Interview Post-Quantum-Kryptografie (PQC): Der Countdown für Unternehmen läuft

Anbieter zum Thema

Kobil GmbH

CADFEM Germany GmbH

d.velop AG

xSuite Group GmbH

Quantencomputer rücken immer näher – und die Gefahr für heutige IT-Verschlüsselungsalgorithmen wächst. Prof. Dr. Johannes Buchmann und Ismet Koyun zeigen, warum hybride Post-Quantum-Kryptografie jetzt zählt und skizzieren Wege zur Quantum-Readiness.

Quantencomputer rücken immer näher in den Praxiseinsatz – mit deutlichen Folgen für die IT-Sicherheit. Viele gängige Verschlüsselungsverfahren werden dann angreifbar. Und das betrifft dann ganz Alltägliches in Unternehmen: vertrauliche E-Mails und Dateien, Zugänge zu Systemen und sogar vernetzte Geräte in der Produktion. Dazu kommt ein stilles Risiko: Daten können schon heute mitgeschnitten und später entschlüsselt werden – wenn Quantenrechner verfügbar sind, sogenannte HNDL-Angriffe (Harvest-now, decrypt-later).

Die Antwort darauf heißt Post-Quantum-Kryptografie (PQC): neue Verfahren, die auch gegen Quantenangriffe schützen sollen. Der Umstieg passiert aber nicht über Nacht. Unternehmen müssen zuerst verstehen, welche Systeme kritisch sind und wo überall Verschlüsselung im Einsatz ist. Wer warten will, wartet meist zu lange – denn Planung, Tests und Roll-out dauern. Vorreiter starten deshalb jetzt.

Doch was heißt das konkret? Welche Schritte sind wirklich wichtig, wenn man Quantum-ready werden will? Und wie sind die Erfahrungen aus der Praxis? DIGITAL BUSINESS spricht darüber mit Ismet Koyun und Prof. Dr. Johannes Buchmann. Ismet Koyun ist Gründer und CEO von Kobil ,einem Anbieter digitaler Lösungen für Sicherheit und Identitätsmanagement. Prof. Dr. Buchmann ist ehemaliger Professor am Fachbereich Informatik der TU Darmstadt und einer der Begründer des Forschungsgebietes der Post-Quanten-Kryptographie.

Herr Koyun, Herr Prof. Dr. Buchmann, es ist nicht mehr die Frage ob, sondern wann Quantencomputing im großen Stil zur Verfügung steht. Wann schätzen Sie wird es soweit sein, dass herkömmliche Kryptografie-Methoden durch Quantencomputing im großen Stil gefährdet sind?

Prof. Dr. Johannes Buchmann: Eine konkrete Jahreszahl kann ich Ihnen nicht nennen, das wäre nicht seriös. Es gibt aber gerade in jüngerer Zeit technologische Fortschritte, die uns Quantencomputing näherbringen.

Ismet Koyun: Ein genaues Datum ist aktuell auch gar nicht so entscheidend. Sicher ist: Der Q-Day wird kommen.

Aus Cold-Storage-Archiven könnten Cyberkriminelle großflächig Informationen abziehen, um sie Jahre später mit einem Quantencomputer zu entschlüsseln. Die Gefahr ist absolut real.

Ismet Koyun, CEO von Kobil

Auch wenn Quantenrechner derzeit noch im experimentellen Stadium sind, eine Gefahr geht von sogenannten HNDL-Angriffen aus. Wie realistisch ist das Risiko heute – und für welche Datentypen ist es besonders kritisch?

Ismet Koyun: Sicherheitsbehörden gehen davon aus, dass verschlüsselte Daten bereits heute systematisch mit krimineller Absicht gesammelt werden. Alles andere wäre auch naiv zu glauben. Aus Cold-Storage-Archiven könnten Cyberkriminelle großflächig Informationen abziehen, um sie Jahre später mit einem Quantencomputer zu entschlüsseln. Die Gefahr ist absolut real. 

Prof. Dr. Johannes Buchmann: Kritisch ist das vor allem für Daten, die über einen langen Zeitraum, also beispielsweise für mehr als zehn Jahre, vertraulich bleiben müssen. Das betrifft zum Beispiel geheime oder sensible Informationen von staatlichen Behörden oder im militärischen Kontext. Es betrifft aber auch medizinische Daten, Finanz- und Rechtsdokumente, Forschung und Entwicklung sowie unterschiedliche Arten von Backup-Beständen und Archiven.

Für Unternehmen ist es also wichtig, möglichst bald Quantum-ready zu werden. Was bedeutet Quantum-ready für Sie? Ist es mehr als nur eine Post-Quantum-Kryptografie (PQC) einzusetzen, also Kryptografie-Methoden, die auch Quantenrechner nicht knacken können?

Prof. Dr. Johannes Buchmann: Unternehmen und Organisationen müssen sich der mittel- bis langfristigen Gefahr bewusst sein. Das gilt vor allem für Betreiber kritischer Infrastrukturen. Aber beispielsweise auch für fertigende Unternehmen. Setzen sie heute eine vernetzte Industrie-4.0-Anlage in Betrieb, dann soll sie für viele Jahre im Einsatz bleiben. Die Verbreitung leistungsstarker Quantencomputer fällt also möglicherweise in den Lebenszyklus dieser Anlagen.

Ismet Koyun: Quantum-ready zu sein bedeutet, solche künftigen Bedrohungen für die eigene IT- beziehungsweise OT-Landschaft von vornherein mitzudenken und vorauszusehen. Welche Daten müssen auch in zehn oder 20 Jahren vertraulich bleiben? Welche Prozesse und Systeme sind besonders gefährdet? Was muss zuerst auf Post-Quantum-Kryptografie migriert werden? Wie kann ich kryptographische Funktionen modular und skalierbar implementieren, sodass sie auch später noch agil und ohne großen Aufwand adaptiert werden können?

DIE GESPRÄCHSPARTNER

Ismet Koyun ist Pionier für digitale Sicherheit sowie Gründer und CEO von Kobil, einem Anbieter digitaler Lösungen für Sicherheit und Identitätsmanagement. Koyun setzt sich für die digitale Souveränität Europas ein. Sein Fokus liegt darauf, Europa digital abzusichern – mit europäischen Sicherheitsprodukten.

Prof. Dr. Dr. h.c. Johannes Buchmann, deutscher Informatiker und Mathematiker sowie ehemaliger Professor am Fachbereich Informatik der TU Darmstadt, ist einer der Begründer des Forschungsgebietes der Post-Quanten-Kryptographie. Auf sein Bestreben hin entstand Athene (ehemals Center for Research in Security and Privacy, CRISP), größtes Forschungszentrum für Cybersicherheit in Europa. Gerade erschien sein neues Buch „Quantenalgorithmen – Eine Einführung“.

Was sind denn aktuell die häufigsten Missverständnisse über Post-Quantum-Kryptografie in Unternehmen? Sind sich Unternehmen der Gefahr und dem Handlungsdruck überhaupt bewusst?

Ismet Koyun: IT-Landschaften, die über Jahre oder Jahrzehnte gewachsen sind, lassen sich nicht auf Knopfdruck umbauen. Sorgfältige, strategische Planung ist wichtiger als überstürztes Handeln. Das Problem ist nur: Viele Organisationen wissen gar nicht genau, wo sie welche Kryptographieverfahren einsetzen. Kryptographie wird an allen möglichen Punkten benötigt. Zum Beispiel in Kommunikationsprotokollen, Cloud-Schnittstellen, mobilen Apps, Hardware-Sicherheitsmodulen, Identitätsabfragen oder in Public-Key-Infrastrukturen. Dazu kommen noch Komponenten von Partnern und Drittanbietern. Abhängigkeiten lassen sich nicht so einfach auflösen, vor allem nicht im laufenden Betrieb.

Für Unternehmen geht es zunächst also weniger darum, einzelne neue Algorithmen einzuführen. Quantum-Readiness beginnt stattdessen damit, die eigene Systemlandschaft inklusive Kryptographie vollständig zu erfassen und zu analysieren. Erst dann ist es möglich, Anpassungen vorausschauend einzuplanen, die sich in Zukunft ergeben können.

Und welche Branchen sollten besonders früh zur einer PQC migrieren?

Ismet Koyun: Grundsätzlich sind alle Organisationen betroffen, die kryptografisch gesicherte Kommunikation nutzen. Sie müssen über kurz oder lang Quantum-ready werden. Aber es gibt natürlich Branchen, für die das besonders relevant und dringlich ist. Überall dort, wo die regulatorischen Anforderungen hoch sind und wo Informationen lange geschützt, geheim oder transparent überprüfbar bleiben müssen. Beispiele sind: der öffentliche Sektor inklusive E-Government, kritische Infrastrukturen, Finanzdienstleister und Versicherer, das Gesundheitswesen, vernetzte Produktionsumgebungen.

In solchen stark regulierten Bereichen kommt noch eine Herausforderung hinzu: Change-Prozesse sind oft träge und Anpassungen an Strukturen und Technik können sich über Jahre hinziehen. Deshalb müssen sich die Organisationen schon heute umso intensiver mit dem Thema Post-Quantum-Kryptografie beschäftigen.

Zukunft der Cybersicherheit

Post-Quantum-Kryptografie: Schutz vor Quantenangriffen wird essenziell