Wann der Quantencomputer kommerziell zur Verfügung stehen wird, weiß niemand. Unternehmen müssen aber schon heute Vorkehrungen treffen, sonst gefährden sie den Schutz ihrer Daten, warnt die Security Division von NTT.

Es erscheint widersprüchlich: Der Quantencomputer ist unermesslich schnell, steckt aber noch in den Kinderschuhen, lässt sich nur höchst mühsam im Labor betreiben und steht kommerziell vielleicht erst in zehn oder zwanzig Jahren zur Verfügung. Seine Auswirkungen sind dann aber bahnbrechend. Allerdings lässt der Quantencomputer sich künftig nicht nur hervorragend für Simulationen und andere Berechnungen nutzen, sondern auch für Cyberangriffe. Unternehmen müssen schon heute damit beginnen, ihre Daten dagegen zu schützen. Tatsächlich haben viele, zumal kritische Daten, eine Lebensdauer, die sich oft über Jahrzehnte erstreckt: Transaktionsdaten von Banken zum Beispiel, Kundendaten von Versicherungen oder Entwicklungsdaten von Automobilherstellern. Viele Daten, die Unternehmen heute speichern, werden also vermutlich noch dann schützenswert sein, wenn Quantencomputer schon längst verbreitet sind. „Ihre Verschlüsselung ist dann aber wohl obsolet“, erklärt Frank Balow, Kryptografie-Spezialist und Director Consulting Identity and Key Management, CISSP bei der Security Division von NTT.

Alles wertlos?

Grund ist ein spezieller Algorithmus, der sogenannte Shor-Algorithmus, der in der Lage ist, auch die komplexesten asymmetrischen Kryptosysteme, heute in der Praxis unbezwingbar, mit Hilfe des Quantencomputers exorbitant schnell, also innerhalb weniger Minuten, zu knacken. Damit wären die Verschlüsselungsmaßnahmen von E-Commerce-Plattformen, Cloud-Angeboten, Electronic Banking, digitalen Signaturen, IoT-Systemen und allem, was sicher über das Internet übertragen oder in Unternehmen gespeichert werden soll, von heute auf morgen praktisch wertlos. Darauf müssen sich IT-Abteilungen vorbereiten und den Quantencomputer schon heute in ihre Strategie einbinden. Die wichtigste Frage: Wie können sie den Lifecycle von Daten, die aktuell erzeugt werden, auch noch in einigen Jahrzehnten vollständig absichern? Balow empfiehlt folgende Vorgehensweise:

1. Bewusstsein entwickeln. Unternehmen müssen begreifen, dass der Quantencomputer über kurz oder lang kommen wird, auch wenn er noch in den Kinderschuhen steckt.

2. Projektteams zusammenstellen. Dedizierte Projektteams können sicherstellen, dass das Bewusstsein über die Auswirkungen des Quantencomputers im Laufe der Zeit nicht einfach abnimmt und am Ende versandet. Sie sorgen dafür, dass das Thema Bestandteil der IT-Strategie bleibt und entwerfen eine entsprechende Roadmap.

3. Auswirkung prüfen. Unternehmen sollten versuchen, die möglichen Auswirkungen auf die gesamte Infrastruktur, aber auch auf einzelne Passwörter, Applikationen, Systeme und Daten zu antizipieren. Asymmetrische Public-Key-Verschlüsselungsverfahren, die auf der Primfaktorzerlegung beruhen, sind besonders gefährdet, symmetrische Verschlüsselungsverfahren wie AES weniger, allerdings nur bei großer Schlüssellänge.

4. Data Lifecycle begutachten. Natürlich sind nicht alle erzeugten Daten unternehmenskritisch, noch unbedingt zukunftsrelevant, deshalb muss eine Datenklassifizierung erfolgen.

5. HSM einsetzen. Eine wichtige Maßnahme ist der Einsatz von Hardware-Sicherheitsmodulen (HSM). Damit können beliebige Schlüssel sicher gespeichert, verwaltet und transportiert werden. HSM sind mittlerweile auch in der Cloud als HSM-as-a-Service verfügbar und erste Anbieter haben die Verfügbarkeit von quantensicheren Modulen in Aussicht gestellt.

6. Die kritischen Vorbereitungen treffen. Es steht eine Übergangszeit zwischen der Pre- und Post-Quanten-Ära an, in der Unternehmen ihre IT-Sicherheitsinfrastruktur so weit es geht vorbereiten müssen, um die künftigen Technologien implementieren zu können

7. DSGVO-Konformität im Auge behalten. In Artikel 32 fordert die DSGVO eine Datensicherung nach dem „Stand der Technik“.

weitere aktuelle Meldungen