Mathematik: das überzeugendste Argument für kryptografische Flexibilität

Fünf Wochen im Sommer 2026 

Die meisten von uns freuen sich auf den Sommer.  

Die Menschen machen etwas früher Feierabend, fahren in den Urlaub und lassen den Alltag und den Stress hinter sich. Kryptoanalytiker – also Menschen, die ihre Zeit damit verbringen, Schwachstellen in kryptografischen Verfahren aufzuspüren – sind jedoch nicht wie die meisten anderen Menschen, und der Sommer 2026 ist das perfekte Beispiel dafür.  

In den letzten Wochen (fünf zum Zeitpunkt der Abfassung dieses Artikels) gab es eine ganze Reihe von Entwicklungen (Angriffsbehauptungen und bestätigte Ergebnisse) zu wichtigen Aspekten der Post-Quanten-Kryptografie.  

Ab dem 23. Juli,veröffentlichte Woselowski ein Preprint mit einem Algorithmus, der die bislang bekannteste Lösung für das Problem der supersingulären Isogenie verbessert. Dies bedeutet eine Verringerung der geschätzten Sicherheitsmarge für Verfahren wie SQIsign – das derzeit den Standardisierungsprozess durch das NIST durchläuft. Die konkreten Auswirkungen auf die Parameter müssen noch geklärt werden. 

Nur wenige Tage später, am 28. Juli,, erschien ein auffälliger Blogbeitrag von Anthropic veröffentlicht, der zwei Schlagzeilen-Angriffe enthielt. Anthropic behauptet, die Arbeiten seien größtenteils von künstlicher Intelligenz gesteuert und anschließend von Menschen überprüft worden. Die Opfer waren HAWK – das sich ebenfalls im Standardisierungsprozess des NIST befand – und eine vereinfachte Version von AES-128 – mit 7 statt 10 Runden. Während das letztere Ergebnis keine unmittelbaren Auswirkungen auf das vollständige AES-Schema hat, halbierte der entsprechende Angriff auf HAWK den geheimen Schlüssel effektiv, woraufhin das Team es aus dem Standardisierungsprozess zurückzog. 

Am 31. Juli,wurde ein vorläufiger Entwurf sorgte in der Kryptografie-Community für Schlagzeilen. Daniel Simon (bekannt für seine Beiträge zur frühen Entwicklung des Quantencomputings) beschrieb einen Quantenalgorithmus, der das das Dihedral-Coset-Problem (DCP) in polynomieller Zeit lösen würde. Auch wenn ein solcher Algorithmus für die meisten Menschen auf den ersten Blick nicht besonders beängstigend klingen mag, würde er in Wirklichkeit einen schweren Schlag für die Gitterkryptografie bedeuten – und das Vertrauen in die Quantensicherheit von ML-KEM (FIPS 203), ML-DSA (FIPS 204), FalconDSA (FIPS 206) usw. gefährden. Etwa zwei Wochen später bewiesen Gupte, Ragavan und Zhandry bewiesen , dass dieses Argument zu keiner effizienten Lösung für DCP führen kann und somit betroffenen unbeeinträchtigt bleiben. 

Die jüngste Entwicklung stammt von Ghoshal, Ishai, Jain und Sun vom 10. Augustth zum klassischen McEliece-Problem. Der Beitrag hat zwei Aspekte. Die erste ist ein klassischer Unterscheider in quasipolynomieller Zeit (d. h. quasi-effizient) für einen öffentlichen Schlüssel – ein Algorithmus, der einen öffentlichen Schlüssel von zufälligem Rauschen unterscheiden kann. Vor dieser Arbeit gab es keinen Unterscheider dieser Art; allerdings hat dies auch keine unmittelbaren Auswirkungen auf die Sicherheit des Schemas. Der zweite Beitrag ist ein heuristischer Entschlüsselungsangriff mit derselben asymptotischen Komplexität. Keiner der beiden Algorithmen ist praxistauglich, und die Korrektheit des letzteren wurde noch nicht bestätigt. Sollte sich der Entschlüsselungsangriff jedoch als zutreffend erweisen, könnte dies eine vollständige Neubewertung der Sicherheit und der Parameter des Schemas erfordern. Eine Folgearbeit von Vedenev schlug einen Weg vor, den Unterscheider in einen Schlüsselwiederherstellungsangriff umzuwandeln, doch diese Strategie erwies sich später als äußerst ineffizient . 

Dieser Sommer war zweifellos ein unvergesslicher. 

„Broken“ ist kein boolescher Wert 

Die Kryptografie ist ständig Angriffen ausgesetzt.  

Die Sicherheit von Kryptosystemen mit öffentlichen Schlüsseln hängt davon ab, dass bestimmte mathematische Probleme schwer zu lösen sind. Diese Probleme lassen sich mit der Zeit immer leichter lösen – dank neuer Erkenntnisse in der Mathematik, neuer algorithmischer Kniffe und verbesserter Rechenleistung. Die Kryptografie-Gemeinschaft arbeitet ständig daran, die Algorithmen zur Lösung dieser schwierigen Probleme zu verbessern – mit dem Ziel, sie zu knacken oder zumindest schneller zu lösen. Diese Angriffe führen nicht immer zu einem vollständigen Knacken; im Gegenteil, bei den meisten handelt es sich um schrittweise Verbesserungen, doch vor allem tragen sie zu einem besseren Verständnis dessen bei, was das Problem so schwierig macht. 

Allerdings hatte jeder der in den letzten Wochen vorgestellten Angriffe unterschiedliche Auswirkungen auf das jeweilige System sowie auf die Nutzer und diejenigen, die das System einsetzen. 

Arbeiten im Bereich der Kryptoanalyse haben unterschiedliche Auswirkungen bzw. erreichen unterschiedliche Wirkungsgrade. Wir stellen eine informelle Liste von Kategorien vor, die nach ihrer Tragweite geordnet sind.  

1. Keine Schwachstelle gefunden. Dies können beispielsweise erfolglose Versuche sein, grundlegende Probleme zu lösen (Simons jüngste Arbeit, Chens Artikel aus dem Jahr 2024 sowie Eldar und Shors Artikel von 2016) oder Ergebnisse, die Annahmen zur Schwierigkeit untermauern (das OpenAI-Ergebnis zu CVP). 

1. In einer eng verwandten Konstruktion wurde eine Schwachstelle entdeckt. Dabei handelt es sich um Versuche, die Sicherheit einer wichtigen Konstruktion zu verstehen, indem eine eng verwandte Variante angegriffen wird (die jüngste AES-Analyse von Anthropic).  

1. Asymptotische Sicherheitsminderung und geringfügige algorithmische Verbesserungen. Dabei kann es sich um marginale, aber direkte Angriffe auf die Hauptkonstruktion handeln oder um Ergebnisse, die die Schätzung der für einen bestimmten Angriff erforderlichen Ressourcen verfeinern. Die Beiträge von Arbeiten dieser Kategorie sind so gering, dass sie nicht in die Schlagzeilen gelangen, und ihre Auswirkungen lassen sich oft nur schwer quantifizieren (Woselowskis Arbeit zu Isogenien). 

1. Erhebliche Verschlechterung der Sicherheit und unerwartete Ressourcenschätzungen. Dabei kann es sich um direkte Angriffe handeln (die oft aus bisher wenig erforschten Richtungen kommen), die erhebliche Auswirkungen auf die Sicherheit des Systems haben (Anthropics jüngster Angriff auf HAWK); oder es kann sich auch um eine neue Ressourcenschätzung handeln, die das Paradigma für die Modellierung realer Angriffe verändert (Googles Schätzung zur Lösung von DLP Anfang dieses Jahres, die die Messlatte höher legte und zu engeren Fristen für die Umstellung auf PQC führte). 

1. Vollständiger Angriff. Hierbei handelt es sich um Angriffe, die die Sicherheitsannahme eines bestimmten Schemas vollständig entkräften (Castryck und Decru Angriff auf SIKE im Jahr 2022). 

1. Zusammenbruch der Grundannahmen. Dies geschieht, wenn eine unmittelbare Bedrohung für die Grundlagen eines oder mehrerer Verfahren (Shor’s Quantenalgorithmus zur Lösung von Faktorisierung und DLog) auftritt, was zur Abkehr von allen betroffenen Verfahren führt. 

Schleichende Erosion und plötzliches Versagen: Darauf lässt man sich nur schwer vorbereiten. 

Erosion ist von einem Tag auf den anderen nicht zu erkennen, wird aber nach einigen Jahren deutlich sichtbar. 

Von den oben genannten (inoffiziellen) Kategorien haben I und II kaum bis gar keine unmittelbaren praktischen Auswirkungen auf die Sicherheit; IV, V und VI hingegen sind zwar recht selten, aber dennoch wichtig genug, um die Aufmerksamkeit von Fachleuten und Laien gleichermaßen auf sich zu ziehen. Die einzige Art von Ergebnis mit weitreichenden Folgen, die niemals Schlagzeilen macht, ist Kategorie III, und das macht sie in gewisser Weise zur gefährlichsten. Wenn eine Arbeit der Kategorie III erscheint, ist eigentlich nichts kaputt; alles funktioniert weiterhin, es gibt kein CVE, keine offizielle Sicherheitswarnung und keine konkrete Frist für die Migration. Das Einzige, was passiert ist, ist, dass sich der Aufwand für die Lösung des zentralen, schwierigen Problems verschoben hat – es ist einfacher geworden. In vielen dieser Fälle bleibt die Umsetzung des theoretischen Ergebnisses in konkrete Parameter eine offene Frage, was es für alle schwierig macht, die tatsächlichen Konsequenzen abzuschätzen.  

Mit den ständigen Entwicklungen in der Kryptoanalyse Schritt zu halten, ist anstrengend – umso mehr, wenn es darum geht, die konkreten Auswirkungen jedes einzelnen Ergebnisses zu bewerten. Es ist daher unrealistisch, von Sicherheitsteams zu erwarten, dass sie die fortschreitende Schwächung der Sicherheit ihrer kryptografischen Infrastruktur im Auge behalten. Ebenso unrealistisch ist es, von irgendjemandem zu erwarten, dass er die Zukunft vorhersagen kann. 

HAWK wurde 2022 als Verfahren vorgeschlagen. Es wurde schließlich 2026 – nach drei Runden des NIST-Standardisierungsprozesses – aus diesem zurückgezogen, nachdem seine Sicherheit erheblich (und unerwartet) beeinträchtigt worden war. Noch außergewöhnlicher ist jedoch die Geschichte von SIKE. Das Schema selbst wurde ursprünglich im Jahr 2011 vorgeschlagen, und erst im Jahr 2022 – in der vierten und letzten Runde des NIST-Standardisierungsprozesses für KEMs – wurde ein vollständiger klassischer Angriff gefunden. Dazu waren keine Quantencomputer erforderlich. Während dies für einige Kryptographen keine völlige Überraschung war, kam es für die Mehrheit der an den Standards arbeitenden Personen sicherlich unerwartet. Andernfalls hätte es die letzte Runde nicht erreicht. Dies ist ein bemerkenswertes Beispiel dafür, wie Schwachstellen unerwartet entdeckt werden können, selbst nach mehr als einem Jahrzehnt der Analyse. 

Die Taktrate hat sich geändert, das Zeitfenster wird immer kleiner 

KI verändert die Spielregeln. 

Wir alle haben gespürt, wie sich das Entwicklungstempo – in allen Bereichen – seit dem Aufkommen generativer KI beschleunigt hat. Agente-basierte Workloads, Harnesses und immer leistungsfähigere „Frontier“-Modelle haben die Möglichkeiten der KI weiter ausgebaut. Was früher Jahre dauerte, ist heute in wenigen Wochen erledigt. Was früher mehrere Experten erforderte, kann nun von wenigen klugen Köpfen bewältigt werden, die Zugang zu Spitzenmodellen haben. Dies gilt auch für die Kryptoanalyse. Wir sind bereits auf dem besten Weg, fast 400 Arbeiten zur Kryptoanalyse zu erreichen (auf eprint.iacr.org) zu erreichen, verglichen mit insgesamt 325 für 2025 und 318 für 2024. Darüber hinaus sind diese neuen, von KI unterstützten oder geleiteten Angriffe oft auch von besserer Qualität. Akteure mit Zugang zu formalen Verifikationswerkzeugen wie „Lean“ oder „Tamarin“ können diese nutzen, um Schwachstellen in kryptografischen Protokollen und Primitiven zu finden.  Und wir können diese Beschleunigung anhand der Zeitachse von HAWK erkennen: Die Konstruktion überstand zwei vollständige Runden und vier Jahre lang die Überprüfung durch menschliche Experten, doch es dauerte nur 60 Stunden KI-Arbeit (und 100.000 Dollar für die API-Nutzung), um eine erhebliche Schwachstelle zu finden.  

Kryptoanalytiker werden sich die Gelegenheit, diese Werkzeuge einzusetzen, nicht entgehen lassen. Darüber hinaus – und das ist noch etwas beunruhigender – haben viele derzeit verwendete Konstruktionen weniger Aufmerksamkeit und Prüfung erfahren, als sie verdienen, und man kann mit ziemlicher Sicherheit davon ausgehen, dass viele von ihnen Schwachstellen bergen, die bislang unentdeckt geblieben sind. Bei NIST-Standards und anderen Konstruktionen, die bereits seit Jahrzehnten im Einsatz sind, ist dies unwahrscheinlich. Bei maßgeschneiderten Protokollen, obskuren herstellerspezifischen Lösungen, selbst entwickelten Bibliotheken und Standards, die nur oberflächlich geprüft wurden, kann man jedoch davon ausgehen, dass Schwachstellen in einem noch nie dagewesenen Tempo entdeckt werden. Die kryptanalytischen Werkzeuge waren noch nie so leistungsfähig und zugänglich, und die Einstiegshürden für die Kryptoanalyse waren noch nie so niedrig. 

Und es geht nicht nur um KI. 

Auch das Verständnis dafür, wie Algorithmen auf realen Quantencomputern implementiert werden können, hat sich in den letzten Monaten erheblich verbessert. Arbeiten der Quantum-AI-Gruppe von Google, von Iceberg Quantumsowie Oratomic haben die Messlatte für die Quanteninformatik höher gelegt und gezeigt, dass ein Quantencomputer, der „groß genug“ ist, um kryptografische Algorithmen zu knacken, tatsächlich viel kleiner ist, als wir bisher angenommen hatten. Als Reaktion darauf haben mehrere Unternehmen wie Google, Microsoft und Cloudflare sowie die US-Regierung ihre Pläne zur Quantenmigration neu bewertet und verschärft. Das Ziel ist nun das Jahr 2029.  

Agilität – damit du nachts ruhig schlafen kannst 

Man kann sich nicht um alles Sorgen machen. Man muss schließlich auch noch schlafen. 

Wenn Sie CISO, Chief Risk Officer, Sicherheitsleiter oder in irgendeiner anderen Form für die Sicherheit in Ihrem Unternehmen verantwortlich sind, können Sie sich nicht wegen jedes möglichen Angriffs den Schlaf rauben lassen. Was Sie tatsächlich wach halten sollte, ist nicht die Frage „Ist ML-KEM sicher?“. Diese Frage ist nicht für Sie bestimmt, und ebenso wenig für irgendjemanden anderen in Ihrem Unternehmen. Alle Experten weltweit, die qualifiziert sind, Simons Angriff auf die Gitterkryptografie zu begutachten, passen wahrscheinlich in einen einzigen Raum. Sie sind für die Sicherheit Ihres Unternehmens verantwortlich, und der Gedanke, dass dich dich wachhalten sollte, ist  

„Wenn ML-KEM nicht sicher ist, was passiert dann am Montag?“  

Sollten Sie sich in einer solchen Situation befinden, hängt es von Ihrer vorhandenen Infrastruktur ab, wie Sie vorgehen und was Sie tun können. Im Idealfall haben Sie Zugriff auf eine Schaltfläche mit der Aufschrift „ML-KEM austauschen und stattdessen ein sicheres KEM verwenden“. Dieses Konzept wird als kryptografische Agilität. Sie soll weder Angriffe verhindern noch ein kryptografisches Schema sicherer machen. Agilität soll jedem, der für die Sicherheit verantwortlich ist, einen konkreten und umsetzbaren Plan an die Hand geben, wie im Falle einer nicht mehr sicheren kryptografischen Komponente vorzugehen ist – sei es, weil die Sicherheit nach und nach untergraben wurde, oder weil eine unerwartete, schwerwiegende Schwachstelle entdeckt wurde. 

Glücklicherweise ist ML-KEM nach wie vor sicher, sodass du noch Zeit hast, dir diesen magischen Tausch-Button zu besorgen.  

Agilität allein reicht nicht aus 

Es gibt kein Patentrezept. 

Kryptografische Agilität ist ein zukunftsorientiertes Instrument, und das macht sich insbesondere in Bezug auf die Vertraulichkeit bemerkbar. Wenn eine Schlüsselgenerierung oder ein Verschlüsselungsverfahren kompromittiert wird, ist jeder auf diesem Verfahren basierende Chiffretext bereits lesbar – er ist verloren –, ganz gleich, wie schnell man das Verfahren nach dem Einbruch wechselt. Agilität schützt zukünftige Sitzungen sowie Signaturen und Zertifikate, stellt jedoch die verlorene Vertraulichkeit nicht wieder her. Jetzt sammeln, später entschlüsseln Angriffe dieser Art sind nicht auf Quantenangreifer beschränkt, und nur konservative Lösungen – wie beispielsweise hybride Verfahren – können hier realistisch Abhilfe schaffen. 

Agilität ohne Transparenz ist wie eine Feuerwehr ohne Stadtplan. Man kann zwar mit einem Klick schnell zwischen verschiedenen Schemata wechseln, aber dieser Klick kann das Schema nur dort wechseln, wo er weiß, dass es gerade verwendet wird. Erfassung und Bestandsaufnahme ist daher der erste und grundlegendste Schritt, um Maßnahmen innerhalb Ihrer kryptografischen Infrastruktur zu ergreifen. Ein CBOM reicht nicht aus. Um effektiv zu sein, benötigen Sie eine aktuelle Bestandsaufnahme, die Ihnen Transparenz über die wichtigsten kryptografischen Elemente in Ihrem Unternehmen verschafft. 

Ein letzter Aspekt, der berücksichtigt werden muss, ist, dass Agilität, wenn sie nicht korrekt umgesetzt wird, mehr Schaden als Nutzen anrichten kann. Falsch umgesetzte Agilität ist eine potenzielle Schwachstelle; sie kann Angriffen durch Herabstufung, Parametermanipulation, Algorithmusersetzung usw. ausgesetzt sein. Agilität selbst wird zum Ziel von Angriffen, daher ist es notwendig, sie korrekt einzusetzen, zu testen und angemessen zu warten.  

Dein Plan für Montagmorgen 

Gönn dir eine gute Tasse Kaffee. Es wird ein langer, aber lohnender Tag.  

Kryptografische Agilität entsteht dadurch, dass das gesamte System richtig um Ihre kryptografische Infrastruktur herum aufgebaut ist. Der Montagmorgen ist der perfekte Zeitpunkt, um damit zu beginnen. Sie können sich und Ihrem Team die folgenden Fragen stellen, um sich dabei orientieren zu können. 

• Haben Sie genügend Transparenz? Verfügen Sie über einen Prozess zur Bewertung und Priorisierung von Risiken? Die Einrichtung der Erfassung kryptografischer Elemente sowie die Erstellung eines zentralen, umfassenden und aktuellen Bestandsverzeichnisses ist der erste und grundlegendste Schritt, um voranzukommen. 

• Ist tatsächlich alles geschützt, was geschützt werden muss? Identifizieren Sie Workloads und KI-Agenten ohne ordnungsgemäße Identifizierung und stellen Sie die erforderlichen Zertifikate; identifizieren Sie Geräte und Pipelines, die veraltete Kryptografie verwenden, und aktualisieren Sie diese; identifizieren Sie die Vertrauensgrenzen, die eine Code-Signierung Signierung.  

• Verfügen Sie über eine zentralisierte und ausreichende Kontrolle über Ihre kryptografische Infrastruktur? Ist der Lebenszyklus von Schlüsseln und Zertifikaten ordnungsgemäß automatisiert? Kryptografie ist allgegenwärtig, und eine manuelle, dezentrale Verwaltung ist nicht skalierbar. Was ist skalierbar? Automatisierte, zentralisierte Kontrolle. 

So schafft man Agilität. 

Deine Pläne für das Wochenende 

Mach es dir bequem, ML-KEM ist in Sicherheit. 

Simons Angriff auf Gitterkryptografie wurde bereits wenige Wochen nach seiner Veröffentlichung als falsch widerlegt. Es ist nicht das erste Mal, dass ein renommierter Forscher einen ernsthaften Versuch unternimmt, die Grundlagen einer weit verbreiteten Kryptografie zu knacken: Im Jahr 2022 schlug Yilei Chen einen Quantenalgorithmus vor, um Gitterkryptografie zu knacken; Claus P. Schnorr versuchte, RSA klassisch zu knacken; Lior Eldar und Peter Schorr schlugen 2016 ebenfalls eine andere Quantenmethode zum Knacken von Gitterkryptografie vor. Bei allen wurde innerhalb weniger Wochen von der breiteren Fachgemeinschaft ein Fehler entdeckt. Das System funktioniert. Aber in diesem Fall beschreibt „das System funktioniert“ die Entdeckungsseite der Kryptoanalyse – das können Sie den Kryptographen überlassen –, es beschreibt nicht die Behebungsseite, und die Behebungsseite ist der Teil, für den Sie verantwortlich sind. 

Sobald die kryptografische Agilität eingerichtet ist, können Sie sich das Wochenende frei nehmen.