Die Schlagzeilen sind derzeit nicht zu übersehen: Bei Quantencomputing gelingen entscheidende Durchbrüche und der «Q-Day» rückt näher. Wer die Berichte verfolgt hat, empfindet vermutlich ein gewisses Unbehagen. Was bedeuten sie für die Sicherheit, auf die wir uns täglich verlassen? Etwa den Schutz unserer Nachrichten, unserer Zahlungen und der digitalen Infrastruktur, auf die wir alle angewiesen sind.
Doch bevor die Alarmglocken alles übertönen, sollten wir durchatmen und uns die wirklich wichtigen Fragen stellen: Welches ist die eigentliche Bedrohung? Sind die Nachrichten wahr oder werden sie durch Marketing oder einen Hype befeuert?
In unserer Blog-Reihe zeigen wir, warum Post-Quantum-Kryptografie (PQC) ein topaktuelles Thema ist, wann Unternehmen den Übergang zu PQC anstreben sollten und wie sie die Herausforderung am besten anpacken. Unser Ziel ist einfach: Wir wollen Klarheit in ein komplexes Thema bringen und Angst durch Wissen ersetzen.
In unserem ersten Blog stecken wir den Rahmen ab: wie PQC zum Thema wurde und was es eigentlich bedeutet.
PQC gilt als Schutz vor dem Tag, an dem ein kryptografisch relevanter Quantencomputer (CRQC) Realität wird. Doch weshalb müssen wir uns vor einem CRQC schützen? Dies bringt uns zu Quantencomputing.
Klassische Computer speichern Informationen in Bits, wobei jedes einen Wert von 0 oder 1 hat. Ein Quantencomputer hingegen nutzt Qubits. Durch Superposition ist ein Qubit nicht auf einen einzigen Wert festgelegt: «0» und «1» können gleichzeitig nebeneinander existieren und legen sich erst bei der Messung auf einen Wert fest. Durch Verschränkung werden Qubits miteinander verbunden, sodass der Zustand eines Qubits mit dem Zustand eines anderen verknüpft ist. In Kombination ermöglichen diese Eigenschaften einem Quantencomputer, bestimmte Probleme anzugehen, die mit einem klassischen Computer nicht lösbar wären.
Die Ursprünge des Quantencomputings reichen mehr als ein Jahrhundert zurück: bis zum Aufkommen der Quantenmechanik anfangs der 1900-er Jahre. Die Idee eines Quantencomputers ist indes jünger. An einer vom MIT und von IBM organisierten Konferenz 1981 forderte der geniale Physiker Richard Feynman die Welt dazu auf, einen solchen Computer zu entwickeln: «Die Natur ist nicht klassisch, verdammt noch mal, und wenn Sie eine Simulation der Natur erstellen wollen, sollten Sie sie besser quantenmechanisch machen, und, beim Kuckuck, es ist ein wunderbares Problem, weil es nicht so einfach aussieht.»
In den letzten Jahren haben Grosskonzerne wie IBM, Google und Microsoft sowie nationale Initiativen wie jene Chinas massiv in Forschung und Ressourcen investiert, um die Vision eines Quantencomputers zu verwirklichen.
Quantencomputer versprechen die Art und Weise zu revolutionieren, wie wir einige der schwierigsten Probleme lösen. Dabei versprechen sie sozusagen einen Quantensprung in der Rechenleistung, die weit über jene klassischer Systeme hinausgeht. Diese Computer könnten Bereiche wie die Arzneimittelforschung, die Chemie und die Logistik grundlegend verändern, indem sie jahrelange Testphasen überflüssig machen und stattdessen sehr schnell sehr genaue Ergebnisse liefern.
Die zwei wichtigsten Meilensteine in der Geschichte der Quantencomputer sind der Shor-Algorithmus (1994) und der Grover-Algorithmus (1996).
Der Grover-Algorithmus beschleunigt die Brute-Force-Suche, indem er die Stärke der symmetrischen Kryptografie effektiv halbiert. Die Lösung wäre einfach: Parameter verdoppeln und damit die ursprüngliche Sicherheitsmarge wiederherstellen. Doch aktuell ist sich die Fachwelt einig, dass die Parameter gar nicht verdoppelt werden müssen, sondern dass sich die symmetrische Kryptografie(1) unverändert weiternutzen lässt. Der Grover-Algorithmus ist bemerkenswert, knackt aber nicht die symmetrischen Primitive (Reihe kryptografischer Algorithmen), auf die wir uns heute verlassen.
Die wahre Bedrohung geht vom Shor-Algorithmus aus. Weshalb, sehen wir anhand eines sogenannt komplexen Problems. Ein komplexes Problem ist eines, von dem wir glauben, dass es äusserst schwierig zu lösen sei. Seit über 50 Jahren befasst sich die Fachwelt mit Problemen wie der Primfaktorzerlegung(3) und dem diskreten Logarithmus(4) – bis heute ohne Erfolg. Genau auf diese Erfahrung vertrauen wir. Das asymmetrische Kryptosystem(2) («public-key cryptography») ist auf komplexen Problemen wie der Primfaktorzerlegung und dem diskreten Logarithmus aufgebaut. Die Schlüsselvereinbarung – d.h. die Art und Weise, wie zwei Parteien über einen offenen Kanal ein gemeinsames Geheimnis festlegen – stützt sich auf diese komplexen Probleme. TLS wiederum, das Sicherheitsprotokoll, das das Internet schützt, stützt sich auf die Sicherheit dieser Schlüsselvereinbarung.
Der Shor-Algorithmus widerlegt die Annahme, dass das Problem rechnerisch unlösbar sei («hardness assumption»). Wird er auf einem leistungsstarken Quantencomputer ausgeführt, knackt er die Primfaktorzerlegung und den diskreten Logarithmus problemlos. Das heisst, die Berechnung verkürzt sich von Millionen von Jahren auf wenige Wochen. Verliert die Annahme, dass die Probleme unlösbar seien, ihre Gültigkeit, bricht auch alles zusammen, was darauf aufgebaut ist: die asymmetrische Kryptografie, die Schlüsselvereinbarung und TLS. Zwar stützt sich unser Beispiel auf TLS, doch das gleiche grundlegende Risiko gilt für die meisten Sicherheitsprotokolle, die wir heute verwenden.
Ein aktueller Trend macht das beschriebene Szenario besonders dringlich: «jetzt sammeln, später entschlüsseln». Ein Angreifer kann verschlüsselten Datenverkehr heute abfangen und speichern. Er ist zwar noch nicht fähig, ihn zu entschlüsseln, spätestens aber, wenn ein Quantencomputer verfügbar ist. Sämtliche Daten, deren Vertraulichkeit noch Jahre gewährleistet werden muss, sind deshalb bereits gefährdet. Zum Beispiel Patientenakten, Finanz- und Bankdaten, Regierungs- und Militärgeheimnisse, Geschäftsgeheimnisse oder geistiges Eigentum.
Man braucht folglich keinen Quantencomputer, um ein Quantenproblem zu haben.
Wie können wir uns nun auf das Zeitalter der Quantencomputer vorbereiten? Die Antwort lautet Post-Quantum-Kryptografie.
PQC bezeichnet eine neue Generation von asymmetrischen kryptografischen Primitiven, die auf verschiedenen schwer zu lösenden Problemen aufbauen und so konzipiert sind, dass sie Angriffen sowohl durch klassische als auch durch Quantencomputer standhalten. Das Ziel besteht nicht darin, von der asymmetrischen Kryptografie wegzukommen, sondern sie auf einer Grundlage neu aufzubauen, die der Shor-Algorithmus nicht knacken kann.
Um dieses Ziel zu erreichen, hat das National Institute of Standards and Technology (NIST) 2016 mit der Standardisierung der Post-Quantum-Kryptografie begonnen. Dabei handelt es sich um einen mehrjährigen offenen Wettbewerb, bei dem die Community weltweiter Kryptografen eingeladen wird, Algorithmen einzureichen und eingehend zu untersuchen. Nach mehreren Analyserunden wurden 2024 die ersten Standards veröffentlicht: ML-KEM, HQC zur Schlüsselvereinbarung sowie ML-DSA, SLH-DSA und FN-DSA für digitale Signaturen. Parallel dazu werden weitere PQC-Primitive diskutiert und analysiert. Das ist genau die Art von offener, wettbewerbsorientierter Überprüfung, die uns bereits Standards beschert hat wie AES und SHA-3: ein Prozess, der über Jahre öffentlicher Kryptoanalyse Vertrauen geschaffen hat.
Die Quantenbedrohung besteht nicht darin, dass die heutige Kryptografie nach und nach geschwächt wird. Sie besteht darin, dass die Annahmen, auf denen die asymmetrische Kryptografie beruht, ihre Gültigkeit verliert, sobald ein Quantencomputer verfügbar ist. Diese Entwicklung ist absehbar, was es ermöglicht, sich frühzeitig darauf vorzubereiten. PQC bietet einen praktischen Ansatz dank Standards, die auf neuen mathematischen Grundlagen beruhen und sich in der öffentlichen Diskussion bewährt haben.
Unternehmen, die Quantensicherheit erreichen wollen, sollten ermitteln, wo sie Kryptografie einsetzen, welche Daten sie langfristig schützen müssen und wie sie den Übergang zu PQC am besten planen.
Was das in der Praxis bedeutet, zeigen wir in unserem nächsten Blog.
| (1) Symmetrische Kryptografie |
| Symmetrische Kryptografie ist schnell und effizient. Deshalb eignet sie sich für grosse Datenmengen, etwa zum Verschlüsseln von Disks (Inhalte auf Laptop oder Telefon), Dateien und Datenbanken, zum Sichern von Messaging Apps wie WhatsApp und Signal, zum Schützen von Datenverkehr via Wi-Fi sowie zum Übertragen eines Grossteils der Daten beim sicheren Browsen (TLS), sobald eine Verbindung aufgebaut ist. Die Sicherheit der symmetrischen Kryptografie beruht auf der Geheimhaltung eines Schlüssels und der mathematischen Konstruktion der Kryptografiefunktion. |
| (2) Asymmetrische Kryptografie |
| Asymmetrische Kryptografie wird verwendet für das sichere Browsen (TLS-Handshake, der die Verbindung aufbaut), digitale Signaturen sowie Zertifikate, dank denen der Browser die Echtheit z.B. einer Bank-Website bestätigen kann. Weitere Anwendungsfälle sind die Einrichtung sicherer E-Mail- und Messaging-Dienste oder die Code-Signierung. |
| (3) Primfaktorzerlegung und (4) diskreter Logarithmus |
| Dabei handelt es sich um zwei schwer lösbare mathematische Kernprobleme der asymmetrischen Kryptografie, mit denen sich die Community der Forschenden seit 50 Jahren beschäftigt. Die Primfaktorzerlegung ist einfach in die eine Richtung − das Multiplizieren von zwei Zahlen −, lässt sich jedoch nur schwer umkehren, indem man die ursprünglichen Faktoren ermittelt. Der diskrete Logarithmus weist dieselbe «Einbahn»-Eigenschaft auf: Er ist einfach vorwärts zu berechnen, aber sehr schwer umzukehren. Genau diese Probleme kann der Shor-Algorithmus auf einem hinreichend grossen Quantencomputer effizient lösen. |