Lange Zeit galt die Umstellung der kryptografischen Systeme auf neue Verschlüsselungsalgorithmen in den IT-Abteilungen von Unternehmen als eine eher ungewöhnliche Beschäftigung – spielte in den fachinternen Diskussionen allenfalls am Rande eine Rolle. Dann tauchten die ersten Quantencomputer auf. Der rasch voranschreitende Ausbau ihrer Rechenkapazität brach einer intensiven Diskussion über die Gefährdungslage populärer Algorithmen und die Notwendigkeit einer möglichst raschen Umstellung der Kryptografie auf Postquantenresistenz Bahn. War doch frühzeitig klar: Setzen Cyberkriminelle nun auf die Strategie ‚Harvest now, decrypt later‘, erbeuten sie also jetzt Daten, die sie dann später, ausgestattet mit entsprechend leistungsstarken Quantencomputern, entschlüsseln können, ist es zwingend erforderlich, schon heute, so früh wie nur irgend möglich, mit der Umstellung auf postquantenresistente Algorithmen zu beginnen.
Ein guter Gedanke, der jedoch zu kurz greift. Die Umstellung auf Post-Quanten-Kryptografie (PQC) ist gut und richtig – keine Frage. Doch ist sie letztlich nur eine Herausforderung unter vielen eines umfassenderen, eines fortlaufenden, weit größeren Problems. Denn: auch nach dem Beginn des Quantenzeitalters, auch nachdem Cyberkriminellen die ersten Quantencomputer zur Verfügung stehen, werden neue, bessere Technologien entwickelt werden. Die Rechenleistung wird weiter zunehmen. Im Zuge dessen werden in den bestehenden Algorithmen neue Schwachstellen zu Tage treten. Und die Angriffsmethoden der Cyberkriminellen werden sich anpassen, werden sich weiter verbessern. Unternehmen sollten den derzeitigen Aufruf zur PQC-Umstellung deshalb als das begreifen, was er eigentlich ist: als einen Weckruf, endlich die eigene Kryptoagilität in Augenschein zu nehmen – und umfassend zu verbessern.
Das eigentliche Problem: fragmentierte Kryptografie-Architektur
Es reicht eben nicht aus, immer nur soweit zu planen, dass man gerade so eben den aktuellen Compliance-Vorgaben Genüge tut – sich immer nur auf das hier und jetzt, in diesem Fall also die PQC-Anforderungen, fokussiert. Jeder Algorithmus – auch die erst unlängst vom NIST freigegebenen PQC-Algorithmen – wird über kurz oder lang veralten, als unsicher eingestuft werden. Irgendwann werden auch sie gegen neue, sicherere Algorithmen ausgetauscht werden müssen. Und dann auch diese wieder. Die Lebenszyklen der kryptografischen Algorithmen, sie werden nicht länger, sie werden kürzer werden.
Jede dieser Umstellungen wird – wieder und wieder – das Erfassen und Katalogisieren sämtlicher kryptografischer Assets, die Koordination der Updates und die Überarbeitung sämtlicher Systeme erforderlich machen. Als größtes Hindernis wird sich bei den meisten Unternehmen dann wieder und wieder die eigene Kryptographie-Architektur entpuppen. In vielen Umgebungen ist die Kryptografie heutzutage stark fragmentiert und dadurch nur schwer zu verwalten. Die IT-Teams haben mit Problemen zu kämpfen, wie:
begrenzte Transparenz darüber, wo Schlüssel, Zertifikate und Algorithmen verwendet und aufbewahrt werden,
kryptografische Entscheidungen, die fest codiert in Anwendungen und Endgeräten eingebettet sind,
Abhängigkeiten, die erst dann sichtbar werden, wenn die kryptografische Architektur fehlerhaft umgestellt worden ist und
manuelle Prozesse, die sich auf verteilten Systemen nicht skalieren lassen.
Um hier effektiv gegenzusteuern müssen Unternehmen die Agilität ihrer Kryptographie-Architektur erhöhen. Sie müssen ihr System so aufzustellen, dass es etwaige Änderungen der Algorithmen – aber auch die Erstellung und den Widerruf von Zertifikaten – schnell und problemlos umsetzen kann – über die gesamte Landschaft hinweg. Hierzu müssen die Algorithmen, anstatt sie, wie bisher, weit verteilt an die einzelnen Anwendungen zu binden, von diesen getrennt und zentral verwaltet werden. Die Folge eines solchen Schritts:
die kryptografischen Richtlinien können zentral definiert und umgesetzt werden,
unterschiedliche Algorithmen und Anbieter können unterstützt werden,
kryptografische Komponenten können unabhängig von der Geschäftslogik aktualisiert werden und
in verteilten Umgebungen können kontrollierte, koordinierte Änderungen erfolgen.
Zentrale Steuerung, maximale Anpassungsfähigkeit
Wenn ein Mehr an Flexibilität in die kryptografische Architektur integriert ist, werden auch große Änderungen, wie die Umstellung der Algorithmen, beherrschbar. IT-Teams erhalten die Möglichkeit:
zu erkennen und zu erfassen, wo in der gesamten Umgebung welche Kryptografie zum Einsatz kommt,
zentral zu steuern, wie Algorithmen und Richtlinien angewandt werden,
sich schnell und unkompliziert an neue Standards anzupassen und
auf Schwachstellen zu reagieren, ohne dass es zu großflächigen Störungen kommt.
Eine kryptoagile Umgebung verschafft IT-Teams die erforderliche Flexibilität, selbst große Änderungen ihrer kryptografischen Architektur – wie die Umstellung auf PQC-Algorithmen – effektiv und effizient anzugehen. Doch auch darüber hinaus liefert sie ihnen das erforderliche Rüstzeug, für die Zukunft der Verschlüsselung – wie auch immer diese aussehen mag – bestens gewappnet zu sein.
