Letztes Bollwerk gegen Datenraub

Eine Spezialität der Quantencomputer

Egal, welche Art von Information auf welchem Weg gesichert werden soll, stets gilt: Ist der Schlüssel lang genug, lässt er sich mit heutigen Computern nicht knacken – selbst künftige Supercomputer werden dafür zu langsam sein. Doch Quantencomputer haben das Potenzial, solche Schlüssel zu brechen. Dabei kommt es auf die Verschlüsselungsmethode an, für die es zwei Konzepte gibt: symmetrische und asymmetrische Verschlüsselung:

Ob symmetrisch oder asymmetrisch – beide Varianten sind nach aktuellem Wissensstand sicher. Noch. Denn wenn der erste Quantencomputer in Betrieb geht, kippt die Gleichung. Symmetrische Algorithmen werden wohl auch künftig immun gegen Attacken von Quantencomputern sein – eventuell muss man nur die Schlüssellänge verdoppeln. Für die heute verwendeten Methoden zur asymmetrischen Verschlüsselung dagegen funktioniert dieser simple Trick nicht.

Ein Algorithmus sorgt für Aufregung

Das ist das Werk von Peter Shor. Der US-amerikanische Mathematiker hat sich Anfang der 1990er-Jahre mit der Frage beschäftigt, ob ein starker Quantencomputer sehr große Zahlen in überschaubarer Zeit in ihre Primfaktoren zerlegen kann. Seine Antwort lautet: ja. 1994 stellte Shor den nach ihm benannten Algorithmus vor, ein Jahr später bauten Wissenschaftler den ersten, noch sehr einfachen Quantencomputer. Ab da war die Aufregung unter Sicherheitsexperten groß.

Das ist der Grund: Das Public-Key-Verfahren von RSA beruht auf einer mathematischen Einwegfunktion. Das ist eine Funktion, die sich in eine Richtung leicht, in umgekehrter Richtung aber nur schwer lösen lässt. Bei RSA wird aus dem frei zugänglichen öffentlichen Schlüssel der private Schlüssel errechnet, indem Primzahlen zu einer sehr großen Zahl multipliziert werden. Die Sicherheit der Methode beruht darauf, dass kein Computer es schafft, den Weg zurück zu berechnen, also die große Zahl wieder in ihre Primfaktoren zu zerlegen.

Doch genau das gelingt dem Shor-Algorithmus. Das heißt: Hacker mit Zugang zu Quantencomputern können aus öffentlichen Schlüsseln private Schlüssel errechnen und damit jede durch einen Public Key geschützte Information lesen. Zwar ließen sich auch hier die Schlüssel verlängern, doch die Schlüssel müssten dann so lang sein, dass selbst der rechtmäßige Besitzer seine eigenen Daten nur mit großem Zeitaufwand entschlüsseln könnte.

Die Suche nach Einwegfunktionen

Um Public Key und damit die weitverbreitete asymmetrische Kryptografie zu retten, suchen Mathematiker nach Einwegfunktionen, die auch der stärkste Quantencomputer nicht zurückrechnen kann. Federführend ist dabei das National Institute of Standards and Technology (NIST) in den USA. Ein vom NIST vor einigen Jahren ausgerufener Wettbewerb, bei dem Mathematiker quantensichere Einwegfunktionen finden sollten, war erfolgreich. Mitte 2025 hat das Institut fünf Verfahren als quantensicher ausgewählt und teils bereits standardisiert. „Wir kooperieren eng mit dem NIST und haben viel Vertrauen“, sagt Stephan Ehlen vom BSI. „Aber wir übernehmen nichts ungeprüft.“

Die neuen Funktionen für die sogenannte Post-Quanten-Kryptografie stammen aus der Berechnung von Vektoren in Gittern mit 1.000 oder mehr Dimensionen. Koordinaten legen fest, in welche Richtung ein Pfeil in dem Raum hineinzeigt und wie lang er ist – daraus wird der öffentliche Schlüssel berechnet. Um den privaten Schlüssel abzuleiten, müsste ein Computer den kürzesten Vektor zurückrechnen können. Aber auch Quantencomputer schaffen das nicht – „nach heutigem Wissen“, schränkt Ehlen ein.

Das BSI empfiehlt sicherheitshalber „Kryptoagilität“. Das heißt, dass die neuen Verschlüsselungsalgorithmen so eingeführt werden, dass sie sich leicht gegen andere Algorithmen austauschen lassen. Sollte ein Quantencomputer eines Tages doch in der Lage sein, eine der vom NIST empfohlenen Funktionen zu brechen, würde sie eben durch eine andere Funktion ausgetauscht – durch ein simples Software-Update. Manfred Lochter, Mathematiker und Principal Advisor am BSI, empfiehlt sogar eine hybride Strategie. Dabei werden zwei kryptografische Verfahren kombiniert. Bricht ein Quantencomputer das eine Verfahren, bleibt immer noch das andere übrig.

Skeptischer Blick auf die Praxis

Allerdings: Was die praktische Umsetzung angeht, ist Alexander Löw skeptisch. Der Gründer und Geschäftsführer der Firma Data Warehouse in Ottobrunn bei München war in den 1980er-Jahren selbst Hacker und hat sich in Unternehmensnetzwerke eingehackt, „aber nur aus Neugier, nicht mit krimineller Intention.“ Später hat Löw eine Software entwickelt, die jeden PC und ganze Unternehmensnetzwerke automatisch durchkämmt, wobei kryptografische Methoden zum Einsatz kommen. Kundengespräche beginnt Löw gern mit der Frage: „Was schätzen sie: Wie viele Dateien und Prozesse auf ihrem PC nutzen Verschlüsselung?“ Wenn es hochkommt, antworten die Gefragten mit: „Ein paar Dutzend?“

Die wahre Zahl macht sprachlos: Der Rekord auf einem Windows-PC waren 590.000 kryptografische Einheiten, auf einem Apple Mac erreichte die Zahl 240.000. Auf jedem PC gibt es also Hunderttausende, in Unternehmensnetzwerken sogar Millionen potenzielle Einfallstore für Hacker, die nur deshalb bisher unbehelligt blieben, weil Cybergangster die Verschlüsselung nicht brechen konnten. Doch mit einem Quantencomputer könnten sie gezielt Dateien oder Softwarebibliotheken ins Visier nehmen, die Passwörter speichern. Das würde die gesamte Sicherheitsarchitektur eines Unternehmens bedrohen.

Löw empfiehlt Unternehmen, die Umstellung auf Post-Quanten-Kryptografie jetzt zu beginnen. Erst mit einer Bestandsaufnahme des kryptografischen Inventars und dann mit einer klugen Strategie. Unternehmen könnten das nicht allein bewältigen, sondern seien auf die Lieferanten ihrer Software angewiesen, meint der Sicherheitsexperte. Eventuell müsse man dabei auch den Umstieg auf andere Software ins Auge fassen. „Die Migration auf die Post-Quanten-Kryptografie lässt sich nicht nebenbei erledigen“, warnt Löw.

Das Problem der Sorglosigkeit

Die größte Hürde dabei ist die Sorglosigkeit der Unternehmen, in denen man sich fragt: Wenn Quantencomputer erst in den 2030er-Jahren kommen werden, warum soll ich mich dann heute bereits um quantensichere Verschlüsselung bemühen? Das ist eine gefährliche Frage, meint Deepa Shinde, die bei Microsoft das britische Innovationsteam für Künstliche Intelligenz und Quantencomputing leitet. Viele digitale Daten werden 20 Jahre oder länger gehortet. Das können Handyfotos aus dem Urlaub sein sowie Daten, die von Rechts wegen lange verfügbar sein müssen, etwa Steuererklärungen oder Gesundheitsdaten. Auch Personalausweise, die nun ausgegeben werden, sollen noch jahrelang nutzbar sein. „Was heute sicher gespeichert ist, könnte in fünf Jahren entschlüsselt werden“, sagt Shinde.

Geheimdienste könnten schon am Werk sein

Sie geht davon aus, dass Geheimdienste schon begonnen haben, in großem Stil Daten zu sammeln, obwohl sie die noch nicht entschlüsseln können. Dieser Datenklau auf Vorrat wird als „Harvest now, decrypt later“ bezeichnet – „ernte jetzt, entschlüssele später“. Länder wie die USA und China werden wohl die Ersten sein, die leistungsstarke Quantencomputer besitzen. Dann würden auch Unmengen an sicher geglaubten Altdaten zugänglich.

Die Zeit drängt also. Schon bald wird es einen internationalen ISO-Standard auf Basis der NIST-Algorithmen geben. Bis 2030 sollen Hochsicherheitsbereiche auf quantensichere Verschlüsselungsmethoden umgestellt werden. So steht es in einer Drucksache des Deutschen Bundestags und in der neuen Roadmap der EU. Betroffen davon sind etwa Rüstungsfirmen und Geheimdienste.

Produktion und Automatisierung brauchen ebenfalls den Quantenschutz – auch wenn es dort bisher keine größeren Angriffe gegeben hat. „Hacker sind faul, sie ernten zuerst die Früchte, die am niedrigsten hängen. Und das sind Phishing-Attacken und Erpressung mit Ransomware, also in der IT“, erläutert Mirko Ross. Mit Quantencomputern würde aber auch die Operational Technology (OT) ein einfacheres Ziel. Bei Unternehmen sei die Botschaft noch nicht angekommen, klagt der Geschäftsführer des Cybersecurity-Unternehmens Asvin in Stuttgart. „Die Industrie nutzt schon die heutigen Sicherheitsmethoden nicht. Und jetzt sollen sie auch noch auf Post-Quanten-Kryptografie umsteigen? Unternehmen sehen darin keinen Mehrwert.“

Anders ist die Situation bei kritischen Infrastrukturen wie Strom- und Wasserversorgung oder Verkehrswegen. Feindliche staatliche Akteure könnten in einem Krieg versuchen, solche Infrastrukturen zu sabotieren. Einer der Vorreiter beim Schutz ist die Deutsche Bahn, die bereits die Kommunikation in ihrem Schienennetz quantensicher macht, um Sabotage gegen Weichen und Stellwerke zu verhindern. Weit vorn ist die auch Autoindustrie. Ihre Wagen gleichen immer mehr Computern auf Rädern. Auch da müssen die Übermittlung bei Updates und die Daten im Bordcomputer gesichert sein, sonst könnten Angreifer das Fahrzeug aus der Ferne kapern und einen Unfall provozieren.

Für Computernutzer, Autofahrer und Bankkunden hat Stephan Ehlen vom BSI eine beruhigende Nachricht: Vom Umstieg auf die Post-Quanten-Kryptografie würden die meisten von uns nichts mitbekommen. „Irgendwann wird der Internetbrowser oder die Steuersoftware im Auto ein Update herunterladen, das die neuen quantensicheren Verschlüsselungsalgorithmen enthält.“ ■

Menschen orientieren sich bei Entscheidungen an den Erfahrungen anderer. Dieses als „Social Proof“ bekannte psychologische Phänomen…