Mobile-Menu

Ohne Kryptoinventar bleibt der Post-Quantum-Schutz nur Theorie Quantencomputer: Vorbereitung ist wichtiger als Panik

Ein Gastbeitrag von Torsten Jüngling 5 min Lesedauer

Anbieter zum Thema

Kyndryl Deutschland GmbH
FTAPI Software GmbH

Quantencomputer werden die Kryptografie verändern, aber nicht über Nacht. Besonders der Mittelstand ist gefordert, denn gewachsene IT-Landschaften, unterbesetzte Teams und fehlende Transparenz über eingesetzte Verschlüsselung erschweren die Vorbereitung. Der wichtigste erste Schritt ist ein Kryptoinventar, darauf aufbauend lässt sich Crypto Agility als strategisches Ziel entwickeln.

Quantencomputer verändern die Kryptografie schrittweise. Besonders der Mittelstand braucht jetzt ein Kryptoinventar als Grundlage für Crypto Agility.(Bild: © Azar - stock.adobe.com)
Quantencomputer verändern die Kryptografie schrittweise. Besonders der Mittelstand braucht jetzt ein Kryptoinventar als Grundlage für Crypto Agility.
(Bild: © Azar - stock.adobe.com)

Laut aktuellem Kyndryl Readiness Report fühlen sich nur rund 30 Prozent der Unternehmen weltweit gut auf heutige Sicherheitsrisiken vorbereitet. Jetzt müssen sie sich auch noch gegen zukünftige Bedrohungen wappnen. Quantencomputing gilt seit Jahren als eine der großen technologischen Verheißungen und zugleich als potenzielle Bedrohung für die IT-Sicherheit. Während in der öffentlichen Debatte oft zwischen Hype und Untergangsszenarien gependelt wird, lohnt sich für IT-Security-Verantwortliche ein nüchterner Blick. Quantencomputer werden die Sicherheitslandschaft nicht morgen umstürzen, aber sie werden sie verändern. Und genau darauf sollten sich Unternehmen heute vorbereiten.

Keine Panik – aber ein neues Bedrohungsmodell

Zunächst eine Einordnung: Leistungsfähige, fehlerkorrigierte Quantencomputer, die in der Lage sind, gängige kryptografische Verfahren zu brechen, stehen derzeit noch nicht frei verfügbar bereit. Solche Systeme werden absehbar in hochspezialisierten Rechenzentren betrieben, also bei staatlichen Akteuren, großen Forschungseinrichtungen oder sehr finanzstarken Technologie­an­bie­tern. Der Zugang wird teuer, reguliert und limitiert sein.

Das bedeutet: Es droht kein plötzlicher, flächendeckender Kontrollverlust der IT-Sicherheit. Gleichzeitig wäre es aber fahrlässig, das Thema als rein akademisch abzutun. Denn mit Quantencomputern ändert sich nicht nur die Rechenleistung, sondern das Angriffsmodell. Angreifer müssen Daten nicht mehr sofort entschlüsseln können. Es reicht, sie heute abzugreifen, langfristig zu speichern und zu einem späteren Zeitpunkt zu entschlüsseln – sobald die technische Fähigkeit vorhanden ist. Dieses Prinzip wird unter dem Begriff „harvest now, decrypt later“ diskutiert und ist insbesondere für Daten mit langer Lebensdauer relevant.

Warum heutige Kryptografie langfristig unter Druck gerät

Der Kern der Problematik liegt in der Struktur moderner Kryptografie. Ein Großteil unserer digitalen Kommunikation stützt sich auf asymmetrische Verschlüsselungsverfahren. Dazu zählen vor allem RSA (Rivest-Shamir-Adleman) sowie Verfahren auf Basis elliptischer Kurven (Elliptic Curve Cryptography).

Diese Verfahren beruhen darauf, dass bestimmte mathematische Probleme – etwa die Faktorisierung sehr großer Zahlen oder das Lösen diskreter Logarithmen – mit klassischen Computern praktisch nicht lösbar sind. Genau diese Annahme wird durch Quantencomputer infrage gestellt. Der sogenannte Shor-Algorithmus zeigt theoretisch, dass solche Probleme mit ausreichend leistungsfähigen Quantenrechnern effizient lösbar wären. Damit geraten insbesondere Schlüsselaustauschmechanismen und digitale Signaturen unter Druck – also zentrale Bausteine von TLS, VPNs, Zertifikaten und Identitätsinfrastrukturen.

Symmetrische Verfahren wie AES (Advanced Encryption Standard) sind weniger stark betroffen, verlieren aber ebenfalls an Sicherheitsmarge. Ein Quantenangriff mit dem Grover-Algorithmus reduziert die effektive Sicherheit eines symmetrischen Schlüssels um etwa die Hälfte. AES-256 gilt deshalb weiterhin als robust, während kürzere Schlüssel perspektivisch kritisch werden können.

Die Konsequenz ist, dass es zwar nicht zum abrupten Zusammenbruch der Kryptografie kommt, wohl aber zu einer schrittweisen Verschiebung der Sicherheitsannahmen, auf denen heutige IT-Architekturen beruhen.

Die eigentliche Gefahr: lange Lebensdauer sensibler Daten

Für viele Unternehmen ist nicht der Zeitpunkt der technischen Durchbrüche entscheidend, sondern die Haltbarkeit ihrer Daten. Forschungs- und Entwicklungsdaten, geistiges Eigentum, Gesundheitsinformationen, sicherheitsrelevante Produktionsdaten oder langfristige Vertragsunterlagen behalten ihren Wert über viele Jahre.

Wer solche Daten heute verschlüsselt speichert, muss sich fragen: Reicht das eingesetzte Verfahren noch in zehn oder fünfzehn Jahren aus? Wenn Angreifer heute Daten abziehen und archivieren, entsteht ein Zeitverzug zwischen Datendiebstahl und tatsächlichem Schaden. Ein Szenario wie dieses wird von klassischen Sicherheitskonzepten nur unzureichend berücksichtigt.

Warum der Mittelstand besonders gefordert ist

Große, hochregulierte Organisationen, etwa aus dem Finanz- oder Energiesektor, beschäftigen sich bereits intensiver mit Post-Quantum-Kryptografie. Im Mittelstand ist die Situation oft komplexer. Das liegt weniger an mangelndem Problembewusstsein als an strukturellen Rahmenbedingungen:

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung
  • Unterbesetzte Security-Teams: In vielen mittelständischen Unternehmen verantworten wenige Personen die gesamte IT- und Informationssicherheit.
  • Gewachsene IT-Landschaften: Über Jahre oder Jahrzehnte entstandene Mischungen aus On-Premises-Systemen, Cloud-Services, Fachanwendungen und externen Dienstleistern.
  • Fehlende Transparenz: Häufig existiert kein vollständiger Überblick darüber, wo Kryptografie eingesetzt wird, welche Schlüssel im Umlauf sind und welche Abhängigkeiten bestehen.

Ein anonymisiertes Beispiel aus dem Handelsumfeld zeigt die Folgen solcher Strukturen: Fehlendes Patch-Management, mangelnde Netzwerksegmentierung und organisatorische Überlastung führten dazu, dass Angreifer nach einem Phishing-Angriff weite Teile der IT lahmlegen konnten. Der Schaden entstand nicht aus Ignoranz, sondern aus Ressourcenknappheit und fehlender Übersicht. Überträgt man dieses Muster auf die Quantenproblematik, wird klar: Ohne Transparenz lässt sich auch keine gezielte Vorbereitung organisieren.

Kryptoinventar als strategische Grundlage

Der wichtigste erste Schritt ist daher nicht die Auswahl neuer Algorithmen, sondern die Inventarisierung der eigenen Kryptografie. Unternehmen müssen wissen:

  • Wo werden welche Verschlüsselungsverfahren eingesetzt?
  • Welche Zertifikate, Schlüssel und Signaturen sind im Umlauf?
  • Welche Daten sind besonders schützenswert und langfristig relevant?
  • Welche Systeme sind extern exponiert oder besonders kritisch?

Erst auf dieser Basis lassen sich Risiken priorisieren und Migrationspfade entwickeln. Ohne ein solches Kryptoinventar bleibt jede Diskussion über Post-Quantum-Kryptografie theoretisch.

Crypto Agility statt punktueller Maßnahmen

Aus der Inventarisierung ergibt sich ein weiteres zentrales Konzept: Crypto Agility. Gemeint ist die Fähigkeit, kryptografische Verfahren kontrolliert, planbar und mit überschaubarem Aufwand auszutauschen.

Das erfordert mehr als einzelne Produkt-Updates. Es braucht klare Verantwortlichkeiten, Governance-Strukturen, Test- und Rollout-Prozesse sowie ein Verständnis für Abhängigkeiten zwischen Anwendungen, Infrastrukturen und Identitäten. Wer Kryptografie als statische Eigenschaft betrachtet, wird bei zukünftigen Veränderungen unter Zeitdruck geraten.

Dabei gilt es vor allem auch, die eigenen Voraussetzungen richtig zu bewerten. Laut Kyndryl Readiness Report herrscht hier eine ausgeprägte Wahrnehmungslücke: Zwar halten rund 90 Prozent der Unternehmensleiter ihre IT-Infrastruktur für „best-in-class“, aber nur 39 Prozent sehen sie tatsächlich als ausreichend vorbereitet, um künftige Risiken zu bewältigen. Das liegt auch an dem Talent- und Skill-Gap, den 40 Prozent der Führungskräfte beklagen, und der die Modernisierungsvorhaben blockiert. Um sich gegen die zukünftigen Bedrohungen zu schützen, muss auch hier deutlich aufgestockt werden.

Warum externe Expertise sinnvoll ist

Gerade für mittelständische Organisationen ist es unrealistisch, diese Transformation „nebenbei“ zu bewältigen. Die laufenden Aufgaben im Sicherheitsbetrieb lassen kaum Raum für strategische Vorbereitung. Externe Partner können hier unterstützen, indem sie strukturierte Methoden, Erfahrung aus vergleichbaren Umgebungen und einen Blick von außen einbringen.

Entscheidend ist dabei kein Tool-Fokus, sondern die Fähigkeit, komplexe Umgebungen zu analysieren, Risiken einzuordnen und Maßnahmen realistisch zu priorisieren. Ziel ist keine perfekte, sondern eine handhabbare und betrieblich umsetzbare Sicherheitsstrategie.

Vorbereitung schafft Handlungsspielraum

Quantencomputing ist kein Anlass zur Panik, aber ein klares Signal für vorausschauendes Handeln. Die kryptografische Landschaft wird sich verändern, und das schrittweise, aber unumkehrbar. Unternehmen, die heute Transparenz schaffen, Risiken bewerten und ihre Kryptografie beweglich machen, gewinnen Zeit und Souveränität. Wer hingegen abwartet, bis das Thema akut wird, wird unter Druck reagieren müssen. In der IT-Sicherheit ist das selten eine gute Ausgangslage.

Über den Autor: Torsten Jüngling ist Director of Security & Resilience and Network bei Kyndryl. Er berät Unternehmen zu Cyber-Resilienz, IT-Sicherheitsarchitekturen und strategischer Risikovorsorge in komplexen hybriden IT-Umgebungen. Sein Schwerpunkt liegt auf datengetriebenen Entscheidungen, sicheren Cloud-Transformationen sowie innovativen Sicherheits- und Resilienzlösungen. Er ist CISM-zertifiziert und bringt zudem einen unternehmerischen Blickwinkel aus der Gründung und Mitgründung mehrerer Start-ups mit.

(ID:50823730)

Weiterführende Inhalte