PQC Readiness: Vorbereitung auf die Migration

Post-Quanten-Kryptographie wird häufig mit dem Zeitpunkt verbunden, an dem leistungsfähige Quantencomputer heutige asymmetrische kryptographische Verfahren gefährden könnten. Für Organisationen beginnt die Vorbereitung jedoch deutlich früher. Entscheidend ist zunächst, Wissen aufzubauen, kryptographische Abhängigkeiten in kritischen Prozessen zu kennen und die eigene Infrastruktur auf künftige Veränderungen vorzubereiten. Crypto Agility und ein belastbares Krypto-Inventar schaffen dafür eine wichtige Grundlage.

Handlungsbedarf vor Q-Day

Wann Quantencomputer leistungsfähig genug sein werden, um heute eingesetzte asymmetrische kryptographische Verfahren praktisch zu gefährden, lässt sich nicht auf ein konkretes Datum festlegen. In der Diskussion um Post-Quanten-Kryptographie wird dieser Zeitpunkt häufig als Q-Day bezeichnet.
Dass der Zeitpunkt von Q-Day noch nicht feststeht, bedeutet jedoch nicht, dass Organisationen mit der Vorbereitung warten sollten. Ein Grund dafür ist das Szenario „Harvest now, decrypt later“: Angreifer können verschlüsselte Informationen bereits heute sammeln und speichern, um sie später zu entschlüsseln, sobald entsprechende technische Möglichkeiten verfügbar sind. Relevant ist das vor allem für Informationen, die über einen langen Zeitraum vertraulich bleiben müssen.
Gleichzeitig braucht eine kryptographische Migration Zeit. Zunächst muss klar sein, welche Prozesse, Systeme und Anwendungen betroffen sind, wer Verantwortung trägt und welche technischen Abhängigkeiten bestehen. Der eigentliche Wechsel auf neue Verfahren steht deshalb nicht am Anfang der PQC-Vorbereitung.

Kryptographische Transparenz als Ausgangspunkt

Bevor eine Migrationsstrategie entstehen kann, braucht es Transparenz über die bestehende Kryptographie.
Ein sinnvoller Ausgangspunkt sind die Prozesse und Informationen, die für die Organisation besonders relevant sind. Danach lässt sich prüfen, an welchen Stellen Kryptographie eingesetzt wird und welche Verfahren dort zum Einsatz kommen.
Dazu gehört beispielsweise die Frage, wo digitale Zertifikate verwendet werden, welche Algorithmen eingesetzt sind und welche Anwendungen, Systeme oder Geräte davon abhängen. Ebenso relevant ist die organisatorische Perspektive: Wer trägt die Verantwortung für die jeweiligen kryptographischen Komponenten und Prozesse?
Aus dieser Bestandsaufnahme entsteht ein Krypto-Inventar. Es ermöglicht, Auswirkungen künftiger Veränderungen systematisch zu bewerten und Prioritäten für eine spätere Umstellung festzulegen. Ohne diesen Überblick bleibt schwer einschätzbar, welche Teile der Infrastruktur betroffen wären und welcher Aufwand damit verbunden ist.

Crypto Agility als Infrastrukturaufgabe

Die Vorbereitung auf PQC hängt eng mit Crypto Agility zusammen. Gemeint ist die Fähigkeit einer Organisation, kryptographische Verfahren kontrolliert anzupassen und auf veränderte Anforderungen zu reagieren.
Im Trust.ID Talk beschreibt Sarah Zügel, Geschäftsführerin der essendi it GmbH, diesen Zusammenhang sehr konkret: Am Anfang steht das Inventar der kryptographischen Assets. Darauf aufbauend können Prozesse stärker automatisiert und dadurch flexibler gestaltet werden.
Diese Veränderungsfähigkeit ist nicht allein für Post-Quanten-Kryptographie relevant. Sie unterstützt Organisationen auch bei anderen Veränderungen innerhalb der Kryptographie, beispielsweise beim Wechsel einer Certificate Authority oder bei der Einführung neuer Algorithmen.
PQC verstärkt damit eine Entwicklung, die bereits heute relevant ist: Kryptographische Infrastruktur muss sich verändern lassen, ohne dass jede Anpassung zu einem umfangreichen manuellen Projekt wird. Automatisierung und Transparenz gehören deshalb zu den Voraussetzungen für eine strukturierte Umsetzung kryptographischer Veränderungen.

PQC-Migration als Infrastrukturveränderung

In vielen Diskussionen über Post-Quanten-Kryptographie stehen neue Algorithmen im Mittelpunkt. Der Übergang zu PQC reicht jedoch weiter.
Julian Weeber, Head of Professional Services essendi crypto solutions, beschreibt im Trust.ID Talk, welche Veränderungen sich aus Sicht eines Anbieters kryptographischer Infrastruktur ergeben können. Neben neuen Algorithmen können unter anderem Datenbanken, Prozesse, APIs und Benutzeroberflächen betroffen sein. Hinzu kommen die Systeme und Geräte, die Zertifikate und andere kryptographische Mechanismen verwenden.
Damit entsteht eine Kette von Abhängigkeiten. Certificate Authorities müssen neue Verfahren unterstützen. Plattformen für Zertifikatsmanagement müssen mit veränderten Algorithmen, Erweiterungen und Prozessen umgehen können. Anwendungen, Geräte und Schnittstellen müssen die neuen Verfahren ebenfalls verarbeiten können.
PQC ist deshalb keine isolierte Aktualisierung einzelner kryptographischer Komponenten. Die Migration kann unterschiedliche Ebenen einer digitalen Vertrauensinfrastruktur betreffen. Je früher diese Abhängigkeiten bekannt sind, desto besser lassen sich Auswirkungen bewerten und Migrationspfade vorbereiten.

Drei Schritte zur PQC Readiness

Am Ende des Trust.ID Talk fassen Sarah Zügel und Julian Weeber die Vorbereitung auf Post-Quanten-Kryptographie in drei grundlegende Schritte.

Wissen aufbauen

Der erste Schritt ist der Aufbau von Know-how. Organisationen sollten verstehen, welche technologischen Veränderungen mit Post-Quanten-Kryptographie verbunden sind und welche Auswirkungen diese auf die eigene Infrastruktur haben können.
Das bedeutet nicht, jede technische Entwicklung sofort umzusetzen. Entscheidend ist zunächst, PQC innerhalb der Organisation zu verankern und die notwendigen Kompetenzen aufzubauen.
Kritische Prozesse und kryptographische Abhängigkeiten erfassen
Im zweiten Schritt geht es darum, die eigenen Prozesse zu betrachten. Welche Informationen und Abläufe sind besonders relevant? Wo kommt dabei Kryptographie zum Einsatz? Welche Zertifikate, Algorithmen, Systeme und Geräte sind davon abhängig?
Diese Bestandsaufnahme unterstützt den Aufbau eines belastbaren Krypto-Inventars und hilft dabei, Verantwortlichkeiten und Prioritäten festzulegen.

Voraussetzungen für die Migration schaffen

Auf dieser Basis lässt sich die eigentliche Migration vorbereiten. Prozesse können automatisiert, technische Abhängigkeiten berücksichtigt und Systeme so weiterentwickelt werden, dass neue kryptographische Verfahren kontrolliert eingeführt werden können. Die Umstellung erfolgt damit nicht als einzelner Schritt an einem bestimmten Tag, sondern als vorbereiteter Transformationsprozess.

PQC-Vorbereitung

Auch essendi it betrachtet Post-Quanten-Kryptographie aus mehreren Perspektiven. Als Nutzer kryptographischer Infrastruktur beschäftigen wir uns mit denselben grundlegenden Fragen wie andere Organisationen. Gleichzeitig entwickeln wir Lösungen für Zertifikatsmanagement und kryptographische Infrastruktur und berücksichtigen daher, wie sich neue Verfahren auf Produkte, Schnittstellen und Prozesse auswirken.
Mit essendi cd unterstützen wir Organisationen dabei, digitale Zertifikate und kryptographische Assets zu identifizieren und in einem Krypto-Inventar zusammenzuführen. essendi xc ermöglicht darauf aufbauend die zentrale Steuerung und Automatisierung von Zertifikatsprozessen. Beide Aspekte – Transparenz und Automatisierung – sind wichtige Voraussetzungen für Crypto Agility und die Vorbereitung auf kryptographische Veränderungen.
Im Rahmen unserer eigenen PQC-Vorbereitung hat essendi it zudem einen Best-Practice-Ansatz entwickelt, den wir zunächst innerhalb der eigenen Organisation erproben und weiterentwickeln. Er verbindet Awareness und Wissensaufbau mit der praktischen Analyse kryptographischer Abhängigkeiten und einer strukturierten Vorbereitung auf den Übergang zu neuen Verfahren.

Vertiefung im Trust.ID Talk von GlobalSign

Über diese Fragen sprechen Sarah Zügel und Julian Weeber von essendi it gemeinsam mit Steve Hall in der Episode „The Quantum Countdown: Why Your Encryption Has an Expiration Date“ des Trust.ID Talk von GlobalSign.

Das Gespräch behandelt unter anderem „Harvest now, decrypt later“, Crypto Agility, kryptographische Inventare und die Frage, welche Schritte Organisationen bereits heute zur Vorbereitung auf Post-Quanten-Kryptographie einleiten können.
Zur Episode des Trust.ID Talk