4-Sight: Wie Sie Ihr Unternehmen auf die Post-Quantum-Kryptographie vorbereiten

The clock is ticking. As quantum computing advances, now is the time to prepare for post-quantum cryptography, or PQC. 

Um darauf vorbereitet zu sein, benötigen Unternehmen einen Umstellungsplan, der den Input und die Unterstützung des gesamten Unternehmens umfasst. Wenn man den technischen Schulden voraus ist und sich über die sich entwickelnden Vorschriften auf dem Laufenden hält, ist ein unternehmensweiter Bewusstseinswandel in Richtung der neuen Realitäten einer Post-Quantum-Zukunft gewährleistet. 

Some experts predict that PQC could arrive in as few as five years, so the time to act is now.

Warum es klug ist, mit der Modernisierung zu beginnen 

• Prepare for Harvest Now threats. Well-resourced nation-state actors are using Harvest Now Decrypt Later attacks to steal encrypted files today and holding on to them until they can decrypt them.
• Readiness is a moving target. Even though PQC guidelines are evolving, bad actors are continuously innovating, and for large organizations, it can take years to develop an agile approach that can adapt constantly.
• Es gibt keine Vorlage! Jeder Plan ist individuell mit einzigartigen Messgrößen und Meilensteinen und kann nicht in einem Vakuum entwickelt werden.
• Die Zeit vergeht schnell. Jüngste Schätzungen gehen davon aus, dass Quantencomputer, die in der Lage sind, RSA-2049 zu knacken, bereits im Jahr 2035 auf den Markt kommen könnten, so dass weniger als ein Jahrzehnt verbleibt, um groß angelegte Umstellungen durchzuführen.

4 Schritte zur Vorbereitung 

Beginning to modernize PKI today makes strategic sense for several reasons. In fact, Keyfactor has found that successful post-quantum readiness isn’t just a PKI challenge – it’s an organization-wide transformation. True crypto-agility requires cross-functional collaboration across security, IT, legal, compliance, and product teams.

Dieser unternehmensweite Ansatz verbessert die Bestandsaufnahme, die Risikobewertung, die Schulung und die Reaktion auf Vorfälle und verringert gleichzeitig die Anfälligkeit für zukünftige Bedrohungen. Indem sie ihre Teams jetzt aufeinander abstimmen, können Unternehmen die PKI-Modernisierung beschleunigen und auf ihrem Weg zu PQC die Nase vorn haben.

Schritt eins: Entdeckung und Bestandsaufnahme

Es mag Sie überraschen, aber viele Unternehmen verfügen immer noch nicht über ein vollständiges Inventar ihrer kryptografischen Ressourcen, obwohl sie mit einer komplexen Reihe von digitalen Zertifikaten, privaten Schlüsseln, Algorithmen und Protokollen arbeiten.

Taking inventory is crucial in making a transformation plan that encompasses the whole infrastructure. Look for the public key infrastructure (PKI) components, including certificates and keys, and don’t forget to account for embedded cryptography in applications and devices, as these algorithms will need to be updated too. Legacy systems demand special attention, as they often rely on outdated security configurations; the cryptography they employ may already fall short of existing best practices and standards. Depending on the sector of your enterprise, operational technology (OT) systems that support machinery, physical devices, and hardware should also be included in the inventory.

Selbst für kleinere Unternehmen kann eine Bestandsaufnahme sehr schnell komplex werden, weshalb es wichtig ist, Hilfe in Anspruch zu nehmen. Kryptografische Erkennungstools können dabei helfen, Assets in großem Umfang zu identifizieren und dabei die anfälligsten zu markieren. Solche Tools können auch dabei helfen, Fälle von Schatten-IT oder die Verwendung von nicht autorisierter software und/oder hardware außerhalb des offiziellen Zuständigkeitsbereichs der IT-Abteilung in Ihrem Unternehmen zu ermitteln. Eine solche Nutzung ist zwar oft gut gemeint, stellt aber ein Sicherheitsproblem dar, das es zu berücksichtigen gilt. Der PQC-Umstellungsprozess ist ein idealer Zeitpunkt, um diese potenziellen Lücken zu schließen und die allgemeine Sicherheitslage Ihres Unternehmens zu verbessern.

Sobald Sie über eine vollständige Bestandsaufnahme verfügen und eine klare Vorstellung davon haben, bei welchen Systemen welche Maßnahmen zuerst erforderlich sind, können Sie den Migrationsplan entsprechend zusammenstellen, angefangen bei Anlagen, die dringend behoben werden müssen, bis hin zu Protokollen und Zertifikaten mit geringerer Priorität, die später migriert werden sollen. Die Anlagen mit der höchsten Priorität und der höchsten Gefährdung werden in der Warteschlange für die Aktualisierung der Kryptoalgorithmen an erster Stelle stehen müssen. 

Schritt zwei: Triage der Implementierung von kryptoagilen Lösungen

Following the principles of crypto-agility when adopting or orchestrating your cryptography architecture will allow all parts of the ecosystem to support current and post-quantum cryptography algorithms during the transition period. During the discovery and inventory step, you prioritized the key systems for the PQC migration. These systems will require dual certificates (post-quantum as well as traditional) to maintain backwards compatibility before the transformation is complete.

The highest priority systems typically support long device lifespans, including Internet of Things (IoT) devices and firmware. Next-gen connected vehicles, in the automotive sector, are a perfect example, whose direct impact on the safety of human operators demands the highest standards of security even before the quantum era dawns. In the healthcare sector, “smart” pacemakers are another―by virtue of their placement they aren’t easily accessed once operational and thus need to be able to receive updates over the air with all the safeguards appropriate for the level of care they provide. 

Systeme, die hochsensible, geschützte und geschäftskritische Daten enthalten, sollten ebenfalls ganz oben auf der Prioritätenliste stehen. Die Kryptografie, die die Sicherheit solcher Daten unterstützt, muss so früh wie möglich auf Post-Quantum-Algorithmen umgestellt werden, um HNDL-Angriffe zu verhindern.

Dritter Schritt: Automatisierung der Verwaltung digitaler Zertifikate

Die Umstellung auf Post-Quantum-Kryptografie befreit Unternehmen nicht von der Komplexität der PKI-Verwaltung. Die manuelle Zertifikatsverwaltung lässt sich heute auf Unternehmensebene nicht mehr skalieren und dürfte daher in der PQC-Ära kaum noch praktikabel sein.

It is not just a question of volume. Certificate lifespans are expected to be as short as 47 days by 2029, making manual PKI management, frankly, a dangerous idea. The algorithmic complexity of post-quantum certificates will increase substantially, too, making automated solutions essential to tracking a complete cryptographic inventory.

To maintain business continuity and cryptographic integrity, a post-quantum transformation plan should include transitioning to automated certificate issuance, renewal, and replacement, if such tools aren’t in place already. While there are many PKI solutions on the market, choose one, such as Keyfactor EJBCA, that provides governance, role-based access, and detailed audit logs to maintain compliance and reduce operational risk.

Vierter Schritt: Fortlaufende Steuerung der Post-Quantum-Kryptographie

Post-Quantum-Readiness ist komplex, und die Umsetzung von PQC ist eine lebendige, atmende Strategie, die ständig aktualisiert werden muss. Quantenfähigkeit erfordert eine kontinuierliche Governance, Risikoüberwachung und kryptografische Hygiene im Einklang mit den Grundsätzen der Krypto-Agilität.

Zu den bewährten Verfahren zur Aufrechterhaltung eines aktuellen Risikoprofils gehören die Festlegung und regelmäßige Überarbeitung von Richtlinien für die Veraltung von Algorithmen, die regelmäßige Schlüsselrotation und Ausweichmechanismen für den Fall unvorhergesehener oder neu entdeckter algorithmischer Schwächen. Der Schlüssel zum Erhalt der Quantenfähigkeit ist die Bereitschaft zur Anpassung.

Quantensichere Algorithmen entwickeln sich ständig weiter, und das sollten auch Ihre Richtlinien und Protokolle. Diese sollten die Schulung und Ausbildung der Mitarbeiter sowie PQC-spezifische Kriterien bei der Einstellung von Sicherheits- und IT-Mitarbeitern umfassen. Die Beteiligung der gesamten Organisation und die Bereitschaft, sich auf Quantensicherheit einzustellen, sind für den anhaltenden Erfolg der Initiative unerlässlich.

Schlussfolgerung: Jetzt modernisieren für das Post-Quantum-Zeitalter

Es ist an der Zeit, Ihr Unternehmen zukunftssicher zu machen. Die Vorbereitung auf die Post-Quantum-Kryptografie ist eine schwierige Herausforderung, aber auch eine Chance, Ihre kryptografische Infrastruktur zu überprüfen, zu bewerten und zu modernisieren. Kriminelle entwickeln ihre Techniken weiter. Das sollten auch Unternehmen tun.

Wenden Sie sich an Keyfactor, um bewährte Tools und Fachwissen zu erhalten, mit denen Sie die kommenden Sicherheitsrisiken des Quantencomputings meistern können.