Admir Abdurahmanovic: Unser modernes Leben hängt immer mehr von digitalen Infrastrukturen und Netzwerken sowie dem Austausch sensibler Daten ab. Im Finanzwesen, im Gesundheitswesen, in der öffentlichen Verwaltung, der Fertigung und vielen Bereichen der Gesellschaft müssen digitale Informationen auf vielfältige Weise zwischen Menschen und zunehmend autonomen Systemen ausgetauscht werden. Die Folgen von Cyberangriffen, die diesen Datenfluss stören, können nicht nur einzelnen Unternehmen, sondern der Gesellschaft schweren Schaden zufügen – durch den Verlust kritischer Dienste, die Untergrabung des Vertrauens, finanzielle Einbußen und potenzielle Gefahren für die nationale Sicherheit.

Bislang konzentrieren sich größere Sicherheitsvorfälle auf weitverbreitete, aber einzelne Anwendungen, Betriebssysteme oder auf eine Familie von Mikroprozessoren. Security-Probleme, die wie eine "Cyberpandemie" fast alle Bereiche gleichzeitig betreffen, gab es bisher noch nicht. Experten belächeln bislang sogar die Vorstellung eines "Supercodes", der alle Verschlüsselungen und Sicherheitskontrollen auf einmal brechen könnte. Durch Quantencomputer kann sich das jedoch ändern. Denn Quantencomputer lösen bestimmte mathematische Funktionen innerhalb weniger Sekunden, weshalb viele der gängigen Verschlüsselungssysteme in den nächsten fünf bis zehn Jahren gebrochen werden könnten. Dadurch würden eine Vielzahl komplexer Arbeitsabläufe mit einem Schlag unsicher werden – was Unternehmen und staatliche Organisationen gleichermaßen betrifft. Auch Staatsgeheimnisse wären nicht mehr sicher und könnten so in die Hände eines befeindeten Landes fallen, sogar ohne dass die Behörden des Landes dies überhaupt bemerken würden. Die nationale Sicherheit stünde auf dem Spiel. Damit hätten Quantencomputer auch geopolitische Konsequenzen.

In der modernen Kryptographie werden mathematische Methoden auf Daten angewandt, um diese zu schützen. Diese Verfahren und Strukturen ver- oder entschlüsseln zum Beispiel Informationen und steuern ihre Funktionsweise durch den Algorithmus sowie die Verwendung eines "Schlüssels". Dieser ist ein geheimer Wert, der in der Regel nur den an einem Kommunikationsprozess beteiligten Parteien bekannt ist und zur Entschlüsselung der verschlüsselten Daten benötigt wird. Eine weitere Anforderung ist die Herstellung von Vertrauen. Damit ist die Authentizität zwischen den Kommunikationspartnern gemeint. Konkret bedeutet das, dass die an der Verarbeitung und Übertragung von Daten beteiligten Personen, Computer, Sensoren und Maschinen, die Teil des industriellen Internets der Dinge sind, als die rechtmäßig vorgesehenen Parteien identifiziert und autorisiert werden müssen. Hier bilden die Verfahren und Prozesse einer PKI die notwendigen Grundlagen.

In den 1970er-Jahren trat mit dem Data Encryption Standard (DES) die erste weitverbreitete kryptographische Methode in Erscheinung. DES ist ein sogenanntes symmetrisches Verschlüsselungsverfahren, das sowohl für die Verschlüsselung des Klartexts als auch für die Entschlüsselung des Geheimtexts denselben kryptographischen Schlüssel verwendet. Später kamen dann asymmetrische Algorithmen auf. Diese unterscheiden zwischen einem öffentlichen und einem privaten Schlüssel zur Ver- beziehungsweise Entschlüsselung. Anfang der 1990er-Jahre entstanden dann die Verfahren zur Bereitstellung einer Public-Key-Infrastruktur. Diese definiert eine Reihe von Rollen, Richtlinien und Verfahren sowie Hardware- und Softwarekomponenten, die für das Management von digitalen Zertifikaten und die Verwaltung der notwendigen Schlüsselpaare erforderlich sind. Da digitale Zertifikate einen Datensatz darstellen, der die Identität des Besitzers eines asymmetrischen Schlüsselpaares bestätigt, müssen die Erstellung, Verwaltung, Verteilung, Verwendung, Speicherung und der Widerruf der Zertifikate berücksichtigt werden, um ihren gesamten Lebenszyklus abzudecken. Heute bildet PKI die Grundlage für praktisch alle Anwendungen, die einen strengeren Identitätsnachweis erfordern, wie im E-Commerce, beim Internetbanking und bei vertraulichen E-Mails. Zur Vorbereitung auf Quantencomputer benötigen wir deshalb eine PKI, die agil, universal und robust ist.

Heute konzentriert sich die Kryptocommunity vor allem auf drei Schlüsselbereiche: Robustheit, Agilität und Universalität. Vereinfacht ausgedrückt ist die Robustheit in der Kryptographie gleichbedeutend damit, wie effektiv kryptographische Methoden vor den sich weiterentwickelnden Fähigkeiten und Werkzeugen von Cyberangreifern schützen. Krypto-Agilität definiert sich dadurch, wie schnell und einfach kryptographische Anwendungsfälle angepasst werden können. Diese Eigenschaft entscheidet über den Erfolg, auf Bedrohungen zu reagieren und technische Herausforderungen zu überwinden oder neue Möglichkeiten wie effizientere Prozesse umzusetzen. Der letzte Schwerpunkt ist die Universalität kryptographischer Infrastrukturen. Diese Eigenschaft definiert sich durch die Fähigkeit, kryptographische Methoden in einem möglichst breiten Spektrum von Anwendungsfällen zu nutzen, die eine Digitalisierung durchlaufen, die sie potenziell anfällig für Cyberangriffe macht. Diese drei Konzepte – Robustheit, Agilität und Universalität – stellen keinen Zustand dar, sondern sind vielmehr eine Reise. An deren Umsetzung und Verbesserung muss die gesamte Kryptographie- und Cybersicherheitsbranche kontinuierlich arbeiten. Damit steht sie in einem Wettlauf mit Angreifern, die ihrerseits versuchen, neue Schwachstellen zu finden.

Weltweit arbeiten Hackergruppen daran, Verschlüsselungsverfahren durch Quantencomputer zu brechen, und zahlreiche Sicherheitsforscher daran, "quantensichere" Verschlüsselungsmethoden zu entwickeln. In den nächsten Jahren werden eine oder beide Seiten eine bahnbrechende Technologie auf den Markt bringen. Insbesondere eine gute kryptographische Agilität ist wichtig, um zu verhindern, dass Quantencomputer Verschlüsselungsverfahren wie RSA knacken könnten. Dazu muss man wissen, dass Krypto-Agilität keine definierten Standards hat. Vielmehr handelt es sich um eine Design- und Prozessmethodik, bei der von Anfang an eingeplant wird, dass sich die Kryptographie im Laufe der Zeit weiterentwickelt. Aus praktischer Sicht bedeutet das, dass Unternehmen zunächst eine Bestandsaufnahme aller Krypto-Assets von Hardware über Software bis zu SaaS-Angeboten durchführen müssen, um sich einen Überblick über ihre aktuelle Situation zu verschaffen. Noch wichtiger: Es muss ein realistischer Prozess zur Änderung von Algorithmen und Techniken in allen Prozessen definiert werden. Viele Anbieter von Software und Dienstleistungen in diesem Bereich wie Primekey implementieren diese Krypto-Agilität direkt in das Design von weitverbreiteten Lösungen wie EJBCA. API-gesteuerte Technologien wie die Kryptobibliothek "Bouncy Castle" ermöglichen einen diskreten Austausch von Algorithmen-Engines, ohne dass Anwendungen umfangreich umgeschrieben werden müssen.

Viele kostengünstige Geräte für das Internet der Dinge verfügen nur über begrenzte Rechenleistung und können daher keine Sicherheitsfunktionen ausführen. Das ist in der Tat ein weiterer Angriffspunkt. Damit sparen die Hersteller Produktionskosten und sind auf den wettbewerbsintensiven Märkten für Unterhaltungselektronik erst konkurrenzfähig. Selbst Geräte mit fortschrittlicheren Sicherheitskontrollen sind selten so konzipiert, dass sie in der Praxis aufgerüstet werden können. In der Folge können selbst anfänglich sichere Geräte zu Schwachstellen im Privat- und Unternehmensnetzwerk werden, wenn eine Schwachstelle entdeckt wird oder Quantencomputing bestimmte kryptographische Methoden obsolet macht. Unternehmen, die Open-Source-Software im Bereich der Kryptographie fördern, tragen oft zur Universalität der Kryptographie bei. Diese kommt kostengünstigen IoT-Geräten zugute – etwa durch Verlagern von technischen Herausforderungen in die Cloud.