Wie man sich laut Thales heute auf die Gefahren von morgen vorbereitet

Stefan Suter, Country Director Schweiz, Thales. (Source: zVg)

Stefan Suter, Country Director Schweiz, Thales. (Source: zVg)

Glaubt man gewissen Anbietern, sollten schon heute alle Unternehmen auf quantensichere Verschlüsselungsmethoden umsteigen. Wie viel davon basiert auf realen Gefahren und wie viel ist blosser Marketing-Hype?

Stefan Suter: Die Bedrohung ist real, doch der Zeitpunkt ist ungewiss. Ein Quantencomputer, der in der Lage ist, weit verbreitete Public-Key-Verschlüsselungen zu knacken, existiert heute noch nicht, doch die Umstellung dauert Jahre, und Daten, die jetzt gestohlen werden, könnten zu ­einem späteren Zeitpunkt entschlüsselt werden. Dies zeigen auch die ­Ergebnisse des Data Threat Reports 2026 von Thales, denn 61 Prozent der Befragten nannten "Harvest now, Decrypt later" als ihre grösste ­Sorge.

"Harvest now, Decrypt later" – wie verhindern Unternehmen heute (noch vor einer Umstellung auf Post-Quanten-Kryptografie), dass ihre verschlüsselten sensiblen Daten später entschlüsselt werden können?

Es gibt keine Patentlösung für die Umstellung auf PQC. Teams sollten damit beginnen, die Daten zu identifizieren, die über Jahre hinweg vertraulich bleiben müssen. Hilfreich ist es, unnötig lange Aufbewahrungsfristen zu verkürzen, die Schlüsselverwaltung zu stärken und zu ermitteln, an welchen Stellen anfällige Verschlüsselungsverfahren zum Einsatz kommen. Das verringert das Risiko bereits jetzt und erleichtert die Umstellung später.

Niemand weiss genau, wann Quantencomputer heutige Verschlüsselungsverfahren brechen können. Wie lässt sich unter dieser Unsicherheit eine Investition in Quantenresilienz begründen?

Das Investitionsargument ist Ausfallsicherheit. Ein Krypto-Bestandsverzeichnis, eine bessere Schlüssel- und Zertifikatsverwaltung sowie Krypto-Agilität verbessern die Sicherheit bereits heute und erleichtern den Austausch von Algorithmen ohne grössere Unterbrechungen.

Was ist bei einer Umstellung auf quantensichere Verschlüsselungsverfahren zu beachten? Wo könnte es schiefgehen?

Hier geht es nicht um einen einfachen Austausch von Algorithmen. Die Kryptografie erstreckt sich über PKI, Zertifikate, Codesignierung, Identitätsmanagement, Netzwerke, Cloud-Dienste und Dienste von Drittanbietern. Neue Algorithmen können sich auf die Leistung und die Interoperabilität auswirken, weshalb die Bestandsaufnahme, das Testen und die Abstimmung mit den Anbietern von entscheidender Bedeutung sind.

Wie sicher ist quantensicher? Welche Restrisiken bleiben bei Post-Quanten-Kryptografie und was braucht ein Unternehmen darüber hinaus, um quantenresilient zu sein?

"Quantensicher" bedeutet nicht risikofrei. PQC befasst sich mit spezifischen Quantenbedrohungen für anfällige Public-Key-Kryptografie. Eine mangelhafte Implementierung, gestohlene Zugangsdaten, unzureichendes Schlüsselmanagement und Softwarefehler spielen nach wie vor eine Rolle. PQC sollte mit einem robusten Schlüsselmanagement, einer sicheren Implementierung und der nötigen Flexibilität zur Anpassung der Kryptografie kombiniert werden, wenn sich Standards und Bedrohungen ändern.

Gemäss Security-Experten lassen sich 80 Prozent der Verwundbarkeiten bereits mit grundlegender Cyberhygiene eliminieren – MFA, Backups, ein sauberes Offboarding von Mitarbeitenden etc. Ist es angesichts dessen nicht sinnvoller für Schweizer KMUs, sich darum statt um verschlüsselungsknackende Quantencomputer von morgen zu sorgen?

Für KMUs sollte die Cyberhygiene unbedingt weiterhin Priorität haben. Allerdings geht es nicht um eine Entweder-oder-Entscheidung. MFA, Patching, Backups und Zugriffskontrolle bekämpfen unmittelbare Bedrohungen. Die Vorbereitung auf die Quanteninformatik kann im Kleinen beginnen: Man sollte wissen, welche Daten langfristig geschützt werden müssen, wo Kryptografie zum Einsatz kommt und ob wichtige Lieferanten über eine glaubwürdige PQC-Roadmap verfügen.

Die Antworten der weiteren Teilnehmenden des Podiums:

• Jan Alsenz, Oneconsult: "Klassische Sicherheitslücken verschwinden nicht durch Post-Quanten-Kryptografie."
• Markus ­Limacher, Infoguard: "Die Unsicherheit spricht für einen frühen Start, denn kryptografische Migrationen dauern Jahre."
• Pascal ­Pfister, KPMG: "Nicht der 'Q-Day' zählt, sondern der Zeitpunkt, ab dem verspätetes Handeln gravierende Folgen hätte."
• Morton Swimmer, TrendAI: "Unsere Kryptographie steht unter Beschuss wie noch nie!"
• Matthias Wick, Cisco: "Die Unsicherheit rund um den "Q-Day" erhöht die Dringlichkeit des Handelns."

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.