Bedeutung
Quantensicherheit (engl. Quantum Security) bezeichnet alle Vorkehrungen zum Schutz vor Angriffen mittels Quantencomputern. Diese sind heutigen Computern überlegen und können bestimmte kryptografische Verfahren schneller und leichter knacken. Die Schlüsseltechnologie heute auf klassischer IT-Infrastruktur ist Post-Quanten-Kryptografie (engl. Post Quantum Cryptography, PQC). Eine Sicherheitsinfrastruktur auf der Basis von Quantencomputern mit spezieller Hardware ist derzeit noch Zukunftsmusik: Quantum Key Distribution (QKD) nutzt Quantenmechanik.
Ausgangslage
Moderne Infrastrukturen sind im besten Fall gegen Angriffe geschützt, die mit Hilfe von klassischen Computern erfolgen – gleich lange Spiesse also. Das ändert sich, wenn Quantencomputer so weit entwickelt sind, dass sie für Angriffe auf heutige Verschlüsselungsmethoden genutzt werden können. Niemand sollte sich heute in Sicherheit wiegen, nur weil noch keine Quantencomputer «in freier Wildbahn» anzutreffen sind: Angreifer können verschlüsselte Daten bereits jetzt sammeln und später mit Quantencomputern entschlüsseln und verwerten. Die jährliche Fachkonferenz PQCrypto ist dem Thema gewidmet.
Geschichte
Quantencomputer basieren auf den Gesetzen der Quantenmechanik, der Physik für kleinste Teilchen auf Atomebene. Ein Qubit kann im Gegensatz zu einem klassischen Bit (0,1) mehrere Zustände gleichzeitig annehmen. Solche Computer bringen in komplexen Anwendungen wie der Suche in grossen Datenbanken und der Faktorisierung grosser Zahlen deutlich mehr Leistung als ein klassischer PC. Quantencomputer sollen laut Schätzungen von Experten in zehn bis 15 Jahren für viele Anwendungen einsatzbereit sein.
Quantenmechanik hat ihren Ursprung in den späten 1920er-Jahren. Erst seit den 1980er-Jahren wird aber an Quantencomputern gearbeitet. 1980 beschrieb der US-Physiker Paul Benioff einen Quantencomputer, während kurz darauf Nobelpreisträger Richard Feynman dafür warb, Quantencomputer für die Simulation von Quantenphysik zu nutzen. Die Idee verbreitete sich in Forscherkreisen. Mit dem «Shor-» und dem «Grover-Algorithmus» entstanden zwei wichtige Methoden des Quantencomputers. Weiter konnte in jüngster Zeit die Fehlerrate von Quantenprozessoren bei der Berechnung gesenkt werden.
Die Quanteninformatik bedroht die Sicherheitsarchitektur der klassischen IT, vor allem das 1977 veröffentlichte asymmetrische Verschlüsselungsverfahren RSA und weitere ähnliche kryptografische Systeme. Erste Labordemonstrationen ab den 2000er-Jahren belegten die Dringlichkeit von Schutzmassnahmen gegen Angriffe durch Quantencomputer. Seit 2017 treibt das National Institute of Standards and Technology (NIST) die Standardisierung von Post-Quanten-Kryptografie (NISTPCQ) voran.
Deep Dive
Aktuelle Infrastrukturen quantensicher zu machen, bedingt eine Anpassung der Methoden. Schutzmassnahmen sollten in der nächsten Zeit eingeführt werden, denn bereits sind erste Quantencomputer-Services verfügbar. Laut einer aktuellen Studie des BSI sind Quantencomputer ungefähr ab dem Jahr 2040 so weit, dass sie aktuelle Verschlüsselungsmethoden gefährden können.
Unternehmen sollten sich auf das Quantencomputerzeitalter vorbereiten und Kryptoverfahren ersetzen, bevor erste Angriffe starten. Die sogenannte «Post-Quanten-Kryptografie» befasst sich genau damit: Selbst unter Verwendung von Quantencomputern sollen Verschlüsselungsverfahren nicht gebrochen werden können. Die neuen Verfahren können auf klassischer Hardware implementiert werden.
Quantensicherheit umfasst mehr als nur den Wechsel des Algorithmus. Sie umfasst auch die gesamte Zertifizierungsinfrastruktur, Update-Signaturen, Protokolle und mehr, ausserdem Abhängigkeiten in den Lieferketten. Dazu müssen alte Clients weiter funktionieren. Das alles erfordert ein präzises Transformationsmanagement.
Die sogenannte «Krypto-Agilität» ist wesentlich, um sich auf die Zukunft vorzubereiten. Sie bedeutet die Fähigkeit, kryptografische Algorithmen rasch austauschen zu können. Kryptografie sollte nicht fest in Anwendungen kodiert, sondern zentral verwaltet werden. Die Anwendung muss den konkreten Algorithmus nicht kennen. Die Trennung der Kryptografie von der Geschäftslogik, ihre Konfigurierbarkeit und die Nutzung und Kompatibilität mehrerer Algorithmen sind weitere Kernprinzipien.
Wirkung
Quantensicherheit herzustellen ist nicht einfach ein IT-Upgrade, sondern ein mehrjähriges Transformationsprogramm, welches das Risikoprofil der Organisation verbessert. Sie schafft zudem Transparenz in der Kryptonutzung.
Die Anforderungen an Governance und Beschaffung sind unter Quantensicherheit höher. Es braucht klare Vorgaben, deren Einhaltung überprüft werden muss.
Unter dem Strich stellt Quantensicherheit auf der heutigen klassischen Infrastruktur Sicherheit für das Quantencomputer-Zeitalter her und schützt Daten und Organisationen langfristig.
Alle bisher erschienenen Buchstaben im digitalen ABC
-
A
wie Artificial Intelligence
Artificial Intelligence; abgek. AI,
engl. für dt. künstliche Intelligenz, abgek. KI -
B
wie Big Data
Big Data (von englisch big = gross und data = Daten)
-
B
wie Bug Bounty
Bug-Bounty-Programm (engl. sinng. Kopfgeld-Programm für Programmierfehler)
-
C
wie Cloud
Cloud, w.
-
C
wie CERT
CERT, Akronym für engl. Computer Emergency Response Team
-
D
wie Digitale Schweiz
1. Digitale Schweiz, w. (die digitale Transformation der Schweiz betreffend)
2. Nebenbedeutung: Teil des Markenversprechens von Abraxas. «Für die digitale Schweiz. Mit Sicherheit» -
D
wie DevOps
DevOps, Kofferwort für Development und Operations
-
E
wie E-ID
E-ID, w. (staatlich anerkannte, nationale elektronische Identität)
-
E
wie Entra ID
Entra ID, cloudbasierter Identitäts- und Zugriffsverwaltungsdienst von Microsoft; neue Bezeichnung für Azure AD.
-
F
wie Firewall
Firewall, w.
engl. für Brandmauer -
F
wie Federated Machine Learning
Federated Machine Learning,
abgekürzt FML, engl. für föderiertes Lernen. -
G
wie Graphical User Interface
GUI, s. (Abk. für engl. Graphical User Interface)
-
G
wie GitOps
GitOps,
Kofferwort für Git (Versionskontrollsoftware) und Operations -
H
wie Hermes
Hermes, m.
1. Götterbote aus der griech. Mythologie, u. a. Gott des Handels, Begleiter der Toten in den Hades
2. frz. Familienunternehmen mit Sitz in Paris für Luxus-Modeartikel
3. Abk. für «Handbuch der Elektronischen Rechenzentren des Bundes, eine Methode zur Entwicklung von Systemen», offener Standard zur Führung und Abwicklung von IT-Systemen -
H
wie Hybrid Cloud
-
I
wie IoT
IoT, s.
Abk. für engl. Internet of Things -
I
wie IAM
IAM, s.
Abk. für engl. Identity and Access Management -
J
wie Java
Java, s.
1. kleinste der Grossen Sundainseln (Indonesien)
2. systemunabhängige Programmiertechnologie, besonders für Anwendungen im Internet -
J
wie JSON
JSON,
Abk. für «JavaScript Object Notation». -
K
wie Kubernetes
Kubernetes, m.
1. Steuermann (altgriechisch)
2. Container-Orchestrierungssystem (Software) -
K
wie Kritische Infrastruktur
kritische Infrastruktur, w.
Bezeichnung für besonders wichtige und systemrelevante Infrastrukturen, ohne die die Schweiz Krisen nur schwer überleben könnte. -
L
wie Latenz
Latenz, f.
1. Vorhandensein einer noch nicht sichtbaren Sache
2. Zeit zwischen Reiz und Reaktion (Physiologie)
3. symptomfreie Zeit zwischen Ansteckung und Ausbruch einer Krankheit (Medizin)
4. Zeit zwischen Anfrage und Antwort (IT) -
L
wie LLM
-
M
wie Malware
Malware, f.
Software, die in Computersysteme eindringen und dort Störungen oder Schäden verursachen kann -
M
wie Managed Workplace
Managed Workplace, m.
engl. Begriff für IT-Dienstleistungen mit externer Betreuung, erbracht von einem Managed Service Provider. -
N
wie No Code
No Code, engl. Begriff für eine bestimmte Art der Softwareentwicklung und des Programmierens.
-
N
wie New Work
New Work, n. od. f.
engl. für Neue Arbeit
Gesamtheit der modernen und flexiblen Formen der Arbeit bzw. der Arbeitsorganisation -
O
wie Outsourcing
Outsourcing, n.
engl. für Auslagerung
Übergabe von Aufgaben und / oder Strukturen eines Unternehmens an externe Dienstleister -
O
wie Outsourcing
-
P
wie Proxy
Proxy, m.
engl. für Stellvertreter
ein Vermittler von Anfragen in Computernetzwerken -
P
wie Personendaten
Personendaten, w. pl.
Fachbegriff für Daten, die eindeutig einem Menschen zugeordnet werden können. -
Q
wie Quantencomputer
Quantencomputer, m.
Aus Qubits und Quantengattern aufgebauter Computer, der die Gesetze der Quantenmechanik ausnutzt. -
Q
wie Quantensicherheit
Quantensicherheit, w.
technischer Begriff für die nächste Sicherheitsstufe von klassischen IT-Infrastrukturen -
R
wie Redundanz
Redundanz, f.
Zusätzliche technische Ressourcen als Reserve (Technik) -
S
wie Software-as-a-Service
SaaS, (ohne Artikel)
Kurzwort für englisch Software-as-a-Service = Software als Dienstleistung -
T
wie Transport Layer Security
TLS, m.,
Kurzwort für englisch Transport Layer Security (= Transportschicht-Sicherheit) -
U
wie USV
USV, w.,
Abk. für Unterbrechungsfreie Stromversorgung -
V
wie VPN
VPN, n.,
Abk. für engl. virtual private network = virtuelles privates Netzwerk -
W
wie White-Hat-Hacker
White-Hat-Hacker, m.
Ein White-Hat-Hacker (Oder White Hat, engl. für Weisser Hut) ist ein ethischer Hacker für Computersicherheit. -
X
wie XSS (Cross-Site-Scripting)
XSS, s.
Abk. für engl. Cross-Site-Scripting; dieses webseitenübergreifendes Scripting ist eine Angriffsmethode von Cyberkriminellen. -
Y
wie Y2K
Y2K,
Numeronym für das Jahr-2000-Problem, engl. Year und 2K für 2 Kilo = 2000 -
Z
wie z/OS
z/OS,
seit 2001 im Einsatz stehendes Betriebssystem für IBM-Grossrechner
Über Bruno Habegger
Bruno Habegger ist Abraxas-Magazin-Autor und Senior Communication Manager. Er verfügt über eine langjährige Erfahrung im ICT- und Energie-Bereich als Journalist, Contentproduzent und Berater. Er war Präsident einer Regionalpartei und an seinem damaligen Wohnort acht Jahre Mitglied der Sicherheitskommission.
