Post-Quanten-Bereitschaft für Finanzinfrastruktur: NIST-Roadmap

Viele Vorstände glauben, Post-Quanten-Kryptografie (PQC) könne warten, bis große Quantencomputer kommerziell genutzt werden. Für Finanzinstitute, Telekommunikationsanbieter und Betreiber nationaler Infrastruktur hat das Risiko bereits begonnen.

Warum es heute ein Problem ist

Angreifer sammeln bereits verschlüsselte Daten, um sie später zu lesen. Das nennt man „Harvest now, decrypt later“. Sie fangen heute verschlüsselten TLS-Verkehr, Interbanken-Abwicklungsströme und Datenbanksicherungen ab und speichern sie, in der Gewissheit, dass RSA-2048 und elliptische Kurvenkryptografie (ECC) gebrochen werden, solange diese Daten noch wichtig sind.

Wenn Sie Staatsgeheimnisse, langfristige Kredite oder dauerhafte Identitätsdaten halten, sind Daten, die 10 bis 25 Jahre vertraulich bleiben müssen, in dem Moment ausgesetzt, in dem sie Ihr Netzwerk unter den heutigen Verschlüsselungsverfahren verlassen.

NIST hat jetzt seine endgültigen Post-Quanten-Standards veröffentlicht, darunter FIPS 203 (ML-KEM) für Verschlüsselung und FIPS 204 (ML-DSA) für digitale Signaturen. Aufsichtsbehörden und Zentralbanken gehen von Empfehlungen zu verpflichtenden Migrationsfristen über.

Das versteckte Problem: Kryptografie in alten Systemen

Der Wechsel zu Post-Quanten-Standards ist selten so einfach wie das Aktualisieren einer OpenSSL-Bibliothek. Wenn unsere Principal Engineers etablierte Unternehmenssysteme prüfen, tauchen drei Hindernisse immer wieder auf:

• Versteckte Kryptografie. Alte ERP-Integrationen, Mainframe-Brücken und Hardware-Sicherheitsmodule (HSMs) verwenden oft feste Cipher Suites, gepinnte Zertifikate oder veraltete Schlüsselaustausche, tief vergraben in Middleware, die niemand wartet.

• Größere Schlüssel, schwerere Handshakes. Post-Quanten-Schlüssel und -Signaturen wie ML-KEM und ML-DSA sind viel größer als RSA- und ECDSA-Schlüssel. Auf stark belasteten Zahlungsgateways oder eingeschränkten OT- und IoT-Netzen können größere Handshakes Pakete aufteilen, Puffer überlaufen lassen und Ketten von Zeitüberschreitungen auslösen.

• Partner, die nicht bereit sind. Ihre eigenen Systeme mögen hybriden Schlüsselaustausch unterstützen. Wenn aber Ihre Clearingstelle, Ihr Kartenacquirer oder Ihr Steuer-Gateway weiterhin alte TLS-Einstellungen verlangt, schlagen Verbindungen fehl, sofern eine Proxy-Schicht den Unterschied ausgleicht.

Eine Roadmap in vier Schritten zur Krypto-Agilität

Bei XSIS, gestützt auf das Erbe von KONG GROUP in der kryptografischen Technik, begleiten wir Unternehmen beim Wechsel zur Post-Quanten-Kryptografie, ohne die Verfügbarkeit im Produktivbetrieb zu riskieren.

1. Jeden Schlüssel und jedes Zertifikat erfassen

Sie können nicht migrieren, was Sie nicht erfasst haben. Wir kombinieren passive Netzwerküberwachung, Codeanalyse und Zertifikatserkennung über Ihre Repositories, APIs und Infrastruktur. Das Ergebnis ist eine kryptografische Stückliste (CBOM): jedes Zertifikat, jede Schlüssellänge, jede Cipher Suite und jede kryptografische Abhängigkeit.

2. Systeme nach Risiko einordnen

Nicht alles muss gleichzeitig wechseln. Wir ordnen Systeme danach ein, wie lange ihre Daten geheim bleiben müssen und wie exponiert sie sind. Externe Bankverbindungen von Host zu Host, nationale Identitätsspeicher und Verbindungen zwischen Rechenzentren kommen vor kurzlebiger interner Telemetrie.

3. Hybriden Schlüsselaustausch ergänzen

Statt eines riskanten Umschaltens mit einem Schlag setzen wir hybride Modi ein, die klassisches ECDHE mit Post-Quanten-ML-KEM am Ingress-Controller, am API-Gateway und im Service Mesh kombinieren. Ältere Systeme laufen weiter, die bestehende FIPS-Konformität bleibt erhalten, und der Verkehr ist ab diesem Tag gegen „Harvest now, decrypt later“ geschützt.

4. Krypto-Agilität einbauen

Wir verlagern Verschlüsselung und Signatur in Ihren Anwendungen hinter gemeinsame kryptografische Provider und Post-Quanten-fähige HSMs. Wenn sich Algorithmen ändern oder neue Regeln kommen, rotieren Sie Cipher Suites durch eine Richtlinienänderung, nicht durch das Neuschreiben von Code.

Wo Sie beginnen

Die Post-Quanten-Migration beginnt damit, zu wissen, was Sie haben. Buchen Sie eine Readiness-Review mit einem leitenden Cyber-Architekten von XSIS, um eine nicht invasive Bestandsaufnahme der Kryptografie in Ihren Bank-, ERP- und Cloud-Systemen abzugrenzen.