Quantenrisiken: IT auf neue Kryptografie vorbereiten

Quantenrisiken für die Sicherheit im Unternehmen

Das Risiko betrifft unter anderem Public-Key-Kryptografie für Schlüsselaustausch und Signaturen, etwa RSA und elliptische Kurven. Ein ausreichend leistungsfähiger Quantencomputer könnte diese Verfahren brechen. Post-Quanten-Kryptografie (PQC) verwendet Algorithmen, die solchen Angriffen widerstehen sollen. Unternehmen sollten Abhängigkeiten erfassen und die Migration planen.

• Ermitteln Sie zuerst, wo das Unternehmen Verschlüsselung, Signaturen, Zertifikate, Schlüssel und Langzeitarchive nutzt.
• Harvest now oder store now, decrypt later betrifft heute abgefangene Daten, die künftig entschlüsselt werden könnten.
• Der Post-Quantum-Plan sollte Anbieter, Geräte, Anwendungen, VPN, PKI, Backup und Datenaufbewahrung umfassen.
• Virtline übersetzt das Quantenthema in IT-Entscheidungen, Prioritäten und einen praktischen Sicherheitsrisikoplan.

Wie groß ist das Quan­ten­ri­si­ko für das Unternehmen?

Die größte Bedrohung ist das Szenario „Harvest now oder store now, decrypt later“: Heute abgefangene Daten könnten in Zukunft entschlüsselt werden, wenn sie durch einen Algorithmus geschützt würden, der für Quantencomputer anfällig ist. Am stärksten gefährdet sind langfristig vertrauliche Daten, Verträge, technische Dokumentationen, personenbezogene Daten, Geschäftsgeheimnisse und die Kommunikation mit Partnern.

Was das IT-Team inventarisieren sollte

Die Post-Quanten-Bereitschaft beginnt mit dem Wissen, wo Kryptographie eingesetzt wird. Ohne diese Karte ist es unmöglich, die Auswirkungen sich ändernder Algorithmen auf Anwendungen, Geräte, Anbieter und Integrationen einzuschätzen.

• TLS-Zertifikate, VPN, E-Mail, Dateifreigabesysteme und Tunnel zwischen Standorten.
• Schlüssel zum Verschlüsseln von Daten in Datenbanken, Backups, Archiven und Dokumenten-Repositorys.
• Eigene Anwendungen, API-Integrationen, digitale Signaturen, Netzwerkgeräte und Legacy-Systeme.
• Cloud-Anbieter, Microsoft 365, ERP/CRM-Systeme, SaaS-Dienste und Sicherheitslösungen.
• Daten, die 5, 10 oder mehr Jahre lang vertraulich bleiben müssen.

Beispiel für einen gestuften Maßnahmenplan

Die folgenden 30/60/90 Tage sind ein Planungsbeispiel, keine allgemeine Migrationsfrist. Termine richten sich nach Vertraulichkeitsdauer, Risiko und Produktverfügbarkeit. Kryptografienutzung und langfristig zu schützende Daten erfassen, anschließend Tests und Änderungen mit Anbietern abstimmen.

• 30 Tage: Identifizieren Sie Systeme, die Verschlüsselung verwenden, und wählen Sie Daten mit der längsten erforderlichen Vertraulichkeitsdauer aus.
• 60 Tage: Lieferanten, Zertifikate, VPN, Backup, Archive und eigene Anwendungen hinsichtlich kryptografischer Abhängigkeiten bewerten.
• 90 Tage: Erstellen Sie einen Migrationsplan, Kaufanforderungen, eine Richtlinie zum Schlüsselmanagement und Kompatibilitätstests für Ihre wichtigsten Systeme.
• Als Nächstes: Verankern Sie die Post-Quantum-Bereitschaft im regelmäßigen Risikomanagement und in den Überprüfungen der Sicherheitsarchitektur.

Fragen an Lieferanten und IT-Projekte

Unternehmen sollten nicht warten, bis das Thema bei einem Audit oder einer Kundenanforderung zur Sprache kommt. Es lohnt sich, jetzt Post-Quantum-Kriterien in Gespräche über Kauf, App-Modernisierung und Erneuerung von Sicherheitsdiensten aufzunehmen.

• Verfügt die Lösung über einen veröffentlichten Migrationspfad zu Post-Quanten-Algorithmen?
• Ist es möglich, Zertifikate, Schlüssel und Algorithmen ohne Ausfallzeiten kritischer Dienste zu rotieren?
• Wo werden die Schlüssel gespeichert und wer hat administrativen Zugriff darauf?
• Sind Backups und Archive so verschlüsselt, dass sie nach einer Änderung der Algorithmen wiederhergestellt werden können?
• Enthalten Anbieterverträge Sicherheitsupdates und die Einhaltung zukünftiger Anforderungen?

Was man nicht tun sollte

Vermeiden Sie Käufe ohne Inventar und Migrationsplan. Prioritäten hängen von Vertraulichkeitsdauer, Algorithmen und Aktualisierbarkeit der Systeme und Anbieter ab. Stützen Sie den Plan nicht auf eine einzelne Prognose zum Zeitpunkt eines Computers, der heutige Kryptografie brechen kann.

Wie Virtline die Vorbereitung auf Post-Quanten-Kryptografie unterstützt

Virtline kann in einem Workshop die eingesetzte Kryptografie und ihre Abhängigkeiten erfassen, Daten mit langem Schutzbedarf identifizieren und Fragen an Anbieter vorbereiten. Der Migrationsplan wird mit Cybersicherheit, ISO 27001, Backup und Risikomanagement abgestimmt.

Verwandte Artikel

Quantenbedrohungen sollten gemeinsam mit Datenklassifizierung, Informationssicherheit, Backup und Risikomanagement betrachtet werden. So wird das Thema in den normalen IT-Entscheidungszyklus aus Inventarisierung, Beschaffungsanforderungen, Lieferantenfragen und Änderungsplanung aufgenommen, statt ein futuristisches Kuriosum zu bleiben.

Unternehmen auf die Post-Quantum-Ära vorbereiten

Möchten Sie wissen, welche Systeme und Daten einem Quantenrisiko ausgesetzt sind? Rufen Sie Virtline unter +48 12 200 27 10 an. Wir erstellen Kryptografiekarte, Prioritäten und einen Plan für Lieferantengespräche.

• Beginnen Sie gemeinsam mit Systemverantwortlichen mit einem Inventar von Kryptografie, Daten und Abhängigkeiten.
• Die Prüfung von Zertifikaten, Schlüsseln und Anwendungsabhängigkeiten zeigt, welche Änderungen mit Anbietern abzustimmen sind.
• Besprechen Sie den Erstberatungsumfang und die für eine Post-Quanten-Risikobewertung benötigten Angaben.

Kontakt

Wir prüfen Kryptografieeinsatz, langlebige Daten, Lieferanten, Zertifikate und den realistischen Fahrplan zur Post-Quanten-Bereitschaft.