Jahrelang fiel die Post-Quanten-Kryptografie (PQC) in die Kategorie „wichtig, aber nicht dringend“.
Sicherheitsverantwortliche wussten, dass sie kommen würde. Forscher sprachen darüber. Normungsgremien arbeiteten daran. Die meisten Unternehmen räumten ein, dass man sich irgendwann damit befassen müsse. Ich würde jedoch behaupten, dass es jetzt an der Zeit ist, mit den Vorbereitungen zu beginnen.
In dieser Folge von STRIVE habe ich mich mit Michael Fasulo, Senior Director of Portfolio Marketing, unterhalten, um zu erörtern, warum sich die Diskussion um PQC so schnell verändert – und warum Unternehmen, die auf Gewissheit warten, möglicherweise feststellen werden, dass ihnen die Zeit davonläuft. Die ganze Folge ansehen.
Die wichtigsten Erkenntnisse
- „Harvest Now, Decrypt Later“-Angriffe bedeuten, dass sensible Daten bereits ein Risiko darstellen, auch wenn Quantencomputer noch nicht stabil oder kommerziell nutzbar sind.
- Die meisten Unternehmen haben keinen vollständigen Überblick über ihre Kryptografie-Infrastruktur, was die Bestandsaufnahme zur ersten großen Hürde macht.
- Bei PQC geht es ebenso sehr um die Bewältigung einer technologischen Herausforderung wie um die Priorisierung von Risiken.
- Unternehmen, die sich jetzt vorbereiten, haben mehr Möglichkeiten, ihre Prioritäten anzupassen, als solche, die später reagieren müssen.
Das Problem ist nicht die Technologie
Die meisten Diskussionen über Post-Quanten-Kryptografie beginnen mit der Technologie.
- Wie schnell schreitet die Entwicklung des Quantencomputings voran?
- Wann werden kryptografisch relevante Quantensysteme praxistauglich sein?
- Welche Algorithmen werden sich langfristig wahrscheinlich durchsetzen?
Das sind wichtige Fragen. Aber es sind nicht die Fragen, die ich als vorrangig betrachten würde. Michael hat letztes Jahr einen Blogbeitrag über PQC geschrieben, und wir haben heute darüber gesprochen, wie sich seitdem einiges geändert hat.
In den letzten Jahren haben sich die Einschätzungen konsequent in eine Richtung entwickelt: Was einst fern schien, rückt nun immer näher. Gleichzeitig entwickeln sich Standards weiter, die regulatorischen Erwartungen steigen, und Unternehmen beginnen zu erkennen, wie viel „kryptografische Schulden“ sie über die Jahrzehnte hinweg angehäuft haben.
Das genaue Datum des „Q-Day“ mag ungewiss bleiben. Die Richtung, in die es geht, ist es jedoch nicht.
The Risk is here and now
Ein Grund, warum diese Diskussion an Dringlichkeit gewonnen hat, ist die wachsende Aufmerksamkeit für „Harvest Now, Decrypt Later“-Angriffe. Das Konzept ist einfach: Ein Angreifer verschafft sich heute Zugriff auf verschlüsselte Informationen, speichert sie und wartet darauf, dass zukünftige Technologien diese Informationen lesbar machen.
Wichtig ist dabei, dass das Risiko nicht erst mit dem Aufkommen der Quantencomputer beginnt. Das Risiko beginnt bereits, wenn selbst verschlüsselte Daten abgegriffen und gespeichert werden.
Für Organisationen, die geistiges Eigentum, Gesundheitsdaten, Regierungsinformationen oder andere sensible, langfristig aufzubewahrende Daten schützen, verändert diese Unterscheidung alles.
Organisationen müssen wissen, ob die heute gespeicherten Daten in dieser Zukunft noch von Bedeutung sein werden.
Für viele, insbesondere in stark regulierten Branchen und im Bereich kritischer Infrastrukturen, lautet die Antwort „Ja“.
Vorschau: Warum Krypto-Agilität wichtig ist
Clip hier einbetten: https://www.youtube.com/watch?v=A3YWU5rlmGA
In diesem Clip erklärt Michael, warum PQC keine einmalige Lösung oder Umstellung ist. Das eigentliche Ziel ist Krypto-Agilität – die Schaffung der Flexibilität, kryptografische Algorithmen anzupassen, während sich Standards und Bedrohungen weiterentwickeln. Denn in der Cybersicherheit besteht die Herausforderung nicht nur darin, sich auf das vorzubereiten, was als Nächstes kommt. Es geht darum, bereit zu sein für das, was danach kommt.
Die Forschung ist das eigentliche Projekt
Ein Missverständnis in Bezug auf PQC ist, dass es sich in erster Linie um ein Verschlüsselungs-Upgrade handelt. In Wirklichkeit haben die meisten Unternehmen noch nicht das Stadium erreicht, in dem der Austausch das größte Problem darstellt.
Sie versuchen immer noch, das Ausmaß des Problems zu erfassen. Kryptografie ist allgegenwärtig.
- Anwendungen
- Zertifikate
- Cloud Service
- APIs
- Code-Signierung
- Plattformen von Drittanbietern
Viele Unternehmen haben Schwierigkeiten bei der Erstellung des kryptografischen Bestandsverzeichnisses oder der Festlegung seines Umfangs. Daher ist die Bestandsaufnahme einer der wichtigsten – und oft unterschätzten – Schritte auf diesem Weg.
Und für viele Unternehmen ist dies ein weitaus größeres Unterfangen als erwartet.
Die Herausforderung der Lieferkette
Ein weiterer Grund, warum PQC zur Priorität geworden ist, liegt darin, dass kein Unternehmen diesen Wandel alleine bewältigen kann. Moderne Unternehmen sind auf Lieferanten, Cloud-Anbieter, Softwarepartner und unzählige Dritte angewiesen, die alle Kryptografie einsetzen.
Das bedeutet, dass die Quantenreadiness über interne Systeme hinausgeht. Es wird zu einer Frage der Readiness des gesamten Ökosystems.
- Bereiten sich die Lieferanten vor?
- Planen wichtige Anbieter Migrationen?
- Sind Plattformen von Drittanbietern auf neue Standards abgestimmt?
Diese Fragen werden zunehmend Teil von Risikogesprächen, Beschaffungsdiskussionen und der langfristigen Technologieplanung sein. Denn Kryptografie macht nicht an Unternehmensgrenzen Halt. Genauso wenig wie Risiken.
Warum dieses Gespräch wichtig ist
Die wichtigste Erkenntnis aus dieser Diskussion ist, dass die Post-Quanten-Kryptografie keine technologische Herausforderung der Zukunft mehr ist.
Sie wird zunehmend zu einem aktuellen Thema der Resilienz.
Unternehmen müssen nicht in Panik geraten und sie müssen nicht jedes System über Nacht umstellen. Aber sie müssen damit beginnen, die ihnen zur Verfügung stehende Zeit für die Vorbereitung bestmöglich zu nutzen.
Die Organisationen, die diesen Übergang erfolgreich meistern, werden nicht unbedingt diejenigen sein, die über die ausgefeilteste Kryptografie verfügen. Es werden diejenigen sein, die bereits damit begonnen haben, sich ein Verständnis anzueignen, bevor Gewissheit herrschte.
Und genau so funktioniert Resilienz oft.
Die gesamte Folge ansehen
Michael und ich gehen in der Folge noch auf viele weitere Themen ein, die ich oben nicht erwähnt habe. Sehen Sie sich die Folge unbedingt jetzt an, um Einblicke zu erhalten in:
- Die größten Herausforderungen, denen Unternehmen zu Beginn ihrer PQC-Reise gegenüberstehen.
- Was Führungskräfte heute priorisieren sollten, einschließlich einiger Best Practices.
- Das Verständnis von MLKEM-Algorithmen und Krypto-Agilität.
- Infrastrukturaspekte für PQC.
- Wie sich Commvault auf diese Zukunft vorbereitet.
FAQs
F: Was ist Post-Quanten-Kryptografie (PQC)?
A:
PQC bezeichnet kryptografische Algorithmen, die darauf ausgelegt sind, auch vor Angriffen zukünftiger Quantencomputer Schutz zu bieten.
F: Was bedeutet „Harvest Now, Decrypt Later“?
A:
Dabei handelt es sich um eine Strategie, bei der Angreifer heute verschlüsselte Daten sammeln, um sie später zu entschlüsseln, sobald leistungsfähigere Rechenkapazitäten zur Verfügung stehen.
F: Warum konzentrieren sich Unternehmen gerade jetzt auf PQC?
A:
Weil die Vorbereitung Jahre dauert und sensible Daten, die heute erfasst werden, möglicherweise noch immer wertvoll sind, wenn Quantenbedrohungen Realität werden.
F: Was ist die größte Herausforderung für Unternehmen?
A:
Die Erfassung. Die meisten Unternehmen haben keinen vollständigen Überblick darüber, wo in ihren Umgebungen Kryptografie zum Einsatz kommt.
F: Müssen Unternehmen die gesamte Kryptografie sofort ersetzen? A: Nein. Die meisten Experten empfehlen, zunächst eine Bestandsaufnahme, Erfassung und Priorisierung durchzuführen, bevor umfassendere Migrationen geplant werden. F: Was sollten Führungskräfte als Erstes tun? A: Langlebige sensible Daten identifizieren, kryptografische Abhängigkeiten verstehen und mit der Erstellung einer Roadmap für den zukünftigen Übergang beginnen. Vidya Shankaran ist Field CTO bei Commvault.