Stückliste für Kryptografie (CBOM): Warum jedes Unternehmen jetzt eine braucht

Cryptography Die Sicherheitslücke hat sich still und leise zur größten unkontrollierten Angriffsfläche in Unternehmen entwickelt, doch die meisten Organisationen behandeln sie immer noch nur als jährlichen Prüfpunkt. Genau in dieser Lücke häufen sich Risiken, und es handelt sich nicht länger um ein Problem, das aufgeschoben werden kann.

Die meisten Unternehmen haben keinen vollständigen Überblick über ihre eigene Kryptografie. Sie kennen nicht jeden verwendeten Algorithmus, nicht jede einzelne Algorithmen. Bescheinigung Jede Bibliothek, die veraltete Verschlüsselungsverfahren verwendet, und jeder Schlüssel, der Daten in Cloud-Speichern schützt, steht kurz vor dem Ablauf. Diese Lücke ist kein bloßes Hygieneproblem mehr, sondern ein strategisches Risiko. Die Standards für die Zeit nach der Quantencomputer-Technologie sind finalisiert, regulatorische Fristen rücken näher, und Angreifer sammeln bereits heute verschlüsselte Daten, um sie zu entschlüsseln, sobald Quantentechnologie verfügbar ist. Organisationen können nicht sichern, migrieren oder verwalten, was sie nicht sehen können.

A Stückliste für Kryptographie Die Kryptografie-Basiskarte (CBOM) ist der Schlüssel, mit dem Unternehmen diese Lücke schließen. Sie ist ein strukturiertes, maschinenlesbares Verzeichnis aller im Unternehmen eingesetzten kryptografischen Ressourcen. Dazu gehören die verwendeten Algorithmen, die zugehörigen Bibliotheken, die Zertifikate zur Sicherung der Kommunikation, die Schlüssel zum Schutz ruhender und übertragener Daten sowie die Abhängigkeiten zwischen all diesen Komponenten. Man kann sie sich als dynamische Übersicht der kryptografischen Sicherheitslage vorstellen: Sie zeigt nicht nur, welche Algorithmen existieren, sondern auch, welche Rolle jeder einzelne spielt, wo er eingesetzt wird und ob er noch den aktuellen Sicherheitsanforderungen entspricht.

Das Verständnis der kryptografischen Infrastruktur ist längst keine Best Practice mehr, die nur hochentwickelten Sicherheitsprogrammen vorbehalten ist. Es entwickelt sich zu einer Grundvoraussetzung für jedes Unternehmen, das Risiken intelligent managen und sich auf zukünftige Entwicklungen vorbereiten möchte. Dieser Blogbeitrag erläutert die Dringlichkeit, die notwendigen Inhalte eines kryptografischen Operationsmanagements (CBOM) und wie man es rechtzeitig erstellt.

Dieser Blog soll Ihnen helfen zu verstehen, warum Unternehmen jetzt mit der Einrichtung von CBOM beginnen sollten und welche entscheidende Rolle es bei der Bewältigung kryptografischer Risiken, der Sicherstellung der Compliance und der Vorbereitung auf neue Bedrohungen wie Post-Quanten-Computing spielt.

Warum Unternehmen jetzt CBOMs aufbauen

Die Dringlichkeit im Zusammenhang mit CBOMs ist nicht auf einen einzigen Faktor zurückzuführen. Sie resultiert aus dem Zusammenwirken mehrerer Kräfte, von denen jede für sich genommen schwerwiegend ist und die es zunehmend schwierig machen, Untätigkeit zu rechtfertigen. Im Folgenden werden die treibenden Kräfte dieses Zusammenwirkens erläutert.

1. Quantenbedrohung

Wenn ein kryptografisch relevanter Quantencomputer verfügbar wird, RSA Und die elliptische Kurvenkryptographie, die Grundlage der meisten heutigen Unternehmenssicherheit, wird nicht mehr funktionieren. Das Nationale Institut für Standards und Technologie (NIST) hat die ersten Post-Quanten-Kryptographiestandards finalisiert, darunter ML-KEM für die Schlüsselkapselung sowie ML-DSA und SLH-DSA für digitale Signaturen. Unternehmen können diese neuen Standards jedoch nicht einführen, ohne genau zu wissen, wo die zu ersetzenden Algorithmen im Einsatz sind. CBOM ermöglicht diese Zuordnung.

Ohne diese Übersicht wird die Migration zu Post-Quanten-Standards zu einem chaotischen, improvisierten Unterfangen. Mit ihr verfügen die Teams über eine exakte, systembezogene Bestandsaufnahme, wo RSA und ECC Sie sind im Einsatz und können die Übergänge priorisiert sequenzieren. Der Begriff „anfällig“ bezieht sich hier auf die mathematischen Annahmen, die diesen Algorithmen zugrunde liegen. RSA basiert auf der Schwierigkeit der Faktorisierung großer Zahlen, und ECC auf der Schwierigkeit des Problems des diskreten Logarithmus auf elliptischen Kurven – beides Probleme, die für klassische Computer gelten. Shors Algorithmus, veröffentlicht 1994, kann jedoch beide Probleme auf einem ausreichend leistungsstarken Quantencomputer effizient lösen.

2. Kryptografische Schulden

Unternehmen haben über viele Jahre hinweg Kryptografie aufgebaut, oft ohne diese vollständig zu dokumentieren. Alte TLS-Konfigurationen sind noch immer im Einsatz. RSA-Schlüssel, die eigentlich nur temporär sein sollten, sind weiterhin aktiv. Veraltete Hash-Funktionen wie SHA-1 oder schwache Verschlüsselungskonfigurationen können in Drittanbieterbibliotheken weiterhin vorhanden sein. Manche Zertifikate haben ungewöhnlich lange Gültigkeitsdauern. Und in vielen Fällen läuft benutzerdefinierter kryptografischer Code noch immer, obwohl die Entwickler, die ihn erstellt haben, nicht mehr im Unternehmen tätig sind.

Ohne ein CBOM (Cryptographic Outcomes Model) können Unternehmen eine Post-Quantum-Migration nicht präzise planen, nicht schnell auf die Offenlegung kryptografischer Schwachstellen reagieren und den Aufsichtsbehörden nicht nachweisen, dass ihre kryptografische Infrastruktur unter Kontrolle ist. Ein CBOM deckt das gesamte Ausmaß der angehäuften kryptografischen Altlasten auf und unterstützt Sicherheitsteams bei der proaktiven Behebung von Schwachstellen, anstatt diese erst nach einem Sicherheitsvorfall oder einer Prüfung zu entdecken.

3. Jetzt ernten, später entschlüsseln (HNDL)

Der dritte Faktor ist die HNDL-Bedrohung, die das Quantenrisiko als gegenwärtiges statt zukünftiges Problem darstellt. Angreifer sammeln bereits heute verschlüsselte Daten mit der Absicht, diese nachträglich zu entschlüsseln, sobald Quantentechnologie verfügbar ist. Daten, die im nächsten Jahrzehnt vertraulich bleiben müssen, sind bereits gefährdet, was bedeutet, dass das Zeitfenster zum Handeln enger ist, als die reine Quantenzeitlinie vermuten lässt. Allerdings bergen nicht alle verschlüsselten Daten das gleiche Risiko durch HNDL.

Die Bedrohung ist besonders akut für langlebige, sensible Daten: private Schlüssel und Root-Zertifikate, strategische Kommunikation, Gesundheits- und Finanzdaten, geheime Regierungsdokumente und geistiges Eigentum mit hohem Wettbewerbswert. Ein Sitzungstoken oder ein kurzlebiger Authentifizierungsaustausch ist für einen Angreifer, der jahrelang auf Quantencomputer wartet, kaum von Nutzen; ein diplomatisches Depeschen oder ein jahrzehntelang aufbewahrter Genomdatensatz hingegen sind etwas ganz anderes.

Die Priorisierung der zu migrierenden Assets erfordert Kenntnisse darüber, welche Datenflüsse und Verschlüsselungsmechanismen langlebige, sensible Daten schützen. Unternehmen können sich dann bei der PQC-Migration auf diese Assets konzentrieren, bevor Angreifer genügend Chiffretext sammeln, um eine Entschlüsselung lohnenswert zu machen. Ein wichtiges technisches Kriterium ist die Vorwärtsgeheimhaltung.

Protokolle, die einen temporären Schlüsselaustausch verwenden. Insbesondere TLS 1.3 Ephemere Diffie-Hellman-Verschlüsselungssuiten (DHE oder ECDHE) erzeugen für jede Verbindung einen eindeutigen Sitzungsschlüssel, der nach Gebrauch sofort verworfen wird. Da kein langfristiger privater Schlüssel diesen Sitzungsschlüssel nachträglich wiederherstellen kann, lässt sich der aus TLS-1.3-Sitzungen mit ephemerem Schlüsselaustausch gewonnene Chiffretext selbst mit zukünftigen Quantentechnologien nicht entschlüsseln. Dies reduziert das HNDL-Risiko für Organisationen, die TLS 1.3 bereits einheitlich in ihrer Infrastruktur implementiert haben, erheblich.

Die Rolle des CBOM ist hier präzise: Es geht darum, herauszufinden, welche Verbindungen einen ephemeren Schlüsselaustausch anstelle eines statischen Schlüsselmaterials verwenden und welche Datenspeicher und Protokolle keine Vorwärtsgeheimhaltung bieten und daher die Ziele mit der höchsten Priorität für die PQC-Migration darstellen.

4. Jetzt vertrauen, später schmieden (TNFL)

Während HNDL die Vertraulichkeit von Daten gefährdet, zielt TNFL auf deren Integrität ab. Der Mechanismus funktioniert folgendermaßen: Heutige Signaturverfahren basieren auf der mathematischen Komplexität von Problemen, die Quantencomputer effizient lösen können. Ein Angreifer, der ein signiertes Artefakt zusammen mit dem zugehörigen öffentlichen Schlüssel (der typischerweise per Definition öffentlich ist) erlangt, kann schließlich mithilfe eines Quantencomputers einen privaten Schlüssel generieren, der Signaturen erzeugt, die sich korrekt mit diesem öffentlichen Schlüssel verifizieren lassen. Anschließend kann er ein manipuliertes Artefakt signieren, das die Verifizierung wie ein legitimes Artefakt besteht.

Ejemplo: Stellen Sie sich ein Firmware-Update vor, das heute mit einem klassischen RSA-Schlüssel signiert wird. Ein Angreifer fängt diese signierte Binärdatei zusammen mit dem öffentlichen Schlüssel ab. Jahre später gelingt es ihm mithilfe eines Quantencomputers, den privaten Signaturschlüssel wiederherzustellen und damit ein manipuliertes Firmware-Image zu signieren. Wenn das Gerät das nächste Mal nach einem Update sucht, besteht die gefälschte Firmware die Signaturprüfung problemlos. Das Gerät installiert sie und kann die Manipulation nicht erkennen.

Die Bedrohung betrifft nicht bereits verifizierte und verarbeitete Signaturen; diese sind sicher. Das Risiko besteht für alle Artefakte, deren Authentizität zukünftig überprüft wird, wie beispielsweise Software-Updates, denen Geräte über Jahre hinweg vertrauen, Firmware, die beim nächsten Systemstart validiert wird, oder langlebige Zertifikate, die auf eine Stammzertifizierungsstelle verweisen, deren Algorithmus noch nicht quantenresistent ist.

Ein CBOM bildet alle im gesamten Unternehmen verwendeten Signaturschlüssel und digitalen Signaturverfahren ab und ermöglicht es den Teams, die jeweiligen Code-Signatur-Pipelines zu identifizieren. ZertifizierungsstellenDie Mechanismen zur Sicherung der Dokumentenintegrität müssen auf quantenresistente Signaturalgorithmen umgestellt werden, bevor gefälschte Dokumente zu einer praktischen Bedrohung werden. Auch die Auswahl des Algorithmus für diese Umstellung selbst erfordert Kontext.

ML-DSA (CRYSTALS-Dilithium) ermöglicht schnelles Signieren und Verifizieren und eignet sich daher ideal für Umgebungen mit hohem Durchsatz, wie z. B. Anwendungs- und Paketsignierungspipelines. SLH-DSA (SPHINCS+), das NIST-standardisierte Hash-basierte Verfahren, erzeugt deutlich größere Signaturen und signiert langsamer. Seine Sicherheit basiert jedoch auf konservativen Annahmen über die Hash-Funktion und nicht auf strukturierten Gitterproblemen. Daher ist es die bevorzugte Wahl für Signaturkontexte mit hohen Sicherheitsanforderungen oder langer Lebensdauer.

Insbesondere bei Firmware und eingebetteten Systemen sind Signaturgröße und Verifizierungsgeschwindigkeit keine theoretischen Fragen: Viele ressourcenbeschränkte Geräte verfügen über begrenzte Speicherkapazität und langsame Prozessoren. Die Wahl des PQC-Algorithmus beeinflusst daher direkt die praktische Umsetzbarkeit einer Migration. Ein CBOM (Community-Based Object Model), das nicht nur die verwendeten Algorithmen, sondern auch die zugehörigen Umgebungen und Geräteklassen erfasst, liefert Teams den nötigen Kontext, um für jeden Anwendungsfall die passende Alternative auszuwählen, anstatt einen einzigen Algorithmus einheitlich auf heterogenen Systemen anzuwenden.

5. Fristen für regulatorische Angelegenheiten und die Einhaltung von Vorschriften

NIST IR 8547 (Erster öffentlicher Entwurf, November 2024), „Übergang zu Post-Quanten-Kryptographiestandards“, nennt die kryptografische Bestandsaufnahme als Voraussetzung für die Migrationsplanung. Obwohl es sich noch um einen Entwurf handelt, stellt er die offizielle Richtung des NIST dar und beeinflusst bereits die Planungszeitpläne der Behörden.

OMB-Memorandum M-23-02Die im November 2022 erlassene Richtlinie verpflichtet Bundesbehörden zur jährlichen Einreichung kryptografischer Inventare, priorisiert nach hochwertigen Vermögenswerten, wobei die Berichts- und Migrationsplanungspflichten bis 2035 fortbestehen. Parallel dazu legen CNSA 2.0 und das National Security Memorandum 10 den umfassenderen PQC-Migrationszeitplan für den Zeitraum 2027–2035 fest, wobei die kryptografische Inventarisierung als grundlegender erster Schritt gilt.

Diese Vorgaben beschränken sich nicht auf den öffentlichen Sektor. Sie geben die Richtung für die Sicherheitserwartungen in Unternehmen im Allgemeinen vor, und Branchen wie Finanzdienstleistungen, Gesundheitswesen und kritische Infrastrukturen folgen ihnen genau.

Ein CBOM liefert die strukturierte, maschinenlesbare kryptografisches Inventar dass die Aufsichtsbehörden dies zunehmend fordern und den Compliance-Teams auditfähige Nachweise über die kryptografische Sicherheitslage sowie eine dokumentierte Grundlage für den Nachweis des Migrationsfortschritts im Vergleich zu den vorgeschriebenen Zeitvorgaben liefern.

Bevor wir uns damit befassen, wie man ein CBOM erstellt, wollen wir verstehen, wie es sich von verwandten Inventarkonstrukten unterscheidet: SBOM und kryptografisches Inventar.

CBOM vs SBOM vs Kryptografisches Inventar

Diese drei Konzepte sind zwar verwandt, aber dennoch unterschiedlich, da jedes eine andere Frage beantwortet, in einem anderen Anwendungsbereich operiert und eine andere Funktion im kryptografischen Risikomanagement erfüllt. Die folgende Tabelle erläutert die wichtigsten Unterschiede hinsichtlich Anwendungsbereich, Ergebnis und regulatorischer Relevanz.

Abmessungen	CBOM	SBOM	Kryptografisches Inventar
Was es erfasst	Alle kryptografischen Assets, einschließlich Algorithmen, Schlüssel, Zertifikate, Protokolle und kryptografische Bibliotheken	Alle Softwarekomponenten, einschließlich Bibliotheken, Frameworks, Abhängigkeiten, Versionen und Lizenzen	Organisationsweite kryptografische Sicherheitslage über alle Systeme, Umgebungen und Beziehungen zu Drittanbietern hinweg
Hauptfrage beantwortet	Wie ist die Software kryptografisch konfiguriert?	Welche Software ist installiert?	Wie sieht unser gesamtes kryptografisches Risiko aus und wird es effektiv gesteuert?
Geltungsbereich	Kryptografische Schicht innerhalb und zwischen Softwarekomponenten	Anwendung und Software-Lieferkette	Gesamtes Unternehmen: Anwendungen, Infrastruktur, Cloud, OT, Anbieter
Statisch oder dynamisch	An Software-Releases gebunden; unterscheidet zwischen vorhandener und zur Laufzeit verwendeter Kryptografie	An eine Software-Veröffentlichung gebunden	Ständige Weiterentwicklung durch Infrastruktur- und Konfigurationsänderungen
Schlüsselausgabe	Kryptografischer Abhängigkeitsgraph mit Kontext für Risiko- und Compliance-Entscheidungen	Komponententransparenz für das Schwachstellenmanagement	Ganzheitliche Risikobewertung, Compliance-Berichterstattung und Nachverfolgung von Korrekturmaßnahmen
Regulatorische Relevanz	Entwurf NIST IR 8547, OMB M-23-02, CNSA 2.0 Migrationsplanung	US EO 14028, Vorgaben für die Software-Lieferkette	Laufende Compliance-Maßnahmen in allen anwendbaren Rahmenwerken

Nachdem die wichtigsten Treiber identifiziert wurden, stellt sich die Frage, was ein CBOM nach seiner Implementierung ermöglicht. Die Antwort liegt in der Krypto-Agilität, d. h. in der Fähigkeit einer Organisation, schnell auf Veränderungen im kryptografischen Umfeld zu reagieren.

Wie CBOM Krypto-Agilität ermöglicht

Krypto-Agilität Krypto-Agilität bezeichnet die organisatorische und technische Fähigkeit, kryptografische Algorithmen schnell und reibungslos zu identifizieren, auszutauschen oder zu ersetzen, um auf Schwachstellen, veraltete Algorithmen oder sich ändernde Standards zu reagieren. Sie gilt weithin als essenzielle Sicherheitseigenschaft. Das NIST nennt sie in seinen Leitlinien zum Übergang von der Quantenphysik zur Kryptografie ausdrücklich als Voraussetzung für eine kontrollierte und geordnete Migration. Weniger bekannt ist jedoch, dass sie nicht nachträglich in ein System integriert werden kann, sondern von Anfang an in die Systeme selbst eingearbeitet werden muss.

Das Problem des fest codierten Algorithmus

Das häufigste Hindernis sind fest codierte Algorithmen: Anwendungen, die eine bestimmte kryptografische Funktion direkt aufrufen, können ihr kryptografisches Verhalten nicht ändern, ohne die Anwendung selbst zu modifizieren und neu bereitzustellen. In Umgebungen mit Hunderten von Diensten handelt es sich dabei nicht um eine Konfigurationsänderung, sondern um ein komplettes Re-Architektur-Programm.

Die technische Lösung besteht in einer Abstraktionsschicht, die die kryptografische Absicht der Anwendung vom zugehörigen Algorithmus trennt. Bibliotheken wie die EVP-API (Envelope) von OpenSSL und die PKCS#11-Schnittstelle sind genau dafür konzipiert: Anwendungen drücken Operationen auf einer hohen Ebene aus („Diese Daten signieren“, „Mit einem symmetrischen Schlüssel verschlüsseln“), und der zugrunde liegende Algorithmus kann zur Konfigurationszeit ausgetauscht werden, ohne den Anwendungscode zu verändern.

Organisationen, die Systeme auf Basis dieser Abstraktionsschichten entwickelt haben, sind wirklich agil; Organisationen mit direkten Algorithmenaufrufen in der Anwendungslogik sind es nicht, unabhängig davon, wie gut ihr Systeminventar ist. Das CBOM identifiziert die Systeme in den jeweiligen Kategorien und dient somit als Diagnosewerkzeug, das aufzeigt, wo eine Re-Architektur erforderlich ist, bevor die Migration erfolgen kann.

Unternehmensführung, Lieferkette und Automatisierung

Zu wissen, dass quantenanfällige Algorithmen wie RSA und ECC in Ihrer Umgebung vorhanden sind, sagt Ihnen wenig. Zu wissen, dass es sich um den Signaturalgorithmus eines Firmware-Update-Systems für kritische Infrastrukturen oder die Schlüsselkapselungsmethode einer Finanznachrichten-API mit zehnjähriger Datenaufbewahrungspflicht handelt, liefert Ihnen konkrete Handlungsempfehlungen. Das CBOM (Community Business Object Manager) stellt diesen Kontext bereit.

Aus diesem Grund gilt CBOM-Reporting als Voraussetzung für kryptografische Agilität und nicht als deren Nebenprodukt. Governance, Transparenz der Lieferkette und Automatisierung stellen jeweils eine eigene Dimension der Agilität dar und benötigen jeweils unterschiedliche CBOM-Daten, um nutzbar zu sein.

Ein Governance-Team muss wissen, welche Algorithmen nicht den Richtlinien entsprechen und welche Geschäftsbereiche die betreffenden Assets besitzen. Die Abteilung für Lieferkettensicherheit muss wissen, welche Drittanbieterbibliotheken kryptografische Abhängigkeiten einführen und ob diese Abhängigkeiten geprüft wurden. Eine Automatisierungspipeline benötigt maschinenlesbare CBOM-Ausgabe, die sie zur Build-Zeit abfragen kann, um die kryptografischen Richtlinien durchzusetzen, bevor nicht-konformer Code in die Produktion gelangt.

Anwendungsfälle im gesamten Unternehmen

Die Anwendungsfälle, die sich aus der Agilität von Kryptographen ergeben, gehen weit über die offensichtlichen hinaus. Software-Sicherheits- und Entwicklungsteams nutzen CBOM-Daten für Abhängigkeitsprüfungen, die Einhaltung von Shift-Left-Vorgaben und die Bedrohungsmodellierung. Incident-Response-Teams verwenden sie, um das Ausmaß der Folgen einer Offenlegung kryptografischer Schwachstellen innerhalb von Stunden statt Wochen abzuschätzen. Interoperabilitätsbewertungen setzen voraus, dass bekannt ist, ob Protokollversionen und Verschlüsselungssammlungen herstellerübergreifend kompatibel sind.

Cloud- und Virtualisierungsumgebungen erfordern kryptografische Attestierung und Kontrollen für sichere Mandantenfähigkeit. IoT- und eingebettete Systeme benötigen kryptografische Transparenz auf Firmware-Ebene, die mit herkömmlichen Netzwerkscans nicht erreicht werden kann. Digitale Identitätsplattformen benötigen CBOM-Abdeckung. PKI Hierarchien, Systeme zur Verwaltung von Anmeldeinformationen und Interoperabilität von digitalen Geldbörsen.

Jeder dieser Anwendungsfälle erfordert eine andere Teilmenge von CBOM-Elementen, von Metadaten und Komponentendefinitionen bis hin zu Service-Mappings, Abhängigkeitsgraphen und Kompositionsbeziehungen. Genau deshalb ist CBOM als flexible Erweiterung des umfassenderen Stücklisten-Ökosystems und nicht als eigenständiger Standard konzipiert. Ein starres Format für jeden Anwendungsfall würde die Nutzbarkeit des Inventars verringern, nicht erhöhen.

Hybride Kryptographie und die Übergangsperiode

Ein wichtiger Aspekt der Krypto-Agilität ist die hybride Kryptographie. Während der Übergangsphase zu PQC setzen viele Organisationen hybride Schlüsselaustauschmechanismen ein, die einen klassischen Algorithmus wie X25519 mit einem Post-Quanten-Algorithmus wie ML-KEM kombinieren und beide parallel ausführen, sodass die Sitzung so lange sicher bleibt, wie einer der beiden Algorithmen gültig ist.

Standardisierungsgremien wie IETF und NIST unterstützen diesen Ansatz als Migrationsschutz: Er bietet Quantenstabilität, ohne die klassischen Algorithmen aufzugeben, auf die die bestehende Infrastruktur setzt. Die Nachverfolgung hybrider Konfigurationen erhöht die Komplexität von CBOM, da jede hybride Sitzung zwei Algorithmuskomponenten, zwei Schlüsseltypen und ausgehandelte Kombinationen umfasst, die je nach Client variieren können.

Ein CBOM, das nicht zwischen einer rein klassischen Sitzung, einer hybriden Sitzung und einer reinen PQC-Sitzung unterscheidet, kann den Fortschritt des Transformationsprozesses einer Organisation nicht präzise abbilden. Das übergeordnete Ziel ist ein lebendiges, organisationsweites Modell. kryptografisches Inventar Dies ermöglicht kontinuierliche Transparenz, Risikopriorisierung und -behebung und versetzt Unternehmen in die Lage, aktuelle Schwachstellen souverän zu beheben und sich ohne kostspielige Plattformwechsel oder Ausfallzeiten auf zukünftige Herausforderungen vorzubereiten. Um dieses Ziel zu erreichen, ist es notwendig, Klarheit darüber zu gewinnen, wie CBOM mit anderen Inventarstrukturen zusammenhängt, die Unternehmen bereits kennen.

Das Verständnis dieser Unterscheidung verdeutlicht, was ein CBOM leisten muss. Die schwierigere Frage ist jedoch, wie Organisationen tatsächlich einen solchen Aufbau vornehmen.

Häufige Herausforderungen beim Aufbau einer CBOM

Der Aufbau eines CBOM ist nicht nur eine Dokumentationsübung, sondern ein komplexer, fortlaufender Prozess. Die meisten Organisationen haben mit mangelnder Transparenz hinsichtlich der Kryptografie-Nutzung, inkonsistenten Implementierungen in verschiedenen Systemen und der Schwierigkeit, Algorithmen, Schlüssel und Zertifikate im Laufe der Zeit nachzuverfolgen, zu kämpfen. Legacy-Abhängigkeiten, Komponenten von Drittanbietern und das Fehlen einer zentralen Governance verschärfen das Problem zusätzlich. Die Erstellung eines präzisen und aktuellen CBOM ist ein bedeutendes Unterfangen. Jeder dieser Aspekte verdient eine genauere Betrachtung.

1. Umfang der Entdeckung

Moderne IT-Umgebungen sind umfangreich und heterogen, und Kryptografie ist allgegenwärtig – oft in Anwendungen, Infrastruktur, Cloud-Diensten, Endgeräten und Betriebstechnologien. Manuelle Ansätze sind in diesem Umfang unpraktisch. Statische Codeanalyse, Netzwerkverkehrsinspektion, agentenbasiertes Host-Scanning und Konfigurationsanalyse decken jeweils unterschiedliche Klassen kryptografischer Assets auf. Kein einzelnes Tool erfasst alles, und jede Methode hat ein spezifisches Abdeckungsprofil und einen spezifischen blinden Fleck.

Die statische Codeanalyse identifiziert Algorithmusreferenzen, Bibliotheksimporte und fest codiertes Schlüsselmaterial in Quellcode und kompilierten Binärdateien, kann aber nicht beobachten, welche kryptografischen Pfade zur Laufzeit tatsächlich ausgeführt werden, oder dynamisch aus der Konfiguration geladene Algorithmen erkennen.

Netzwerkverkehrsprüfung kann die während der Übertragung ausgehandelten TLS-Verschlüsselungssammlungen und Protokollversionen identifizieren, aber nicht in die verschlüsselten Nutzdaten hineinsehen und die darin gespeicherten Schlüssel nicht identifizieren. HSMsund ist blind für die Verschlüsselung ruhender Daten und jegliche Kryptografie, die nicht durch ein überwachtes Netzwerksegment verläuft. Agentenbasiertes Host-Scanning erfasst Betriebssystem-Schlüsselspeicher, Zertifikatsspeicher und die Nutzung von Prozessbibliotheken, erfordert jedoch den Einsatz von Agenten in jeder Umgebung und kann ohne zusätzliche Instrumentierung oft nicht auf kryptografisches Material in Anwendungssandboxes oder containerisierten Workloads zugreifen.

Konfigurationsanalyse Die automatische Überprüfung erfasst Protokolleinstellungen, Konfigurationen von Verschlüsselungssuiten und Zertifikatsmetadaten, die in Konfigurationsdateien und API-Antworten bereitgestellt werden, jedoch nicht den reinen Laufzeitzustand und jegliche Konfigurationen, die außerhalb der Standardpfade gespeichert sind. Insbesondere ältere Systeme, benutzerdefinierte kryptografische Wrapper und dynamisch zur Laufzeit geladene Kryptografie sind mit rein automatisierter Überprüfung schwer zu erfassen.

HSM-basierte Schlüssel stellen ein separates und besonders schwieriges Ermittlungsproblem dar. Hardware-Sicherheitsmodule speichern sensible private Schlüssel in manipulationssicherer Hardware und geben Schlüsselmaterial konstruktionsbedingt niemals extern preis. Die Ermittlung hängt vollständig von der Management-API des HSM-Anbieters ab, und diese Schnittstellen unterscheiden sich je nach Anbieter erheblich hinsichtlich der bereitgestellten Metadaten.

Viele HSMs liefern Schlüsselbezeichnungen, Algorithmusparameter oder Nutzungsattribute nicht einheitlich über eine einzige Abfrage, sondern erfordern eine individuelle Integration pro Gerät oder Dienst. Unternehmen mit heterogenen HSM-Umgebungen – eine häufige Situation nach jahrelangen Akquisitionen oder der Einführung von Multi-Cloud-Lösungen – stellen oft fest, dass kein einzelnes Scan-Tool alle in den HSMs gespeicherten Schlüssel ohne plattformspezifische Konnektoren auflisten kann.

2. Falsch-positive Ergebnisse und Abdeckungslücken

Scanner erkennen kryptografische Muster, die möglicherweise nicht der tatsächlichen Produktivnutzung entsprechen, und erzeugen so Fehlalarme, die von Sicherheitsteams manuell überprüft werden müssen. Veraltete Bibliotheken mit unsicherer Kryptografie, die schwer zu ersetzen sind, verschärfen das Problem ebenso wie die statische Natur von CBOM-Artefakten, die dynamische Änderungen in der kryptografischen Nutzung nicht selbstständig abbilden können.

Ein Rohscan-Ergebnis ist kein CBOM; es wird erst dann zu einem, wenn Assets validiert, kontextualisiert und mit den Systemen und Geschäftsfunktionen verknüpft werden, die von ihnen abhängen.

3. Organisatorisches Eigentum

Kryptografische Assets sind in Entwicklungsteams, Infrastrukturteams, Sicherheitsabteilungen, Compliance-Funktionen und Lieferantenbeziehungen integriert. Ohne klare Rollen und Prozesse für die Verwaltung kryptografischer Bestände über alle Teams hinweg werden die Ergebnisse der Ermittlungen zu verwaisten Artefakten anstatt zu verwalteten Assets. Das CBOM (Cryptographic Asset Management) erfordert eine definierte Datenverantwortung: Für jede Klasse kryptografischer Assets muss eine Person verantwortlich sein, jemand muss für die Aktualisierung der Daten zuständig sein, und die Organisation muss über einen definierten Prozess zur Aktualisierung des Inventars bei Systemänderungen verfügen.

4. CBOM auf dem neuesten Stand halten

Ein CBOM erfasst einen Bestand zu einem bestimmten Zeitpunkt und kann dynamische Änderungen in der kryptografischen Nutzung nicht abbilden. Für die operative Transparenz sind Echtzeit-Tools zur Überwachung kryptografischer Aktivitäten erforderlich, und das CBOM selbst muss in Entwicklungs- und Bereitstellungsprozesse integriert werden, damit neue kryptografische Abhängigkeiten bei ihrer Einführung erfasst werden. Ein CBOM, das zwar zu einem bestimmten Zeitpunkt korrekt ist, aber danach nicht aktualisiert wird, verliert schnell seinen Wert als Governance-Tool.

5. Werkzeugreife

Im Gegensatz zu SBOM, das von etablierten Formaten wie SPDX und CycloneDX sowie einem ausgereiften Tool-Ökosystem profitiert, ist die CBOM-Standardisierung jünger. Sie wurde im April 2024 mit CycloneDX v1.6 offiziell eingeführt und im Juni 2024 als Teil von ECMA-424 ratifiziert. Obwohl nun ein offizielles Format existiert, befindet sich das Tool-Ökosystem noch im Aufbau: Unternehmen benötigen Tools, die Binärdateien analysieren, Infrastrukturen scannen und die Verwendung kryptografischer Verschlüsselung in unterschiedlichen Umgebungen automatisch erkennen können. Bislang hat sich jedoch noch kein universeller Implementierungsansatz herausgebildet.

Diese Herausforderungen sind lösbar, erfordern aber speziell entwickelte Werkzeuge anstelle von angepassten Allzweckscannern. CBOM Secure ist speziell für dieses Problem konzipiert.

Im Folgenden wird beschrieben, wie Encryption Consulting jede dieser Herausforderungen angeht – nicht als punktuelle Überprüfung, sondern als kontinuierliche operative Praxis, die in Ihre kryptografische Governance eingebettet ist.

Wie Verschlüsselungsberatung helfen kann

Die Herausforderung ist an diesem Punkt klar: Die kryptografische Transparenz bleibt fragmentiert, und Momentaufnahmen des CBOM reichen nicht mehr aus, sobald sich die Umgebungen ändern. Hier setzt unsere CBOM Secure kommt in.

CBOM Secure ist nicht einfach nur ein weiteres Erkennungstool, das eine Liste von Schlüsseln und Zertifikaten erstellt. Es ist als kontinuierliche kryptografische Informationsschicht konzipiert, die nicht nur den Ist-Zustand meldet, sondern Teams in die Lage versetzt, diesen zu verstehen, zu verfolgen und darauf zu reagieren.

Der Fokus verschiebt sich von: „Welche Kryptowährungen haben wir?“ zu: „Welche Kryptowährungen sind aktuell relevant, wo werden sie eingesetzt und was bedarf weiterer Aufmerksamkeit?“

Automatisierte Erkennung über HSM, Cloud und Pipelines hinweg

Unsere Plattform scannt und verbindet sich kontinuierlich mit verschiedenen Teilen Ihrer Umgebung, darunter:

1. HSMs für hochwertige Schlüssel
2. Cloud-Plattformen für verwaltete Schlüssel und Zertifikate
3. CI/CD-Pipelines, in denen Signierungs- und Kryptooperationen stattfinden
4. Unternehmensanwendungen, Dienste und Infrastrukturen, in denen kryptografische Assets aktiv eingesetzt werden

Anstatt auf regelmäßige Scans oder manuelle Aktualisierungen angewiesen zu sein, hält die Plattform das CBOM stets auf dem neuesten Stand der aktiv erstellten, bereitgestellten und genutzten Ressourcen im gesamten Unternehmen. Dies ist besonders wichtig in größeren Organisationen, in denen kryptografische Assets in verschiedenen Umgebungen vorhanden sind und kein einzelnes Team den vollständigen Überblick über deren Gesamtstruktur hat.

Zertifikats- und Schlüsselverfolgung mit zeitbasierter Transparenz

Unsere Plattform findet nicht nur Vermögenswerte, sondern verfolgt deren Entwicklung im Zeitverlauf. Das bedeutet, Sie können Folgendes sehen:

1. Wo Zertifikate und Schlüssel eingesetzt werden
2. Wie sie miteinander verknüpft sind (zum Beispiel Zertifikat-Schlüssel-Beziehungen)
3. Wann sie erstellt, gedreht, geändert oder abgelaufen sind
4. Ihr aktueller Status (aktiv, ablaufend, ungenutzt, veraltet)

Diese zeitliche Sequenzansicht liefert eine wichtige Ebene an operativer Intelligenz. Anstatt nur den aktuellen Stand zu kennen, können Teams Lebenszyklusmuster erkennen, veraltete Assets identifizieren und langfristige Risiken erkennen. Dadurch lassen sich Ausfälle deutlich leichter verhindern, Rotationen optimieren und unkontrollierte kryptografische Schulden reduzieren.

Algorithmenanalyse (mit und jenseits von PQC)

Zu wissen, wo Algorithmen eingesetzt werden, ist entscheidend, insbesondere im Hinblick auf den Übergang zur Post-Quanten-Kryptographie. Unsere Plattform analysiert:

1. Welche Algorithmen werden derzeit verwendet?
2. Wo schwächere oder veraltete existieren
3. Wie stark sind Sie künftigen kryptografischen Risiken ausgesetzt?
4. Wo eine kryptografische Modernisierung in geschäftskritischen Systemen erforderlich sein kann

Während die PQC-Bereitschaft ein wichtiger Faktor ist, geht unsere Plattform über die Quantenvorbereitung hinaus. Sie unterstützt Organisationen auch bei der Bewältigung weitergehender kryptografischer Herausforderungen, wie zum Beispiel:

1. Veraltete Implementierungen
2. Inkonsistente Richtliniendurchsetzung
3. Schwache Krypto-Hygiene in Unternehmen
4. Langfristige Krypto-Agilität

Mit anderen Worten: Es geht hier nicht nur um die Vorbereitung auf Quantenbedrohungen, sondern um die Verbesserung der kryptografischen Governance insgesamt.

Verständnis der kryptografischen Nutzung im gesamten Unternehmen

Eine der größten Herausforderungen für Unternehmen besteht nicht nur darin, Schlüssel oder Zertifikate zu finden, sondern auch darin, zu verstehen, wo diese Ressourcen tatsächlich eingesetzt werden. Unsere Plattform hilft dabei, praktische Fragen wie die folgenden zu beantworten:

• Welche Anwendungen sind von diesem Zertifikat abhängig?
• Welche Dienste würden nicht mehr funktionieren, wenn dieser Schlüssel gedreht wird?
• Wo sind veraltete Algorithmen noch aktiv?
• Welche Geschäftsbereiche besitzen bestimmte Krypto-Assets?

Diese umfassendere Nutzungsanalyse macht CBOM zu mehr als nur einer Bestandsaufnahme; sie ermöglicht es, zu verstehen, wie Kryptografie operative Systeme im gesamten Unternehmen unterstützt. Dieser Kontext versetzt Teams in die Lage, Prioritäten zu setzen, zu planen und effektiv zu steuern.

Richtliniendurchsetzung

Transparenz allein genügt nicht; Sie benötigen Leitplanken. Unsere Plattform ermöglicht es Ihnen, Richtlinien wie die folgenden zu definieren und durchzusetzen:

• Genehmigte Algorithmen und Schlüssellängen
• Gültigkeitsgrenzen des Zertifikats
• Rotationsanforderungen
• Standards für die Krypto-Governance in Unternehmen

Noch wichtiger ist jedoch, dass es Verstöße frühzeitig erkennt, egal ob sie in Produktionssystemen, Cloud-Bereitstellungen oder Build-Pipelines auftreten. Dies hilft Teams, von reaktiven Korrekturen zu proaktiver Kontrolle überzugehen.

Das Ergebnis ist ein CBOM, das als kontinuierliches Kontrollsystem und nicht als statischer Bericht fungiert. CBOM Secure macht daraus etwas, das Sie tatsächlich täglich nutzen können. Es geht nicht nur darum, mehr Daten zu sammeln. Es geht um:

• Zu verstehen, wo kryptografische Vermögenswerte liegen
• Verfolgen, wie sie sich im Laufe der Zeit verändern
• Identifizierung realer Risiken
• Durchsetzung von Governance
• Operationalisierung kryptografischer Intelligenz im gesamten Unternehmen

Genau das ist es, was CBOM von der Theorie in die Praxis umsetzt.

Fazit

Die Unternehmen, die den Übergang nach der Quantencomputer-Ära reibungslos gestalten werden, sind nicht diejenigen, die als Erste mit der Migration beginnen. Sie sind diejenigen, die frühzeitig kryptografische Transparenz geschaffen haben, um genau zu wissen, was sie migrieren, warum es wichtig ist und in welcher Reihenfolge sie handeln müssen.

Ein CBOM löst zwar nicht jedes kryptografische Problem, ist aber die Voraussetzung dafür, jedes Problem im großen Maßstab zu lösen. Die Algorithmen werden veraltet. Regulatorische Vorgaben treten in Kraft. Die Quantenzeit verkürzt sich. Die einzige Variable, die Sie noch kontrollieren können, ist der Zeitpunkt, an dem Sie mit dem Aufbau des Inventars beginnen.

Um die Lücke in der kryptografischen Transparenz zu schließen, ist dieselbe operative Disziplin erforderlich, die Sicherheitsteams bereits für Identitäten, Endpunkte und Netzwerke anwenden. Genau dafür wurde CBOM Secure entwickelt.