Quantencomputing hat die akademische Diskussion hinter sich gelassen und ist nun in die Praxis umgesetzt. Ob der Zeitrahmen fünf oder fünfzehn Jahre beträgt, die Sicherheitscommunity ist sich in einem Punkt einig: Wir müssen jetzt mit den Vorbereitungen für den Übergang zu quantenresistenter Kryptographie beginnen , nicht erst später. Für CISOs stellt dieser Wandel eine technische und strategische Herausforderung dar, die Technologie, Governance, Lieferantenmanagement und langfristigen Datenschutz umfasst.
Warum das jetzt wichtig ist
Die Vorstellung, dass mächtige Angreifer bereits heute verschlüsselte Daten sammeln und darauf warten, sie morgen mithilfe von Quantencomputern zu entschlüsseln, gibt Anlass zu großer Sorge. Diese Methode, in der Branche oft als „ Erfassen und später entschlüsseln “ bezeichnet, zielt auf sensible Informationen mit langfristigem Wert ab: Gesundheitsdaten, juristische Korrespondenz, Informationen zur nationalen Sicherheit oder geistiges Eigentum, das auch in zehn Jahren noch wertvoll sein kann. Das Risiko ist subtil, aber bedeutend. Sollte es Quantencomputern gelingen, die RSA- und ECC -Algorithmen zu knacken, wären alle mit diesen Methoden geschützten Daten nachträglich lesbar.
In Abb. 1 stellt jede Ebene eine andere Phase dar, die Organisationen auf dem Weg zur vollständigen Bereitschaft durchlaufen sollten:
Ebene 1 – Bewusstsein:
Organisationen, die sich in dieser Phase befinden, beginnen gerade erst, die Risiken des Quantencomputings zu verstehen. Sie lernen, was „Jetzt ernten, später entschlüsseln“ bedeutet, und beginnen Gespräche über PQC, haben aber noch keinen strukturierten Plan.
Stufe 2 – Bewertung:
Hier beginnen Organisationen, ihre kryptografischen Ressourcen zu erfassen. Sie identifizieren die verwendeten Algorithmen, Schlüssel und Zertifikate und bewerten, welche Systeme am anfälligsten für Quantenangriffe sind. Diese Phase konzentriert sich stark auf die Ermittlung und Risikobewertung.
Ebene 3 – Planung:
Auf dieser Ebene beginnen Unternehmen mit der Erstellung eines formalen Migrationsplans. Dazu gehört die Zusammenarbeit mit Anbietern, die Auswahl quantenresistenter Algorithmen (nach deren Standardisierung) und die Erstellung von Richtlinien zur Krypto-Agilität, damit sich Systeme schneller anpassen können.
Ebene 4 – Umsetzung:
In der letzten Phase werden Post-Quanten-Algorithmen tatsächlich eingesetzt und die veraltete Kryptografie unternehmensweit ersetzt. Dies erfordert eine enge Abstimmung zwischen IT-, Sicherheits- und Compliance-Teams, um die Geschäftskontinuität und minimale Unterbrechungen zu gewährleisten.
Doch nicht nur die Datenvertraulichkeit steht auf dem Spiel. Digitale Signaturen, Codeintegrität, Firmware-Updates und sicheres Geräte-Onboarding basieren auf asymmetrischer Kryptografie. Können diese Mechanismen gefälscht werden, könnte die Sicherheit Ihrer gesamten Lieferkette gefährdet sein. Bei der Quantenbedrohung geht es weniger um ein einzelnes katastrophales Ereignis als vielmehr um den schleichenden Vertrauensverlust in die digitalen Systeme, auf die wir täglich angewiesen sind.
Wie sieht Vorbereitung aus?
Für IT-Sicherheitsverantwortliche ist die erste Phase der Vorbereitung nicht die Technologie, sondern die Transparenz. Den meisten Organisationen fehlt ein vollständiges Bild davon, wo Kryptografie in ihrer IT-Umgebung eingesetzt wird. Public-Key-Kryptografie betrifft alles, von TLS-Verbindungen und VPN-Tunneln bis hin zu E-Mail-Gateways und mobilen Apps. Wenn Sie in den letzten zwölf Monaten oder überhaupt jemals eine kryptografische Bestandsaufnahme durchgeführt haben, ist ein effektives Risikomanagement nahezu unmöglich.
Eine kryptografische Bestandsaufnahme sollte über reine Zertifikate hinausgehen. Sie muss Anwendungen, Bibliotheken, Protokolle und Systeme umfassen, die Kryptografie verwenden oder erzwingen. Dies beinhaltet häufig das Scannen interner Anwendungen und APIs, die Identifizierung fest codierter Algorithmen und die Zusammenarbeit mit Entwicklern und Architekten, um Abhängigkeiten zu verstehen. Verschiedene Tools können dabei helfen, darunter Code-Scanner und spezielle Discovery-Plattformen.
Sobald Sie Transparenz über Ihre kryptografischen Assets und Landschaft erlangt haben, ist Agilität das nächste Ziel. Kryptografische Agilität bezeichnet die Fähigkeit, Algorithmen auszutauschen, ohne ganze Systeme neu schreiben oder strukturieren zu müssen. Klingt einfach, ist in der Praxis jedoch einer der schwierigsten Aspekte dieser Umstellung. Viele Legacy-Systeme sind nicht auf modulare Kryptografie ausgelegt, sodass selbst geringfügige Algorithmusänderungen operative Risiken mit sich bringen können.
Hier berührt der Post-Quanten-Übergang die umfassendere IT-Strategie. Eine agile Infrastruktur verbessert nicht nur die Quantenresistenz, sondern auch Ihre Reaktionsfähigkeit auf kryptografische Schwachstellen, egal ob sie nächste Woche oder erst im nächsten Jahrzehnt entdeckt werden. Agilität ermöglicht es Ihnen außerdem, neue quantensichere Algorithmen parallel zu herkömmlichen zu testen – ein Prozess, der allgemein als hybride Kryptografie bezeichnet wird.
Hybride Kryptografie: Ein praktischer erster Schritt
Hybride Kryptographie entwickelt sich in der Branche rasant zur bevorzugten Strategie für die Erstimplementierung. Anstatt RSA oder ECC vollständig zu ersetzen, ermöglichen Hybridmodelle das Zusammenspiel zweier Algorithmen, typischerweise eines klassischen und eines quantenresistenten. Dies schafft ein Sicherheitsnetz während der Migrationsphase. Sollte ein Algorithmus kompromittiert werden oder die Validierung fehlschlagen, gewährleistet der andere weiterhin Schutz.
Führende Unternehmen führen bereits Hybridlösungen ein. Google Cloud setzt in seinem Key Management Service auf einen hybriden Schlüsselaustausch, der elliptische Kurvenkryptografie mit CRYSTALS-Kyber kombiniert. Cisco testet hybrides TLS mit Kyber in realen Szenarien. Cloudflare, ein weiterer wichtiger Akteur, hat sich verpflichtet, PQC bis 2025 in seiner Zero-Trust-Produktsuite zu unterstützen. Dabei handelt es sich nicht um theoretische Proofs of Concept, sondern um Live-Implementierungen, die getestet, skaliert und verfeinert werden sollen.
Für Unternehmen, die sich noch in der Anfangsphase befinden, empfiehlt sich der Beginn mit Hybridbereitstellungen in Umgebungen mit geringerem Risiko, beispielsweise in der internen Entwicklung, in Testlabors oder in Partner-Pilotprogrammen. Diese können wertvolle Erfahrungen liefern und dabei helfen, betriebliche Herausforderungen vor einer breiteren Einführung zu erkennen.
Aufbau eines Governance-Modells rund um PQC
Die Vorbereitung auf Quantencomputer ist keine rein technische Initiative. Sie erfordert das Engagement der Governance-, Rechts-, Risiko- und Beschaffungsfunktionen. CISOs müssen dabei helfen, kryptografische Risiken in Unternehmensrisiken zu übersetzen – eine Sprache, die bei Vorstand und Führungskräften Anklang findet.
Dazu gehört die Abstimmung von PQC mit Risikoregistern, die Integration in Geschäftskontinuitätsstrategien und die Einbindung in die Due Diligence bei Fusionen und Übernahmen, Lieferantenrisikobewertungen und regulatorische Planungen. In regulierten Branchen wie dem Finanzdienstleistungs- oder Gesundheitswesen dürfte die Quantentauglichkeit in den nächsten Jahren zu einem Compliance-Problem werden. NIST hat bereits Kyber, Dilithium, Falcon und SPHINCS+ als erste standardisierte PQC-Algorithmen ausgewählt. Da die FIPS-Veröffentlichungen für 2025 erwartet werden, sollten Organisationen, die an staatliche oder branchenspezifische Anforderungen gebunden sind, ihre Roadmaps bereits jetzt überprüfen.
Die Einbindung Ihrer Lieferanten ist ein notwendiger Bestandteil dieses Governance-Prozesses. Fragen Sie in Ausschreibungen und Lieferantenbewertungen nach Post-Quanten-Kryptografie . Klären Sie Zeitpläne, Unterstützung für Hybridbetriebsmodi und ob der Lieferant plant, die anstehenden Compliance-Vorgaben zu erfüllen. Wenn Drittanbieter kryptografische Operationen durchführen, insbesondere in Cloud-Umgebungen, ist es entscheidend zu verstehen, wie und wann sie Anpassungen vornehmen wollen.
Umsetzung eines langfristigen Übergangsplans
Die erfolgreichsten Umstellungen auf PQC erfolgen schrittweise, gezielt und iterativ. Es handelt sich nicht um einen kompletten Austausch. Betrachten Sie es vielmehr als ein stufenweises Reifegradmodell.
Beginnen Sie mit Systemen, bei denen kryptografische Übergänge weniger risikobehaftet sind: Entwicklungspipelines, interne APIs, Service-zu-Service-Kommunikation. Erweitern Sie dann Ihren PQC-Schutz nach außen und integrieren Sie ihn in Ihre Zertifizierungsstelle, Identitätssysteme, E-Mails, mobilen Apps und öffentlichen Dienste.
Ihr langfristiger Fahrplan sollte folgende Elemente beinhalten: Festlegung von Kennzahlen für die Quantenbereitschaft (z. B. Prozentsatz der Systeme mit aktivierter Hybridkryptografie), regelmäßige Überprüfungen der Anbieterausrichtung, Pflege eines zentralen kryptografischen Inventars und Durchführung interner Planspiele, die das Versagen aktueller kryptografischer Standards simulieren. Diese Aktivitäten tragen dazu bei, PQC in der gesamten Unternehmenskultur zu normalisieren – nicht nur in der Codebasis.
Abbildung 2 zeigt den voraussichtlichen Zeitplan für die PQC-Migration von heute bis 2035:
Jetzt – Die Datenerhebung ist im Gange:
Angreifer sammeln bereits verschlüsselte Daten mit der Absicht, diese zu entschlüsseln, sobald Quantencomputer leistungsfähig genug sind. Das bedeutet, dass die Uhr bereits tickt, auch wenn praktische Quantenbedrohungen noch Jahre entfernt sind.
2025 – NIST-Standards fertiggestellt:
Das US-amerikanische Nationale Institut für Standards und Technologie (NIST) finalisiert die offiziellen Post-Quanten-Kryptographiealgorithmen. Diese Standards werden die Grundlage für deren weltweite Anwendung bilden.
2028 – Frühzeitiger Compliance-Druck:
Laut dem britischen National Cyber Security Centre (NCSC) werden Unternehmen zunehmend regulatorischen und Compliance-Druck verspüren, PQC einzuführen. Branchen wie das Finanzwesen, die Verteidigung und das Gesundheitswesen könnten aufgrund ihrer Sensibilität früher mit der Einführung von PQC konfrontiert sein.
2035 – Ziel für die vollständige PQC-Migration:
Zu diesem Zeitpunkt dürften Unternehmen die vollständige Umstellung auf PQC abgeschlossen haben. Auch wenn es noch weit entfernt erscheinen mag, dauern groß angelegte kryptografische Migrationen oft ein Jahrzehnt oder länger. Daher ist es wichtig, heute mit der Planung zu beginnen. Dieser Zeitplan unterstreicht die Dringlichkeit: Auch wenn die endgültige Frist noch zehn Jahre entfernt ist, müssen die Vorbereitungen jetzt beginnen.
Wichtige Erkenntnisse
Es ist wichtig, den Quantensprung nicht als isoliertes Ereignis zu betrachten, sondern als eine Transformationsphase des digitalen Vertrauens. Die Entscheidungen, die wir heute über Architektur, Standards, Anbieterauswahl und Risikomanagement treffen, werden die Zukunft der Unternehmenssicherheit in einer Post-Quanten-Welt prägen.
Bei der Vorbereitung geht es nicht darum, das genaue Jahr vorherzusagen, in dem Quantencomputer die heutige Verschlüsselung knacken werden. Es geht darum, sicherzustellen, dass Ihr Unternehmen so strukturiert ist, dass es sich anpassen kann, wenn es passiert. Diese Art von Resilienz beginnt nicht mit Panik oder passiver Beobachtung, sondern mit Führung.
Für CISOs ist dies ein Moment der Klarheit. Die Post-Quanten-Zukunft steht bevor, und unsere Verantwortung besteht darin, ihr mit einem Plan zu begegnen – nicht nur zum Überleben, sondern auch, um strategische Vorteile zu erzielen.
Wie kann Verschlüsselungsberatung helfen?
Bei Encryption Consulting unterstützen wir Organisationen dabei, die Komplexität der Post-Quanten -Vorsorge mit einem bewährten, strukturierten Ansatz zu bewältigen:
- Kryptografische Bewertungen und Inventarisierung: Wir bieten Discovery-Dienste an, die CISOs dabei helfen, einen vollständigen Überblick darüber zu erhalten, wo in ihren Umgebungen Kryptografie eingesetzt wird, und zwar in Bezug auf Zertifikate, Anwendungen, APIs und eingebettete Systeme.
- Roadmap-Entwicklung: Unsere Experten entwickeln schrittweise Übergangsstrategien, die auf Ihre Geschäftsprioritäten zugeschnitten sind, und stellen sicher, dass die PQC-Einführung mit den Governance-, Compliance- und Betriebsanforderungen übereinstimmt.
- Hybride Kryptografieimplementierungen: Wir unterstützen die Bereitstellung hybrider Ansätze, die klassische und quantensichere Algorithmen kombinieren, sodass Unternehmen PQC-Lösungen ohne Geschäftsunterbrechung testen, validieren und skalieren können.
- Governance- und Compliance-Ausrichtung: Vom Aufbau von Governance-Modellen bis hin zur Einbettung von PQC in Risikoregister und Regulierungsplanung helfen wir CISOs dabei, kryptografische Risiken in Unternehmensrisiken zu übersetzen, die der Vorstand verstehen kann.
- Dokumentation und Support: Wir liefern eine End-to-End-Dokumentation für Build-Prozesse, Firmware-Upgrades, kryptografische Inventare und Schlüsselzeremonie-Verfahren, um betriebliche Exzellenz und Audit-Bereitschaft sicherzustellen.
Unabhängig davon, ob sich Ihr Unternehmen in der Anfangsphase der PQC-Erkundung befindet oder bereits Pilotprojekte zur Hybridkryptografie durchführt, bietet Encryption Consulting das Fachwissen, die Tools und die Frameworks, um einen sicheren und nahtlosen Übergang zu gewährleisten.
Fazit
Quantencomputing stellt eine der disruptivsten Kräfte dar, mit denen die Cybersicherheit je konfrontiert war. Der Umstieg auf Post-Quanten-Kryptografie ist nicht nur ein technisches Upgrade, sondern eine grundlegende Transformation der Art und Weise, wie Unternehmen Daten schützen, Vertrauen bewahren und Resilienz für die kommenden Jahrzehnte aufbauen. Für CISOs ist die Aufgabe klar: Transparenz in kryptografische Assets schaffen, Agilität in IT- und Sicherheitsinfrastrukturen einbauen und Governance- und Risikomanagementprozesse an diese neue Realität anpassen. Wer frühzeitig handelt, schützt sich nicht nur vor zukünftigen Bedrohungen, sondern verschafft sich auch einen strategischen Vorteil in Bezug auf Resilienz und Vertrauenswürdigkeit. Das Quantenzeitalter naht, und jetzt ist es an der Zeit, sich vorzubereiten.
