Eine Checkliste für die kryptografische Bestandsaufnahme im Post-Quanten-Zeitalter

Die digitale Transformation hat die Kryptografie als unsichtbare Grundlage der Unternehmenssicherheit in den Fokus gerückt. Für viele Unternehmen ist diese kritische Ebene jedoch ein riesiges, unerforschtes Gebiet. Angesichts der bevorstehenden Quantenzeit stellt dieser Mangel an Transparenz kein beherrschbares Risiko mehr dar, sondern eine existenzielle Bedrohung. Eine umfassende kryptografische Bestandsaufnahme ist nicht nur eine Checkliste, sondern der Leitfaden für Ihr Unternehmen auf dem Weg zur Post-Quanten-Bereitschaft.

Die strategische Bedeutung dieser Bestandsaufnahme ist klar, die eigentliche Herausforderung liegt jedoch in der Umsetzung. Diese detaillierte Checkliste geht über das „Warum“ hinaus und liefert ein praktisches „Was“ und „Wie“, um sicherzustellen, dass Ihre Bestandsaufnahme gründlich, umsetzbar und robust genug ist, um den kommenden Herausforderungen standzuhalten.

Grundlegendes zu den wichtigsten Bestandsprinzipien

Bevor Sie mit der Datenerfassung beginnen, legen Sie einen klaren Rahmen fest. Dies ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess, der kontinuierliche Verbesserung und Transparenz erfordert. Ihr Ansatz sollte sich an diesen Grundprinzipien orientieren:

• Die sechs Ws der Kryptowährung: Jedes kryptografische Asset in Ihrer Organisation muss mit diesen sechs Schlüsseldetails dokumentiert werden:
  1. Was ist die kryptografische Komponente? Dazu gehören bestimmte Schlüssel, digitale Zertifikate, Softwarebibliotheken, Hardware-Sicherheitsmodule (HSMs), usw.
  2. Wo befindet es sich? Dies identifiziert seinen Standort, sei es in einer bestimmten Anwendung, auf einem Server in einem Rechenzentrum, in einem Cloud-Tresor wie Azure Key Vault, usw.
  3. Wann wurde er erstellt und wann läuft er ab oder wird rotiert? Dies ist entscheidend für die Identifizierung langlebiger Schlüssel, die ein Hauptziel für das „Harvesting“ darstellen.
  4. Wer ist der Eigentümer oder die Partei, die für die Verwaltung und den Lebenszyklus verantwortlich ist?
  5. Warum wird es verwendet? Dies definiert seinen Zweck, z. B. den Schutz sensibler Daten zur Einhaltung gesetzlicher Vorschriften wie Datenschutz, Authentifizierung eines Benutzers, Sicherstellung der Transaktionsintegrität und mehr.
  6. Wie wird es verwendet? Hier werden die technischen Details angegeben, einschließlich des spezifischen Algorithmus, der Schlüssellänge, der konfigurierten Protokollversion und mehr.
• Erkennen Sie Ihren Umfang: Definieren Sie klar, was Sie direkt kontrollieren (Ihre eigenen Schlüssel, Hardware und Anwendungen) und was von einem Drittanbieter verwaltet wird. Dienste von Drittanbietern müssen Sie als „Black Boxes“ dokumentieren. Sie sind dafür verantwortlich, vom Anbieter eine Risikoerklärung, einen detaillierten Sanierungsplan und eine PQC-Roadmap einzuholen.
• Standardisieren und vereinfachen: Verwenden Sie nach Möglichkeit konsistente Geschäftsprozesse und Bereitstellungsmethoden. Dies ist die Essenz der Krypto-Agilität. Durch die Standardisierung Ihres Ansatzes vereinfachen Sie nicht nur den Inventarisierungsprozess, sondern auch zukünftige Updates, Patches und neue Bereitstellungen.
• Seien Sie umfassend: Ihr Inventar muss alle Komponenten berücksichtigen, die durch PQC-Fortschritte negativ beeinflusst werden könnten – von Altsystemen bis hin zu Spitzentechnologien. Kein System ist zu klein oder zu alt, um es zu ignorieren.

Aufbau Ihres Inventars

Ein einzelnes Scan-Tool oder eine einzelne Methode liefert Ihnen kein vollständiges Bild. Eine wirklich umfassende Bestandsaufnahme erfordert einen mehrschichtigen Ansatz, der verschiedene Techniken kombiniert, um blinde Flecken zu beseitigen.

Public-Key-Infrastruktur (PKI)

Ihre PKI ist das digitale Identitätssystem für Ihr Unternehmen und ermöglicht sichere Kommunikation und Authentifizierung. Es ist ein kritischer Bereich für die Bestandsaufnahme, da es auf asymmetrischer Verschlüsselung basiert, die sehr anfällig für Quantenangriffe ist.

• Liste der Krypto-Assets: Erstellen Sie ein sorgfältiges Inventar, das alle Anwendungen und Kommunikationskanäle auflistet, die asymmetrische Kryptografie verwenden. Dazu gehören TLS/SSL-Zertifikate für Webserver, Code-Signatur-Zertifikate und Schlüssel für digitale Signaturen und Authentifizierung.
• Schlüsselmanagement-Audit: Überprüfen und dokumentieren Sie Ihren gesamten PKI-Prozess, einschließlich der Generierung, Speicherung und Rotation von Schlüsseln. Ihre wichtigsten Schlüssel, wie z. B. Root-Signaturschlüssel, sollten in einem vertrauenswürdigen Hardware-Sicherheitsmodul (HSM), was ein höheres Maß an Sicherheit bietet. Die Untersuchung von HSM-Protokollen kann eine leistungsstarke Methode sein, um herauszufinden, welche Anwendungen kryptografische Aufrufe tätigen.
• Zertifikatslebenszyklusmanagement: Dokumentieren Sie die Gültigkeitsdauer aller Ihrer Zertifikate. Dies ist besonders wichtig, um langlebige Zertifikate (z. B. 25 Jahre oder länger) zu identifizieren, da diese ein Hauptziel für „Harvesting“-Angriffe sind. Ebenso wichtig wie die Gültigkeitsdauer ist die Schlüsselgröße und verwendeter Algorithmus. Auch bei kürzeren Lebenszyklen sind Zertifikate, die auf RSA (2048/3072/4096-Bit) oder ECC (P-256, P-384) sind weiterhin anfällig für Quantenangriffe, da Shors Algorithmus sie unabhängig von der Schlüssellänge knacken kann. Um dies zu verhindern, sollte ein Prozess geschaffen werden, der nicht nur Zertifikate mit kürzeren Lebenszyklen regelmäßig überprüft und neu ausstellt, sondern auch die verwendeten Algorithmen und Schlüsselgrößen katalogisiert. Diese Transparenz hilft dabei, zu priorisieren, welche Zertifikate das größte Quantenrisiko bergen und zuerst auf quantenresistente oder hybride kryptografische Modelle umgestellt werden sollten.

Anwendungsentwicklung (AppSec)

Kryptografie ist oft tief in Anwendungen eingebettet und daher schwer zu finden und zu verwalten. Um ein effektives Inventar zu erstellen, müssen Sie mehrere Erkennungsmethoden nutzen:

• Selbstidentifikation: Ein einfacher und effektiver Ansatzpunkt ist die Erweiterung Ihres bestehenden Anwendungsbestands. Fordern Sie Anwendungsbesitzer auf, explizit zu dokumentieren, ob ihre Anwendung Verschlüsselung verwendet, um welchen Typ es sich handelt und eine kurze Beschreibung der Nutzung zu geben. Diese ersten Daten bilden einen wichtigen Ausgangspunkt für weitere technische Untersuchungen.
• Statisches Scannen: Integrieren Sie Tools zur statischen Codeanalyse in Ihre CI / CD-PipelinesDiese Tools können Code scannen, um kryptografische Funktionsaufrufe zu finden. Sie sind zwar nicht immer perfekt präzise (z. B. zeigen sie möglicherweise alle verfügbaren Algorithmen einer Bibliothek an, nicht nur die verwendeten), aber sie sind eine hervorragende Möglichkeit, schnell zu erkennen, welche Anwendungen Algorithmen aufrufen, die nicht mehr als PQC-sicher gelten, wie z. B. RSA und ECDSA.
• Dynamische Analyse: Für eine genauere Laufzeitansicht verwenden Sie Tools für interaktive Anwendungssicherheitstests (IAST). Diese Tools bieten Einblick in die kryptografischen Funktionen, die tatsächlich von einer Anwendung verwendet werden, einschließlich Aufrufen von Drittanbieterbibliotheken und Framework-Komponenten. Dieser Ansatz ergänzt das statische Scannen, indem er zeigt, „was wirklich passiert“.
• Software-Stückliste (SBOM): Mit zunehmender Verbreitung von SBOMs werden diese zu einer wertvollen „Zutatenliste“ für Softwarekomponenten. Sie können diese nutzen, um kryptografische Bibliotheken abzubilden und bekannte Schwachstellen zu identifizieren.
• Dateisystemerkennung: Verwenden Sie Dateisystem-Scans mit Tools wie Tanium oder Varonis, um kryptografische Komponenten wie Schlüssel, Schlüsselspeicher und Zertifikate zu finden. Beachten Sie, dass diese Methode viel Rauschen erzeugen kann. Daher empfiehlt es sich, sie in Kombination mit anderen Methoden zu verwenden, um zu bestätigen, was tatsächlich verwendet wird.

Weitere wichtige Überlegungen

Kryptografie ist nicht auf herkömmliche Server und Anwendungen beschränkt. Ihr Inventar muss auch diese speziellen Anlageklassen berücksichtigen:

• SaaS-Anbieter: Gehen Sie nicht davon aus, dass Ihre Daten sicher sind, nur weil sie in der Cloud liegen. Dokumentieren Sie die Verschlüsselungsalgorithmen Ihrer SaaS-Anbieter. Verstehen Sie deren Schlüsselverwaltungsmodell: Wird es SaaS-verwaltet, Bringen Sie Ihren eigenen Schlüssel mit (BYOK), oder erlauben sie vom Kunden verwaltete Schlüssel? Fragen Sie nach ihrem PQC-Plan und Zeitplan, insbesondere wenn sie ältere Algorithmen verwenden.
• Hardware-Sicherheitsmodule (HSMs): HSMs enthalten die wichtigsten Schlüssel eines Unternehmens. Sie müssen in Ihrem Inventar enthalten sein. Neben der bloßen Auflistung der HSMs sollten Sie auch deren Protokolle untersuchen, um zu ermitteln, welche Anwendungen Aufrufe zur Ausführung kryptografischer Funktionen tätigen. Dies ermöglicht einen detaillierteren Einblick in die Nutzung.
• APIs, IoT und Blockchain: Es handelt sich um separate Anlageklassen, die jeweils einzigartige PQC-Risiken bergen. Dokumentieren Sie bei APIs deren Verschlüsselung und stellen Sie sicher, dass ihre Verbindungschiffren stark sind. Katalogisieren Sie beim IoT alle Geräte und ihre eingebettete Verschlüsselung, da die Aktualisierung der Firmware eine Herausforderung darstellen kann. Bei Blockchain müssen Sie die Verwendung von Public-Key-Kryptografie verstehen, die anfällig für PQC-Risiken ist.

Der Weg zur kontinuierlichen Verbesserung

Der Aufbau und die Pflege dieses Inventars sind ein Prozess, kein Ziel. Um präzise und relevant zu bleiben, sind kontinuierliche Anstrengungen und ein klar definierter Prozess erforderlich.

• Beginnen Sie mit einer CBOM: Verwenden Sie Ihr anfängliches Inventar, um eine Kryptografische Stückliste (CBOM), das eine umfassende, strukturierte Ansicht Ihrer Kryptonutzung bietet.
• Häufigkeit der Scans: Bestimmen Sie die geeignete Scan-Häufigkeit basierend auf Risiko und Änderungsaktivität. Kritischere Bereiche sollten häufiger gescannt werden.
• Blinde Flecken ansprechen: Bedenken Sie, dass einige Schlüssel offline oder an unzugänglichen Orten sein können. Entwickeln Sie alternative Methoden, um sie zu finden, oder treffen Sie Annahmen, wenn eine Validierung nicht möglich ist.
• Bewusstsein entwickeln: Bieten Sie Ihren Entwicklungs- und Sicherheitsteams Schulungen an, um die Krypto-Agilität in Ihre Kultur und Prozesse zu integrieren.
• Überwachen und reagieren: Erstellen Sie einen Prozess zur Behandlung von Ausnahmen und Warnungen, die durch die Überwachung ausgelöst werden (z. B. wenn ein Algorithmus veraltet ist oder ein Schlüssel abläuft).

Wie Verschlüsselungsberatung helfen kann

Der Aufbau eines umfassenden kryptografischen Inventars ist ein gewaltiges Unterfangen, aber Sie müssen es nicht alleine bewältigen. Wir sind ein weltweit anerkannter Marktführer in angewandter Kryptografie und bieten Beratungsdienste zur Post-Quanten-Kryptographie (PQC) speziell entwickelt, um Organisationen wie Ihrer dabei zu helfen, den Quantenwandel zu meistern.

Unsere Dienstleistungen basieren auf einem strukturierten End-to-End-Ansatz:

• PQC-Bewertung: Wir führen eine kryptografische Erkennung und Inventarisierung durch, um alle Ihre Schlüssel, Zertifikate und Abhängigkeiten zu lokalisieren. Dies liefert eine klare Quantenbedrohungsbewertung und eine Quantenbereitschaftslückenanalyse, die Ihre Schwachstellen und dringendsten Prioritäten identifiziert.
• PQC-Strategie und -Roadmap: Basierend auf den Bestandsdaten unterstützen wir Sie bei der Entwicklung einer individuellen, schrittweisen PQC-Migrationsstrategie, abgestimmt auf NIST und andere Industriestandards. Dazu gehört die Erstellung eines Cryptographic Agility Framework, um sicherzustellen, dass Sie auf zukünftige Änderungen vorbereitet sind.
• Anbieterbewertung und PoC: Wir unterstützen Sie bei der Auswahl der besten PQC-Lösungen, indem wir Bewertungskriterien definieren, Anbieter in die engere Auswahl nehmen und Proof-of-Concepts (PoCs) auf Ihren kritischen Systemen durchführen, um deren Wirksamkeit zu bestätigen.
• PQC-Implementierung: Wir helfen Ihnen bei der nahtlosen Integration PQC Algorithmen in Ihre PKI und andere Sicherheitsökosysteme, einschließlich der Bereitstellung hybrider kryptografischer Modelle für einen sicheren und unterbrechungsfreien Übergang.

Mit unserer umfassenden Expertise und unserem bewährten Framework können Sie Ihre kryptografische Infrastruktur aufbauen, bewerten und optimieren und so einen reibungslosen und sicheren Übergang in eine Post-Quanten-Zukunft gewährleisten.

Fazit

Das Quantenzeitalter wartet nicht darauf, dass Unternehmen aufholen. Ein umfassendes kryptografisches Inventar ist der Grundstein für eine echte Post-Quanten-Bereitschaft und bietet Ihnen die nötige Transparenz und Kontrolle zum Schutz Ihrer wichtigsten Ressourcen. Indem Sie über die Theorie hinausgehen und eine strukturierte, umsetzbare Checkliste erstellen, können Sie versteckte Risiken aufdecken, die Krypto-Agilität stärken und Ihre Infrastruktur auf den unvermeidlichen Übergang vorbereiten.

Mit dem richtigen Ansatz und den richtigen Partnern können Sie die Unsicherheit von heute in die Widerstandsfähigkeit von morgen verwandeln. Beginnen Sie jetzt mit dem Aufbau Ihres kryptografischen Inventars, um sicherzustellen, dass Ihr Unternehmen nicht nur quantenbewusst, sondern auch quantenbereit ist.