An der Schwelle zum Quantencomputing besteht schon jetzt Handlungsbedarf Neue Schlüssel braucht die IT

Anbieter zum Thema

Commvault Systems GmbH

FAST LTA GmbH

FTAPI Software GmbH

Wie lange bleibt Unternehmen und Gesellschaft noch Zeit bis zum Q-Day – dem Tag, an dem Cyberkriminelle mit Quantenschlüsseln alle Daten auslesen können, die sie jetzt bereits verschlüsselt in ihren Besitz gebracht haben? Wer seine Informationen langfristig schützen will, sollte sich schon jetzt darauf einstellen. Möglichkeiten zur Prävention durch eine zukunftssichere Verschlüsselung von Backups und Produktivsystemen gibt es bereits.

Viele professionelle IT-Entscheider betrachten Quantencomputing noch als theoretisches Konzept ohne unmittelbare Relevanz für ihre aktuelle Praxis. Quantencomputing ist so komplex, dass nur wenige Menschen mehr als die Grundzüge davon verstehen. Zudem findet das Thema angesichts anderer unmittelbarer Gefahren – wie Ransomware oder Cyberangriffen – für viele CISOs keinen Platz auf ihrer Agenda. Laut einer aktuellen Studie der ISACA haben lediglich vier Prozent der IT-Verantwortlichen in Unternehmen Strategien zum Umgang mit Quantencomputing entwickelt. Und nur zwei Prozent können die neuen Möglichkeiten einschätzen.

Außerhalb stark datenschutzregulierter Branchen ist es daher nicht ungewöhnlich, dass die Entscheider in Unternehmen weder die Technologie verstehen noch mit den neuesten Standards und Rahmenbedingungen vertraut sind. Da diese Vorgaben oft nicht rechtlich verbindlich sind, finden sie sich nur selten oben auf den Prioritätenlisten.

Empfehlung der Redaktion

Die Welt der Physik und der Mathematik ist für viele von uns eine unbegreifliche. Doch genau dorthin müssen wir uns begeben, wenn wir verstehen wollen, wie Quantencomputer funktionieren. In Folge 99 des Security-Insider Podcast sprechen wir mit Professor Christoph Becher von der Universität des Saarlandes darüber, wie Quantencomputer funktionieren, welche sinnvollen Anwendungsmöglichkeiten es für die Super-Computer gibt, aber auch welche Gefahren dadurch lauern. Außerdem erklärt Professor Becher, welche Lösungsansätze es schon heute gibt. Wir wünschen viel Spaß, beim Zuhören!

Der Vogel Strauß hat keine Zeit mehr

Tatenlos zu bleiben, wird aber in der nahen Zukunft zum Problem. Obwohl die Idee des Quantencomputings wie Science-Fiction klingt, befindet sich diese Technologie bereits im experimentellen Stadium. Nur wann der Q-Day Wirklichkeit wird, ist umstritten. Die Prognosen variieren, aber die meisten Experten gehen davon aus, dass Quantencomputing absehbar praktische Relevanz haben wird. Für den BSI-Experten Manfred Lochter sei in höchstens 16 Jahren mit dem ersten entschlüsselnden Quantencomputer zu rechnen – überraschende Durchbrüche könnten den Prozess jedoch deutlich beschleunigen. Zu befürchten ist insbesondere die Fähigkeit, weit verbreitete Public-Key-Verfahren wie RSA und ECC (Elliptic Curve Cryptography) auszuhebeln.

Die Hacker sind jetzt schon aktiv und zwingen die Datenschutz- und Datensicherheitsverantwortlichen zu reagieren. Denn nach der Grundsatzstrategie „Harvest Now – Decrypt Later“ sammeln Hacker bereits Datenmaterial, um es später entschlüsseln zu können. Die Beutezüge lohnen sich langfristig, insbesondere für Daten mit einer längeren Lebensdauer – wie etwa Informationen zu Personen.

Aufforderung des BSI

Die Zeit ist reif für Post-Quanten-Kryptographie

Zu viel steht auf dem Spiel

Letztlich müssen sich die Sicherheitsverantwortlichen darüber im Klaren sein, dass der unberechtigte Zugriff auf verschlüsselte Daten die gesamte IT und nicht nur gespeicherte Informationen bedroht. Datenschutz ist nur das naheliegendste, wenn auch ein besonders schwerwiegendes Risiko. Bedroht sind die ganze IP eines Unternehmens wie das Wissen um den Markt, Forschung, Finanzberichte oder proprietäre Algorithmen. Ebenso gefährdet sind IT-Abläufe, digitale Signaturen oder die Prozesse zur Verifikation digitaler Aktivitäten. Am sogenannten Q-Day verlieren selbst Zero-Trust-Ansätze ihre Wirksamkeit, ebenso wie die bislang sichere Kommunikation über TLS- oder SSL-Protokolle.

Der Bedarf zu handeln ist also bereits gegeben, zumal sich die Kryptografie zum Schutz von Daten vor diesen Angriffen nicht über Nacht ändern lässt – und schon gar nicht in einer komplexen IT-Umgebung. Niemand kann es sich länger leisten, den Kopf in den Sand zu stecken.

Quantencomputer sind bereits jetzt Chance und Gefahr für Rechenzentren

'Harvest now, decrypt later' - die Angreifer lauern

Zeit für neue Standards

Unternehmen können ihre Verschlüsselung jetzt neu aufstellen. Industriestandards sind vorhanden, und Hersteller integrieren diese in eine quantenresistente Plattform für Datensicherheit und Datenverfügbarkeit. Das National Institute of Standards and Technology (NIST) empfiehlt Vorgaben wie CRYSTALS-Kyber, CRYSTALS-Dilithium, SPHINCS+ und FALCON.

Quantenresistente Verschlüsselung ist jedoch kein Umdrehen der Schlüssel, sondern ein langfristiger Prozess. Eine Postquanten-Cyber-Resilienz erfordert daher schon heute mehrere Schritte:

Kryptographie-Inventur: Zunächst müssen Entscheider definieren, welche Bereiche überhaupt einer Kryptographie bedürfen. Dazu gehören in der Regel die sensibelsten Daten wie Applikationen, Netzwerk, Identitätsmanagement, das Sichern der Daten at rest sowie der Datenaustausch mit Dritten.

Priorisierte Migration: Hacker können am Q-Day nicht alle Daten und Nachrichten auf einmal entschlüsseln. Aber die Cyberdefensive sollte schon jetzt Prioritäten setzen. Ganz oben stehen die sensibelsten und langlebigsten Systeme und Daten. Die Grundregel lautet: Informationen, die länger als fünf Jahre vertraulich bleiben sollten, benötigen jetzt einen postquantenkonformen Schutz. Weniger sensible Daten sind in der Regel mit heutigen Standardmethoden hinreichend geschützt.

Sobald hochsensible Daten identifiziert sind, sollten IT-Verantwortliche diese vorrangig auf eine quantenresistente Plattform migrieren, idealerweise auf eine, die dies effektiv unterstützt. Je nach Plattform kann dies mit erheblichem Aufwand verbunden sein. Umso wichtiger ist es, die notwendigen Schritte jetzt einzuleiten, um geistiges Eigentum und personenbezogene Daten so schnell wie möglich wirksam und zukunftssicher zu schützen. Die Schritte jetzt einzuleiten, ist entscheidend für den schnellstmöglich effektiven und zukunftssicheren Schutz geistigen Eigentums oder personenbezogener Daten.

Umfrage von ISACA

IT-Fachleute haben Bedenken gegenüber Quantencomputing

Krypto-Agilität implementieren: Krypto-Agilität – die Fähigkeit, als Reaktion auf neue Gefahren zwischen verschiedenen kryptografischen Algorithmen zu wechseln – spielt im Postquanten-Zeitalter eine entscheidende Rolle. Die Verantwortlichen für Datensicherheit sollten daher Frameworks entwickeln, um zukunftsresiliente Algorithmen schnell und ohne umfangreiche Umbauten in der IT-Infrastruktur ersetzen zu können. Krypto-Agilität erfordert geschulte Mitarbeiter.

Die Supply-Chain nicht vergessen: Für einen durchgängigen Schutz der Informationskette ist es zudem nötig, dass alle Teilnehmer im Ökosystem eines Unternehmens die neuen Standards einhalten, um einen durchgängigen Schutz und Agilität zu gewährleisten.

Die Zeit bis zum Q-Day läuft ab. Die möglichen Betroffenen sollten jetzt handeln, um zu verhindern, dass weitere, nicht zukunftssichere verschlüsselte Informationen in falsche Hände geraten. Eile ist umso mehr geboten, da die Komplexität und damit die Kosten sowie der Aufwand dieser Aufgabe nicht zu unterschätzen sind. Eine Migration zur Postquantenkryptographie bedarf Zeit – gerade in komplexen IT-Unternehmen. Plattformen zu Datensicherheit geben Verantwortlichen die Möglichkeit, jetzt die Schlüssel umzudrehen.

* Der Autor: Darren Thomson, Field CTO EMEAI bei Commvault

Jetzt schon? Post-Quantum-Kryptography

5 Maßnahmen in Vorberei­tung auf Quanten­computing-Bedrohungen

(ID:50592004)