird, um zu wissen, dass man ein Problem hat. Stellen Sie sich eine Organisation vor, deren Daten 10 Jahre lang vertraulich bleiben müssen (X = 10) und deren realistischer Migrationszeitraum 7 Jahre beträgt (Y = 7). Selbst bei einer optimistischen Schätzung von 15 Jahren für einen Quantencomputer (Z = 15) ergibt die Rechnung 10 + 7 = 17, was größer als 15 ist. Diese Daten sind also bereits offengelegt, und die Migration hätte vor zwei Jahren beginnen müssen.

Die Schätzungen für Z variieren und sind naturgemäß unsicher. Der „Quantum Threat Timeline Report 2024“ des Global Risk Institute, verfasst von Mosca und Marco Piani, verortet die Wahrscheinlichkeit für einen kryptografisch relevanten Quantencomputer im Bereich von 2033 bis 2037. Dies sind Expertenschätzungen, keine Gewissheiten, und die Entwicklung einer solchen Maschine wird möglicherweise nicht öffentlich angekündigt. Für die Planung ist es daher ratsam, Z als unsicher zu betrachten und auf die beeinflussbaren Variablen X und Y zu reagieren.

Welche Daten sind am stärksten gefährdet?

Das Risiko bei HNDL-Daten ist proportional zur Dauer der erforderlichen Geheimhaltung. Kurzlebige Daten mit einer Speicherdauer von wenigen Minuten sind weitgehend sicher. Das Risiko konzentriert sich hingegen auf Daten, die eine lange Vertraulichkeitspflicht erfüllen müssen.

Datentyp	Typisches Vertraulichkeitsbedürfnis	HNDL-Exposition
Sitzungstoken, einmalige Daten	Minuten bis Stunden	Niedrig
Aufzeichnungen finanzieller Transaktionen	7 bis 10 Jahre	Hoch
Gesundheits- und Krankenakten	Jahrzehnte (Lebenszeit des Patienten)	Sehr hohe
Regierungs- und Verteidigungsgeheimnisse	Jahrzehntelange	Sehr hohe
Geistiges Eigentum, Geschäftsgeheimnisse	Unbestimmt	Sehr hohe
Verschlüsselungsschlüssel, Anmeldeinformationen	Bis zur Drehung	Hoch

Wenn Ihre Organisation Daten in den Kategorien „hoch“ oder „sehr hoch“ speichert und diese mit klassischer Public-Key-Kryptographie überträgt oder speichert, sind diese Daten heute ein Kandidat für die Datenerfassung.

Wie man sich gegen HNDL verteidigt

Der einzig dauerhafte Schutz besteht darin, auf die Verschlüsselung langlebiger Daten mit Verfahren zu verzichten, die ein Quantencomputer knacken kann. In der Praxis bedeutet dies eine geplante Migration zur Post-Quanten-Kryptographie ( PQC ), priorisiert nach der Datenlebensdauer.

• Erstellen Sie eine Bestandsaufnahme Ihrer Kryptographie: Was man nicht sieht, kann man nicht schützen. Erstellen Sie ein kryptografisches Inventar (a CBOM) der in Ihrer Umgebung verwendeten Algorithmen, Schlüssel, Zertifikate und Protokolle.
• Priorisierung nach Datenlebensdauer: Nutzen Sie die Mosca-Ungleichung, um Systeme zu ordnen. Die Daten mit den längsten Vertraulichkeitsanforderungen und der längsten Migrationszeit werden zuerst berücksichtigt.
• Einführung eines Post-Quanten- oder Hybrid-Schlüsselaustauschs: Umstellung wichtiger Einrichtungsprozesse auf NIST-standardisierte Algorithmen wie z. B. ML-KEM (FIPS 203), wird häufig in einem Hybridmodus eingesetzt, der während des Übergangs einen klassischen und einen Post-Quanten-Algorithmus kombiniert.
• Krypto-Agilität aufbauen: Entwerfen Sie Systeme so, dass Algorithmen ausgetauscht werden können, ohne dass eine Neuarchitektur erforderlich ist, denn Standards und Richtlinien werden sich ständig weiterentwickeln.
• Schützen Sie die Daten zuerst während der Übertragung: Der TLS-Datenverkehr ist das am häufigsten abgefangene Ziel, daher sollte dem Post-Quantum-Schlüsselaustausch für Netzwerkprotokolle Priorität eingeräumt werden.

Wie Verschlüsselungsberatung hilft

Die Post-Quanten-Kryptografie-Beratungsdienste von Encryption Consulting unterstützen Unternehmen dabei, HNDL-Risiken (High-Data-Limited Data) in der richtigen Reihenfolge anzugehen. Wir erstellen ein kryptografisches Inventar Ihrer Umgebung, wenden die Mosca-Ungleichung an, um Ihre langlebigsten und sensibelsten Daten zu priorisieren, und entwickeln einen Migrationsplan zu NIST-standardisierten Post-Quanten-Algorithmen wie ML-KEM (FIPS 203) und ML-DSA (FIPS 204). Dabei setzen wir auf hybride Bereitstellungen, bei denen Abwärtskompatibilität wichtig ist. Das Ziel ist klar: Wir wollen sicherstellen, dass die heute erfassten Daten nicht mehr lesbar sind, wenn ein Quantencomputer verfügbar ist. Unsere Arbeit basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Was bedeutet „Harvest Now, Decrypt Later“ in einfachen Worten?

Beim sogenannten „Harvest Now, Decrypt Later“ (HNDL) stiehlt oder speichert ein Angreifer verschlüsselte Daten, obwohl er sie noch nicht lesen kann, und bewahrt sie auf, bis ein zukünftiger Quantencomputer die Verschlüsselung knacken kann. Es ist, als würde man einen verschlossenen Tresor stehlen und auf ein Werkzeug warten, das ihn später öffnen kann. Informationen, die jahrelang geheim bleiben müssen, wie Gesundheitsdaten oder Staatsgeheimnisse, sind gefährdet, da sie auch dann noch wertvoll sein werden, wenn dieses Werkzeug verfügbar ist.

Stellt „Ernten jetzt, Entschlüsseln später“ heute eine reale Bedrohung dar?

Ja. Zwar existieren die zur Entschlüsselung der Daten benötigten Quantencomputer noch nicht, doch das Sammeln von Daten findet bereits statt, wie mehrere nationale Cybersicherheitsbehörden öffentlich bestätigt haben. Die Bedrohung ist allgegenwärtig, da die Offenlegung beginnt, sobald Ihre verschlüsselten Daten erfasst sind. Daten, die im Jahr 2026 abgefangen werden, könnten Jahre später entschlüsselt werden. Daher ist jedes Geheimnis mit einem langen Geheimhaltungsbedarf bereits gefährdet, wenn es lediglich durch klassische Public-Key-Kryptographie geschützt ist.

Welche Art von Verschlüsselung ist anfällig für HNDL?

HNDL zielt auf Public-Key-Kryptographie ab, die für den Schlüsselaustausch und digitale Signaturen verwendet wird, insbesondere RSA, Elliptische-Kurven-Kryptographie (ECC) und Diffie-Hellman. Diese Verfahren können mit Shors Algorithmus auf einem ausreichend leistungsstarken Quantencomputer geknackt werden. Symmetrische Verschlüsselung wie AES-256 ist nicht ernsthaft gefährdet, da Grovers Algorithmus deren effektive Sicherheit lediglich halbiert, sodass AES-256 weiterhin sicher bleibt. Die praktische Schwachstelle liegt in der Schlüsselerzeugung, die Daten während der Übertragung schützt. Daher ist TLS-Datenverkehr ein bevorzugtes Ziel für Angriffe.

Was ist Moscas Ungleichheitsmodell?

Die Mosca-Ungleichung ist ein vom Kryptographen Michele Mosca entwickeltes Modell zur Beurteilung der Dringlichkeit einer Quantenmigration. Sie besagt: Wenn X plus Y größer als Z ist, sind Ihre Daten gefährdet. Dabei steht X für die Dauer, für die Ihre Daten vertraulich bleiben müssen, Y für die Dauer der Migration und Z für die Zeit, die ein Quantencomputer benötigt, um Ihre Verschlüsselung zu knacken. Kurz gesagt: Wenn die Lebensdauer Ihrer Daten und die Migrationszeit zusammen die Zeit bis zur Verfügbarkeit eines Quantencomputers überschreiten, ist es bereits zu spät und Sie sollten umgehend mit der Migration beginnen.

Wann werden Quantencomputer in der Lage sein, Verschlüsselungen zu knacken?

Niemand weiß es genau, und die Ankunft einer solchen Maschine wird möglicherweise nicht öffentlich bekannt gegeben. Die Einschätzungen von Experten gehen auseinander: Der „Quantum Threat Timeline Report 2024“ des Global Risk Institute beziffert die Wahrscheinlichkeit für das Auftreten einer solchen Maschine auf etwa 2033 bis 2037. Da der Zeitpunkt ungewiss ist und früher als erwartet eintreten könnte und die Migration Jahre dauert, ist es ratsam, jetzt auf die beeinflussbaren Faktoren zu reagieren, anstatt auf ein bestätigtes Datum zu warten.

Wie kann ich meine Organisation vor HNDL schützen?

Beginnen Sie mit einer Bestandsaufnahme Ihrer Kryptografie, um die verwendeten Algorithmen, Schlüssel und Protokolle zu ermitteln. Nutzen Sie die Mosca-Ungleichung, um Systeme zu priorisieren, die Ihre langlebigsten und sensibelsten Daten verarbeiten. Migrieren Sie anschließend die Schlüsselerzeugung auf NIST-standardisierte Post-Quanten-Algorithmen wie ML-KEM (FIPS 203), oft in einem Hybridmodus parallel zu klassischen Algorithmen während der Übergangsphase, und entwickeln Sie eine flexible Kryptografie-Umgebung, um zukünftige Algorithmusänderungen zu vereinfachen. Schützen Sie Daten während der Übertragung, insbesondere TLS-Datenverkehr, vorrangig.

Schützen Sie Ihre Daten, bevor das Datenerfassungsfenster schließt.

Die heute gesammelten Daten sind nur dann sicher, wenn sie mit einem Quantencomputer nicht mehr lesbar sind. Nutzen Sie die PQC-Beratungsdienste von Encryption Consulting , um Ihre Kryptografie zu analysieren, Ihre sicherheitsrelevantesten Daten zu priorisieren und die Migration zu quantensicheren Algorithmen zu planen.