Willkommen zur dritten Folge von „A Walk in the Park“, einer neuen Kurzvideoreihe, die sich mit den Faktoren befasst, die die Zukunft des digitalen Vertrauens neu gestalten. In den nächsten fünf Wochen verlegen wir unsere Gespräche aus dem Konferenzraum ins Freie, während unsere Experten einige der größten Herausforderungen beleuchten, denen sich Sicherheitsverantwortliche heute stellen müssen. Sehen Sie sich hier die erste,zweite und dritte Folge an.
Es gibt drei Dinge, auf die man sich im Leben verlassen kann: den Tod, Steuern und kryptografische Schulden.
Die ersten beiden versteht jeder. Der dritte Punkt ist ein besonderes Geschenk für Sicherheitsteams.
Wenn die meisten Menschen das Wort „Schulden“ hören, denken sie an Geld. Bei kryptografischen Schulden ist es einfacher: Es handelt sich um die Lücke zwischen der Kryptografie, die Sie tatsächlich einsetzen, und der Kryptografie, die Sie nachweisen können. Für die meisten Organisationen ist diese Lücke enorm.
Ich möchte dies ganz offen ansprechen, denn es hat sich still und leise zu einem der größten unkontrollierten Risiken in heutigen Unternehmen entwickelt.
▶️ Seht euch die Folge an: Ryan und ich sprechen in dieser Folge von „A Walk in the Park“ über kryptografische Schulden. Im Folgenden gehe ich näher darauf ein, was das bedeutet und wie man damit umgehen kann.
Was versteht man also unter kryptografischer Verschuldung?
Hier ist die einfache Version.
Von „Kryptografie-Schulden“ spricht man, wenn eine Organisation nicht weiß, über welche Kryptografie-Komponenten sie verfügt. Die Schlüssel. Die Zertifikate. Die Algorithmen, die Protokolle, die Bibliotheken. Sie sind überall zu finden, aber fast nirgendwo schriftlich festgehalten.
Was man nicht sieht, kann man nicht steuern. Was man nicht steuern kann, ist ein Risiko. Das ist die Verschuldung.
Das hat sich ganz organisch entwickelt. Fast fünfzig Jahre lang hat die Mathematik hinter dem digitalen Vertrauen einfach funktioniert. Daher konnten Teams mit einem „Einmal einrichten und dann vergessen“-Ansatz durchkommen. Einmal konfigurieren. Nur dann nachsehen, wenn etwas nicht mehr funktioniert.
Wenn ich mich heute in verschiedenen Umgebungen umschaue, stelle ich jedes Mal dasselbe fest: Kryptografische Ressourcen sind über die Cloud, das Netzwerk, die Anwendungen und den Identitätsstack verstreut. Ich drücke es so aus: Wo Daten sind, da ist auch Kryptografie. Das heißt, sie ist überall.
Warum das jetzt wichtig ist
Das ist der Punkt, der oft übersehen wird.
Die Leute gehen davon aus, dass diese Kryptografie, nur weil sie seit Jahrzehnten funktioniert, einfach so weiterlaufen kann. Das ist jedoch nicht der Fall. Der Grund dafür ist einfach: Es gibt eine Reihe neuer quantensicherer Algorithmen, auf die letztendlich jeder umsteigen muss. Und diese Umstellung dauert sehr lange, ohne dass die Systeme, die diese Algorithmen nutzen, dabei beeinträchtigt werden.
Auch die Zeitleiste ist jetzt plötzlich ganz real geworden.
Im März 2026 legte Google das Jahr 2029 als Frist für die Umstellung seiner eigenen Systeme auf postquantenkryptografische Verfahren fest. Das liegt Jahre vor den meisten bisherigen Vorgaben. Im Juni 2026 unterzeichnete das Weiße Haus dann eine Durchführungsverordnung, die Bundesbehörden dazu verpflichtet, hochwertige Systeme bis Ende 2030 auf die postquantenbasierte Schlüsselerstellung umzustellen und die Signaturfunktionen bis Ende 2031 anzupassen. Die eigenen Leitlinien des NIST stufen die heutigen Algorithmen bis 2030 als veraltet ein und verbieten ihre Verwendung ab 2035.
Man muss die Lage richtig einschätzen. Wenn diejenigen, die am nächsten an der Entwicklung von Quantencomputern dran sind, den Schritt bis 2029 oder 2030 wagen, dann ist das kein leeres Gerede der Anbieter. Das sind die Leute, die den besten Blick auf die Klippe haben und allen anderen sagen, wie nah der Abgrund ist.
Wenn sie umziehen, ist es Zeit, selbst umzuziehen.
Der Aspekt, den die Teams unterschätzen
Das Schwierige daran sind nicht die Algorithmen. Das Problem ist, dass all diese kryptografischen Verfahren voneinander abhängig sind.
Schlüssel, Zertifikate, Algorithmen, Protokolle, Bibliotheken. Sie alle sind voneinander abhängig. Man kann nicht einfach ein Element ganz oben oder ganz unten austauschen und es dann als erledigt betrachten. Ändert man isoliert das Falsche, geht etwas kaputt. Etwas versagt. Und dieser Ausfall hat schwerwiegende Folgen.
Man kann das also nicht wie einen einzelnen Posten behandeln. Man muss alles erkennen, was geändert werden muss, und es gemeinsam ändern. Genau das macht die Verschuldung so gefährlich. Es handelt sich nicht um eine einzelne Rechnung. Es ist ein Wirrwarr.
Wo soll man anfangen?
Das schafft niemand auf einen Schlag. Das ist, als wollte man das Meer zum Kochen bringen.
Verschaffen Sie sich zunächst einen ehrlichen, ganzheitlichen Überblick über die Kryptografie in Ihrem Unternehmen. Wahrscheinlich verfügen Sie über mehrere Tools, von denen jedes nur einen Teilaspekt abbildet. Führen Sie diese in einem zentralen Bestandsverzeichnis zusammen. Vergleichen Sie diese Daten anschließend mit einer Reihe bekannter Risikoparameter. Dies wird als „Cryptographic Posture Management“ bezeichnet.
Legen Sie dann Prioritäten fest. Keine zwei Organisationen verfügen über dieselben Daten, daher wird es auch keine zwei geben, die dieselbe Antwort haben. Stellen Sie die wirklich wichtigen Fragen: Was sind meine wichtigsten Vermögenswerte? Was muss ich als Erstes schützen? Passen Sie Ihre Verschlüsselungsmaßnahmen an die Daten und Systeme an, die sie schützen sollen, und gehen Sie von dort aus weiter.
Langfristig gesehen ist dies eine Investition. Aber es gibt Dinge, die Sie schon heute mit den Ihnen bereits zur Verfügung stehenden Mitteln und Teams tun können, um den ersten Schritt zu machen.
Und jeder sollte so schnell wie möglich damit beginnen. Wir wissen nicht genau, wann dieser kryptografisch relevante Quantencomputer auf den Markt kommt. Je besser man darauf vorbereitet ist, wenn es soweit ist, desto besser ist man aufgestellt. Die Organisationen, die sich nicht vorbereiten, sind diejenigen, die am Ende ihre Daten bei dem vorhersehbarsten Zero-Day-Angriff in der Geschichte der Cybersicherheit preisgeben werden.
Kryptowährungsschulden sind das Problem, das all den anderen Problemen zugrunde liegt. Man kann keine Schulden abbezahlen, die man nicht sieht. Es ist an der Zeit, die eigenen Schulden zu berechnen.
Als Nächstes: Seien Sie nächste Woche wieder dabei, wenn ich in der letzten Folge von „A Walk in the Park“ die Bedrohung aus einem anderen Blickwinkel beleuchte – erst ernten, dann entschlüsseln.
