Big-Tech-Unternehmen wie Google, Cloudflare und Microsoft gehen zu Post-Quantum-Kryptografie (PQC) über. Denn die heute weitverbreiteten Sicherheitsprotokolle sind nicht quantensicher und könnten von einem Quantencomputer geknackt werden.

Diese Bedrohung ist schon heute real: Angreifer können hier und jetzt verschlüsselte Daten abfangen und entschlüsseln, sobald Quantenrechner verfügbar sind («harvest now, decrypt later»). Hier kommt PQC ins Spiel: eine neue Generation kryptografischer Standards, die sowohl Angriffen durch klassische als auch durch Quantencomputer standhalten.

Der Übergang zu PQC ist jedoch mehr als eine technologische Migration. Er erfordert einen strategischen Wandel, der Technologie, Governance, IT-Strategie und interne Zusammenarbeit einschliesst.

Beginnen wir mit dem offensichtlichen Nutzen des Umstiegs: PQC soll vor der Quantenbedrohung schützen. Zudem kommen Unternehmen damit Aufsichtsbehörden wie der FINMA zuvor, die PQC bereits in ihre Mitteilungen aufnehmen.

Wovon jedoch kaum jemand spricht: Die Migration auf PQC zahlt sich bereits in der Übergangsphase aus.

Für den Umstieg gilt: Fangen Sie klein an und migrieren Sie zuerst die Systeme und Plattformen mit den kritischsten Daten. Können Sie mit Sicherheit bestimmen, welche Daten für die nächsten zehn bis 20 Jahre vertraulich bleiben müssen? Erstellen Sie aufgrund Ihrer Analyse ein kryptografisches Inventar – eine «Cryptography Bill of Materials» (CBOM) –, um zu verstehen, wie diese Assets geschützt werden. Dies ist quasi ein Röntgenbild Ihres Bestands. Es bringt Verborgenes ans Licht.

Die wenigsten Unternehmen haben je eine CBOM erstellt. Diese fördert alles zutage: abgelaufene Zertifikate, hartcodierte Schlüssel, veraltete oder unsichere Algorithmen, die weiterhin in der Produktion laufen, oder nie erfasste Abhängigkeiten von Dritten. Eine CBOM stärkt die Sicherheit. Sie hat zwar nichts mit dem Quanten-Problem zu tun, macht jedoch Schatten-IT und unbekannte Datenflüsse sichtbar.

Die Migration macht auch deutlich, dass Sie eine solide Sicherheitsgrundlage benötigen: eine aussagekräftige Datenklassifizierung und -kennzeichnung sowie ein Asset Management, das erfasst, welche Systeme Sie wo betreiben. Diese Grundlagen sind oft nur lückenhaft vorhanden, ebenso die Risikobewertung. Sie benötigen eine Gesamtsicht Ihrer Risiken, einschliesslich der Anfälligkeit gegenüber der Bedrohung selbst, Reputationsschäden, Compliance-Anforderungen sowie der Interoperabilität mit Partnern und Systemen, die ausserhalb Ihrer Kontrolle liegen.

Priorisieren Sie die Risiken und erstellen Sie einen Migrationsplan, der in Ihren geschäftlichen Kontext eingebettet ist. Da sich PQC nicht auf einer veralteten Infrastruktur aufsetzen lässt, zieht die Migration den Rest Ihres Stacks mit sich. Beispiel TLS, die den Grossteil des Internetverkehrs schützt: Wer sich für quantensichere Kommunikation entscheidet, muss seine Infrastruktur auf TLS 1.3. upgraden.

Ein Vorteil zahlt sich insbesondere nach der Migration aus: Kryptoagilität. Sie hilft, die Voraussetzungen zu schaffen, um Protokolle, Algorithmen und Schlüssellängen viel schneller als bisher anzupassen, wenn sich Standards und Technologien weiterentwickeln.

Wie schon George Santayana sagte: «Wer die Vergangenheit nicht kennt, ist dazu verurteilt, sie zu wiederholen.» Die Ablösung des einst weit verbreiteten Hashverfahrens MD5 liefert dafür ein anschauliches Beispiel. Die Umstellung dauerte vielerorts Jahre. Zu tief war MD5 in Anwendungen und Infrastrukturen eingebettet, zu unklar, wo es überall noch im Einsatz war.

Klingt entmutigend? Keine Sorge, der Umstieg auf PQC erfolgt nicht auf einen Schlag. Fangen Sie klein an, gehen Sie überlegt vor und verteilen Sie die Arbeit auf mehrere Jahre.

So ebnen Sie auch den Weg für andere strategische Projekte. Werden Daten ordnungsgemäss klassifiziert, gekennzeichnet und verwaltet, erleichtert dies den sicheren Einsatz von KI. Die höhere Reife, die der Umstieg auf PQC bringt, kann die Cloud-Modernisierung, Zero-Trust-Initiativen, das Management von Drittparteien-Risiken und die allgemeine Resilienz fördern.

PQC macht Ihre Produkte und Dienstleistungen quantensicher. Diese Resilienz erhöht nicht nur Ihre Sicherheit, sie kann ein Differenzierungsfaktor sein.

Als Signal, Cloudflare, Apple und Google Post-Quantum-Protokolle einführten, haben sie dies nicht in einem Compliance-Bericht versteckt, sondern stolz verkündet. «Quantum-ready» signalisiert Kunden, Revisoren und Partnern, dass Sie für das nächste Jahrzehnt planen. Das Zeitfenster bleibt indes nicht ewig offen: Profitieren werde jene, die handeln, solange «quantum-ready» noch etwas Besonderes ist.

Wenn diese Besonderheit zugleich die Governance, die Sichtbarkeit der Assets und die Kryptoagilität Ihres Unternehmens stärkt, ist der Umstieg auf PQC dann immer noch ein Kostenfaktor? Oder eher eine Investition?