Wie man sich laut Oneconsult heute auf die Gefahren von morgen vorbereitet

Jan Alsenz, Head of Innovation, Oneconsult. (Source: zVg)

Jan Alsenz, Head of Innovation, Oneconsult. (Source: zVg)

Glaubt man gewissen Anbietern, sollten schon heute alle Unternehmen auf quantensichere Verschlüsselungsmethoden umsteigen. Wie viel davon basiert auf realen Gefahren und wie viel ist blosser Marketing-Hype?

Jan Alsenz: Die Gefahr ist real, aber die Zeitachse kann niemand vorhersagen. Trotz manchem Hype ist quantensicherer Schutz heute ­einfacher als oft angenommen und erfordert meist keinen "Komplettumbau".

"Harvest now, Decrypt later" – wie verhindern Unternehmen ­heute (noch vor einer Umstellung auf Post-Quanten-Kryptografie), dass ihre verschlüsselten sensiblen Daten später entschlüsselt werden können?

Vor dem Einsatz quantensicherer Verfahren grundsätzlich gar nicht. Aktuelle Versionen etwa von OpenSSL und OpenSSH bevorzugen hybride PQK-Verfahren aber bereits standardmässig. Wichtig ist daher, langfristig schützenswerte Informationen und ihre Übertragungswege zu identifizieren.

Niemand weiss genau, wann Quantencomputer heutige Verschlüsselungsverfahren brechen können. Wie lässt sich unter dieser Unsicherheit eine Investition in Quantenresilienz begründen?

Investitionen sind auf die Zukunft gerichtet. Auch ohne festes Datum sind Krypto-Agilität, Inventarisierung und Lieferantenplanung vernünftige Risikovorsorge. Grössere Migrationen benötigen zudem Jahre.

Was ist bei einer Umstellung auf quantensichere Verschlüsselungsverfahren zu beachten? Wo könnte es schiefgehen?

Die Fallstricke ähneln denen bei anderen IT-Projekten: fehlende Abdeckung, Lieferantenabhängigkeiten, Kompatibilitäts- und Leistungsprobleme. Eine gute Inventarisierung und sorgfältiges Testen sind deshalb zentral.

Wie sicher ist quantensicher? Welche Restrisiken bleiben bei Post-Quanten-Kryptografie und was braucht ein Unternehmen darüber hinaus, um quantenresilient zu sein?

Klassische Sicherheitslücken verschwinden nicht durch PQK und die Verfahren sind noch jung. Hybride Methoden, die bewährte Verfahren und PQK kombinieren, sollten daher bevorzugt werden.

Gemäss Security-Experten lassen sich 80 Prozent der Verwundbarkeiten bereits mit grundlegender Cyberhygiene eliminieren – MFA, Backups, ein sauberes Offboarding von Mitarbeitenden etc. Ist es angesichts dessen nicht sinnvoller für Schweizer KMUs, sich darum statt um verschlüsselungsknackende Quantencomputer von morgen zu sorgen?

Zu guter Cyberhygiene gehören regelmässige Updates, die PQK teils schon verfügbar machen. Die Themen widersprechen sich nicht: Cyberhygiene und gezielte Steuerung hin zu PQK unterstützen direkt die PQK-Strategie.

Die Antworten der weiteren Teilnehmenden des Podiums:

• Markus ­Limacher, Infoguard: "Die Unsicherheit spricht für einen frühen Start, denn kryptografische Migrationen dauern Jahre."
• Pascal ­Pfister, KPMG: "Nicht der 'Q-Day' zählt, sondern der Zeitpunkt, ab dem verspätetes Handeln gravierende Folgen hätte."
• Stefan Suter, Thales: "Es gibt keine Patentlösung für die Umstellung auf Post-Quanten-Kryptografie."
• Morton Swimmer, TrendAI: "Unsere Kryptographie steht unter Beschuss wie noch nie!"
• Matthias Wick, Cisco: "Die Unsicherheit rund um den "Q-Day" erhöht die Dringlichkeit des Handelns."

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.