Das NIST finalisierte die Post-Quanten-Standards im Jahr 2024, und optimistischere Prognosen gehen von einem kryptografisch relevanten Quantencomputer um das Jahr 2030 aus. Beginnt die Migration also jetzt und ist in wenigen Jahren abgeschlossen, besteht ausreichend Spielraum, bevor es zu Problemen kommt. Es gibt eine verlockende, aber gefährlich falsche Herangehensweise an die Bedrohung der Kryptografie durch Quantencomputer. Genau diese Denkweise macht Organisationen angreifbar, was sich mit einer einfachen Rechnung erklären lässt.
Diese Berechnung basiert auf dem Mosca-Theorem, einem Risiko-Timing-Modell, das von der kanadischen Kryptografin Dr. Michele Mosca, Mitbegründerin des Instituts für Quantencomputing an der Universität Waterloo und Mitautorin der jährlichen Berichte des Global Risk Institute zur Quantenbedrohung, entwickelt wurde . Das Theorem verlangt nicht, den genauen Zeitpunkt vorherzusagen, an dem Quantencomputer Verschlüsselungen knacken werden – zum Glück, denn das kann niemand. Stattdessen formuliert es das gesamte Problem neu und stellt eine Frage, die sich tatsächlich beantworten lässt: Können Sie die Migration rechtzeitig abschließen, wenn man bedenkt, wie lange Ihre Daten geheim bleiben müssen und wie lange sie dauern wird?
Dieser Blog erklärt das Mosca-Theorem in einfachen Worten, geht anhand aktueller Daten aus dem Jahr 2026 auf jede seiner drei Variablen ein und zeigt Ihnen, wie Sie Ihr persönliches Q-Day- Risikofenster berechnen können.
Die Frage, welche Antworten der Satz von Mosca liefert
Die meisten Diskussionen über die Bedrohung durch Quantencomputer verharren bei einer einzigen, unbeantwortbaren Frage: Wann genau wird ein Quantencomputer RSA und ECC knacken können ? Dies ist die falsche Frage, um die Planung zu gestalten, denn die ehrliche Antwort ist eine Wahrscheinlichkeitsverteilung mit einem Bereich, kein konkretes Datum. Auf Gewissheit über dieses Datum zu warten, bedeutet, zu warten, bis es für ein Eingreifen viel zu spät ist.
Moscas Geniestreich bestand darin, die unbeantwortbare Frage gänzlich zu umgehen. Anstatt zu fragen „Wann wird die Bedrohung eintreten?“, fragt das Theorem: „Werde ich sicher sein, wenn sie eintritt?“ und zeigt, dass man die zweite Frage selbst bei großer Unsicherheit bezüglich der ersten beantworten kann. Das Modell erkennt an, dass die Quantenbedrohung kein einzelnes zukünftiges Ereignis ist, auf das man sich in letzter Minute vorbereiten kann. Es handelt sich um eine Frist, die bereits jetzt auf die heute erzeugten Daten drängt, da viele dieser Daten über Jahre oder Jahrzehnte hinweg vertraulich bleiben müssen.
Die Bedeutung dieser Vorgehensweise liegt im Bedrohungsmodell „ Ernten und später Entschlüsseln“ . Angreifer mit den entsprechenden Ressourcen erfassen und archivieren vermutlich bereits heute verschlüsselte Daten, um sie zu entschlüsseln, sobald ein leistungsfähiger Quantencomputer verfügbar ist. Das bedeutet, dass Daten, die aktuell mit RSA oder ECC verschlüsselt sind, bereits gefährdet sind, wenn ihre Vertraulichkeit auch nach der Marktreife von Quantencomputern erhalten bleiben soll. Die Verschlüsselung ist zwar noch nicht geknackt, aber der Geheimtext befindet sich bereits im Archiv eines Angreifers und wartet darauf, entdeckt zu werden. Das Mosca-Theorem ist das Werkzeug, mit dem Sie anhand einer einzigen, eleganten Gleichung feststellen können, ob Ihre Daten in diese Kategorie fallen.
Die Formel: X + Y > Z
Im Kern ist der Satz von Mosca ein Vergleich zwischen drei Zeitabschnitten, ausgedrückt als einfache Ungleichung:
Wenn X + Y > Z, dann haben Sie ein Problem.
Die drei Variablen stehen jeweils für eine Anzahl von Jahren und beantworten eine spezifische Frage zu Ihrer Situation:
| Variable | Was es darstellt | Die Frage, die es beantwortet |
|---|---|---|
| X | Sicherheitshaltbarkeit | Wie lange müssen Ihre Daten vertraulich bleiben? |
| Y | Migrationszeit | Wie lange wird Ihr Übergang zur Post-Quanten-Kryptographie dauern? |
| Z | Zusammenbruchzeit | Wie viele Jahre wird es dauern, bis ein Quantencomputer die heutige Kryptographie knacken kann? |
Die Logik ist einfach, sobald man versteht, was gemessen wird. X plus Y ist die Gesamtzeit ab jetzt, bis Ihre Daten vollständig quantensicher geschützt sind und die erforderliche Vertraulichkeitsfrist abgelaufen ist. Z ist die Zeit ab jetzt, bis die Bedrohung, die diese Daten kompromittieren kann, tatsächlich existiert. Ist die erste Größe größer als die zweite, gibt es ein Zeitfenster, in dem Ihre sensiblen Daten weiterhin vertraulich bleiben müssen, nur durch quantenanfällige Kryptografie geschützt sind und einem bereits existierenden Quantencomputer ausgesetzt sind. Diese Überschneidung ist der Zeitraum der Gefährdung und repräsentiert Daten, die kompromittiert werden.
Das Framework wurde 2015 von Mosca erstmals veröffentlicht und hat sich zum Standardwerk für CISOs, Regierungsbehörden und Risikokomitees entwickelt, um ihre Migrationszeitpläne nach der Quantenintegration zu kalibrieren. Sie müssen Z nicht exakt kennen. Es genügt der Nachweis, dass die Summe aus X und Y so lang ist, dass selbst eine optimistische Schätzung von Z Sie nicht ausreichend absichert. Für viele Organisationen trifft genau das zu.
Berechnung Ihres eigenen Risikofensters
Sie können Moscas Theorem mithilfe einer einfachen Übung auf Ihr eigenes Unternehmen anwenden. Der Vorteil dieser Übung liegt darin, dass sie eine abstrakte, lähmende Bedrohung in einen konkreten, priorisierten Plan umwandelt. Der Prozess umfasst drei Schritte, einen für jede Variable.
Ermitteln Sie zunächst Ihren X-Wert, indem Sie Ihre Datenklassen inventarisieren und diejenige mit der längsten Vertraulichkeitsanforderung identifizieren. Betrachten Sie alle Kategorien sensibler Informationen, von kurzlebigen Token bis hin zu permanenten Datensätzen, und finden Sie die Daten, die am längsten geheim bleiben müssen. Gesetzliche Aufbewahrungspflichten, vertragliche Geheimhaltungsverpflichtungen und die Art der Daten selbst, wie beispielsweise Gesundheits- oder genetische Informationen, spielen dabei eine Rolle. Die Datenklasse mit der längsten Aufbewahrungsfrist bestimmt Ihren X-Wert, da diese Daten am stärksten der Bedrohung „Erfassen und später entschlüsseln“ ausgesetzt sind.
Zweitens: Schätzen Sie Ihren Zeitaufwand (Y) realistisch ein und berücksichtigen Sie die gesamte Migration: kryptografische Ermittlung , Abhängigkeitsanalyse, noch unbekannte Abhängigkeiten, Zeitpläne von Anbietern und Drittanbietern, Hardware-Upgrades oder -Austausch, Tests und schrittweise Einführung. Für mittelständische Unternehmen mit einer fokussierten IT-Umgebung sind drei bis fünf Jahre ein realistischer Ausgangspunkt. Große Unternehmen mit weitläufigen, voneinander abhängigen Systemen sollten hingegen mit zehn Jahren oder mehr rechnen, bis eine Bedarfsanalyse andere Ergebnisse liefert. Ein Migrationszeitraum, der auf dem Papier kurz erscheint, dauert in der Praxis fast immer länger.
Drittens sollten Sie Ihren Z-Wert anhand Ihrer Risikobereitschaft und nicht aufgrund von Wunschdenken wählen. Der aktuelle Expertenkonsens geht von einer signifikanten Wahrscheinlichkeit für einen CRQC innerhalb der nächsten zehn Jahre und einer mittleren Schätzung Anfang der 2030er-Jahre aus, wobei sich der Zeitraum tendenziell verkürzt. Eine konservative, nachvollziehbare Planung geht von einem Z-Wert von etwa zehn Jahren aus, während eine risikoscheue Haltung, die für hochsensible Daten angemessen ist, einen noch kürzeren Zeitraum ansetzt. Sobald Sie alle drei Werte kennen, ist der Vergleich unmittelbar möglich. Übersteigt die Summe aus X und Y Ihren gewählten Z-Wert, befinden Sie sich auf der falschen Seite der Ungleichheit, und die Differenz zwischen ihnen ist ein grober Indikator für Ihr Risiko.
Wie Verschlüsselungsberatung helfen kann
Moscas Theorem macht aus einer abstrakten Bedrohung ein konkretes Planungsproblem. Die Variable, die es als Angriffsziel vorgibt, ist Y – Ihre Migrationszeit. Die sichere Reduzierung dieser Variable und der Nachweis der erfolgreichen Reduzierung sind genau die Aufgaben, die Encryption Consulting unterstützt. Unser Ansatz entspricht dabei exakt den Schritten, die das Theorem priorisiert.
Die Grundlage jeder Reaktion auf Ungleichheit ist die Kenntnis des vorhandenen Wissens. Deshalb beginnt unsere Arbeit so oft mit der kryptografischen Ermittlung. Unsere CBOM Secure- Lösung führt eine kontinuierliche Ermittlung in Ihrer gesamten Umgebung durch und identifiziert jedes verwendete Zertifikat, jeden Schlüssel, jeden Algorithmus und jede kryptografische Abhängigkeit – auch solche, die an Stellen verborgen sind, die manuelle Prüfungen regelmäßig übersehen. Da die Ermittlung in der Regel die längste und am meisten unterschätzte Phase einer Migration ist, ist ihre Automatisierung eine der effektivsten Methoden, um den Aufwand zu minimieren und anhand realer Daten statt Vermutungen genau zu ermitteln, wie gefährdet Ihre wichtigsten Informationen tatsächlich sind.
Ausgehend von diesem Inventar helfen Ihnen unsere Post-Quantum Cryptographic Advisory Services dabei, das Ergebnis des Theorems in einen sequenziellen Migrationsfahrplan zu übersetzen, die Datenklassen mit der längsten Haltbarkeit zu priorisieren, die kryptoagilen Architektur zu entwerfen, die verhindert, dass der nächste Übergang so schmerzhaft wird wie dieser, und den hybriden Bereitstellungsansatz zu strukturieren, der neue Daten sofort schützt, während Legacy-Systeme migriert werden.
Da ein Großteil des Quantenrisikos in den Signaturen und Schlüsseln konzentriert ist, die Software und langlebige Daten schützen, unterstützt unser Produktportfolio die Migration mit unserer CodeSign Secure- Plattform, die produktionsreife Signaturen mit den NIST-Post-Quanten-Algorithmen ML-DSA und SLH-DSA als abtrennbare Signaturen bietet, die Artefakte während des Übergangs sowohl mit klassischen als auch mit quantensicheren Signaturen schützen, unterstützt durch Hardware-Sicherheitsmodule, sodass die zugrunde liegenden Schlüssel nach höchsten Standards geschützt sind.
Für Organisationen, die die Hardware-Grundlage als verwaltete Funktion benötigen, bietet unser HSM-as-a-Service -Angebot einen FIPS-validierten, herstellerunabhängigen Schlüsselschutz, der die quantensichere Infrastruktur verankern kann, ohne dass die Last des internen Hardwarebetriebs entsteht.
Bei der Analyse, Beratung und den Produkten, die die Migration durchführen, ist der rote Faden der, auf den das Theorem hinweist: Je früher man beginnt und je schneller man sicher umsteigen kann, desto kleiner wird das Zeitfenster für Risiken, und Organisationen dabei zu helfen, schnell und korrekt umzusteigen, ist unsere Aufgabe.
Fazit
Moscas Theorem hat Bestand, weil es den wohl größten Hemmschuh der Quantenbedrohung – die Unmöglichkeit, den genauen Zeitpunkt des Knackens von Verschlüsselungen durch Quantencomputer vorherzusagen – durchbricht und ihn durch eine tatsächlich beantwortbare Frage ersetzt. Sie müssen den Q-Day nicht vorhersagen. Sie müssen lediglich ehrlich einschätzen, wie lange Ihre Daten geheim bleiben müssen, realistisch einschätzen, wie lange Ihre Migration dauern wird, und bereit sein, diese Summe mit einer selbst optimistischen Schätzung des Zeitpunkts des Bedrohungseintritts zu vergleichen.
Für die meisten Organisationen, die Daten verarbeiten, die ein Jahrzehnt oder länger vertraulich bleiben müssen, führt dieser Vergleich zu einem ernüchternden Ergebnis: Das Zeitfenster für reaktives Handeln ist bereits geschlossen. Der Grund dafür liegt in der Kombination dreier Faktoren, die das Theorem verdeutlicht. Die Aufbewahrungsdauer von Daten ist lang und weitgehend festgelegt. Migrationszeiten werden in Jahren und oft in mehr als einem Jahrzehnt gemessen. Die konstruktive Reaktion ist nicht Panik, sondern Handeln – und zwar gezielt auf die eine Variable, die Sie kontrollieren können.
Beginnen Sie jetzt mit Ihrer kryptografischen Analyse, priorisieren Sie Ihre langlebigsten Daten, setzen Sie auf Krypto-Agilität und verkürzen Sie Ihre Migrationszeit so weit wie möglich. Bei Encryption Consulting sind unsere Analyse-, Beratungs- und Signaturfunktionen genau darauf ausgerichtet, Sie dabei zu unterstützen.
