Kryptoagilität statt Einmal-Projekt Digitale Identitäten brauchen quantenresistente Kryptografie

Anbieter zum Thema

Nexus Technology GmbH

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Digitale Identitäten sind der neue Sicherheitsperimeter und durch Quan­ten­computer akut gefährdet. Das BSI empfiehlt deshalb spätestens ab 2031 quantenresistente Verfahren für Authentisierung und Signaturen. Der Umstieg auf Post-Quanten-Kryptografie (PQC) erfordert Kryptoagilität: angefangen bei einem Krypto-Inventar über Hybridzertifikate bis hin zur kontinuierlichen Anpassung kryptografischer Verfahren.

Quantencomputer stellen über kurz oder lang eine Bedrohung für digitale Identitäten dar, denn die derzeit zum Schutz verwendeten kryptographischen Verfahren sind nicht quantenresistent. Mit zunehmender Rechenleistung der Quantencomputer werden die meisten der heute be­nutz­ten Algorithmen für Authentifizierung, Signatur und sichere Kommunikation angreifbar. Unternehmen sind entsprechend hohen Sicherheitsrisiken ausgesetzt.

Die Quantenbedrohung für die digitale Identität

Quantencomputer stellen eine Herausforderung für digitale Identitäten dar, denn diese sind üblicherweise durch kryptographische Verfahren geschützt. Sobald diese Computer über aus­reichende Rechenleistung verfügen, sind die meisten etablierten Verfahren gebrochen, private Schlüssel können in kurzer Zeit errechnet werden („Q-Day“). Branchenvertreter weisen auf bereits heute existierende Gefahren hin: durch „harvest now, decrypt later“ – Daten, die mit herkömmlichen asymmetrischen Verfahren verschlüsselt sind, werden heute gestohlen und gesammelt. Sobald die Quantencomputer entsprechende Rechenleistung bieten, werden die Daten entschlüsselt. Diese Entwicklung schafft eine neue Klasse von Schwachstellen, auf die sich Unternehmen jetzt, nicht erst später, vorbereiten müssen.

Security-Insider Podcast – Folge 99

Steht uns der Q-Day bevor?

Identitäten als neuer Sicherheitsperimeter

Digitale Identitäten sind zum neuen Sicherheitsperimeter geworden. In einem Zero-Trust-Modell bestimmt nicht mehr das Netzwerk den Zugriff, sondern wer oder was versucht, Zugriff zu erlangen. Dies gilt nicht nur für Personen, sondern auch für Systeme, Anwendungen und IoT-Geräte.

Um dieses Modell erfolgreich umzusetzen, benötigen Organisationen ein skalierbares und automatisiertes Identitätsmanagement für ihr gesamtes IT-Ökosystem. Jede neue Ressource, vom Fabriksensor bis zum Cloud-Mikroservice, muss eine eindeutige, verifizierbare und vertrauenswürdige Identität erhalten. Dies ermöglicht jederzeit die Validierung jedes Zugriffsversuchs und stärkt den Grundsatz „Vertrauen ist gut, Kontrolle ist besser“.

Insofern ist es essenziell, dass in Zero-Trust-Modellen auch rechtzeitig quantenresistente Verfahren einzuführen, so dass Authentisierungen auch nach dem „Q-Day“ kryptographisch sicher bleiben.

Neues eBook: Die Quanten-Bedrohung

Der Q-Day kommt! Jetzt auf quan­ten­sichere Verschlüsselung umsteigen

Digitale Identität als Grundlage

Digitale Identität hat sich weit über eine interne IT-Funktion hinaus entwickelt. In der heutigen hochdigitalisierten Gesellschaft müssen Informationen der richtigen Person mit den ent­spre­chen­den Berechtigungen zum richtigen Zeitpunkt zur Verfügung stehen. Dies erfordert robuste und zuverlässige Sicherheitsvorkehrungen. Gleichzeitig hat die zunehmende Vernetzung die Angriffsfläche drastisch vergrößert.

Menschen agieren heute in mehreren Rollen, beispielsweise als Privatpersonen, Angestellte und Nutzer vernetzter Geräte. Der Schutz digitaler Identitäten erstreckt sich daher über traditionelle IT-Systeme hinaus auf Betriebstechnologie (OT) und IoT-Ökosysteme, ein­schließ­lich vernetzter Fahrzeuge und Industrieanlagen. Diese Herausforderungen betreffen sowohl den öffentlichen als auch den privaten Sektor. Technische Sicherheit ist unerlässlich, ebenso wie Benutzerfreundlichkeit und Automatisierung.

Quantensichere Kryptografie

Maßnahmen gegen „Harvest Now, Decrypt Later“-Attacken

Quantencomputing und die Zukunft der Cybersicherheit

Quantencomputer bedrohen die kryptografischen Grundlagen, die digitale Identitäten schützen. Algorithmen wie RSA und ECC, die weit verbreitet für sichere Kommunikation und Authentifizierung eingesetzt werden, sind unsicher, sobald Quantencomputer praxistauglich sind. Der Übergang zur Post-Quanten-Kryptographie (PQC) stellt die bedeutendste kryp­to­gra­phische Umwälzung der letzten Jahrzehnte dar. Er betrifft das gesamte digitale Ökosystem: Betriebssysteme, Firmware, kryptographische Bibliotheken, Anwendungen, TPMs und HSMs müssen aktualisiert werden, um quantensichere Algorithmen zu unterstützen. Weltweit müssen in den nächsten 20 Jahren über 20 Milliarden digitale Geräte auf Post-Quanten-Kryptographie umgestellt oder ersetzt werden.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mittlerweile reagiert und seine Empfehlungen für kryptographische Verfahren und Schlüssellängen (BSI TR-02102-1) auf quantenresistente Verfahren erweitert.

Für Datenverschlüsselung – insbesondere bei Langzeitgeheimnissen - besteht bereits heute eine Bedrohung („harvest now, decrypt later“), daher sollte hier möglichst zeitnah auf ein aktuelles PQC-Verfahren gewechselt werden. Bereits verschlüsselte sensible Daten müssen ggf. umgeschlüsselt werden. Für Schlüsselaustausch, Signatur- und Authentisierungs-An­wen­dung­en lautet die Empfehlung spätestens ab 2031 quantenresistente Verfahren einzusetzen.

Bis Ende 2031

BSI verkündet Ablaufdatum klassischer asymmetrischer Verschlüsselung

Herausforderungen beim Übergang zu PQC

Die Ablösung etablierter kryptographischer Methoden ist in den meisten Organisationen heute eine hochkomplexe Herausforderung, die Zeit, Know-How und ein entsprechendes Investment erfordert. Viele bestehende Al­go­rith­men sind fix in aktuelle Systeme eingebaut, außerdem gibt es typischerweise viele Abhängigkeiten zwischen einzelnen Systemen, die bestimmte Al­go­rith­men voraussetzen. Kompatibilitätsprobleme bei älteren Systemen mit fehlender PQC-Un­ter­stüt­zung sind zu erwarten. Daher ist zum einen ein ganzheitlicher, systemübergreifender Ansatz und ein schrittweises, strategisches Vorgehen erforderlich.

Hybridzertifikate können den Übergang erleichtern, jedoch nur, wenn alle Komponenten des Ökosystems kompatibel sind.

Vorbereitung auf das Quantencomputing

NIST veröffentlicht Post-Quantum-Kryptographie-Standards

Wie sich Unternehmen heute vorbereiten können

Unternehmen müssen jetzt mit den Vorbereitungen beginnen. Quantencomputing bedroht die heutigen kryptografischen Grundlagen, und eine proaktive Planung ist unerlässlich, um die Unternehmen sicher in die Zukunft zu führen. Allerdings wird der Wechsel in die PQC-Welt kein Einmal-Projekt sein. Die PQC-Algorithmen werden sich über die Jahre kontinuierlich wei­ter­ent­wi­ckeln und müssen entsprechend angepasst werden. Außerdem wird der Übergang zu PQC bei vielen Altsystemen iterativ erfolgen müssen.

Die richtige Strategie lautet hier „Kryptoagilität“: Die Anpassung von kryptographischen Verfahren muss als kontinuierlicher, ganzheitlicher Standardprozess im Unternehmen etabliert werden. Beginnend mit einer Bestandsaufnahme und Klassifizierung von Komponenten und Algorithmen („Krypto-Inventar“) über ständige Tests von neuen Verfahren bis hin zu stan­dar­di­sierten Prozessen, um neue Verfahren im Regelbetrieb einzuführen. Als Teil eines kryptoagilen Vorgehens sind auch immer Übergangsszenarien für Legacy-Systeme zu berücksichtigen. Hier können z. B. organisatorische oder technische Segmentierungen der Systeme helfen, aber auch Hybridzertifikate, die klassische und quantenresistente Algorithmen kombinieren, können den Übergang erleichtern.

Über den Autor: Michael Leuchtner ist Senior Solution Architect bei Nexus Technology.

Risiko für heutige Verschlüsselung

NIS-2-konform zu Quantenresistenz

(ID:50811462)