Von der kryptografischen Bestandsaufnahme zur Migrations-Roadmap

Kurz gesagt: Ein kryptografisches Inventar (CBOM) zeigt Ihnen, welche Algorithmen, Schlüssel und Zertifikate existieren und wo sie sich befinden; es legt jedoch nicht fest, was zuerst migriert werden soll. Um daraus einen Migrationsplan zu erstellen, müssen Sie die Auswirkungen auf das Geschäft, die Komplexität der Migration, die Zuständigkeiten, die Reihenfolge und die Fristen berücksichtigen und anschließend jedes Asset bewerten, sodass die risikoreichsten zuerst migriert werden. Es empfiehlt sich, das Inventar als kontinuierlich aktualisierten Feed und nicht als einmaliges Ergebnis zu behandeln, da Zertifikate rotieren und Code täglich aktualisiert wird. Erstellen Sie außerdem eine einfache, wiederholbare Priorisierungsskala, anstatt die Migration in beliebiger Reihenfolge durchzuführen.

Das Erstellen eines kryptografischen Inventars fühlt sich an wie das Abschließen eines Projekts. Nach wochenlanger Recherche verfügt man endlich über ein sauberes, vollständiges CBOM (Cryptographic Object Model), in dem alle Algorithmen, Schlüssel, Zertifikate und Bibliotheken übersichtlich an einem Ort zusammengefasst sind. Das ist ein echter Erfolg, und genau hier scheitern die meisten Projekte stillschweigend, da beim Erstellen des Inventars keine Daten migriert werden.

Ein CBOM ist wie eine Karte. Er zeigt das Terrain. Er sagt Ihnen nicht, welchen Weg Sie zuerst einschlagen sollen, wer fahren darf oder was kaputt geht, wenn Sie zu früh das Falsche bewegen. Diese zweite Reihe von Fragen ist der Migrationsplan, und er ist der Teil, der quantenanfällige Kryptographie tatsächlich außer Betrieb nimmt, bevor ein Stichtag dies für Sie erledigt.

Wichtige Erkenntnisse

• Ein CBOM ist der Ausgangspunkt, nicht die Ziellinie.
• Die Migrationsplanung bringt zusätzliche Auswirkungen auf das Geschäft, erhöht die Komplexität, definiert Verantwortlichkeiten und legt eine Reihenfolge für die Rohdaten des Inventars fest.
• Das kryptografische Haltungsmanagement ist ein Lebenszyklus, keine einmalige Überprüfung oder ein einzelnes Produkt.
• Statische Inventare veralten, daher ist eine kontinuierliche Erkennung erforderlich, da sich Code und Zertifikate ändern.
• Der Fahrplan der EU sieht vor, dass die Mitgliedstaaten bis Ende 2026 mit der Erfassung kryptografischer Daten beginnen, daher besteht ein kurzfristiger Bedarf.

Kryptografisches Inventar- und Statusmanagement, definiert

Ein kryptografisches Inventar, oft auch CBOM (Cryptography Bill of Materials) genannt , ist eine strukturierte Aufzeichnung aller verwendeten Algorithmen, Schlüssel, Zertifikate, Bibliotheken und Protokolle. Das kryptografische Sicherheitsmanagement umfasst die kontinuierliche Aktualisierung dieses Inventars: Priorisierung, Migration und Anpassung an sich ändernde Anforderungen.

Das Inventar gibt Auskunft darüber, welche Kryptografie Sie verwenden und wo diese gespeichert ist; der Migrationsplan beschreibt die nächsten Schritte und berücksichtigt dabei die Auswirkungen auf Ihr Geschäft, die Reihenfolge, die Zuständigkeiten und die Interoperabilitätstests. Die kontinuierliche Erkennung hält beides auf dem neuesten Stand, während sich Code, Zertifikate und Cloud-Ressourcen im Hintergrund ändern.

Was ein CBOM Ihnen bietet und was nicht

Ein CBOM (Community-Based Outcome Model) verschafft Ihnen Transparenz – der erste, hart erkämpfte Schritt. Es zeigt Ihnen, dass RSA-2048 einen bestimmten Dienst schützt, dass ein veralteter elliptischer Kurvenschlüssel eine bestimmte Version signiert und dass eine Bibliothek, die drei Abhängigkeiten tief verschachtelt ist, immer noch eine veraltete Verschlüsselungsmethode verwendet. Ohne dieses Bild ist jede Migrationsentscheidung ein Ratespiel.

Ein CBOM trifft keine Entscheidungen. Es sagt Ihnen nicht, dass der RSA-2048-Algorithmus in einem internetbasierten Dienst mit jahrzehntelangen Verträgen wesentlich wichtiger ist als derselbe Algorithmus in einem internen Tool, das nur einmal verwendet wird. Es weist keinen Verantwortlichen zu, plant keine Arbeitsabläufe und testet nicht, ob ein ausgetauschter Algorithmus mit einem Partner kompatibel ist, der noch nicht migriert hat. Große Anbieter formulieren dies ähnlich: Das Inventar ist das A und O, und die darauf aufbauenden Maßnahmen bilden ein separates Betriebsmodell. Das CBOM ist notwendig, aber nicht hinreichend.

Vom Inventar zum Plan: Die fünf zusätzlichen Faktoren

Die Umwandlung eines CBOM in einen Plan bedeutet, jedes Asset mit Kontextinformationen anzureichern, die im Inventar nicht enthalten sind. Fünf Faktoren leisten dabei den größten Teil der Arbeit:

1. Auswirkungen auf das Geschäft und Sensibilität der Daten: Wie schwerwiegend wären die Folgen eines Versagens des Schutzes dieses Assets, und wie lange müssen die geschützten Daten geheim bleiben?
2. Komplexität der Migration und Interoperabilitätsrisiko: Ist die Kryptographie abstrahiert und leicht austauschbar oder fest codiert und mit Partnern verschränkt, die sich ebenfalls bewegen müssen?
3. Eigentümer: Wer kann dieses System eigentlich ändern? Ein Gut, das niemandem gehört, ist eine Migration, die niemals beginnt.
4. Sequenzierung und Abhängigkeiten: Was muss zuerst geschehen, weil andere Dinge davon abhängen, und was kann warten, ohne zusätzliches Risiko zu verursachen?
5. Fristenplanung: Verknüpfen Sie jedes Asset mit den dafür geltenden Verpflichtungen: EO 14412, dem EU-Fahrplan und Ihren eigenen internen Service-Levels.

Erstellen Sie ein Priorisierungsmodell

Diese Eingaben werden erst dann nützlich, wenn man sie in eine einfache, reproduzierbare Bewertung umrechnet. Ein komplexes Modell ist nicht nötig. Wichtig ist eine konsistente Rangfolge, damit das Team die risikoreichsten Assets zuerst migriert, anstatt die einfachsten. Ein praktikabler Ausgangspunkt sieht folgendermaßen aus:

Faktor	Gewicht	Beispielsignal
Lebensdauer der Datengeheimhaltung	Hoch	Unterlagen, die 10 oder länger vertraulich bleiben müssen
Quantenverwundbarkeit	Hoch	RSA-2048 oder ECDSA P-256 noch in Gebrauch
Belichtung	Medium	eher internetorientiert als nur intern
Migrationskomplexität	Medium	Fest codierte Kryptographie statt Abstraktion
Klarheit über die Eigentumsverhältnisse	Niedrig bis mittel	Ein klarer Eigentümer statt eines verwaisten Systems

Bewertet man jedes Asset im CBOM anhand dieser Faktoren und gewichtet die beiden wichtigsten – Geheimhaltungsdauer und Quantenverwundbarkeit –, erhält man eine geordnete Warteschlange anstelle einer undifferenzierten Liste. Es geht nicht um die genauen Zahlen. Es geht darum, dass ein langlebiges, durch RSA-2048 auf einem öffentlich zugänglichen System geschütztes Geheimnis ganz oben steht, während ein internes Tool mit geringem Risiko warten muss – und jeder kann nachvollziehen, warum.

Warum statische CBOMs veralten: Argumente für kontinuierliche Erkennung

Hier liegt die Gefahr, wenn man das CBOM als Liefergegenstand statt als kontinuierlichen Datenfluss betrachtet. Zertifikate wechseln ständig. Code wird täglich ausgeliefert. Cloud-Ressourcen werden im Handumdrehen bereitgestellt und wieder entfernt. Eine Momentaufnahme des Inventars ist innerhalb weniger Wochen veraltet, und ein auf einem veralteten Inventar basierender Migrationsplan entfernt sich stillschweigend von der Realität.

Deshalb behandelt das kryptografische Lagemanagement das Inventar als dynamischen Datensatz und nicht als Bericht. Kontinuierliche Aktualisierung hält das CBOM auf dem neuesten Stand, was eine korrekte Priorisierung gewährleistet und die für den tatsächlichen Algorithmuswechsel notwendige Krypto-Agilität fördert . Inventar, Plan und Migrationsprozess bilden einen geschlossenen Kreislauf und sind nicht drei separate Projekte. Dieser Kreislauf funktioniert nur, wenn die zugrunde liegenden Daten aktuell bleiben. Ein Migrationsplan, der auf dem Inventar des letzten Quartals basiert, ist ein Plan für ein System, das Sie nicht mehr betreiben.

Wie Verschlüsselungsberatung hilft

Genau diesen Weg begleitet Sie Encryption Consulting – von der Bestandsaufnahme bis hin zu einem detaillierten Aktionsplan. CBOM Secure bietet kontinuierliche Erkennung und ein einheitliches Inventar, das alles vom Quellcode bis zur Cloud abdeckt. Assets werden hinsichtlich ihres Risikos bewertet und quantenanfällige Kryptografie gekennzeichnet, sodass CBOM stets aktuell bleibt.

PQC Advisory wandelt dieses lebendige Inventar in einen sequenziellen Migrationsfahrplan um, indem es eine strukturierte, phasenweise Methodik anwendet, die den Rohdaten Geschäftsauswirkungen, Verantwortlichkeiten und Abhängigkeiten hinzufügt und die Arbeit nach Risiko ordnet.

Gemeinsam schließen sie den Kreislauf: kontinuierlich entdecken, ehrlich priorisieren, der Reihe nach migrieren und die Nachweise stets aktuell halten, falls die zuständige Aufsichtsbehörde zuerst danach fragt.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen einem kryptografischen Inventar und einem Migrationsplan?

Das Inventar (CBOM) gibt Auskunft darüber, welche kryptografischen Lösungen existieren und wo sie gespeichert sind. Der Migrationsplan ergänzt diese Rohdaten um eine Rangfolge der Geschäftsauswirkungen, die Komplexität der Migration, Zuständigkeiten, die Reihenfolge und die Festlegung von Fristen und wandelt so eine Liste in eine geordnete Arbeitsliste um.

Welche fünf Faktoren verwandeln ein CBOM in einen Migrationsplan?

Auswirkungen auf das Geschäft und Sensibilität der Daten, Komplexität der Migration und Interoperabilitätsrisiko, Zuständigkeiten, Reihenfolge und Abhängigkeiten sowie die Zuordnung von Fristen zu regulatorischen Verpflichtungen wie EO 14412 oder dem EU-Fahrplan.

Warum wird ein statisches CBOM veraltet?

Zertifikate wechseln, Code wird täglich veröffentlicht und Cloud-Ressourcen werden ständig erstellt und gelöscht. Eine Momentaufnahme ist innerhalb weniger Wochen veraltet, und ein auf einer veralteten Bestandsaufnahme basierender Migrationsplan entfernt sich immer weiter von der tatsächlichen Umgebung.

Welche Faktoren sollten bei der Priorisierung am stärksten gewichtet werden?

Die Lebensdauer der Datengeheimhaltung und die Quantenanfälligkeit sind von größter Bedeutung, da ein langlebiges Geheimnis, das durch einen quantenanfälligen Algorithmus wie RSA-2048 auf einem mit dem Internet verbundenen System geschützt wird, das höchste Risiko birgt. Auch die Gefährdungslage, die Komplexität der Migration und die Klarheit der Eigentumsverhältnisse spielen eine Rolle, jedoch mit geringerer Gewichtung.

Warum muss ein Asset einen eindeutigen Eigentümer haben, bevor es migriert werden kann?

Ohne einen Verantwortlichen, der die Änderung autorisieren und ausführen kann, gibt es für eine Migrationsaufgabe niemanden, der sie bearbeiten kann, unabhängig davon, wie gut das Asset im Inventar dokumentiert ist. Ein Asset ohne Verantwortlichen ist eine Migration, die niemals startet.