Wie man eine CBOM (Kryptographische Stückliste) erstellt

Die meisten Organisationen können eine trügerisch einfache Frage nicht beantworten: Wo genau wird in unserer Umgebung Kryptografie eingesetzt und welche Algorithmen verwendet sie?

Kurz gesagt: Eine kryptografische Stückliste (CBOM) ist ein strukturiertes, maschinenlesbares Verzeichnis aller kryptografischen Assets, Algorithmen, Schlüssel, Zertifikate und Protokolle sowie deren Abhängigkeiten. Sie wird typischerweise als CycloneDX-Erweiterung Ihrer bestehenden SBOM erstellt. Dies ist wichtig, da die finalisierten Post-Quanten-Standards des NIST (FIPS 203, 204, 205), die gestaffelten Fristen von CNSA 2.0 bis 2035 und aktive Angriffe nach dem Prinzip „Erfassen und später entschlüsseln“ allesamt erfordern, genau zu wissen, wo sich quantenanfällige Kryptografie befindet, bevor sie migriert werden kann. Es wird empfohlen, mit einer Tiefensuche-CBOM Ihrer Systeme mit dem höchsten Risiko zu beginnen und dabei automatisierte Erkennungstools anstelle von Tabellenkalkulationen zu verwenden, da sich die Kryptografie zu schnell weiterentwickelt, als dass eine manuelle Nachverfolgung akkurat bleiben könnte.

Wichtige Erkenntnisse

• Ein CBOM erfasst vier Asset-Kategorien – Algorithmen, Schlüssel, Zertifikate und Protokolle – sowie die Abhängigkeitsbeziehungen zwischen ihnen, typischerweise als JSON-Dokument im CycloneDX-Format.
• NIST finalisierte ML-KEM (FIPS 203), ML-DSA (FIPS 204) und SLH-DSA (FIPS 205) im August 2024; CNSA 2.0 verlangt, dass Software- und Firmware-Signaturen ab 2025 Post-Quanten-Algorithmen bevorzugen und ab 2030 ausschließlich verwenden.
• Planen Sie Ihre erste CBOM-Iteration bewusst: Entweder Sie gehen Sie breitgefächert vor, um das Management-Reporting zu optimieren, oder detailliert auf Ihre Systeme mit dem höchsten Risiko ein, um einen umsetzbaren Migrationsplan zu erstellen. Die detaillierte Analyse ist in der Regel der bessere Ausgangspunkt.
• Die Erkennung erfordert mehrere sich ergänzende Techniken, Quellcode- und Binäranalyse, Netzwerk- und Protokollscanning, Zertifikats- und Schlüsselerkennung sowie Firmware-Inspektion, da keine einzelne Methode vollständige Transparenz bietet.
• Ein CBOM ist ein lebendiges System, kein einmaliger Bericht; es muss durch CI/CD und regelmäßige Scans automatisch neu generiert werden, wenn Zertifikate rotieren und Bibliotheken aktualisiert werden.

Diese Lücke war früher ein reines Hygieneproblem. Heute stellt sie ein strategisches Risiko dar. Mit dem Aufkommen praktischer Post-Quanten-Standards und einer Flut staatlicher Fristen hat die Verschlüsselung, die Ihre Daten, Zertifikate und Software-Signaturprozesse schützt, eine begrenzte Lebensdauer. Was man nicht sieht, kann man nicht ersetzen, und die unübersichtliche Verbreitung von Verschlüsselungen in typischen Unternehmen – verteilt auf Anwendungen, Bibliotheken, Firmware, Netzwerkgeräte und Cloud-Dienste – hat sich über zwei Jahrzehnte hinweg unbemerkt angehäuft.

Eine kryptografische Stückliste (CBOM) macht diese komplexe Struktur endlich sichtbar. Dieser Leitfaden erklärt, was eine CBOM ist, warum sie plötzlich zu einem wichtigen Thema für die Geschäftsleitung geworden ist und wie man sie erstellt – von der Definition des Umfangs über die Nutzung von Analysetools bis hin zur langfristigen Aktualisierung des Inventars .

Was ein CBOM eigentlich ist

Ein CBOM (Cryptographic Assets Manual) ist ein strukturiertes, maschinenlesbares Verzeichnis aller kryptografischen Assets in Ihrer Umgebung und ihrer Beziehungen zueinander. Stellen Sie es sich als die kryptografische Schicht Ihrer Software-Lieferkette vor: Während ein SBOM (Software Bill of Materials) die Komponenten und Abhängigkeiten einer Anwendung auflistet, zeigt Ihnen ein CBOM, welche kryptografischen Algorithmen, Schlüssel, Zertifikate und Protokolle diese Komponenten verwenden.

In der Praxis ist das vorherrschende Format eine Erweiterung des CycloneDX -Standards. CycloneDX fügte ein kryptografisches Asset-Modell hinzu, mit dem sich vier Hauptkategorien von Kryptowährungen in einem einzigen JSON-Dokument beschreiben lassen:

• Algorithmen wie RSA, AES, ECDSA, SHA-256- oder TLS-Verschlüsselungssuiten sowie deren Parameter (Schlüssellänge, Betriebsmodus, Kurve).
• Schlüssel und zugehöriges Material, einschließlich öffentlicher und privater Schlüssel, deren Größe in Bit, Format wie z. B. PEM und ob sie hardwareseitig geschützt sind.
• Zertifikate, ihre Aussteller, Gültigkeitszeiträume und die Algorithmen, mit denen sie signiert werden.
• Protokolle wie TLS, SSH oder IPsec sowie die spezifischen Konfigurationen und Verschlüsselungssammlungen, die Ihre Systeme aushandeln.

Entscheidend ist, dass ein CBOM auch Abhängigkeiten erfasst. Eine TLS-Sitzung hängt von einer Cipher Suite ab, die wiederum von einem Schlüsselaustauschalgorithmus und einem Signaturalgorithmus abhängt, welche ihrerseits von einer bestimmten Bibliotheksimplementierung abhängen. Wenn man diese Abhängigkeitsketten nachvollziehen kann, lassen sich Fragen beantworten, die sonst nahezu unmöglich zu beantworten wären, wie beispielsweise: „Welche Produktionsdienste würden ausfallen, wenn wir RSA-2048 deaktivieren würden?“

Warum CBOMs von einer wünschenswerten zu einer obligatorischen Funktion wurden

Jahrelang war die kryptografische Inventarisierung etwas, das Organisationen irgendwann aufschieben wollten. Drei Faktoren haben diesen Zeitplan jedoch zunichtegemacht.

Die Post-Quanten-Standards sind Realität und endgültig. Im August 2024 veröffentlichte das NIST die ersten finalisierten Post-Quanten-Kryptografiestandards: FIPS 203, 204 und 205. FIPS 203 (ML-KEM, abgeleitet von CRYSTALS-Kyber) befasst sich mit quantenresistenter Schlüsselerzeugung und soll RSA und ECDH ablösen. FIPS 204 (ML-DSA, von Dilithium) und FIPS 205 (SLH-DSA, von SPHINCS+) decken digitale Signaturen ab und ersetzen ECDSA und RSA-Signaturen. Der achtjährige Wettbewerb ist beendet. Für Unternehmen stellt sich nicht mehr die Frage, ob sie migrieren sollen, sondern wie schnell und effizient.

Die Fristen sind verbindlich. Die CNSA 2.0- Suite der NSA sieht eine stufenweise Migration bis Anfang der 2030er-Jahre vor. Software- und Firmware-Signaturen sollen ab 2025, einem der ersten Meilensteine ​​der Suite, Post-Quanten-Algorithmen unterstützen und bevorzugen; die ausschließliche Nutzung ist ab 2030 vorgeschrieben. Netzwerkgeräte unterliegen derselben Frist für die ausschließliche Nutzung bis 2030, während Betriebssysteme, kundenspezifische Anwendungen und Cloud-Dienste bis 2033 auf diese umgestellt werden. Darüber hinaus müssen ab dem 1. Januar 2027 alle neuen NSS-Beschaffungen standardmäßig CNSA 2.0-Algorithmen unterstützen.

Bis 2035 ist gemäß dem Nationalen Sicherheitsmemorandum NSM-10 eine vollständige Quantenresistenz in allen nationalen Sicherheitssystemen der USA erforderlich. Auch Organisationen außerhalb der staatlichen Lieferkette übernehmen diese Zeitvorgaben in der Regel durch Lieferanten, Aufsichtsbehörden und Kunden.

„Jetzt sammeln, später entschlüsseln“ – diese Vorgehensweise wirkt rückwirkend. Angreifer fangen bereits heute verschlüsselten Datenverkehr und gespeicherte Daten ab und setzen darauf, diese entschlüsseln zu können, sobald ein kryptografisch geeigneter Quantencomputer existiert. Alle Daten, deren Vertraulichkeit bis in die 2030er-Jahre reicht – Gesundheitsdaten, Finanzdaten, Staatsgeheimnisse, langfristiges geistiges Eigentum – sind praktisch schon jetzt gefährdet, wenn sie über quantenanfällige Verschlüsselung übertragen werden. Das macht die Migration zu einer dringenden Angelegenheit der Gegenwart und nicht zu einem fernen Projekt.

Ein CBOM ist die Grundlage für die Reaktion auf alle drei. Er ist der erste konkrete Schritt zur Messung des Ausmaßes und der Reichweite einer Post-Quanten-Migration und dient gleichzeitig als Frühwarnsystem für zukünftige kryptografische Schwachstellen, den nächsten Heartbleed-Vorfall, den nächsten veralteten Hash-Algorithmus, die nächste kompromittierte Zertifizierungsstelle.

Bevor Sie beginnen: Stellen Sie das richtige Zielfernrohr ein.

Einer der häufigsten Gründe, warum CBOM-Initiativen an Dynamik verlieren, ist der Versuch, zu früh zu viel abzudecken. Die Analysephase ist in der Regel der ressourcenintensivste Teil der Arbeit; daher entscheiden die Entscheidungen über den Umfang darüber, ob man innerhalb weniger Wochen etwas Brauchbares vorweisen kann oder sich ein Jahr lang verliert.

Legen Sie zunächst fest, was „fertig“ für Ihre erste Iteration bedeutet. Zwei sinnvolle Formulierungen:

• Der Ansatz der breitenorientierten Bestandsaufnahme zielt auf eine oberflächliche Bestandsaufnahme des gesamten Bestands, aller Systeme, aber nur der Geheimschrift Das ist leicht zu erkennen. Das eignet sich gut für die Berichterstattung an die Geschäftsleitung und zur Abschätzung des Gesamtumfangs des Problems.
• Der Tiefensuche-Ansatz wählt die wichtigsten Systeme aus: alles, was mit langlebigen, sensiblen Daten arbeitet, alles, was CNSA 2.0 unterliegt, Ihre Codesignatur und PKI Infrastruktur, Ihre geschäftskritischen Anwendungen und deren Inventarisierung werden gründlich erfasst, einschließlich der komplexen eingebetteten Kryptografie und der Kryptografie auf Firmware-Ebene. Dies ist in der Regel der bessere Ausgangspunkt, da er einen umsetzbaren Migrationsplan anstelle einer Datenflut liefert.

Egal, wofür Sie sich entscheiden, halten Sie es schriftlich fest und sichern Sie sich die Unterstützung der Sponsoren. Ein CBOM (Community-Based Outcomes Model) ist ein funktionsübergreifendes Projekt, das Anwendungsteams, Infrastruktur, Sicherheit und oft auch den Einkauf betrifft. Betrachten Sie die Projektbeschreibung als Vertrag, der alle Beteiligten auf dem gleichen Stand hält.

Wie man ein CBOM erstellt – Schritt für Schritt

Schritt 1: Erstellen Sie eine Bestandsaufnahme Ihres vorhandenen Wissens

Sie verfügen wahrscheinlich bereits über eine solide Ausgangsbasis in Ihren bestehenden Unternehmenssystemen. IT-Asset-Management-Datenbanken, Konfigurationsmanagement-Datenbanken (CMDBs), Zertifikatsverwaltungsplattformen und insbesondere alle bereits generierten SBOMs liefern kryptografische Informationen. Ein CBOM baut explizit auf einem SBOM auf; das SBOM zeigt Ihnen, welche Bibliotheken vorhanden sind, und das CBOM ergänzt diese um Informationen zu deren kryptografischen Funktionen. Führen Sie diese Bestandsaufnahmen durch, bevor Sie Scans durchführen. Das spart Aufwand und vermeidet blinde Flecken.

Schritt 2: Kryptografische Assets in der Umgebung entdecken

Dieser Schritt bildet den Kern der CBOM-Erstellung. Ziel ist es, jede Instanz zu identifizieren, in der Kryptografie implementiert, konfiguriert oder implizit verwendet wird. Da keine einzelne Technik vollständige Transparenz bietet, erfordert die Ermittlung typischerweise mehrere sich ergänzende Ansätze:

• Quellcode- und Binäranalyse identifizieren in Anwendungen integrierte Kryptografie, API-Aufrufe an kryptografische Bibliotheken, fest codierte Algorithmen und Schlüsselerzeugungsroutinen. Die statische Analyse ist nach wie vor die zuverlässigste Methode, um Kryptografie in Systemen aufzudecken, die Sie direkt kontrollieren.
• Netzwerk- und Protokollscans überwachen die tatsächlich während der Übertragung ausgehandelten Daten, wie z. B. TLS-Versionen, Verschlüsselungssammlungen, SSH-Konfigurationen und VPN-Tunnel. Dadurch wird die Diskrepanz zwischen den Angaben in der Konfigurationsdatei und dem tatsächlichen Verhalten eines Dienstes aufgedeckt.
• Die Zertifikats- und Schlüsselermittlung konzentriert sich auf Ihre PKI, TLS-Endpunkte, Keystores und HSMs, um Zertifikate, deren Signaturalgorithmen, Schlüssellängen und Ablaufdaten aufzulisten.
• Die Überprüfung von Konfiguration und Firmware zielt auf die in Netzwerkgeräten, IoT- und OT-Geräten sowie Plattformeinstellungen eingebettete Kryptografie ab, die oft am schwersten zu erreichen und am ehesten über Jahre hinweg quantenanfällig ist.

Die Ergebnisse jeder einzelnen Methode sollten auf dasselbe CBOM-Schema normalisiert werden, sodass am Ende ein einziger Bestandsbericht und nicht fünf isolierte Berichte erstellt werden.

Schritt 3: Verwenden Sie automatisierte Tools anstelle von Tabellenkalkulationen.

Die manuelle Datensuche ist nicht skalierbar, und eine manuell gepflegte CBOM-Datei ist sofort nach dem Speichern veraltet. Verschiedene Open-Source- und kommerzielle Tools erzeugen CBOM-Ausgaben im CycloneDX-Format direkt.

Ein typischer Open-Source-Workflow verwendet CodeQL-basierte Scanner oder Tools, um eine Codebasis zu analysieren und eine cbom.json-Datei zu erzeugen. Das allgemeine Muster sieht wie folgt aus:

• Installieren Sie die CodeQL CLI und klonen Sie das CodeQL-Abfrage-Repository.
• Installieren Sie das CBOM-Generierungstool (zum Beispiel über pip).
• Erstellen Sie eine CodeQL-Datenbank für das Zielprojekt.
• Führen Sie das Tool gegen diese Datenbank aus; es erzeugt eine cbom.json-Datei im Projektverzeichnis, die die gefundenen kryptografischen Assets beschreibt.

Anschließend werden die projektbezogenen Ausgaben zusammengeführt, mit den Netzwerk- und Zertifikatserkennungsdaten aus Schritt 2 angereichert und alles in einem einzigen unternehmensweiten CBOM konsolidiert. Die genauen Befehle sind weniger wichtig als das Prinzip: Die Erkennung sollte wiederholbar und automatisiert sein, damit sie in CI/CD-Pipelines und nach einem Zeitplan ausgeführt werden kann.

Hier zeigt sich auch, dass eine speziell entwickelte Plattform einer zusammengewürfelten Toolchain überlegen ist. Open-Source-Scanner sind zwar sehr gut darin, Kryptografie im eigenen Code zu finden, aber jeder von ihnen sieht nur einen kleinen Teil des gesamten Codes. Außerdem muss jemand die Ergebnisse zusammenführen, Duplikate entfernen und sie bei Systemänderungen aktuell halten.

CBOM Secure von Encryption Consulting wurde entwickelt, um genau diese Lücke zu schließen: Es erkennt, inventarisiert und überwacht kontinuierlich jeden Schlüssel, jedes Zertifikat, jeden Algorithmus und jede kryptografische Bibliothek im gesamten Anwendungsquellcode, in der Cloud und in der On-Premises-Infrastruktur – und das alles mit nur einer einzigen Bereitstellung.

Die Eignung dieses Ansatzes für diese Arbeit liegt darin begründet, dass er nicht jeden Befund als isolierten Posten betrachtet, sondern kryptografische Assets als Beziehungsdiagramm modelliert, Zertifikate mit ihren privaten Schlüsseln verknüpft und nachverfolgt, wie Geheimnisse über verschiedene Dienste hinweg genutzt werden. Genau diese Abhängigkeitssicht versuchen die Schritte 2 und 4 andernfalls manuell nachzubilden.

In der Praxis bedeutet dies, dass die oben beschriebenen Erkennungstechniken vorintegriert und nicht nachträglich zusammengestellt werden. Ein Quellcode-Visualisierer visualisiert die Verwendung kryptografischer APIs und Bibliotheksabhängigkeiten im gesamten Quellcode und deckt veraltete Algorithmen, fest codierte Geheimnisse und eingebettete Anmeldeinformationen auf, bevor der Code ausgeliefert wird. Die Cloud-Erkennung erweitert die Abdeckung auf AWS, Azure und GCP sowie HashiCorp Vault, HSMs und lokale Infrastrukturen und speist die Ergebnisse direkt in ein einheitliches Inventar ein.

Jedes Asset wird anschließend hinsichtlich Compliance-Risiko und Post-Quanta-Exposure bewertet – genau das, was in Schritt 5 beschrieben wird. Für die meisten Organisationen ist die Einrichtung dieses Systems schneller, umfassender und deutlich nachhaltiger als die Pflege vergleichbarer Daten mit einzelnen Scannern und Tabellenkalkulationen. Daher ist eine kontinuierliche Plattform, anstatt eines einmaligen Scans, der erstrebenswerte Ansatz.

Schritt 4: Erstellen Sie ein tatsächlich nützliches CBOM.

Ein CBOM ist nur so wertvoll wie die Metadaten, die es erfasst. Für jedes Asset sollten mindestens folgende Daten aufgezeichnet werden:

• Der Algorithmus und seine Parameter, nicht nur „RSA“, sondern „RSA-2048“ oder „ECDSA P-256“.
• Für Schlüssel: Größe in Bit, Format und ob der Schlüssel hardwareseitig geschützt ist.
• Bei Zertifikaten: Aussteller, Gültigkeitsdauer und Signaturalgorithmus.
• Für Protokolle: unterstützte Versionen und die jeweils verwendeten Verschlüsselungssammlungen.
• Das Standort- und Besitzsystem sorgt dafür, dass der Lagerbestand mit etwas verknüpft ist, worauf ein Mensch reagieren kann.
• Bekannte Schwachstellen oder der Status als veraltete Kryptowährung, die schwache Kryptowährungen mit den Vermögenswerten verbindet, die sie verwenden.

Die Abhängigkeitsbeziehungen sind genauso wichtig wie die Assets selbst. Ein CBOM gewinnt deutlich an Leistungsfähigkeit, wenn es ausdrücken kann, dass ein Dienst von einem Protokoll abhängt, welches wiederum von einer Cipher Suite abhängt, die ihrerseits von einem bestimmten kryptografischen Algorithmus abhängt. Diese Zuordnung von Beziehungen ermöglicht eine aussagekräftige Wirkungsanalyse.

Schritt 5: Risiken einschätzen und Prioritäten setzen

Sobald die CBOM-Datei erstellt ist, sollte sie unter Berücksichtigung kryptografischer und quantenmechanischer Aspekte einer Risikoanalyse unterzogen werden. Im ersten Schritt sind quantenanfällige Algorithmen zu identifizieren, darunter RSA, Elliptische-Kurven-Kryptographie (ECDH, ECDSA), Diffie-Hellman-Schlüsselaustausch sowie gegebenenfalls ältere oder schwach symmetrische Verfahren.

Die Priorisierung sollte nicht rein kryptografischer Natur sein. Vielmehr sollten mehrere Faktoren berücksichtigt werden:

• Sensibilität und erwartete Vertraulichkeitsdauer der geschützten Daten
• Risiken im Bereich der Regulierung und Compliance (z. B. Anforderungen an die Ausrichtung an CNSA 2.0)
• Externe Gefährdung des Systems oder Dienstes
• Komplexität und Betriebskosten von Migration
• Abhängigkeitstiefe zwischen Systemen und Diensten

Hier zeigt sich der operative Wert eines CBOM: Es wandelt ein breit gefasstes Mandat wie „quantensicher sein“ in einen strukturierten, priorisierten Sanierungsrückstand mit klarer technischer Begründung um.

Schritt 6: Behandeln Sie das CBOM als ein lebendes System, nicht als einen statischen Bericht.

Die Kryptografie entwickelt sich ständig weiter, neue Dienste werden eingeführt, Zertifikate rotieren, Bibliotheken werden aktualisiert. Ein einmal generiertes und archiviertes CBOM ist mehr als nutzlos, da es falsches Vertrauen erzeugt. Integrieren Sie die CBOM-Generierung in Ihre Build-Pipelines und führen Sie regelmäßig umfassende Scans durch, damit der Bestand die Realität widerspiegelt. Verknüpfen Sie dies mit dem Änderungsmanagement, damit neue kryptografische Assets bei ihrer Einführung erfasst werden.

Ziel ist es, eine stets aktuelle und verlässliche Datenquelle zu pflegen, die den aktuellen kryptografischen Status des Unternehmens widerspiegelt. Dies ermöglicht es Organisationen, schnell zu reagieren, wenn Algorithmen veraltet sind, Sicherheitslücken auftreten oder Migrationsfristen näher rücken.

Häufige Fallstricke, die es zu vermeiden gilt

Mehrere Herausforderungen untergraben immer wieder die CBOM-Initiativen:

• Teams konzentrieren sich zu oft allein auf die Codeanalyse und vernachlässigen dabei die in Netzwerkkonfigurationen, Geräten und Drittanbieterdiensten verborgene Kryptografie. Die Erkennung muss mehrschichtig erfolgen.
• Organisationen behandeln das CBOM oft als reine Angelegenheit des Sicherheitsteams, obwohl Anwendungsbetreiber und Infrastrukturtechniker eigentlich dafür zuständig sind. Erstellen Sie das Inventar gemeinsam mit den Verantwortlichen für die Behebung von Sicherheitslücken.
• Manche streben nach Vollständigkeit statt nach Nützlichkeit und verbringen Monate damit, jedes einzelne Dokument zu katalogisieren. SHADie -256-Prüfsumme wird verwendet, während die tatsächlich gefährlichen RSA-Schlüsselaustausche unbehandelt bleiben. Priorisieren Sie nach Risiko, nicht nach dem, was leicht zu zählen ist.
• Die Bestandsaufnahme wird oft als einmalige Angelegenheit betrachtet. Kryptografische Assets entwickeln sich jedoch kontinuierlich weiter, da sich Anwendungen ändern, Zertifikate erneuert und die Infrastruktur aktualisiert wird. Ohne automatisierte Erkennung und regelmäßige Aktualisierung verliert ein CBOM schnell an Genauigkeit und Wert.

CBOM und Krypto-Agilität: Das Gesamtbild

Ein CBOM ist nicht das Endziel; er ermöglicht Krypto-Agilität – die organisatorische Fähigkeit, kryptografische Algorithmen schnell und sicher zu ändern, ohne die gesamte Architektur umstrukturieren zu müssen. Die Migration zu Quantencomputern erscheint deshalb so abschreckend, weil die meisten Systeme mit fest einprogrammierter Kryptografie in ihren Grundannahmen entwickelt wurden.

Die Transparenz aus einer CBOM-Perspektive ist die Voraussetzung für die Behebung dieses Problems: Sobald man weiß, wo jeder Algorithmus seinen Platz hat und was von ihm abhängt, kann man damit beginnen, die Kryptographie hinter Schnittstellen zu abstrahieren, Hybridschemata einzuführen, die klassische und Post-Quanten-Algorithmen während des Übergangs kombinieren, und die zugrunde liegenden kryptographischen Bausteine ​​auszutauschen, wenn sich Standards weiterentwickeln.

Anders ausgedrückt: Das CBOM, das Sie für die Quantenmigration erstellen, ist dasselbe Asset, das Sie vor der nächsten kryptografischen Überraschung schützt, ganz gleich, wie diese aussehen mag. Genau das macht es zu einer nachhaltigen Investition und nicht nur zu einer Pflichterfüllung.

Wie Verschlüsselungsberatung helfen kann

Der Aufbau eines CBOM ist machbar, doch die erfolgreiche Implementierung in einer großen, heterogenen Umgebung und die anschließende Umsetzung in eine Post-Quanten-Migration erfordern von den meisten Unternehmen einen Partner. Encryption Consulting bietet ein umfassendes Post-Quanten-Kryptografie-Programm, das genau für diesen Prozess konzipiert wurde – von der CBOM-Analyse über die Bewertung bis hin zur Implementierung.

CBOM und kryptografische Ermittlung. Encryption Consulting unterstützt Unternehmen bei der Ermittlung und Inventarisierung sämtlicher kryptografischer Assets im gesamten Unternehmen – Zertifikate, Algorithmen, Protokolle und Schlüssel – und deren Zusammenführung in einem CBOM. Dieses unterstützt Compliance, Risikomanagement und einen reibungslosen Übergang zur Post-Quanten-Kryptografie . Die Ermittlung kombiniert Code-, Netzwerk-, Zertifikats- und Konfigurationsanalyse, sodass das Inventar den tatsächlichen Betrieb widerspiegelt und nicht nur die Dokumentation.

PQC-Bewertung . Mit dem vorliegenden Inventar analysiert das Team Ihre aktuelle kryptografische Umgebung, sucht nach quantenanfälligen Assets und erstellt Risikobewertungen, die die Gefährdung nach Datensensibilität, regulatorischem Druck und Migrationskomplexität einstufen. Dies ist der entscheidende Schritt zwischen „Wir haben eine Liste“ und „Wir haben einen Plan“.

Strategie und Roadmap. Encryption Consulting liefert eine strukturierte, mehrphasige Roadmap, in der jede Phase operativ definiert und auf Compliance ausgerichtet ist. So wird eine PQC-Strategie in die Praxis umgesetzt und nicht nur eine Präsentation mit Empfehlungen. Dies umfasst taktische und strategische Maßnahmen zur Risikominderung, wie z. B. hybride Kryptografie, abgestimmt auf Ihre Zeitvorgaben, Ihr Budget und Ihre Ressourcen sowie auf Vorgaben wie CNSA 2.0 und die relevanten Bundesrichtlinien.

Implementierung und laufendes Management. Das Team unterstützt Sie bei der eigentlichen Migration , der Neuausrichtung Ihrer Architektur hin zu Krypto-Agilität, der Implementierung von Post-Quanten- und Hybridalgorithmen, der Modernisierung von PKI- und Codesignatur-Pipelines sowie der Einrichtung von Prozessen, die Ihr CBOM mit der Weiterentwicklung Ihrer Umgebung aktuell halten. Da die Zusammenarbeit den gesamten Lebenszyklus abdeckt, sind Sie bei der Umsetzung Ihrer Strategie nicht auf sich allein gestellt.

Wenn Ihre Organisation vor den Fristen für 2027–2035 steht und sich fragt, wo sie anfangen soll, lautet die ehrliche Antwort: Beginnen Sie mit Transparenz. Ein zielgruppenorientiertes Management-Output-Modell (CBOM) ist der erste und wichtigste Schritt und die natürliche Grundlage für alles Folgende.

Fazit

Ein CBOM ist keine bloße Checkliste zur Einhaltung von Vorschriften oder ein einmaliges Auditergebnis. Es ist die operative Grundlage, die die Migration nach der Quantenmigration, die Reaktion auf veraltete Algorithmen und die kontinuierliche Krypto-Agilität überhaupt erst ermöglicht. Die Faktoren, die dies von optional zu obligatorisch gemacht haben – finalisierte NIST-Standards, gestaffelte Fristen gemäß CNSA 2.0 und aktive Angriffe, bei denen Daten erst gesammelt und später entschlüsselt werden –, werden nicht verschwinden. Und auch die grundlegende Frage, die sich daraus ergibt: Wissen Sie eigentlich, wo Ihre Kryptografie gespeichert ist?

Organisationen, die ihr CBOM als lebendiges System behandeln, das kontinuierlich weiterentwickelt, regelmäßig aktualisiert und in einen echten Priorisierungsprozess eingebunden wird, werden Migrationsfristen planvoll und nicht hektisch einhalten. Der Umfang des ersten CBOM kann bescheiden sein. Die Entscheidung zum Start darf jedoch nicht aufgeschoben werden.

Quellen und weiterführende Literatur

• NIST-standardisierte PQC-Algorithmen
• Quantensicher mit CNSA 2.0
• Aufbau Ihres CBOM für stärkere digitale Sicherheit
• Kryptografische Erkennung und Inventarisierung (CBOM Secure)
• Post-Quantum-Kryptographie-Beratungsdienste

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen einem CBOM und einem SBOM?

Ein SBOM (Software-Based Object Model) erfasst die Softwarekomponenten und Abhängigkeiten einer Anwendung. Ein CBOM (Cryptographic Assets Object Model) erfasst die kryptografischen Ressourcen, Algorithmen, Schlüssel, Zertifikate und Protokolle sowie deren Beziehungen. Ein CBOM wird typischerweise als Erweiterung eines SBOM unter Verwendung des CycloneDX-Standards erstellt.

Benötige ich ein CBOM, wenn ich kein Regierungsauftragnehmer bin?

Sehr wahrscheinlich, ja. Auch unabhängig von staatlichen Vorgaben wirken sich die Anforderungen nach der Quantentechnologie auf Anbieter, Wirtschaftsprüfer, Cyberversicherungen und Kunden aus. Und Angriffe nach dem Motto „Erfassen und später entschlüsseln“ gefährden heute alle langlebigen, sensiblen Daten, branchenunabhängig.

Wie lange dauert der Aufbau eines CBOM?

Eine gezielte, detaillierte Bestandsaufnahme Ihrer kritischsten Systeme kann Wochen dauern. Eine vollständige unternehmensweite Bestandsaufnahme ist ein umfangreicheres Projekt, weshalb die Priorisierung von Systemen mit hohem Risiko empfohlen wird.

Welche kryptografischen Algorithmen sind quantenanfällig?

Public-Key-Algorithmen sind am stärksten gefährdet: RSA, Diffie-Hellman und elliptische Kurvenverfahren (ECDH, ECDSA). Symmetrische Algorithmen wie AES sind robuster, profitieren aber von größeren Schlüssellängen. Die vom NIST empfohlenen Alternativen sind ML-KEM (FIPS 203) , ML-DSA (FIPS 204) und SLH-DSA (FIPS 205).

Ist ein CBOM ein einmaliges Projekt?

Nein. Kryptographie entwickelt sich ständig weiter, daher muss ein CBOM durch CI/CD und regelmäßige Scans automatisch neu generiert werden, um seine Genauigkeit zu gewährleisten. Ein veraltetes CBOM erzeugt falsches Vertrauen.