Willkommen zur dritten Folge von „A Walk in the Park“, einer neuen Kurzvideoreihe, die sich mit den Faktoren befasst, die die Zukunft des digitalen Vertrauens neu gestalten. In den nächsten fünf Wochen verlegen wir unsere Gespräche aus dem Konferenzraum ins Freie, während unsere Experten einige der größten Herausforderungen beleuchten, denen sich Sicherheitsverantwortliche heute gegenübersehen. Sehen Sie sich hier die erste,zweite, dritte und vierte Folge an.
Einer der größten Datendiebstähle der Geschichte findet gerade statt. Der Haken daran ist nur, dass die Diebe das, was sie stehlen, noch nicht lesen können. Sie schnappen sich die verschlüsselten Daten trotzdem, lagern sie ein und warten darauf, dass die Technologie aufholt.
Das heißt: erst ernten, dann entschlüsseln. Und falls Sie das unter „Problem 2035“ abheften, möchte ich Sie gerne vom Gegenteil überzeugen.
▶️ Seht euch die Folge an: Ryan Sanders und ich beschäftigen uns in der letzten Folge von „A Walk in the Park“ mit diesem Thema. Hier ist die Kurzfassung. Im Folgenden gehe ich näher auf die Bedrohung ein und ihren stillen Pendant „Trust Now, Forge Later“.
Erst ernten, dann entschlüsseln – ganz einfach ausgedrückt
Fangen wir mit dem Risiko an.
Wir wissen, dass ein Quantencomputer unweigerlich in der Lage sein wird, RSA und ECC zu knacken. Das sind die Algorithmen, die derzeit so gut wie alles schützen, was über das Internet übertragen wird. Sobald diese Fähigkeit verfügbar ist, kann jeder, der darüber verfügt, die mit diesen Algorithmen verschlüsselten Daten lesen.
Angreifer wissen das und warten nicht ab. Sie entwenden bereits heute verschlüsselte Daten aus dem Internet und aus Ihren Netzwerken, speichern sie und warten auf den Moment, in dem sie all diese Daten entschlüsseln können.
Das ist keine Panikmache. Das NIST und Regierungsbehörden weltweit haben dies offiziell als ernsthafte Bedrohung eingestuft. Das ist ein wichtiger Grund dafür, dass die USA im Juni 2026 eine Durchführungsverordnung unterzeichnet haben, um die Bundesbehörden zu einer schnelleren Umstellung auf Post-Quanten-Kryptografie zu bewegen.
Die Logik ist eindeutig: Wenn Ihre Daten in fünf oder zehn Jahren noch einen Wert haben, sind sie schon heute gefährdet. Sobald sie Ihr Netzwerk verlassen und dabei mit einer Verschlüsselungsmethode verschlüsselt sind, von der wir wissen, dass sie durch Quantencomputer geknackt werden kann, sind sie ungeschützt. Gesundheitsdaten, Finanzdaten, geistiges Eigentum – alles, was langfristig von Bedeutung ist.
Sein ruhigerer Verwandter: Erst vertrauen, dann schmieden
Es gibt eine zweite Bedrohung, die derzeit Aufmerksamkeit erregt, und es lohnt sich, sie zu verstehen, denn sie ist von ganz anderer Art. Erst vertrauen, dann fälschen.
Bei „Harvest now, decrypt later“ geht es darum, Daten offenzulegen. Dinge ans Licht zu bringen, die eigentlich geheim bleiben sollten.
Bei „Erst vertrauen, dann handeln“ geht es um Identitätsbetrug.
Es handelt sich um einen Angriff, durch den jemand eine kryptografisch abgeleitete Identität nachbilden könnte. Denken Sie beispielsweise an das Zertifikat auf einem Webserver oder an eine Vertrauensbasis. Damit könnte ein Angreifer sich als vertrauenswürdiger Bestandteil Ihrer Umgebung ausgeben und in Ihrem Netzwerk Aktionen durchführen.
„Jetzt vertrauen, später schmieden“ ist im Moment die weniger dringende der beiden Optionen. Damit dies tatsächlich möglich ist, muss es einen kryptografisch relevanten Quantencomputer geben. Bei „Jetzt ernten, später entschlüsseln“ ist das nicht der Fall. Das Ernten findet bereits heute statt. Nur die Entschlüsselung lässt noch auf sich warten.
Beides sollte also nicht außer Acht gelassen werden. Doch die unmittelbare Priorität ist klar: Schutz vor der bereits stattfindenden Abholzung.
„Aber den Quantencomputer gibt es doch noch gar nicht.“
Das ist der Einwand, den ich am häufigsten höre. Und er ist berechtigt. Einen Quantencomputer, der die heutigen Verschlüsselungsverfahren knacken kann, gibt es noch nicht wirklich. Zumindest nicht, soweit wir wissen.
Lassen Sie mich also darlegen, warum dies heute ein Problem darstellt. Es beruht auf zwei Tatsachen, und keine davon stützt sich auf Hoffnung.
Erstens kennen wir den Zeitrahmen nicht. Die Experten geben Zeitfenster an, und diese werden immer kürzer, nicht länger. Google hat kürzlich seine eigene Frist für die Post-Quanten-Sicherheit auf das Jahr 2029 vorverlegt und dies mit schneller als erwarteten Fortschritten begründet. Wenn die Entwickler dieser Maschinen ihren Termin vorverlegen, kann man davon ausgehen, dass die Bedrohung früher eintritt.
Zweitens – und das ist der Punkt, der Ihre Planung eigentlich bestimmen sollte: Die Zeit, die für die Umstellung all Ihrer relevanten Daten und Systeme auf quantensichere Kryptografie benötigt wird, lässt sich in Jahren messen, nicht in Wochen oder Monaten. Selbst wenn der Quantencomputer erst in einem Jahrzehnt zur Verfügung stünde, bedeutet eine Umstellung, die fast ein ganzes Jahrzehnt in Anspruch nimmt, dass Sie bereits im Rückstand sind.
Die Zahlen lassen keinen Spielraum, um auf Gewissheit zu warten.
Wo soll man anfangen?
Für den CISO, der beim Begriff „Post-Quantum“ das Gefühl hat, unterzugehen, besteht der erste Schritt nicht darin, Algorithmen zu entfernen.
Es geht darum, zu wissen, was man hat und was dadurch geschützt wird. Man kann einer Migration keine Priorität einräumen, ohne zu verstehen, wo sich die sensibelsten und am längsten gespeicherten Daten befinden. Denn genau diese Daten wird ein Angreifer wahrscheinlich als Erstes abgreifen.
Der Diebstahl ist bereits im Gange. Die Daten, die heute Ihr Netzwerk verlassen, werden später entschlüsselt. Beginnen Sie also schon jetzt mit den Vorbereitungen. Das Einzige, was Sie nicht tun können, ist, zurückzugehen und das, was bereits gestohlen wurde, erneut zu schützen.
Damit ist diese Serie abgeschlossen. Vier Kräfte, ein Wandel und viel Arbeit, die vor uns liegt. All das führt letztendlich zum selben Ziel: Ihrer Vertrauensinfrastrukturund wie Sie diese von nun an verwalten möchten. Vielen Dank, dass Sie uns begleitet haben.
