Heute verschlüsselt heißt nicht automatisch, dass Daten auch in
zehn Jahren noch geheim bleiben. Was passiert, wenn Angreifer
Informationen bereits heute abgreifen und erst später
entschlüsseln? Und wie schnell könnte ein Unternehmen seine
Verschlüsselungsverfahren austauschen, wenn genau das notwendig
wird?
In dieser Folge von „Cybersecurity ist Chefsache“ sprechen Nico
Freitag und Ann-Katrin Lange über Post-Quanten-Kryptografie, das
Risiko „Harvest now, decrypt later“ und die Frage, warum
Unternehmen sich mit der Zukunft ihrer Verschlüsselung
beschäftigen sollten, bevor daraus ein akutes Problem wird.
Dabei geht es bewusst um die unternehmerische Perspektive: Welche
Daten müssen wie lange vertraulich bleiben? Wo steckt
Kryptografie überhaupt im Unternehmen? Wer trägt die
Verantwortung dafür? Und wie lässt sich ein weiteres
Sicherheitsthema angehen, wenn IT und Geschäftsführung bereits
mit Tagesgeschäft, KI und regulatorischen Anforderungen
beschäftigt sind?
Ein zentraler Gedanke zieht sich durch das Gespräch: Es reicht
nicht, auf ein vermeintlich für immer sicheres Verfahren zu
warten. Unternehmen müssen in der Lage sein, kryptografische
Verfahren, Schlüssel und Zertifikate kontrolliert zu wechseln.
Ann-Katrin beschreibt das mit einem einfachen Bild: Das Schloss
soll sich austauschen lassen, ohne dafür die gesamte Tür ersetzen
zu müssen. Genau darum geht es bei Kryptoagilität.
Konkret wird die Diskussion bei der sogenannten
Drei-Zeiten-Regel. Wie lange müssen Informationen geheim bleiben?
Wie lange dauert eine Umstellung? Und welcher Zeitraum wird bis
zu einem kryptografisch relevanten Quantencomputer angenommen?
Diese Perspektive macht deutlich, warum ein zukünftiges Risiko
bereits heute Entscheidungen auslösen kann – gerade bei
Betriebsgeheimnissen oder langfristig schützenswerten Daten.
Als praktischer Einstieg kommen Datenklassifizierung und
Krypto-Inventur zur Sprache. Am Beispiel eines Krankenhauses
zeigen Nico und Ann-Katrin, wie schnell sich die Fragen
vervielfachen: Welche Daten liegen wo? Welche Systeme und
Hersteller sind beteiligt? Wie werden die Informationen geschützt
und wer kann Änderungen tatsächlich umsetzen? Eine Richtlinie
allein beantwortet diese Fragen noch nicht.
Auch aus der OT bringt Nico Beispiele mit. Zertifikate mit
jahrzehntelanger Laufzeit wirken im Alltag bequem, verschieben
aber die Frage, wie ein Austausch im Ernstfall funktionieren
soll. Damit führt das Gespräch zurück zu Security by Design:
Wechselmöglichkeiten müssen von Anfang an mitgedacht werden,
statt sie erst unter Zeitdruck nachzurüsten.
Zum Schluss geht es um Kosten, begrenzte Ressourcen und die Rolle
externer Partner. Gerade Unternehmen, deren Kerngeschäft nicht
die IT ist, brauchen einen realistischen Einstieg und klare
Zuständigkeiten. Die Frage nach künftiger Verschlüsselung
betrifft deshalb auch die Geschäftsführung: Sie muss Prioritäten,
Budget und langfristigen Schutzbedarf zusammenbringen.
Im Gespräch geht es unter anderem um:
Was hinter „Harvest now, decrypt later“ steckt
Warum langfristig vertrauliche Daten schon heute in die
Planung gehören
Weshalb Betriebsgeheimnisse auch nach vielen Jahren noch
wertvoll sein können
Warum die Diskussion über Quantencomputer für Unternehmen oft
schwer greifbar bleibt
Was Kryptoagilität bedeutet und weshalb Austauschbarkeit so
wichtig ist
Wie die Drei-Zeiten-Regel Schutzbedarf, Migrationsdauer und
Zukunftsrisiko verbindet
Warum eine Krypto-Inventur ein konkreter erster Schritt sein
kann
Welche Rolle Datenklassifizierung für die Priorisierung
spielt
Wie Abhängigkeiten von Software, Maschinen und Herstellern
eine Migration erschweren
Weshalb Schlüsselverwaltung und Verantwortlichkeiten mit auf
die Agenda gehören
Warum digitale Signaturen und die Prüfung von Echtheit
ebenfalls relevant sind
Was das Beispiel Krankenhaus über die Komplexität gewachsener
Systeme zeigt
Weshalb Verschlüsselung im Alltag häufig unsichtbar bleibt
Welche Probleme sehr lange Zertifikatslaufzeiten im OT-Umfeld
schaffen können
Wie Security by Design spätere Wechsel erleichtern kann
Warum neue Anforderungen auf begrenzte Budgets und knappe
IT-Ressourcen treffen
Welche Rolle Dienstleister und externe Expertise für den
Mittelstand spielen
Weshalb Vorbereitung auf Post-Quanten-Kryptografie eine
Führungsaufgabe ist
Der rote Faden der Folge: Unternehmen brauchen einen Überblick
über ihre Daten und die eingesetzte Kryptografie und einen
realistischen Weg, diese weiterzuentwickeln. Wer Schutzbedarf,
Abhängigkeiten und Wechselmöglichkeiten frühzeitig kennt, kann
eine Migration planen, bevor Zeitdruck entsteht.
Eine Folge für Geschäftsführungen, CISOs, IT- und
OT-Verantwortliche, Informationssicherheitsbeauftragte und alle,
die verstehen möchten, was Post-Quanten-Kryptografie für ihr
Unternehmen bedeutet und wie ein sinnvoller Einstieg aussehen
kann.
____________________________________________
Mehr Informationen
Nico Freitag - LinkedIn Profil
Ann-Katrin Lange - LinkedIn Profil
Zum Weiterlesen
BSI - Kryptografie quantensicher gestalten
NIST - What Is Post-Quantum Cryptography?
____________________________________________
Reinschauen lohnt sich!
Podcast - Cybersecurity ist Chefsache: @cybersec_ist_chefsache
Podcast - Cybersecurity shall be C-Level priority:
@cybersec_clevel_priority
Podcast - Die Zwei Auftrag: Cybersicherheit: @diezweicyber
Schließe dich uns an, um tiefer in die Welt der digitalen
Sicherheit einzutauchen.
____________________________________________
Du findest mich auf folgenden Social Media Kanälen:
Instagram: cybersec_ist_chefsache
TikTok: cybersec_ist_chefsache
LinkedIn - Nico: nicofreitag
LinkedIn - Ann-Katrin: annkatrin
Kontaktaufnahme - Podcast: Cybersecurity ist Chefsache
____________________________________________
Deine Reise in die Welt der Cyber Security startet hier – ich
freue uns darauf, mich mit dir zu vernetzen.
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.