Warum Ihr kryptografisches Inventar Ihr Hauptschlüssel ist: Leitfaden für Enterprise PQC

Man kann nicht schützen, was man nicht sieht. Während sich die meisten Unternehmen auf sichtbare Bedrohungen wie Malware und Hacker konzentrieren, ist die verborgene Ebene der Kryptografie oft unerforschtes Terrain. Sie bildet das Fundament, das alles sichert – von Kundendaten bis hin zu Finanztransaktionen. Wenn Sie nicht wissen, welche kryptografischen Assets Sie besitzen, wo diese eingesetzt werden, wem sie gehören und welches Quantenrisiko sie bergen, fehlt Ihnen die nötige Transparenz, um Ihre Sicherheit souverän zu managen. Ein kryptografisches Inventar ist der Schlüssel: Es bietet einen klaren, kontinuierlich aktualisierten Überblick über jeden Algorithmus, Schlüssel, jedes Zertifikat und jedes Protokoll in Ihrer digitalen Umgebung. Artikel 9 des DORA-Gesetzes und die PCI-DSS-Anforderung 12.3.3 machen es seit Anfang 2025 zur gesetzlichen Pflicht. Die NIST FIPS 203, 204 und 205, die im August 2024 finalisiert wurden, machen es zur technischen Voraussetzung für die PQC-Migration. Die empfohlene Vorgehensweise: Erstellen Sie noch heute ein kontinuierlich aktualisiertes kryptografisches Inventar, denn jede Compliance-Anforderung und jede Migrationsinitiative hängt davon ab. Die Methodik zur Bestandsermittlung wird im Artikel „ You Can't Secure What You Can't See“ erläutert.

Kurzantwort: Warum ist ein kryptografisches Inventar Ihr Generalschlüssel?

Ein kryptografisches Inventar ist unerlässlich, da eine PQC-Migration ohne Kenntnis der Systeme, die quantenanfällige Algorithmen verwenden, nicht geplant werden kann. Artikel 9.2 des DORA-Gesetzes und Anforderung 12.3.3 des PCI DSS-Standards schreiben ein dokumentiertes Inventar als verbindliche Verpflichtung vor. Die Reaktion auf eine kryptografische Schwachstelle oder den Ablauf eines Zertifikats dauert ohne ein solches Inventar Tage, mit einem Inventar hingegen nur Stunden. Systeme, die HNDL-gefährdet sind, können ohne die Zuordnung der Algorithmusnutzung zur Datenvertraulichkeitsdauer nicht für eine prioritäre Migration identifiziert werden. Den vollständigen Kontext der PQC-Migration finden Sie unter „ Wichtige Schritte für die Post-Quanten-Kryptografie-Bereitschaft“ . Informationen zum CBOM-Format, das das Inventar strukturiert, finden Sie unter „ Warum ein CBOM heute wichtiger denn je ist“.

Aktuelle Standards und Fristen, die das Inventar berücksichtigen muss

Ein kryptografisches Inventar eignet sich nicht als allgemeine Anlagenliste. Es muss so strukturiert sein, dass es die spezifischen Compliance- und Migrationsentscheidungen unterstützt, die davon abhängen. Das Inventar muss die Nachverfolgung anhand der folgenden aktiven Anforderungen ermöglichen:

Norm / Anforderung	Was die Bestandsaufnahme erfassen muss	Status
DORA Artikel 9.2 und 7.4	Alle kryptografischen Assets und alle digitalen Zertifikate mit den Geräten, die sie speichern	In Kraft seit dem 17. Januar 2025
PCI DSS-Anforderung 12.3.3	Alle Verschlüsselungssuiten und Protokolle mit wirtschaftlicher Begründung, Überwachung der Machbarkeit und Reaktionsstrategie	In Kraft seit dem 31. März 2025
NIST IR 8547 (RSA/ECC veraltet)	Alle RSA- und ECC-Schlüssel und -Zertifikate; Schlüssellänge und Ablaufdatum	Außerkraftsetzung bis 2030; Nichtzulassung bis 2035
FIPS 203 (ML-KEM)	Welche Schlüsselaustauschvorgänge verwenden RSA oder ECDH und müssen auf ML-KEM migriert werden?	Fertigstellung August 2024
FIPS 204 (ML-DSA)	Welche Signaturvorgänge verwenden RSA oder ECDSA und müssen auf ML-DSA migriert werden?	Fertigstellung August 2024
CNSA 2.0 (NSS-Lieferkette)	Alle asymmetrischen Algorithmen in NSS-benachbarten Systemen	Neue Akquisitionen: Januar 2027

Die vier Säulen eines strategischen kryptografischen Inventars

Der Aufbau eines umfassenden Inventars ist eine monumentale Aufgabe, die jedoch in einen strukturierten, überschaubaren Prozess auf der Grundlage von vier Hauptsäulen unterteilt werden kann, die sicherstellen, dass keine Ebene Ihrer digitalen Umgebung übersehen wird.

• Netzwerk und Infrastruktur

  Dieser Bereich konzentriert sich sowohl auf Ihre externen als auch internen Netzwerke. Sie müssen alle von außerhalb Ihres Netzwerks sichtbaren kryptografischen Maßnahmen dokumentieren, beispielsweise SSL/TLS-Zertifikate für die Kundenkommunikation. Eine Bestandsaufnahme dieser Ressourcen stellt sicher, dass Sie starke Protokolle wie TLS 1.3 verwenden und Zertifikate vor deren Ablauf erneuern, um das Abfangen sensibler Daten zu verhindern. Intern müssen Sie die Verschlüsselungsprotokolle für alle Daten, die zwischen Ihren Systemen und Geräten übertragen werden, überprüfen, um veraltete Protokolle zu kennzeichnen und eine korrekte Konfiguration sicherzustellen. Die passive Netzwerkverkehrsanalyse ist die einzige Methode, die aufdeckt, welche kryptografischen Protokolle tatsächlich im Produktivbetrieb ausgehandelt werden und nicht nur die, die laut Konfiguration verfügbar sein sollten.

• IT-Assets und Datenbanken

  Dieser Bereich befasst sich mit ruhenden Daten auf Ihren Endgeräten, Servern und Speichern. Er umfasst die Analyse der Verschlüsselungspraktiken auf allen IT-Ressourcen – von Mitarbeiterlaptops bis hin zu IoT-Geräten – und die Sicherstellung, dass moderne, starke Algorithmen wie AES-256 zum Einsatz kommen. Datenbanken, die ein Hauptziel von Cyberangriffen darstellen, müssen insbesondere hinsichtlich ihrer Verschlüsselungsmechanismen und Schlüsselverwaltung analysiert werden. AES-128 bietet eine geringere Sicherheit gegenüber dem Grover-Algorithmus, weshalb AES-256 für Anwendungen nach der Quantencomputertechnologie vorzuziehen ist.

• Anwendungen und Code

  Hier finden sich die am besten versteckten kryptografischen Anwendungen. Verschlüsselung ist oft tief in die Anwendungslogik eingebettet. Dieser Aspekt erfordert eine gründliche Code-Überprüfung sowohl proprietärer als auch Drittanbieter-Software, um alle Verschlüsselungsbibliotheken und -algorithmen zu identifizieren. Ziel ist es, veraltete Algorithmen wie MD5, SHA-1 oder RSA aufzuspüren und durch moderne Alternativen zu ersetzen. Sie benötigen automatisierte Tools, um Ihren Code zu scannen und die Software-Stücklisten (SBOMs) zu prüfen, um Schwachstellen zu erkennen, da eine manuelle Prüfung nicht alle kryptografischen Funktionsaufrufe in einer großen Codebasis abdecken kann. Das Applied Quantum PQC Migration Framework schätzt über 320 kryptografische Funktionsaufrufe in einer einzigen Mobile-Banking-Anwendung.

• Politik und Governance

  Dies ist die wichtigste Säule für langfristigen Erfolg. Sie legt die Regeln und Arbeitsabläufe fest, um die kontinuierliche Pflege Ihres Inventars zu gewährleisten, klare Verantwortlichkeiten zuzuweisen und den Prozess in bestehende Arbeitsabläufe wie Beschaffung und Änderungsmanagement zu integrieren. Ohne entsprechende Richtlinien wird ein Inventar zu einer Momentaufnahme, die schnell veraltet. Mit den richtigen Richtlinien verwandelt es sich in ein dynamisches Asset, das Ihr Unternehmen kontinuierlich vor komplexen Bedrohungen schützt und gleichzeitig eine schnelle Reaktion auf neue kryptografische Anforderungen ermöglicht. Die PCI-DSS-Anforderung 12.3.3 fordert ausdrücklich die kontinuierliche Pflege, nicht nur eine Momentaufnahme.

Mehr als eine Liste: Was Sie für einen proaktiven Plan dokumentieren müssen

Eine wirklich umfassende Bestandsaufnahme geht über die vier Säulen hinaus, indem sie mehrere wichtige Ebenen Ihres IT-Systems dokumentiert. Ziel ist es, von einer einfachen Anlagenliste zu einem priorisierten, umsetzbaren Plan zu gelangen:

• Daten- und Gerätekritikalität: Erfassen Sie nicht nur eine einfache Liste, sondern dokumentieren Sie den Geschäftswert und die Kritikalität aller sensiblen Daten sowie der zugehörigen Hardware. So stellen Sie den Zusammenhang zwischen technischen Details und Geschäftsnutzen her und begründen die Migrationsprioritäten gegenüber der Führungsebene.
• Eigentümer und Verkäufer: Ermitteln Sie, wer für jedes Asset verantwortlich ist, und dokumentieren Sie die Sicherheitsumgebung Ihrer Anbieter, einschließlich ihrer PQC-Roadmap und des geplanten Support-Zeitplans für quantensichere Algorithmen. Die Zeitpläne der Anbieter liegen vollständig außerhalb Ihrer Kontrolle; die einzige Variable, die Sie beeinflussen können, ist der Beginn der Zusammenarbeit.
• Datenlebensdauer: Um zu bestimmen, wie lange sensible Informationen vertraulich bleiben müssen, sollte ein Risikomodell mit Haltbarkeitsdauer angewendet werden. Eine Patientenakte benötigt einen deutlich längerfristigen Schutz als eine temporäre VPN-Verbindung. Dies ist entscheidend, um der Bedrohung durch nicht-humane digitale Datenverarbeitung (HNDL) zu begegnen: Systeme, die Daten übertragen, die auch dann vertraulich bleiben müssen, wenn ein Quantencomputer realistischerweise noch nicht existieren könnte, sind HNDL-gefährdet und müssen schnellstmöglich migriert werden.
• Status der Quanten-Schwachstellen: Jedes Asset sollte eine Bewertung hinsichtlich seiner Quantenanfälligkeit erhalten: quantenanfällig (RSA, ECC, DH, DSA – alle durch Shors Algorithmus geknackt), quantensicher (AES-256, SHA-3, ML-KEM, ML-DSA) oder in Prüfung. Diese Bewertung dient der Priorisierung von Behebungsmaßnahmen und der Erstellung von Berichten zur Einhaltung der Fristen gemäß NIST IR 8547 und CNSA 2.0.
• Risikopriorisierung: Durch die Kombination von Kritikalität, Schwachstellenstatus, Datenlebensdauer und HNDL-Exposition lassen sich Assets nach ihrer Priorität für die Sanierung einstufen. So werden aus Rohdaten des Inventars datengestützte Gespräche mit der Führungsebene darüber, wo Investitionen priorisiert werden sollten.

Bei diesem gesamten Prozess geht es darum, Rohdaten in eine dynamische, handlungsrelevante Strategie für Ihr Unternehmen zu verwandeln. So gelingt der Übergang von einer reaktiven zu einer proaktiven Sicherheitsumgebung.

Überwinden Sie die Herausforderungen und erstellen Sie Ihre Roadmap

Der Aufbau eines umfassenden Inventars ist keine einfache Aufgabe. Viele Organisationen leiden unter mangelnder Transparenz aufgrund von Wissenslücken, kämpfen mit organisatorischen Silos, die zu fragmentierter Zuständigkeit führen, und verlassen sich auf manuelle Prozesse, die veraltete Daten zur Folge haben. Ein strategischer Ansatz wandelt diese Herausforderungen in Chancen um:

Verabschieden Sie sich von manuellen Tabellenkalkulationen und nutzen Sie automatisierte Analysetools, um eine zentrale Übersicht über alle kryptografischen Assets zu erhalten. Diese zentrale Informationsquelle liefert die datengestützte Grundlage für einen überzeugenden Business Case, der die Unterstützung der Geschäftsleitung sichert und eine präzise Darstellung Ihrer gesamten kryptografischen Umgebung ermöglicht.

Um Ihren Bereitschaftsplan zu erstellen, befolgen Sie diese praktischen Schritte:

• Sichern Sie das Budget: Sichern Sie sich die formelle Zustimmung der Führungsebene, um die notwendigen Ressourcen und die Unterstützung für ein Projekt dieser Größenordnung bereitzustellen. Begründen Sie die Investition im Hinblick auf die bereits bestehenden Compliance-Verpflichtungen gemäß DORA und PCI DSS sowie die bevorstehenden Fristen für CNSA 2.0 für NSS-Umgebungen und Lieferketten.
• Stellen Sie ein engagiertes Team zusammen: Stellen Sie ein funktionsübergreifendes Team mit wichtigen Stakeholdern aus den Bereichen IT, Sicherheit und Anwendungseigentümer zusammen, um die Abstimmung sicherzustellen und organisatorische Silos aufzubrechen.
• Stellen Sie automatisierte Erkennungstools bereit: Nutzen Sie Tools zur statischen Analyse (SAST) und dynamischen Analyse (DAST), passive Netzwerksensoren und die Überwachung von Zertifikatstransparenzprotokollen, um kryptografische Assets kontinuierlich zu erkennen und Bestandsabweichungen zu verhindern.
• Entwurf eines detaillierten Datenmodells und Integration in die bestehende Infrastruktur: Definieren Sie einen technischen Entwurf, der wesentliche Attribute wie Algorithmustyp, Schlüssellängen, Anwendungsfälle und verschachtelte Abhängigkeiten erfasst, und verknüpfen Sie dann Ihr Inventar mit bestehenden Systemen wie Cloud-Schlüsselspeichern und HSMs um eine ganzheitliche, zentrale Sicht zu schaffen.
• Integration mit DevSecOps: Integrieren Sie den Inventarisierungsprozess in Ihre CI/CD-Pipelines, um die kontinuierliche Überwachung und Richtliniendurchsetzung zu gewährleisten. Neue Deployments sollten das Inventar automatisch aktualisieren, bevor sie in die Produktion gehen.
• Beauftragen Sie Drittanbieter: Kommunizieren Sie proaktiv mit Ihren Lieferanten, um deren PQC-Bereitschaft Stellen Sie sicher, dass Ihr Migrationszeitplan eingehalten werden kann. Prüfen Sie die Roadmap Ihres HSM-Anbieters hinsichtlich der Unterstützung von FIPS 140-3-validierter ML-KEM- und ML-DSA-Firmware.
• Vermögenswerte bewerten und priorisieren: Nutzen Sie ein quantitatives Risikomodell, um Vermögenswerte ihrem Geschäftskontext zuzuordnen und Sanierungsmaßnahmen auf Basis der Schadenshöhe, des HNDL-Risikos, der Datensensibilität und des regulatorischen Fristdrucks zu priorisieren.

Einschränkungen bei Algorithmen und Interoperabilität, die Ihr Inventar erfassen muss

Ein kryptografisches Inventar, das die Hardware- und Softwareabhängigkeiten, welche die austauschbaren Algorithmen einschränken, nicht erfasst, ist für die Migrationsplanung unzureichend. Die folgenden Einschränkungen müssen für jedes Asset dokumentiert werden:

• Lücken in der HSM-Firmware-Unterstützung: Viele nach FIPS 140-3 validierte HSMs unterstützen ML-KEM oder ML-DSA noch nicht. Das Inventar muss das HSM-Modell und die Firmware-Version für jedes kryptografische Asset erfassen, das ein HSM verwendet, und den Fahrplan des Herstellers für die Unterstützung von PQC-Algorithmen sowie den Zeitplan für die erneute Validierung nach FIPS 140-3 verfolgen.
• TLS-Bibliotheksversionen: TLS 1.3-Implementierungen müssen aktualisiert oder gepatcht werden, um PQC-Schlüsselaustauschgruppen zu unterstützen, bevor ein PQC-TLS-Handshake abgeschlossen werden kann. Die Bestandsaufnahme muss die TLS-Bibliotheksversionen aller Endpunkte und Dienste erfassen.
• Vergrößerung von Schlüssel und Signatur: ML-KEM und ML-DSA erzeugen deutlich größere öffentliche Schlüssel und Chiffretexte als RSA oder ECDSA. Die Größe der TLS-Handshake-Nachrichten nimmt zu, was in bestimmten Netzwerkkonfigurationen zu Fragmentierungsproblemen führen kann. Zertifikatsketten mit PQC-Signaturen sind größer. Das Inventar muss Systeme kennzeichnen, bei denen diese Größenänderungen Auswirkungen auf den Betrieb haben.
• Anforderungen für den Hybridmodus: Systeme, die die Interoperabilität mit noch nicht migrierten Partnern aufrechterhalten müssen, erfordern während der Übergangsphase einen Hybridbetrieb. Die Bestandsaufnahme muss die Partnerabhängigkeiten identifizieren, die den Migrationszeitplan einschränken.

Wie Verschlüsselungsberatung Ihnen helfen kann

Die Erstellung eines kryptografischen Inventars ist komplex, aber Sie müssen diese Aufgabe nicht allein bewältigen. Encryption Consulting bietet Ihnen PQC Advisory Services und CBOM Secure , unsere automatisierte Plattform zur kryptografischen Erkennung und Inventarisierung. Diese unterstützt Unternehmen beim Aufbau und der kontinuierlichen Pflege eines kryptografischen Inventars.

• PQC-Bewertung: Wir finden all Ihre Schlüssel und digitalen Assets und liefern Ihnen so einen klaren Überblick über Ihr Quantenrisiko und die Bereiche, auf die Sie sich zuerst konzentrieren sollten. Das Ergebnis ist ein vollständiges kryptografisches Inventar, angereichert mit Informationen zum Status der Quanten-Schwachstellen, zur Eigentumsweiterleitung und zu Compliance-Lücken gemäß DORA, PCI DSS 12.3.3 und CNSA 2.0.
• PQC-Strategie und Roadmap: Auf Grundlage unserer Erkenntnisse unterstützen wir Sie bei der Erstellung eines individuellen, schrittweisen Plans für den Übergang zu quantensicheren Algorithmen, ohne Ihren Geschäftsbetrieb zu beeinträchtigen. Dieser Plan orientiert sich an den Fristen von NIST und CNSA 2.0 sowie Ihrer spezifischen Risikobereitschaft.
• Händlerwahl: Wir helfen Ihnen bei der Auswahl der richtigen Tools und Technologien, indem wir Machbarkeitsstudien auf Ihren wichtigsten Systemen durchführen, einschließlich der Bestätigung der PQC-Roadmaps der HSM-Anbieter und der Bereitschaft der TLS-Bibliothek.
• PQC-Implementierung: Wir helfen Ihnen, neue, quantensichere Algorithmen reibungslos in Ihre bestehende Sicherheitsinfrastruktur zu integrieren und unterstützen hybride Bereitstellungsmethoden für die Rückwärtskompatibilität während der Übergangsphase.

Fazit

Ein kryptografisches Inventar ist mehr als ein Sicherheitsprojekt; es ist der grundlegende Schritt für jedes Unternehmen, das seine digitalen Assets zukunftssicher machen möchte. Artikel 9 des DORA und Anforderung 12.3.3 des PCI DSS machen es heute schon zur rechtlichen Verpflichtung. Die Fristen für NIST FIPS 203, 204 und 205 sowie CNSA 2.0 machen es zur technischen Voraussetzung für die PQC-Migration. Die Gefährdung durch HNDL macht es zu einer Risikomanagementmaßnahme, die nicht aufgeschoben werden kann. Indem Sie über eine einfache Liste hinausgehen und einen schrittweisen, datengesteuerten Ansatz verfolgen, können Sie eine komplexe Herausforderung in einen strategischen Vorteil verwandeln. Die Transparenz und Kontrolle, die Sie durch ein umfassendes Inventar gewinnen, ermöglichen es Ihnen, Geschäftsrisiken effektiv zu managen, Ressourcen effizient zuzuweisen und eine robuste, kryptoagilen Infrastruktur aufzubauen. Informationen zu den Discovery-Layern, die das Inventar erstellen, finden Sie unter „ Was man nicht sieht, kann man nicht sichern“ . Informationen zum CBOM-Format, das es strukturiert, finden Sie unter „ Warum ein CBOM heute wichtiger denn je ist“ . Die vollständigen Schritte zur Migrationsplanung und die Checkliste für die Implementierung finden Sie unter Unlocking the Quantum Era: Essential Steps for Post-Quantum Cryptography Readiness.

Häufig gestellte Fragen

Was ist ein kryptografisches Inventar und was beinhaltet es?

Ein kryptografisches Inventar ist ein umfassendes, fortlaufend aktualisiertes Verzeichnis aller kryptografischen Assets in der IT-Umgebung einer Organisation: alle Algorithmen und Parametersätze, Schlüssellängen und -typen, Zertifikatsdetails, Sicherheitsprotokollversionen und Verschlüsselungssuiten, Bereitstellungsort der Systeme, Eigentümer, Status von Quantensicherheitslücken, Relevanz für Compliance-Anforderungen und Migrationsstatus. Es ist so strukturiert, dass es die PQC-Migrationsplanung, die Dokumentation zur Einhaltung gesetzlicher Bestimmungen und die Reaktion auf Sicherheitsvorfälle unterstützt.

Warum ist ein kryptografisches Inventar Voraussetzung für die PQC-Migration?

Eine kryptografische Bestandsaufnahme ist Voraussetzung für die PQC-Migration, da Migrationen nur mit einer entsprechenden Zuordnung möglich sind. Die Kenntnis der zu migrierenden Algorithmen (NIST FIPS 203, 204, 205, finalisiert im August 2024) ist nur die halbe Miete. Die andere Hälfte besteht darin, zu wissen, welche Systeme RSA, ECDH, ECDSA und Diffie-Hellman verwenden und welche Hardware- und Softwareabhängigkeiten den Migrationszeitplan einschränken. Ohne eine solche Bestandsaufnahme ist die Migrationsplanung reine Spekulation.

Welche Compliance-Anforderungen schreiben ein kryptografisches Inventar vor?

Artikel 9.2 des DORA-Gesetzes verpflichtet Finanzinstitute seit dem 17. Januar 2025 zur Führung eines dokumentierten kryptografischen Anlagenregisters. Anforderung 12.3.3 des PCI DSS-Standards verlangt seit dem 31. März 2025 ein kontinuierlich aktualisiertes Inventar der verwendeten Verschlüsselungssuiten. Beides sind aktive Durchsetzungsverpflichtungen und keine Punkte der zukünftigen Roadmap.

Was ist die Bedrohung „Ernten jetzt, Entschlüsseln später“ und wie kann ein kryptografisches Inventar ihr begegnen?

HNDL (High-Long-Defense) bezeichnet die Strategie, verschlüsselte Daten zu sammeln und zu archivieren, bis ein Quantencomputer sie entschlüsseln kann. Ein kryptografisches Inventar dient der HNDL-Analyse, indem es Systeme identifiziert, die Daten mit langfristigen Vertraulichkeitsanforderungen übertragen und diese mithilfe von quantenanfälligen Algorithmen verschlüsseln. Diese Systeme sind HNDL-gefährdet und müssen schnellstmöglich migriert werden. Ohne einen kryptografischen Inventarisierungsalgorithmus, der die Datenvertraulichkeitsdauer abbildet, gibt es keine systematische Methode, HNDL-gefährdete Systeme zu identifizieren.

Wie lässt sich ein kryptografisches Inventar kontinuierlich und nicht nur als Momentaufnahme verwalten?

Die kontinuierliche Wartung erfordert die Integration mit automatisierten Erkennungstools, Versionskontrollsystemen und der Zertifikatsverwaltungsinfrastruktur. Automatisierte Tools scannen kontinuierlich Netzwerkverkehr, Code-Repositories und die Zertifikatsinfrastruktur. Das Inventar muss mit der DevSecOps-Pipeline verknüpft sein, damit neue Deployments es automatisch aktualisieren, bevor es in die Produktion geht. Die Überwachung der Certificate Transparency-Logs zeigt kontinuierlich neu ausgestellte Zertifikate, einschließlich Schattenzertifikate, an. Die PCI-DSS-Anforderung 12.3.3 fordert ausdrücklich die kontinuierliche Wartung; eine Momentaufnahme genügt nicht.