Ihr Krypto-Inventar ist eine Excel-Tabelle, und die lügt Sie an
Einleitung
Kein Quantencomputer kann heute einen 2048-Bit-RSA-Schlüssel knacken, und wer etwas anderes behauptet, will etwas verkaufen. Doch ein Angreifer, der 2026 eine Bank ins Visier nimmt, braucht auch keinen, sondern lediglich Speicherplatz und Geduld, denn heute mitgeschnittener Datenverkehr lässt sich entschlüsseln, sobald eine ausreichend leistungsfähige Maschine existiert. Da Finanzdaten häufig bis weit in die 2030er-Jahre vertraulich bleiben müssen, schliesst sich das Zeitfenster für die Migration bereits jetzt.
Wichtige Erkenntnisse
- „Harvest now, decrypt later" bedeutet, dass der Verlust der Vertraulichkeit bei mitgeschnittenem Finanzverkehr bereits begonnen hat, lange bevor ein funktionsfähiger Quantencomputer existiert.
- Systeme nach dem Alter ihrer Algorithmen einzuordnen, ist der falsche Ansatz. Die Formel von Michele Mosca, Dauer der erforderlichen Vertraulichkeit plus Migrationszeit, sagt die tatsächliche Exponierung voraus.
- Umfrage-basierte Krypto-Inventare scheitern, weil Application Owner aus dem Gedächtnis antworten und dabei vergessene Endpunkte sowie fest codierte Alt-Schlüssel übersehen.
- Post-Quanten-Schlüssel und -Signaturen sind deutlich grösser als klassische Verfahren, was Annahmen bricht, die seit Jahrzehnten in Zahlungsverkehrs- und Netzwerkinfrastruktur eingebaut sind.
- Eine PQC-Migration funktioniert wie ein Data-Governance-Audit und zwingt Institute dazu, endlich zu klären, wohin sensible Daten fliessen und wie lange sie geschützt bleiben müssen.
Im Zentrum von Meccis Argumentation steht eine einfache, aber selten genutzte Rechnung des Kryptografen Michele Mosca: Man addiert die Jahre, in denen Daten vertraulich bleiben müssen, zu den Jahren, die die Migration eines Systems realistisch benötigt. Übersteigt diese Summe die verbleibende Zeit bis zu einer kryptografisch relevanten Quantenmaschine, ist das System bereits im Rückstand, unabhängig davon, wie alt oder neu seine Algorithmen auf dem Papier wirken.
Das grössere operative Versäumnis liegt seiner Ansicht nach darin, wie die meisten Institute ihre Krypto-Inventare überhaupt erstellen. Fragebögen an Application Owner verlassen sich auf Erinnerung, und diese lässt zuverlässig vergessene Endpunkte, veraltete Protokolle und in alten Batch-Jobs fest codierte Schlüssel aussen vor. Ein belastbares Inventar muss stattdessen aus maschinengestützter Erhebung stammen, etwa TLS-Scans, statischer Code-Analyse und HSM-Logs, jeweils verknüpft mit der Klassifizierung der Daten, die über die jeweilige Verbindung tatsächlich fliessen.
Zudem verweist er auf ein Hardware-Problem, mit dem die Budgets noch nicht Schritt halten. Post-Quanten-Schlüssel und -Signaturen fallen deutlich grösser aus als ihre klassischen Pendants, was ältere Zahlungsprotokolle fragmentiert und sich bei Hardware, die auf elliptische-Kurven-Beschleunigern basiert, nicht per Firmware-Update beheben lässt. In einer kleinen BSI-Umfrage räumten 89 Prozent der Befragten ein, dass ihre Migration länger dauern wird, als ihre Daten vertraulich bleiben müssen, ein Hinweis darauf, dass die Exponierung nicht hypothetisch ist, sondern sich bereits aufbaut.
👉 Lesen Sie den vollständigen Artikel auf IT Finanzmagazin:
https://www.it-finanzmagazin.de/ihr-krypto-inventar-ist-eine-excel-tabelle-und-die-luegt-sie-an-247748/
Veröffentlicht auf: it-finanzmagazin.de
Autor: Antonio Paolo Mecci
Fazit
Institute, die dieses Jahr ein evidenzbasiertes Krypto-Inventar abschliessen, haben noch einen umsetzbaren Zeitplan vor sich. Wer sich weiterhin auf Fragebögen verlässt, baut seine Migrationsplanung auf Annahmen statt auf Evidenz, und die Mosca-Rechnung zeigt deutlich, wie wenig Spielraum dabei bleibt.
.png)